ISO 42001 может стать стандартом управления ИИ в платёжных системах

Международный стандарт ISO 42001, опубликованный в декабре 2023 года, устанавливает требования к системе управления искусственным интеллектом в организациях. В отличие от технических стандартов производительности, он создаёт управленческий каркас вокруг ИИ-систем — как разработанных внутри компании, так и закупленных у поставщиков. Стандарт охватывает всю цепочку жизненного цикла: от разработки и внедрения до поддержки и совершенствования. Первые примеры внедрения уже появились: компания FSS получила сертификацию в январе, а индийский Axis Bank — в феврале 2024 года.

Для платёжных систем и банков ISO 42001 имеет практический смысл: он заставляет организации честно картировать, где именно используется ИИ и кто за эти системы отвечает. В общепите и финансовых сервисах это часто скрытые компоненты — машинное обучение в детекторах мошенничества, системах мониторинга транзакций, аутентификации, маршрутизации платежей. Кристиан Джейкоб, эксперт по управлению ИИ в платёжной индустрии, отмечает, что главный эффект стандарта в том, что он заставляет компании увидеть ИИ, который они раньше просто считали операционной технологией.

Но стандарт решает не только проблему видимости. Вторая критическая задача — определить ответственность после развёртывания системы. ИИ меняется с течением времени: поведение пользователей, данные, условия работы смещаются, и модель может вести себя иначе. Если ИИ выбирает маршрут для кросс-границы транзакции на основе вероятности одобрения и стоимости, изменение модели может неожиданно направить целый пакет платежей по пути, вызывающему волну отказов. ISO 42001 требует документирования и отслеживания этих изменений, чтобы было ясно, почему система приняла то или иное решение, вместо размытого обвинения «алгоритма виноват».

Осторожность важна в том, что стандарт действительно актуален при закупке ИИ-сервисов у третьих сторон. Детектор мошенничества, система скрининга, онбординг, аутентификация часто покупаются, а не разрабатываются внутри. Однако сертификат поставщика не гарантирует эффективность конкретной модели и не охватывает всю цепочку интеграции. Сертификация означает только, что у организации есть управленческая система, соответствующая стандарту в пределах аудированного объёма. Банк или процессор должны проверять, какие ИИ-системы входят в сертификацию, что контролирует поставщик, а что остаётся на плечах самого покупателя.

Для фудкорт-сетей и ресторанных групп ISO 42001 актуален через третьих лиц: если компания закупляет ИИ для управления доставкой, динамического ценообразования, выявления внутреннего мошенничества или аналитики кухни, она может требовать от поставщика документации о его ИИ-управлении. Стандарт вероятно станет бенчмарком в процессе отбора технологических партнёров, особенно если финансовые институты, работающие с HoReCa, начнут включать вопросы об ISO 42001 в процедуры due diligence. Главное понимать: сертификат укрепляет доверие к процессам управления, но не заменяет проверку реальной эффективности работающей системы.