مقایسه‌ی چارچوب‌های ارزیابی ریسک هوش مصنوعی: کدام برای سازمان شما مناسب است؟

وقتی سازمانی تصمیم می‌گیرد ریسک هوش مصنوعی را جدی بگیرد، اولین مانع معمولاً کمبود چارچوب نیست؛ زیادی آن است. ISO، NIST، اتحادیه اروپا، سنگاپور، OWASP و ده‌ها نهاد دیگر هرکدام راهنمایی منتشر کرده‌اند. انتخاب اشتباه یعنی ماه‌ها وقت گذاشتن روی چیزی که به کار سازمان نمی‌آید. این مقاله چارچوب‌های اصلی را بر اساس کاربرد دسته‌بندی می‌کند تا بتوانید ترکیب درست را انتخاب کنید.

اول: چارچوب‌ها سه نوع‌اند

1. چارچوب‌های سیستم مدیریت: ساختار سازمانی، نقش‌ها و چرخه‌ی بهبود را تعریف می‌کنند (مثل ISO/IEC 42001).
2. چارچوب‌های روش‌شناسی ریسک: توضیح می‌دهند ریسک را چطور شناسایی، تحلیل و برطرف کنیم (مثل ISO/IEC 23894 و NIST AI RMF).
3. ابزارها و فهرست‌های تخصصی: برای یک نوع خاص ریسک یا فناوری، جزئیات عملی می‌دهند (مثل OWASP برای امنیت مدل‌های زبانی).

بیشتر سازمان‌ها به ترکیبی از هر سه نیاز دارند، نه یکی.

چارچوب‌های اصلی در یک نگاه

ISO/IEC 42001 — سیستم مدیریت (قابل گواهی)

ISO/IEC 42001 الزامات یک سیستم مدیریت هوش مصنوعی را تعریف می‌کند و تنها گزینه‌ی این فهرست است که گواهی رسمی دارد. ارزیابی ریسک و ارزیابی اثر، بخش الزامی آن است. مناسب برای سازمان‌هایی که باید حاکمیت AI را به مشتری یا شریک ثابت کنند. (مقاله‌ی کامل)

ISO/IEC 23894 — راهنمای مدیریت ریسک AI

ISO/IEC 23894 (۲۰۲۳) اصول و فرایند مدیریت ریسک استاندارد ISO 31000 را برای هوش مصنوعی تطبیق داده است. اگر سازمان شما از قبل فرایند مدیریت ریسک سازمانی مبتنی بر ISO 31000 دارد، این راهنما ساده‌ترین مسیر برای افزودن ریسک‌های AI به همان فرایند است.

NIST AI RMF — روش‌شناسی عملی و رایگان

NIST AI RMF با چهار کارکرد Govern، Map، Measure و Manage، عملی‌ترین و مفصل‌ترین چارچوب رایگان است؛ به‌خصوص با راهنمای عملی (Playbook) و پروفایل هوش مصنوعی مولد. (مقاله‌ی کامل)

چارچوب مدل حاکمیت AI سنگاپور و AI Verify

سنگاپور از نخستین کشورهایی بود که چارچوب مدل حاکمیت هوش مصنوعی را برای بخش خصوصی منتشر کرد؛ سندی کوتاه، کاربردی و پر از مثال که برای شرکت‌های کوچک و متوسط بسیار قابل‌استفاده است. نسخه‌ی مخصوص هوش مصنوعی مولد هم در ۲۰۲۴ منتشر شد. بنیاد AI Verify هم ابزار آزمون متن‌باز برای ارزیابی سیستم‌های AI در برابر اصول حاکمیتی ارائه می‌دهد.

قانون هوش مصنوعی اروپا — طبقه‌بندی ریسک قانونی

قانون هوش مصنوعی اروپا خودش یک «چارچوب ارزیابی ریسک» نیست، اما طبقه‌بندی ریسک آن (ممنوع، پرریسک، شفافیت، حداقلی) برای اولویت‌بندی کاربردها بسیار مفید است؛ حتی برای سازمان‌هایی که مشمول آن نیستند.

OWASP Top 10 for LLM — ریسک امنیتی مدل‌های زبانی

فهرست OWASP برای تیم‌های فنی و امنیتی که چت‌بات، دستیار یا عامل هوش مصنوعی می‌سازند یا به کار می‌گیرند، مرجع اصلی است: از Prompt Injection تا افشای اطلاعات حساس و اختیار بیش از حد.

مخزن ریسک هوش مصنوعی MIT — فهرست جامع

مخزن ریسک MIT بیش از هزار ریسک را از ده‌ها چارچوب و پژوهش گردآوری و دسته‌بندی کرده است. چارچوب اجرایی نیست، اما برای مرحله‌ی شناسایی ریسک و اطمینان از اینکه چیزی از قلم نیفتاده، منبع فوق‌العاده‌ای است.

جدول مقایسه

چارچوب	نوع	هزینه	گواهی	بهترین کاربرد
ISO/IEC 42001	سیستم مدیریت	خرید استاندارد + ممیزی	دارد	اثبات رسمی به دیگران
ISO/IEC 23894	روش‌شناسی ریسک	خرید استاندارد	ندارد	ادغام با مدیریت ریسک ISO 31000
NIST AI RMF	روش‌شناسی ریسک	رایگان	ندارد	شروع عملی و جزئیات اجرایی
چارچوب سنگاپور + AI Verify	راهنمای حاکمیت + ابزار آزمون	رایگان	ندارد	شرکت‌های کوچک و متوسط، آزمون فنی
طبقه‌بندی EU AI Act	طبقه‌بندی قانونی	رایگان	—	اولویت‌بندی کاربردها
OWASP LLM Top 10	ریسک امنیتی	رایگان	ندارد	تیم‌های فنی و امنیت
مخزن ریسک MIT	فهرست ریسک	رایگان	ندارد	شناسایی جامع ریسک

کدام ترکیب برای شما مناسب است؟

استارتاپ یا کسب‌وکار کوچک که از ابزارهای AI استفاده می‌کند: چارچوب سنگاپور یا NIST AI RMF به‌عنوان راهنما + یک ثبت ریسک ساده. شروع سبک، بدون هزینه.

شرکت متوسط با مشتریان سازمانی یا خارجی: NIST AI RMF برای کار عملی + هدف‌گذاری تدریجی برای ISO/IEC 42001.

سازمان بزرگ با فرایند مدیریت ریسک سازمانی: ISO/IEC 23894 برای ادغام در ERM + ISO/IEC 42001 برای سیستم مدیریت + OWASP برای تیم‌های فنی.

شرکتی که محصول مبتنی بر مدل زبانی می‌سازد: OWASP LLM Top 10 و پروفایل هوش مصنوعی مولد NIST از روز اول + ISO/IEC 42001 برای جلب اعتماد مشتری.

شرکتی که با بازار اروپا در ارتباط است: طبقه‌بندی EU AI Act برای تعیین تکالیف + ISO/IEC 42001 به‌عنوان زیرساخت انطباق.

یک ماتریس ساده برای شروع

هر چارچوبی که انتخاب کنید، هسته‌ی ارزیابی ریسک همین است: برای هر کاربرد، احتمال و اثر را بسنجید.

	اثر کم	اثر متوسط	اثر زیاد
احتمال زیاد	متوسط	بالا	بحرانی
احتمال متوسط	کم	متوسط	بالا
احتمال کم	کم	کم	متوسط

«اثر» را فقط مالی نبینید: اثر بر افراد (مشتری، کارکنان)، اعتبار، انطباق و ایمنی را هم در نظر بگیرید.

جمع‌بندی

چارچوب «بهترین» وجود ندارد؛ چارچوب مناسب وجود دارد. اشتباه رایج، شروع با سنگین‌ترین گزینه و متوقف شدن در میانه‌ی راه است. با یک چارچوب سبک شروع کنید، ریسک‌های واقعی را ثبت کنید و بعد، اگر نیاز بود، ساختار رسمی‌تر بسازید. برای مقایسه‌ی عمیق دو چارچوب اصلی، مقاله‌ی تفاوت ISO/IEC 42001 و NIST AI RMF و برای جزئیات مدیریت ریسک، صفحه‌ی مدیریت ریسک هوش مصنوعی را ببینید.