استانداردهای هوش مصنوعی فقط برای شرکت‌های خارجی نیست: ISO 42001 و NIST برای سازمان‌های ایرانی

وقتی درباره‌ی ISO/IEC 42001، NIST AI RMF یا قانون هوش مصنوعی اروپا با مدیران ایرانی صحبت می‌شود، یک واکنش رایج این است: «این‌ها برای شرکت‌های اروپایی و آمریکایی است؛ به ما چه ربطی دارد؟» این برداشت قابل درک است، اما در سه نقطه اشتباه است.

۱. ISO یک سازمان بین‌المللی است، نه خارجی

ISO (سازمان بین‌المللی استانداردسازی) یک نهاد غربی نیست؛ شبکه‌ای از سازمان‌های ملی استاندارد بیش از ۱۷۰ کشور است و ایران هم از طریق سازمان ملی استاندارد ایران در آن عضویت دارد (فهرست اعضای ISO). استانداردهایی مثل ISO 9001 و ISO/IEC 27001 سال‌هاست در ایران شناخته‌شده‌اند، گواهی می‌شوند و در مناقصه‌ها به‌عنوان معیار استفاده می‌شوند. ISO/IEC 42001 همان منطق را برای هوش مصنوعی دارد و ساختارش عمداً شبیه همان استانداردهای آشناست.

چارچوب NIST AI RMF هم با اینکه توسط یک نهاد آمریکایی منتشر شده، رایگان و داوطلبانه است و به گفته‌ی خود NIST برای سازمان‌هایی در «هر اندازه و هر بخش» طراحی شده و هیچ شرط جغرافیایی ندارد. استفاده از آن هیچ پیش‌شرط یا وابستگی ایجاد نمی‌کند؛ یک روش‌شناسی است، نه یک خدمت.

۲. زنجیره‌ی تأمین مرز ندارد

حتی اگر شرکت شما هرگز مستقیماً در اروپا فعالیت نکند، این سناریوها واقعی‌اند:

• خدمات برون‌سپاری و نرم‌افزار: شرکت‌های ایرانی که برای مشتریان خارجی (مستقیم یا از طریق شرکا در کشورهای دیگر) نرم‌افزار، تحلیل داده یا تولید محتوا انجام می‌دهند. ماده‌ی ۲ قانون هوش مصنوعی اروپا صراحتاً ارائه‌دهندگان و به‌کارگیرندگان مستقر در خارج از اتحادیه را هم در صورتی که خروجی سیستم هوش مصنوعی در اتحادیه استفاده شود، مشمول می‌داند.
• ارزیابی تأمین‌کننده: مشتری خارجی لازم نیست قانونی را به شما تحمیل کند؛ کافی است در پرسش‌نامه‌ی ارزیابی تأمین‌کننده بپرسد «از هوش مصنوعی چطور استفاده می‌کنید و چطور کنترلش می‌کنید؟». پاسخ ساختاریافته به این سؤال، دقیقاً همان چیزی است که این چارچوب‌ها می‌سازند.
• سرمایه‌گذاری: سرمایه‌گذاران — داخلی یا خارجی — به‌طور فزاینده در ارزیابی استارتاپ‌ها درباره‌ی ریسک‌های هوش مصنوعی سؤال می‌کنند.

طبق گزارش شاخص هوش مصنوعی استنفورد ۲۰۲۶، ISO/IEC 42001 و NIST AI RMF به ترتیب برای ۳۶٪ و ۳۳٪ سازمان‌ها عامل اثرگذار بر سیاست هوش مصنوعی بوده‌اند. یعنی این دو، زبان مشترکی شده‌اند که شرکای تجاری شما با آن صحبت می‌کنند.

۳. ریسک‌ها برای همه یکی است

نشت داده از طریق چت‌بات‌های عمومی، توهم هوش مصنوعی در گزارش‌ها، سوگیری در استخدام و کلاهبرداری با دیپ‌فیک در تهران و مشهد همان‌قدر اتفاق می‌افتد که در برلین و تورنتو. استانداردها قبل از هر چیز، راهی برای مدیریت همین ریسک‌ها هستند؛ الزام قانونی یا قراردادی، فقط یکی از دلایل استفاده از آن‌هاست.

و در داخل ایران؟

سیاست‌گذاری هوش مصنوعی در ایران هم در جریان است. سند ملی هوش مصنوعی جمهوری اسلامی ایران در خرداد ۱۴۰۳ (ژوئن ۲۰۲۴) به تصویب شورای عالی انقلاب فرهنگی رسید و به گزارش پایگاه Regulations.ai، مجموعه‌ای از سیاست‌ها و اهداف کلان و ساختار حاکمیتی از جمله تشکیل سازمان ملی هوش مصنوعی را تعیین کرده است. تحلیل Recorded Future هم از برنامه‌های ملی ایران برای توسعه‌ی هوش مصنوعی گزارش داده است.

این اسناد بیشتر در سطح راهبرد ملی و توسعه‌اند و جایگزین یک سیستم مدیریت درون‌سازمانی نمی‌شوند. سازمانی که امروز بر پایه‌ی چارچوب‌های بین‌المللی شناخته‌شده حاکمیت هوش مصنوعی را بسازد، برای هر الزام داخلی آینده هم زیرساخت آماده‌تری دارد؛ همان‌طور که سازمان‌هایی که ISO/IEC 27001 داشتند، با الزامات داخلی امنیت اطلاعات راحت‌تر کنار آمدند.

بومی‌سازی، نه کپی

استفاده از چارچوب‌های بین‌المللی به معنای ترجمه‌ی مستقیم آن‌ها نیست. چند نکته برای بومی‌سازی:

1. ابزارهای در دسترس را واقع‌بینانه ببینید: بخشی از سرویس‌های هوش مصنوعی از ایران به‌طور مستقیم در دسترس نیستند و کارکنان از مسیرهای غیررسمی یا واسطه‌ها استفاده می‌کنند؛ این خودش یک ریسک داده است که باید در ارزیابی ریسک دیده شود.
2. قوانین داخلی را کنار چارچوب بگذارید: قوانین مربوط به داده، تجارت الکترونیک و مقررات صنفی شما را در شناسایی الزامات (بند ۴ ISO/IEC 42001) لحاظ کنید.
3. از سبک‌ترین نسخه شروع کنید: برای بیشتر سازمان‌ها، یک سیاست استفاده، فهرست ابزارها، مالک مشخص و آموزش کوتاه، ۸۰٪ ارزش را با ۲۰٪ هزینه می‌دهد.

جمع‌بندی

استانداردهای هوش مصنوعی «برای خارج» نیستند؛ برای هر سازمانی‌اند که از هوش مصنوعی استفاده می‌کند و می‌خواهد به مشتری، شریک و خودش نشان دهد این استفاده تحت کنترل است. برای شرکت‌های ایرانی که به بازارهای بزرگ‌تر فکر می‌کنند، آشنایی زودهنگام با این زبان مشترک یک مزیت رقابتی است. مسیر بومی‌سازی را در صفحه‌ی حاکمیت هوش مصنوعی در ایران و جزئیات استاندارد را در ISO/IEC 42001 چیست؟ ببینید.