Confie em quem pode comprovar: Figma é certificada pela ISO 42001
É fácil dizer que você usa IA de maneira responsável, mas comprovar isso para um auditor credenciado é outra história. Decidimos cumprir essa norma importante.
Compartilhar Confie em quem pode comprovar: Figma é certificada pela ISO 42001
Publicada em dezembro de 2023, a ISO/IEC 42001 é a norma internacional para sistemas de gerenciamento de IA. Ela equivale à ISO 27001 para IA: um framework que define os requisitos para a governança responsável de IA e os disponibiliza para verificação por terceiros.
Um Sistema de Gerenciamento de Inteligência Artificial (AIMS) é a base operacional da governança de IA: as políticas, processos e controles que regulam a construção, implementação e monitoramento de IA nos produtos de uma organização.
As equipes de segurança que revisam fornecedores de IA enfrentam um problema conhecido: a documentação de cada fornecedor parece ser a mesma, independentemente de a governança ser real ou não.
Os recursos de IA do Figma estão incorporados em fluxos de trabalho nos setores de serviços bancários, saúde, seguros e setor público, em que requisitos rígidos de regulamentação, segurança e privacidade são inegociáveis na construção de software. Quando equipes de segurança realizam avaliações de risco de fornecedores, diretorias fazem perguntas sobre a governança de IA ou clientes consideram se devem ativar recursos de design assistidos por IA, não basta levar a IA a sério.
A Figma obteve a certificação ISO/IEC 42001:2023. A Schellman, um organismo de certificação independente credenciado, auditou nossas políticas de governança, processos de gerenciamento de riscos e práticas de desenvolvimento de IA em toda a plataforma e confirmou que a Figma cumpre a norma. Esta certificação se junta às que a Figma já conquistou: ISO/IEC 27001 e SOC 2 Tipo II.
Por que a verificação independente é importante
Existem duas maneiras de responder às perguntas dos clientes sobre governança de IA. Você pode documentar suas práticas, publicar um artigo técnico, responder questionários e pedir aos clientes que confiem no que você afirma sobre os seus próprios controles. Ou você pode abrir seu sistema de gerenciamento para a realização de testes de qualificação por um terceiro credenciado e entregar o resultado aos clientes. Adotamos as duas abordagens, mas apenas uma delas é verificável.
A certificação ISO 42001 significa que a Schellman examinou nossas políticas de governança, práticas de dados, processos de risco e salvaguardas técnicas e confirmou que atendem ao padrão.
O que a certificação cobre
A certificação abrange o Sistema de Gerenciamento de IA que governa como a Figma projeta, desenvolve e opera recursos de IA em toda a nossa plataforma: Figma Design, Figma Make, FigJam, Dev Mode, Figma Sites, Figma Slides, Figma Draw, Figma Buzz e Figma Weave.
O que realmente foi auditado
Nossa certificação ISO 42001 foi emitida por um organismo de certificação credenciado pela ANAB, um fator importante porque certificações credenciadas e não credenciadas não são a mesma coisa. O credenciamento exige que o organismo de certificação passe por uma auditoria formal antes de poder emitir qualquer certificado de conformidade.
A auditoria foi realizada em duas etapas. A etapa 1 avaliou o projeto do AIMS da Figma, incluindo documentação, políticas e metodologia de riscos. A etapa 2 testou se o AIMS realmente funciona: auditores entrevistaram funcionários, observaram processos e avaliaram a eficácia operacional em 38 controles organizados nos nove objetivos de controle do Anexo A:
- Avaliação do impacto de IA
- Governança e prestação de contas
- Gerenciamento de riscos específico para IA
- Gerenciamento do ciclo de vida do sistema de IA
- Governança de dados
- Riscos de IA em terceiros
- Monitoramento e avaliação de desempenho
- Supervisão humana
- Uso responsável de sistemas de IA
Estes conceitos não são recentes. O que a certificação valida é se a Figma, além de documentá-los, os coloca em prática.
O que isso significa para os usuários da Figma
Na Figma, estamos nos dois lados desse problema. Desenvolvemos os programas que respondem aos seus questionários de segurança e executamos os programas de risco de fornecedores que avaliam nossos próprios fornecedores. Sabemos o que é uma documentação completa.
A certificação ISO 42001 é uma evidência independente da governança de IA. Em vez de analisar nossas respostas ao seu questionário, você tem algo mais confiável: uma norma internacional reconhecida, verificada por um órgão credenciado, que você pode citar em avaliações de risco de fornecedores, relatórios para diretoria e envios de documentação regulatória.
Isso é especialmente importante para a Lei de IA da UE e as novas normas de aquisição de IA, que exigem comprovação, e não promessas. Para organizações em setores regulamentados, como serviços financeiros, saúde, seguros e setor público, o seu próprio programa de risco de fornecedores está sujeito a auditoria. Uma postura de governança de IA verificada externamente é uma classe de evidência diferente da autoavaliação de um fornecedor.
A ISO 42001 foi criada para oferecer exatamente isso.
Nosso compromisso para o futuro
Com a expansão dos recursos de IA do Figma, também aumenta o nosso compromisso em controlá-los de forma responsável. Continuaremos recorrendo à verificação dessa governança por terceiros, em vez de pedir que você simplesmente confie no que dizemos. O certificado ISO 42001 da Figma, juntamente com toda a nossa documentação de segurança e conformidade, está disponível em compliance.figma.com e pode ser verificado no diretório de certificados da Schellman.
Esta certificação é apenas o começo. Manteremos o site compliance.figma.com atualizado para que você possa verificar nossa postura a qualquer momento do relacionamento com fornecedores. E seremos transparentes quando nossas práticas de governança de IA mudarem de maneiras que afetem sua avaliação de risco.
Tem perguntas sobre a governança de IA ou postura de segurança do Figma? Entre em contato com sua equipe de conta.