Звязвайце абавязацельствы з доказамі

Пачніце з сістэмы і яе меркаванага выкарыстання

«Мы выкарыстоўваем AI» — недастатковая інфармацыя для вызначэння прававых абавязацельстваў. Апішыце сэрвіс, карыстальнікаў, даныя, рашэнні, юрысдыкцыі і ролю арганізацыі. Адрознівайце AI для распрацоўкі праграм ад AI ўнутры пастаўленага прадукту.

Напрыклад, выкарыстанне памочніка для кода дзеля рэалізацыі фіксаванага разліку адрозніваецца ад разгортвання мадэлі, якая ацэньвае кандыдатаў на працу. Абодва выпадкі патрабуюць адпаведнага працэсу распрацоўкі. Іх эксплуатацыйныя наступствы і прымянімыя абавязацельствы могуць адрознівацца.

Папрасіце кваліфікаванага адказнага за прававыя пытанні або адпаведнасць ацаніць прымянімасць. Еўрапейская камісія тлумачыць сістэму AI Act, заснаваную на рызыцы. Правярайце бягучае заканадаўства і рэкамендацыі для фактычнага выпадку выкарыстання замест апоры на запомнены тэрмін. Сістэма AI Act.

Аддзяляйце чатыры часткі запісу

Абавязацельства вызначае, чаго трэба дасягнуць. Мера кантролю апісвае, як арганізацыя яго выконвае. Доказы паказваюць, што адбылося або што было праверана. Рашэнне запісвае, хто прыняў выснову і на якіх умовах.

Разгледзім выдуманы экспарт даных кліентаў. Арганізацыя мае палітыку, паводле якой кіраўнікі могуць экспартаваць запісы толькі сваёй арганізацыі. Карысны запіс можа змяшчаць:

Гэты прыклад ілюструе ўнутранае патрабаванне. Ён не сцвярджае, што адзін тэст задавальняе канкрэтны закон. Захоўвайце гэтае адрозненне ў запісах.

Стаўцеся да згенераваных дакументаў як да працы, якую трэба праверыць

AI можа дапамагчы падрыхтаваць апісанне патокаў даных, выявіць адсутныя палі або абагульніць наяўныя доказы. Ён таксама можа зрабіць непацверджанае дапушчэнне пра атрымальніка, выдумаць меру кантролю або апісаць рэзервовую копію, якую ніхто не тэставаў.

Звярайце кожнае істотнае сцверджанне з сістэмай. Калі дакумент кажа, што даныя зашыфраваны, вызначце адпаведнае сховішча, арганізацыю кіравання ключамі і доказы канфігурацыі. Калі ён кажа, што доступ пераглядаецца, знайдзіце працэс і яго фактычныя запісы.

Ацэнка ўздзеяння на абарону даных, або DPIA, датычыцца апрацоўкі і яе ўплыву на людзей. Паводле артыкула 35 GDPR, патрабаванне залежыць ад верагоднай высокай рызыкі і кантэксту апрацоўкі. Стварэнне файла з такой назвай не завяршае ацэнку. Артыкул 35 GDPR.

Захоўвайце доказы актуальнымі і прапарцыйнымі

Прывязвайце доказы да версіі, асяроддзя і даты. Тэст з ранейшага выпуску можа не ахопліваць зменены шлях аўтарызацыі. Вызначце, калі істотная змена патрабуе новага перагляду.

Збірайце тое, што падтрымлівае рашэнне. Не захоўвайце поўныя запісы кліентаў толькі дзеля доказу, што тэст экспарту быў выкананы. Старанна спраектаваны тэст можа выкарыстоўваць выдуманыя даныя і запісваць неабходны вынік.

Эфектыўны governance-інструмент звязвае патрабаванні, працу, доказы і рашэнні. Ён не прыбірае адказнасці арганізацыі за тлумачэнне абавязацельстваў або прымяненне мер кантролю. Ацэньвайце гэтую сувязь пры параўнанні асобных інструментаў для кода з поўнай сістэмай пастаўкі.