Свържете задълженията с доказателства

Започнете със системата и предвидената ѝ употреба

„Използваме AI“ не е достатъчна информация за определяне на правните задължения. Опишете услугата, потребителите, данните, решенията, юрисдикциите и ролята на организацията. Разграничете AI, използван за разработка на софтуер, от AI вътре в доставения продукт.

Например използване на помощник за програмиране за реализация на фиксирано изчисление се различава от внедряване на модел, който оценява кандидати за работа. И двете се нуждаят от подходящ процес за разработка. Ефектите при експлоатация и приложимите задължения могат да се различават.

Поискайте квалифициран правен експерт или отговорник за съответствието да оцени приложимостта. Европейската комисия обяснява рамката на AI Act, основана на риска. Проверете текущото законодателство и указанията за действителната употреба, вместо да разчитате на запомнен срок. Рамка на AI Act.

Разграничете четири части на записа

Задължението посочва какво трябва да се постигне. Контролът описва как организацията го адресира. Доказателствата показват какво се е случило или какво е проверено. Решението записва кой е приел извода и при какви условия.

Разгледайте измислен клиентски експорт. Организацията има политика, според която мениджърите могат да експортират записи само за собствената си организация. Полезен запис може да съдържа:

Този пример илюстрира вътрешно изискване. Не твърди, че един тест изпълнява конкретен закон. Запазвайте това разграничение в записите си.

Третирайте генерираните документи като работа за преглед

AI може да помогне с проект на описание на потоци от данни, откриване на липсващи полета или обобщаване на съществуващи доказателства. Може и да предположи получател, да измисли контрол или да опише резервно копие, което никой не е тествал.

Проверете всяко съществено твърдение спрямо системата. Ако документ казва, че данните са криптирани, определете съответното хранилище, организацията на ключовете и доказателствата за конфигурацията. Ако казва, че достъпът се преглежда, намерете процеса и действителните му записи.

Оценката на въздействието върху защитата на данните, или DPIA, разглежда обработката и ефектите ѝ върху хората. Според член 35 от GDPR изискването зависи от вероятния висок риск и контекста на обработката. Създаването на файл с това заглавие не завършва оценката. Член 35 от GDPR.

Поддържайте доказателствата актуални и пропорционални

Обвържете доказателствата с версия, среда и дата. Тест от предишно пускане може да не покрива променен път за проверка на правата. Определете кога съществена промяна изисква нов преглед.

Събирайте това, което подкрепя решението. Избягвайте да пазите пълни клиентски записи само за да докажете, че тест за експорт е изпълнен. Внимателно проектиран тест може да използва измислени данни и да записва необходимия резултат.

Ефективен инструмент за governance свързва изисквания, работа, доказателства и решения. Той не премахва отговорността на организацията да тълкува задълженията или да прилага контролите. Оценявайте тази връзка, когато сравнявате отделни инструменти за програмиране с цялостна система за доставка.