Povežite obaveze s dokazima

Počnite od sistema i njegove namjeravane upotrebe

„Koristimo AI“ nije dovoljno informacija za utvrđivanje zakonskih obaveza. Opišite uslugu, korisnike, podatke, odluke, pravne nadležnosti i ulogu organizacije. Razlikujte AI korišten za razvoj softvera od AI-ja unutar isporučenog proizvoda.

Naprimjer, korištenje asistenta za kodiranje radi implementacije fiksnog izračuna razlikuje se od raspoređivanja modela koji procjenjuje kandidate za posao. Oboje zahtijeva odgovarajući razvojni proces. Njihovi operativni učinci i primjenjive obaveze mogu se razlikovati.

Tražite da kvalifikovana osoba odgovorna za pravna pitanja ili usklađenost procijeni primjenjivost. Evropska komisija objašnjava okvir Akta o umjetnoj inteligenciji zasnovan na riziku. Provjerite važeći zakon i smjernice za stvarni slučaj upotrebe umjesto oslanjanja na zapamćeni rok. Okvir Akta o umjetnoj inteligenciji.

Odvojite četiri dijela zapisa

Obaveza navodi šta se mora postići. Kontrola opisuje kako organizacija odgovara na nju. Dokazi pokazuju šta se desilo ili šta je provjereno. Odluka bilježi ko je prihvatio zaključak i pod kojim uslovima.

Razmotrite izmišljeni izvoz podataka o klijentima. Organizacija ima politiku prema kojoj menadžeri mogu izvoziti zapise samo svoje organizacije. Koristan zapis mogao bi sadržavati:

Ovaj primjer ilustruje interni zahtjev. Ne tvrdi da jedan test ispunjava određeni zakon. Sačuvajte tu razliku u svojim zapisima.

Tretirajte generisane dokumente kao rad koji treba pregledati

AI može pomoći napisati nacrt opisa toka podataka, prepoznati polja koja nedostaju ili sažeti postojeće dokaze. Može i pretpostaviti ko je primalac, izmisliti kontrolu ili opisati rezervnu kopiju koju niko nije testirao.

Provjerite svaku važnu tvrdnju prema sistemu. Ako dokument kaže da su podaci šifrirani, utvrdite relevantno spremište, način upravljanja ključevima i dokaze o konfiguraciji. Ako kaže da se pristup pregleda, pronađite postupak i njegove stvarne zapise.

Procjena utjecaja na zaštitu podataka, odnosno DPIA, odnosi se na obradu i njene učinke na ljude. Prema članu 35 GDPR-a, potreba za procjenom zavisi od vjerovatnog visokog rizika i konteksta obrade. Izrada fajla s tim naslovom ne završava procjenu. Član 35 GDPR-a.

Održavajte dokaze aktuelnim i srazmjernim

Vežite dokaze za verziju, okruženje i datum. Test ranijeg izdanja možda ne pokriva promijenjeni put autorizacije. Odredite kada važna promjena zahtijeva novi pregled.

Prikupljajte ono što podržava odluku. Izbjegavajte čuvanje cijelih zapisa o klijentima samo radi dokaza da je test izvoza izvršen. Pažljivo osmišljen test može koristiti izmišljene podatke i zabilježiti potreban rezultat.

Djelotvoran alat za upravljanje povezuje zahtjeve, rad, dokaze i odluke. Ne uklanja odgovornost organizacije za tumačenje obaveza ili provođenje kontrola. Procijenite tu vezu kada poredite pojedinačne alate za kodiranje s potpunim sistemom isporuke.