Forbind forpligtelser med dokumentation

Start med systemet og dets tilsigtede brug

»Vi bruger AI« giver ikke nok information til at afgøre juridiske forpligtelser. Beskriv tjenesten, brugerne, data, beslutninger, jurisdiktioner og organisationens rolle. Skeln mellem AI til at udvikle software og AI inde i det leverede produkt.

At bruge en kodeassistent til at implementere en fast beregning er for eksempel forskelligt fra at udrulle en model, der vurderer jobansøgere. Begge kræver en passende udviklingsproces. Deres virkninger i drift og gældende forpligtelser kan være forskellige.

Bed en kvalificeret juridisk eller complianceansvarlig om at vurdere anvendeligheden. Europa-Kommissionen forklarer AI-forordningens risikobaserede ramme. Kontrollér gældende lovgivning og vejledning for den faktiske anvendelse frem for at stole på en husket frist. AI-forordningens ramme.

Skeln mellem fire dele af oversigten

En forpligtelse angiver, hvad der skal opnås. En kontrol beskriver, hvordan organisationen håndterer det. Dokumentation viser, hvad der skete, eller hvad der blev verificeret. En beslutning registrerer, hvem der accepterede konklusionen, og under hvilke betingelser.

Overvej en fiktiv kundeeksport. Organisationen har en politik om, at ledere kun må eksportere poster for deres egen organisation. En brugbar oversigt kan indeholde:

Eksemplet illustrerer et internt krav. Det er ikke en påstand om, at én test opfylder en bestemt lov. Bevar denne forskel i dokumentationen.

Behandl genererede dokumenter som arbejde til review

AI kan hjælpe med at skrive et udkast til en beskrivelse af datastrømme, finde manglende felter eller opsummere eksisterende dokumentation. Den kan også antage en modtager, opfinde en kontrol eller beskrive en backup, som ingen har testet.

Kontrollér hvert væsentligt udsagn mod systemet. Hvis et dokument siger, at data krypteres, skal du finde det relevante lager, nøgleopsætningen og dokumentation for konfigurationen. Hvis det siger, at adgang gennemgås, skal du finde processen og dens faktiske registreringer.

En konsekvensanalyse vedrørende databeskyttelse, eller DPIA, handler om behandlingen og dens virkninger for mennesker. Efter GDPR artikel 35 afhænger kravet af sandsynlig høj risiko og behandlingens kontekst. At producere en fil med denne titel afslutter ikke vurderingen. GDPR artikel 35.

Hold dokumentationen aktuel og passende

Knyt dokumentation til en version, et miljø og en dato. En test fra en tidligere release dækker måske ikke en ændret rettighedskontrol. Definér, hvornår en væsentlig ændring kræver nyt review.

Indsaml det, der støtter beslutningen. Undgå at gemme hele kundeposter blot for at bevise, at en eksporttest blev kørt. En omhyggeligt designet test kan bruge fiktive data og registrere det nødvendige resultat.

Et effektivt governance-værktøj forbinder krav, arbejde, dokumentation og beslutninger. Det fjerner ikke organisationens ansvar for at fortolke forpligtelser eller drive kontroller. Vurdér den forbindelse, når du sammenligner individuelle kodeværktøjer med et komplet leverancesystem.