Povežite obveze s dokazima

Počnite od sustava i njegove namjene

Tvrdnja „upotrebljavamo AI” nije dovoljna za utvrđivanje zakonskih obveza. Opišite uslugu, korisnike, podatke, odluke, jurisdikcije i ulogu organizacije. Razlikujte AI kojim razvijate softver od AI-ja unutar isporučenog proizvoda.

Primjerice, upotreba asistenta za programiranje pri implementaciji unaprijed definiranog izračuna razlikuje se od uvođenja modela koji procjenjuje kandidate za posao. Oba slučaja trebaju primjeren razvojni proces. Njihovi učinci tijekom rada i primjenjive obveze mogu se razlikovati.

Zatražite procjenu primjenjivosti od kvalificirane osobe odgovorne za pravna pitanja ili usklađenost. Europska komisija objašnjava okvir Akta o umjetnoj inteligenciji koji se temelji na riziku. Za stvarni slučaj upotrebe provjerite važeće propise i smjernice umjesto da se oslanjate na rok kojeg se sjećate. Okvir Akta o umjetnoj inteligenciji.

Odvojite četiri dijela zapisa

Obveza određuje što se mora postići. Kontrola opisuje kako organizacija ispunjava obvezu. Dokazi pokazuju što se dogodilo ili što je provjereno. Odluka bilježi tko je prihvatio zaključak i pod kojim uvjetima.

Razmotrite izmišljeni izvoz podataka o klijentima. Organizacija ima pravilo prema kojem voditelji mogu izvoziti zapise samo za svoju organizaciju. Koristan zapis može sadržavati:

Ovaj primjer prikazuje interni zahtjev. Ne tvrdi da jedan test ispunjava određeni zakon. Sačuvajte tu razliku u svojim zapisima.

Generirane dokumente tretirajte kao rad koji treba pregledati

AI može pomoći sastaviti opis toka podataka, pronaći nedostajuća polja ili sažeti postojeće dokaze. Može i pretpostaviti primatelja, izmisliti kontrolu ili opisati sigurnosnu kopiju koju nitko nije testirao.

Svaku bitnu tvrdnju provjerite u odnosu na sustav. Ako dokument navodi da su podaci šifrirani, utvrdite o kojem se spremištu radi, kako su uređeni ključevi i koji dokazi potvrđuju konfiguraciju. Ako navodi da se pristup pregledava, pronađite postupak i stvarne zapise.

Procjena učinka na zaštitu podataka, odnosno DPIA, odnosi se na obradu i njezine učinke na ljude. Prema članku 35. GDPR-a, obveza ovisi o vjerojatnom visokom riziku i kontekstu obrade. Izrada datoteke s tim naslovom ne dovršava procjenu. Članak 35. GDPR-a.

Održavajte dokaze aktualnima i razmjernima

Povežite dokaze s verzijom, okruženjem i datumom. Test iz ranijeg izdanja možda ne pokriva promijenjeni tijek autorizacije. Odredite kada bitna promjena zahtijeva novi pregled.

Prikupite ono što potkrepljuje odluku. Nemojte čuvati pune zapise o klijentima samo da biste dokazali da je test izvoza izvršen. Pažljivo osmišljen test može upotrijebiti izmišljene podatke i zabilježiti potreban rezultat.

Djelotvoran alat za upravljanje povezuje zahtjeve, rad, dokaze i odluke. Ne uklanja odgovornost organizacije za tumačenje obveza ili provedbu kontrola. Procijenite tu povezanost kad uspoređujete pojedinačne alate za programiranje s cjelovitim sustavom isporuke.