Knytt forpliktelser til dokumentasjon

Start med systemet og tilsiktet bruk

«Vi bruker AI» er ikke nok informasjon til å fastslå juridiske forpliktelser. Beskriv tjeneste, brukere, data, beslutninger, jurisdiksjoner og organisasjonens rolle. Skill AI brukt til å utvikle programvare fra AI inne i det leverte produktet.

Å bruke en kodeassistent til å implementere en fast beregning er for eksempel forskjellig fra å sette en modell som vurderer jobbsøkere, i drift. Begge trenger en egnet utviklingsprosess. Driftsvirkninger og gjeldende forpliktelser kan være forskjellige.

Be en kvalifisert juridisk eller complianceansvarlig vurdere anvendelsen. Europakommisjonen forklarer AI Acts risikobaserte rammeverk. Kontroller gjeldende lov og veiledning for den faktiske bruken fremfor å stole på en husket frist. AI Act-rammeverket.

Skill fire deler av registreringen

En forpliktelse angir hva som må oppnås. En kontroll beskriver hvordan organisasjonen håndterer det. Dokumentasjon viser hva som skjedde, eller hva som ble verifisert. En beslutning registrerer hvem som aksepterte konklusjonen og under hvilke betingelser.

Se for deg en fiktiv kundeeksport. Organisasjonen har en policy om at ledere bare kan eksportere poster for sin egen organisasjon. En nyttig registrering kan inneholde:

Eksemplet illustrerer et internt krav. Det hevder ikke at én test oppfyller en bestemt lov. Bevar skillet i registreringene.

Behandle genererte dokumenter som arbeid som må gjennomgås

AI kan lage utkast til en datastrømsbeskrivelse, identifisere manglende felt eller oppsummere eksisterende dokumentasjon. Den kan også anta en mottaker, finne opp en kontroll eller beskrive en sikkerhetskopi ingen har testet.

Kontroller hvert vesentlige utsagn mot systemet. Hvis dokumentet sier at data er kryptert, identifiser relevant lager, nøkkelordning og konfigurasjonsdokumentasjon. Hvis det sier at tilgang gjennomgås, finn prosessen og dens faktiske registreringer.

En vurdering av personvernkonsekvenser, eller DPIA, gjelder behandlingen og dens virkninger for mennesker. Under GDPR artikkel 35 avhenger kravet av sannsynlig høy risiko og behandlingskonteksten. Å produsere en fil med denne tittelen fullfører ikke vurderingen. GDPR artikkel 35.

Hold dokumentasjonen oppdatert og forholdsmessig

Knytt dokumentasjonen til versjon, miljø og dato. En test fra en tidligere utgivelse dekker kanskje ikke en endret autorisasjonsvei. Definer når en vesentlig endring krever ny gjennomgang.

Samle det som støtter beslutningen. Unngå å beholde hele kundeposter bare for å bevise at en eksporttest ble kjørt. En godt utformet test kan bruke fiktive data og registrere nødvendig resultat.

Et effektivt governanceverktøy knytter krav, arbeid, dokumentasjon og beslutninger sammen. Det fjerner ikke organisasjonens ansvar for å tolke forpliktelser eller drifte kontroller. Vurder forbindelsen når du sammenligner individuelle kodeverktøy med et komplett leveransesystem.