Legați obligațiile de dovezi

Începeți cu sistemul și utilizarea sa prevăzută

„Folosim AI” nu oferă suficiente informații pentru a determina obligațiile juridice. Descrieți serviciul, utilizatorii, datele, deciziile, jurisdicțiile și rolul organizației. Deosebiți AI folosită la dezvoltarea software-ului de AI folosită în produsul livrat.

De exemplu, folosirea unui asistent de programare pentru implementarea unui calcul fix diferă de instalarea unui model care evaluează candidați la angajare. Ambele necesită un proces de dezvoltare adecvat. Efectele lor operaționale și obligațiile aplicabile pot fi diferite.

Cereți unui responsabil juridic sau de conformitate calificat să evalueze aplicabilitatea. Comisia Europeană explică abordarea bazată pe risc a AI Act. Verificați legislația și ghidurile actuale pentru cazul efectiv de utilizare, în loc să vă bazați pe un termen reținut din memorie. Cadrul AI Act.

Separați patru părți ale consemnării

O obligație precizează ce trebuie realizat. Un control descrie cum o abordează organizația. Dovezile arată ce s-a întâmplat sau ce a fost verificat. O decizie consemnează cine a acceptat concluzia și în ce condiții.

Luați în considerare un export fictiv de clienți. Organizația are o politică prin care managerii pot exporta înregistrări numai pentru propria organizație. O consemnare utilă poate conține:

Exemplul ilustrează o cerință internă. Nu afirmă că un singur test satisface o anumită lege. Păstrați această distincție în consemnări.

Tratați documentele generate ca lucru care poate fi verificat

AI poate ajuta la redactarea descrierii unui flux de date, la identificarea câmpurilor lipsă sau la rezumarea dovezilor existente. Poate și presupune un destinatar, inventa un control sau descrie o copie de siguranță pe care nimeni nu a testat-o.

Verificați fiecare afirmație importantă în raport cu sistemul. Dacă un document spune că datele sunt criptate, identificați spațiul de stocare relevant, organizarea cheilor și dovezile de configurație. Dacă spune că accesul este verificat periodic, găsiți procesul și înregistrările sale efective.

Evaluarea impactului asupra protecției datelor, sau DPIA, privește prelucrarea și efectele sale asupra oamenilor. Conform articolului 35 din GDPR, cerința depinde de probabilitatea unui risc ridicat și de contextul prelucrării. Producerea unui fișier cu acest titlu nu încheie evaluarea. Articolul 35 din GDPR.

Păstrați dovezile actuale și proporționale

Legați dovezile de o versiune, un mediu și o dată. Un test dintr-o lansare anterioară poate să nu acopere o cale de autorizare modificată. Definiți când o schimbare importantă necesită o nouă verificare.

Colectați ce susține decizia. Evitați păstrarea înregistrărilor complete despre clienți doar pentru a dovedi că un test de export a rulat. Un test proiectat atent poate folosi date fictive și consemna rezultatul necesar.

Un instrument eficient de guvernanță leagă cerințele, lucrul, dovezile și deciziile. Nu elimină responsabilitatea organizației de a interpreta obligațiile sau de a opera controalele. Evaluați această legătură când comparați instrumentele individuale de programare cu un sistem complet de livrare.