Свяжите обязательства с подтверждающими материалами

Начните с системы и её назначения

Фразы «мы используем AI» недостаточно для определения правовых обязательств. Опишите сервис, пользователей, данные, решения, юрисдикции и роль организации. Различайте AI для разработки программы и AI внутри поставляемого продукта.

Например, применение помощника для реализации фиксированного расчёта отличается от развёртывания модели, которая оценивает кандидатов на работу. В обоих случаях нужен подходящий процесс разработки. Однако последствия эксплуатации и применимые обязательства могут различаться.

Поручите квалифицированному специалисту по праву или compliance оценить применимость требований. Европейская комиссия объясняет подход AI Act, основанный на риске. Проверяйте действующее законодательство и рекомендации для конкретного применения. Не полагайтесь на сроки, которые помните по прежним материалам. Подход AI Act.

Разделите запись на четыре части

Обязательство определяет, что должно быть достигнуто. Мера контроля описывает, как организация выполняет это обязательство. Подтверждающие материалы показывают, что произошло или что было проверено. Решение фиксирует, кто принял вывод и на каких условиях.

Рассмотрим вымышленный экспорт клиентов. В организации действует политика: менеджер может экспортировать записи только своей организации. Полезная запись может содержать:

Этот пример показывает внутреннее требование. Он не утверждает, что один тест обеспечивает соблюдение конкретного закона. Сохраняйте это различие в записях.

Считайте созданные документы материалами для проверки

AI может помочь составить описание потоков данных, найти незаполненные поля или обобщить имеющиеся подтверждающие материалы. Он также может предположить получателя данных, придумать меру контроля или описать резервную копию, которую никто не проверял.

Сверяйте каждое существенное утверждение с системой. Если документ говорит о шифровании данных, определите соответствующее хранилище, порядок работы с ключами и подтверждающую конфигурацию. Если он говорит о проверке прав доступа, найдите процесс и реальные записи его выполнения.

Оценка воздействия на защиту данных, или DPIA, касается обработки и её последствий для людей. По статье 35 GDPR необходимость оценки зависит от вероятного высокого риска и контекста обработки. Создание файла с таким названием не завершает оценку. Статья 35 GDPR.

Поддерживайте актуальность и соразмерность свидетельств

Привязывайте подтверждающие материалы к версии, среде и дате. Тест из предыдущего релиза может не охватывать изменённый путь авторизации. Определите, когда существенное изменение требует повторного review.

Собирайте то, что обосновывает решение. Не храните полные записи клиентов только для доказательства того, что тест экспорта был выполнен. Продуманный тест может использовать вымышленные данные и фиксировать нужный результат.

Эффективный governance-инструмент связывает требования, работу, подтверждающие материалы и решения. Он не снимает с организации ответственность за толкование обязательств и работу мер контроля. Оценивайте эту связь, когда сравниваете отдельные инструменты для написания кода с полной системой поставки.