Prepojte povinnosti s dôkazmi

Začnite systémom a jeho zamýšľaným použitím

„Používame AI“ nestačí na určenie právnych povinností. Opíšte službu, používateľov, údaje, rozhodnutia, jurisdikcie a úlohu organizácie. Rozlišujte AI používanú pri vývoji softvéru od AI v dodanom produkte.

Použitie programovacieho asistenta na implementáciu pevného výpočtu sa napríklad líši od nasadenia modelu, ktorý hodnotí uchádzačov o zamestnanie. Obe použitia potrebujú vhodný vývojový proces. Ich prevádzkové účinky a uplatniteľné povinnosti sa môžu líšiť.

Požiadajte kvalifikovanú osobu zodpovednú za právne otázky alebo súlad, aby posúdila uplatniteľnosť predpisov. Európska komisia vysvetľuje rámec AI Act založený na riziku. Pre skutočný prípad použitia overte aktuálne právo a usmernenia; nespoliehajte sa na zapamätaný termín. Rámec AI Act.

Oddeľte štyri časti záznamu

Povinnosť určuje, čo treba dosiahnuť. Kontrolný mechanizmus opisuje, ako ju organizácia rieši. Dôkazy ukazujú, čo sa stalo alebo čo sa overilo. Rozhodnutie zaznamenáva, kto prijal záver a za akých podmienok.

Zvážte fiktívny export zákazníkov. Organizácia má politiku, podľa ktorej môžu manažéri exportovať záznamy iba zo svojej organizácie. Užitočný záznam môže obsahovať:

Tento príklad ukazuje internú požiadavku. Netvrdí, že jeden test spĺňa konkrétny zákon. Zachovajte toto rozlíšenie vo svojich záznamoch.

Vygenerované dokumenty považujte za prácu na kontrolu

AI môže pomôcť pripraviť opis toku údajov, nájsť chýbajúce polia alebo zhrnúť existujúce dôkazy. Môže však aj predpokladať príjemcu, vymyslieť kontrolný mechanizmus alebo opísať zálohu, ktorú nikto netestoval.

Každé podstatné tvrdenie porovnajte so systémom. Ak dokument uvádza, že údaje sú šifrované, určte príslušné úložisko, správu kľúčov a dôkazy konfigurácie. Ak uvádza, že prístup sa kontroluje, nájdite proces a jeho skutočné záznamy.

Posúdenie vplyvu na ochranu osobných údajov, alebo DPIA, sa týka spracovania a jeho vplyvu na ľudí. Podľa článku 35 GDPR závisí táto povinnosť od pravdepodobného vysokého rizika a kontextu spracovania. Vytvorenie súboru s týmto názvom posúdenie nedokončí. Článok 35 GDPR.

Udržujte dôkazy aktuálne a primerané

Dôkazy viažte na verziu, prostredie a dátum. Test zo skoršieho vydania nemusí pokrývať zmenenú autorizačnú cestu. Definujte, kedy podstatná zmena vyžaduje novú kontrolu.

Zhromažďujte to, čo podporuje rozhodnutie. Neuchovávajte celé zákaznícke záznamy iba na preukázanie spustenia testu exportu. Starostlivo navrhnutý test môže používať vymyslené údaje a zaznamenať potrebný výsledok.

Účinný governance nástroj prepája požiadavky, prácu, dôkazy a rozhodnutia. Neodstraňuje zodpovednosť organizácie za výklad povinností ani za prevádzku kontrolných mechanizmov. Toto prepojenie posudzujte pri porovnávaní jednotlivých programovacích nástrojov s úplným systémom dodávania softvéru.