Koppla skyldigheter till underlag

Börja med systemet och dess avsedda användning

”Vi använder AI” räcker inte för att avgöra juridiska skyldigheter. Beskriv tjänst, användare, data, beslut, jurisdiktioner och organisationens roll. Skilj AI för programvaruutveckling från AI i den levererade produkten.

Att använda en kodassistent för en fast beräkning skiljer sig exempelvis från att driftsätta en modell som bedömer arbetssökande. Båda behöver en lämplig utvecklingsprocess. Driftseffekter och tillämpliga skyldigheter kan skilja sig.

Be en kvalificerad juridik- eller complianceansvarig bedöma tillämpligheten. EU-kommissionen förklarar AI-förordningens riskbaserade ramverk. Kontrollera aktuell lag och vägledning för det faktiska användningsfallet i stället för att lita på ett ihågkommet datum. AI-förordningens ramverk.

Skilj fyra delar av underlaget åt

En skyldighet anger vad som måste uppnås. En kontroll beskriver hur organisationen hanterar den. Underlag visar vad som hände eller verifierades. Ett beslut registrerar vem som accepterade slutsatsen och under vilka villkor.

Tänk dig en fiktiv kundexport. Organisationens policy säger att chefer bara får exportera den egna organisationens poster. Ett användbart underlag kan innehålla:

Exemplet illustrerar ett internt krav. Det påstår inte att ett test uppfyller en viss lag. Behåll skillnaden i dokumentationen.

Behandla genererade dokument som arbete att granska

AI kan hjälpa att skriva ett dataflödesutkast, hitta saknade fält eller sammanfatta befintligt underlag. Den kan också anta en mottagare, hitta på en kontroll eller beskriva en säkerhetskopia som ingen testat.

Kontrollera varje väsentligt påstående mot systemet. Om ett dokument säger att data är krypterade ska du identifiera relevant lagring, nyckelhantering och konfigurationsunderlag. Om det säger att åtkomst granskas ska du hitta processen och dess faktiska dokumentation.

En konsekvensbedömning avseende dataskydd, eller DPIA, gäller behandlingen och dess effekter på människor. Enligt GDPR artikel 35 beror kravet på sannolik hög risk och behandlingens sammanhang. Att skapa en fil med rubriken slutför inte bedömningen. GDPR artikel 35.

Håll underlaget aktuellt och proportionerligt

Knyt underlag till version, miljö och datum. Ett test från en tidigare release kanske inte täcker en ändrad auktoriseringsväg. Definiera när en väsentlig ändring kräver förnyad granskning.

Samla det som stöder beslutet. Undvik att spara fullständiga kundposter bara för att visa att ett exporttest kördes. Ett genomtänkt test kan använda fiktiva data och registrera nödvändigt resultat.

Ett effektivt governance-verktyg kopplar ihop krav, arbete, underlag och beslut. Det tar inte bort organisationens ansvar att tolka skyldigheter eller driva kontroller. Bedöm kopplingen när du jämför enskilda kodverktyg med ett komplett leveranssystem.