เชื่อมภาระผูกพันกับหลักฐาน

เริ่มจากระบบและการใช้งานที่ตั้งใจ

“เราใช้ AI” ให้ข้อมูลไม่พอที่จะระบุภาระผูกพันทางกฎหมาย อธิบายบริการ ผู้ใช้ ข้อมูล การตัดสินใจ เขตอำนาจศาล และบทบาทองค์กร แยก AI ที่ใช้พัฒนาซอฟต์แวร์ออกจาก AI ที่ใช้ภายในผลิตภัณฑ์ที่ส่งมอบ

ตัวอย่างเช่น การใช้ผู้ช่วยเขียนโค้ดพัฒนาสูตรคำนวณตายตัวต่างจากการ deploy โมเดลประเมินผู้สมัครงาน ทั้งสองต้องมีกระบวนการพัฒนาที่เหมาะสม แต่ผลกระทบจากการใช้งานและภาระผูกพันที่ใช้บังคับอาจต่างกัน

ขอให้ผู้รับผิดชอบกฎหมายหรือ compliance ที่มีคุณสมบัติเหมาะสมประเมินการใช้บังคับ คณะกรรมาธิการยุโรปอธิบายกรอบ AI Act ที่อิงความเสี่ยง ตรวจสอบกฎหมายและแนวทางปัจจุบันสำหรับกรณีใช้งานจริง แทนการพึ่งกำหนดเวลาที่จำมา ดู กรอบ AI Act

แยกบันทึกเป็นสี่ส่วน

ภาระผูกพันระบุสิ่งที่ต้องทำให้สำเร็จ มาตรการควบคุมอธิบายวิธีที่องค์กรจัดการสิ่งนั้น หลักฐานแสดงว่าเกิดอะไรขึ้นหรือตรวจสอบอะไรแล้ว การตัดสินใจบันทึกว่าใครยอมรับข้อสรุปและภายใต้เงื่อนไขใด

พิจารณา export ข้อมูลลูกค้าสมมติ องค์กรมี policy ให้ผู้จัดการ export ระเบียนได้เฉพาะองค์กรตน บันทึกที่มีประโยชน์อาจประกอบด้วย

ตัวอย่างนี้แสดงข้อกำหนดภายใน ไม่ได้อ้างว่า test เดียวทำให้เป็นไปตามกฎหมายใดกฎหมายหนึ่ง รักษาความแตกต่างนี้ในบันทึก

ถือเอกสารที่สร้างขึ้นเป็นงานที่ต้องตรวจทาน

AI ช่วยร่างคำอธิบายการไหลของข้อมูล ระบุ field ที่ขาด หรือสรุปหลักฐานเดิมได้ แต่ก็อาจสันนิษฐานผู้รับ แต่งมาตรการควบคุม หรืออธิบาย backup ที่ไม่มีใครทดสอบ

ตรวจสอบข้อความสำคัญแต่ละข้อกับระบบ หากเอกสารระบุว่าข้อมูลเข้ารหัส ให้ระบุที่เก็บข้อมูลที่เกี่ยวข้อง วิธีจัดการ key และหลักฐาน configuration หากระบุว่ามีการทบทวนสิทธิ์เข้าถึง ให้หากระบวนการและบันทึกจริง

การประเมินผลกระทบด้านการคุ้มครองข้อมูล หรือ DPIA เกี่ยวกับการประมวลผลและผลต่อผู้คน ตาม GDPR มาตรา 35 ข้อกำหนดขึ้นอยู่กับแนวโน้มความเสี่ยงสูงและบริบทการประมวลผล การผลิตไฟล์ที่มีชื่อนี้ไม่ได้ทำให้การประเมินเสร็จ ดู GDPR มาตรา 35

ให้หลักฐานเป็นปัจจุบันและได้สัดส่วน

ผูกหลักฐานกับเวอร์ชัน สภาพแวดล้อม และวันที่ Test จาก release ก่อนหน้าอาจไม่ครอบคลุมเส้นทางตรวจสอบสิทธิ์ที่เปลี่ยน กำหนดว่าเมื่อใดการเปลี่ยนแปลงสำคัญต้องตรวจทานใหม่

เก็บสิ่งที่รองรับการตัดสินใจ หลีกเลี่ยงการเก็บระเบียนลูกค้าทั้งชุดเพียงเพื่อพิสูจน์ว่า export test รันแล้ว Test ที่ออกแบบรอบคอบใช้ข้อมูลสมมติและบันทึกผลที่จำเป็นได้

เครื่องมือ governance ที่มีประสิทธิผลเชื่อมข้อกำหนด งาน หลักฐาน และการตัดสินใจ ไม่ได้ลบความรับผิดชอบขององค์กรในการตีความภาระผูกพันหรือดำเนินมาตรการควบคุม ประเมินการเชื่อมต่อนี้เมื่อเปรียบเทียบเครื่องมือเขียนโค้ดเฉพาะตัวกับระบบส่งมอบที่ครบถ้วน