Пов’язуйте зобов’язання з доказами

Почніть із системи та її запланованого використання

«Ми використовуємо ШІ» — недостатня інформація для визначення правових зобов’язань. Опишіть сервіс, користувачів, дані, рішення, юрисдикції та роль організації. Відрізняйте ШІ для розробки програмного забезпечення від ШІ всередині готового продукту.

Наприклад, використання асистента програмування для реалізації фіксованого розрахунку відрізняється від розгортання моделі, що оцінює кандидатів на роботу. Обидва випадки потребують відповідного процесу розробки. Їхні операційні наслідки й застосовні зобов’язання можуть відрізнятися.

Попросіть кваліфікованого відповідального за правові питання або відповідність оцінити застосовність. Європейська комісія пояснює підхід AI Act на основі ризику. Перевіряйте актуальне законодавство й рекомендації для фактичного використання, а не покладайтеся на дату, яку пам’ятаєте. Засади AI Act.

Відокремлюйте чотири частини запису

Зобов’язання визначає, чого потрібно досягти. Засіб контролю описує, як організація його виконує. Докази показують, що відбулося або що було перевірено. Рішення фіксує, хто прийняв висновок і за яких умов.

Розгляньмо вигаданий експорт даних клієнтів. Організація має політику, за якою менеджери можуть експортувати записи лише власної організації. Корисний запис може містити:

Цей приклад ілюструє внутрішню вимогу. Він не стверджує, що один тест задовольняє конкретний закон. Зберігайте цю різницю у своїх записах.

Сприймайте згенеровані документи як роботу для перегляду

ШІ може допомогти підготувати опис потоку даних, виявити відсутні поля або підсумувати наявні докази. Він також може припустити одержувача, вигадати засіб контролю або описати резервну копію, якої ніхто не перевіряв.

Звіряйте кожне суттєве твердження із системою. Якщо документ каже, що дані зашифровані, визначте відповідне сховище, організацію ключів і докази конфігурації. Якщо він каже, що доступ переглядають, знайдіть процес і фактичні записи.

Оцінка впливу на захист даних, або DPIA, стосується обробки та її впливу на людей. За статтею 35 GDPR вимога залежить від імовірного високого ризику та контексту обробки. Створення файлу з такою назвою не завершує оцінювання. Стаття 35 GDPR.

Зберігайте докази актуальними та пропорційними

Прив’язуйте докази до версії, середовища й дати. Тест попереднього випуску може не охоплювати змінений шлях авторизації. Визначте, коли суттєва зміна потребує нового перегляду.

Збирайте те, що підтримує рішення. Не зберігайте повні клієнтські записи лише для доказу запуску тесту експорту. Ретельно спроєктований тест може використовувати вигадані дані та записувати необхідний результат.

Ефективний інструмент governance пов’язує вимоги, роботу, докази й рішення. Він не знімає з організації відповідальності за тлумачення зобов’язань чи застосування засобів контролю. Оцінюйте цей зв’язок під час порівняння окремих інструментів програмування з повною системою доставки.