Liên kết nghĩa vụ với bằng chứng

Bắt đầu từ hệ thống và mục đích sử dụng

“Chúng tôi dùng AI” chưa đủ thông tin để xác định nghĩa vụ pháp lý. Mô tả dịch vụ, người dùng, dữ liệu, quyết định, khu vực pháp lý và vai trò của tổ chức. Phân biệt AI dùng để phát triển phần mềm với AI nằm trong sản phẩm được bàn giao.

Ví dụ, dùng trợ lý lập trình để viết một phép tính cố định khác với triển khai mô hình đánh giá ứng viên tuyển dụng. Cả hai đều cần quy trình phát triển phù hợp. Tác động khi vận hành và nghĩa vụ áp dụng có thể khác nhau.

Yêu cầu người phụ trách pháp lý hoặc tuân thủ có chuyên môn đánh giá phạm vi áp dụng. Ủy ban châu Âu giải thích khuôn khổ dựa trên rủi ro của AI Act. Kiểm tra luật và hướng dẫn hiện hành cho trường hợp sử dụng thực tế, thay vì dựa vào thời hạn nhớ được. Khuôn khổ AI Act.

Tách bốn phần của hồ sơ

Nghĩa vụ nêu điều phải đạt được. Biện pháp kiểm soát mô tả cách tổ chức đáp ứng nghĩa vụ. Bằng chứng cho thấy điều đã xảy ra hoặc đã được kiểm chứng. Quyết định ghi ai chấp nhận kết luận và với điều kiện nào.

Xét chức năng xuất dữ liệu khách hàng giả định. Tổ chức có chính sách chỉ cho người quản lý xuất bản ghi thuộc tổ chức của họ. Hồ sơ hữu ích có thể gồm:

Ví dụ này minh họa yêu cầu nội bộ. Nó không khẳng định rằng một test đáp ứng một luật cụ thể. Giữ rõ sự phân biệt này trong hồ sơ.

Coi tài liệu được tạo là công việc cần review

AI có thể hỗ trợ soạn mô tả luồng dữ liệu, tìm trường còn thiếu hoặc tóm tắt bằng chứng hiện có. AI cũng có thể tự giả định bên nhận, bịa ra biện pháp kiểm soát hoặc mô tả bản sao lưu mà chưa ai thử.

Đối chiếu từng tuyên bố quan trọng với hệ thống. Nếu tài liệu nói dữ liệu được mã hóa, hãy xác định kho liên quan, cách quản lý khóa và bằng chứng cấu hình. Nếu tài liệu nói quyền truy cập được review, hãy tìm quy trình và hồ sơ thực tế.

Đánh giá tác động bảo vệ dữ liệu, hay DPIA, xét hoạt động xử lý và ảnh hưởng tới con người. Theo Điều 35 của GDPR, yêu cầu phụ thuộc vào khả năng có rủi ro cao và bối cảnh xử lý. Tạo tệp mang tiêu đề này không hoàn tất việc đánh giá. Điều 35 của GDPR.

Giữ bằng chứng cập nhật và tương xứng

Gắn bằng chứng với phiên bản, môi trường và ngày. Test từ bản phát hành trước có thể không bao phủ luồng phân quyền đã thay đổi. Xác định khi nào thay đổi quan trọng đòi hỏi review lại.

Thu thập những gì hỗ trợ quyết định. Tránh giữ toàn bộ bản ghi khách hàng chỉ để chứng minh test xuất dữ liệu đã chạy. Test được thiết kế cẩn thận có thể dùng dữ liệu giả định và ghi kết quả cần thiết.

Công cụ governance hiệu quả kết nối yêu cầu, công việc, bằng chứng và quyết định. Nó không loại bỏ trách nhiệm của tổ chức trong việc diễn giải nghĩa vụ hay vận hành biện pháp kiểm soát. Đánh giá sự kết nối đó khi so sánh công cụ lập trình riêng lẻ với hệ thống bàn giao hoàn chỉnh.