የውሂብ ጥበቃ ተጽዕኖ ግምገማ (DPIA) እና ስጋት አስተዳደር

ትርፍ፡

• AI መጠቀም ዲፒአይኤ ያስፈልገዋል ወይ የሚለውን መገምገም
• ባለ ሰባት ደረጃ የDPIA ሂደትን ወደ AI ፕሮጀክት መተግበር
• በፕሮባቢሊቲ-ተፅእኖ ማትሪክስ እና የንድፍ ቅነሳ እርምጃዎችን በመጠቀም አደጋዎችን ቅድሚያ ይስጡ

አንዳንድ የ AI አጠቃቀሞች ለግለሰቦች ከባድ አደጋዎችን ያስከትላሉ፡ መጠነ ሰፊ ክትትል፣ ሚስጥራዊነት ያለው መረጃ ማቀናበር፣ አውቶማቲክ ውሳኔዎች። በእንደዚህ አይነት ፕሮጀክቶች ውስጥ ሁለቱም የKVKK/GDPR እና የአውሮፓ ህብረት AI ህግ ስራ ከመጀመሩ በፊት የተዋቀረ የአደጋ ግምገማ ይጠብቃሉ. የዚህ ግምገማ ስም የውሂብ ጥበቃ ተፅዕኖ ግምገማ (DPIA) ነው። በዚህ ክፍል ውስጥ አንድ አጠቃቀም ዲፒአይኤ የሚፈልግ ከሆነ እንዴት ማወቅ እንደምንችል፣ ባለ ሰባት ደረጃ የDPIA ሂደት እንዴት በ AI ፕሮጀክት ላይ እንደሚተገበር እና አደጋዎችን ከፕሮባቢሊቲ-ተፅእኖ ማትሪክስ ጋር እንዴት ማስቀደም እንደምንችል እንማራለን።

DPIA ምንድን ነው እና መቼ ነው የሚያስፈልገው?

የውሂብ ጥበቃ ተጽዕኖ ግምገማ (DPIA) በግለሰቦች መብቶች እና ነጻነቶች ላይ ያለውን የማስኬጃ እንቅስቃሴ ስጋቶች አስቀድሞ የሚገመግም እና የማቃለያ እርምጃዎችን የሚወስን የተዋቀረ ትንታኔ ነው። ወሳኙ ነጥብ: ዲፒአይኤ የሚከናወነው በዲዛይን ደረጃ ነው, ሂደቱ ከመጀመሩ በፊት - ችግሩ ከተከሰተ በኋላ አይደለም.

DPIA ብዙውን ጊዜ የሚጠየቀው፡-

• አዲስ ቴክኖሎጂን መጠቀም (AI ብዙ ጊዜ ይካተታል).
• የግል መረጃን መጠነ ሰፊ ሂደት።
• ስልታዊ ክትትል ወይም መገለጫ።
• ልዩ የውሂብ ሂደት.
• በሰዎች ላይ ከፍተኛ ተጽዕኖ የሚያሳድሩ አውቶማቲክ ውሳኔዎች።

ጠቃሚ ምክር፡ እርግጠኛ ካልሆኑ፣ “ማጣራት” ያድርጉ፡ ከላይ ካሉት አምስቱ ሁለቱ ወይም ከዚያ በላይ ካሉ፣ ነባሪ ዲፒአይኤ ለመስራት። ዲፒአይኤ የመሥራት ዋጋ ዝቅተኛ ነው; ይህንን ባለማድረግ ዋጋው በአንድ ጥሰት በጣም ከፍተኛ ነው.

ባለ ሰባት ደረጃ ዲፒአይኤ ሂደት

በእነዚህ ሰባት ደረጃዎች DPIAን ለአንድ AI ፕሮጀክት ተግባራዊ ያደርጋሉ፡-

ደረጃ

ምን ታደርጋለህ?

1. መግለጫ

ሂደቱን ይግለጹ-ምን ውሂብ ፣ ዓላማ ፣ ወሰን ፣ ፍሰት

2. አስፈላጊነት እና ተመጣጣኝነት

AI በእርግጥ አስፈላጊ ነው? ያነሰ ጣልቃ-ገብ መንገድ አለ?

3. የባለድርሻ አካላት አስተያየት

የሚመለከታቸውን ሰዎች/ተወካዮች አስተያየት ያግኙ

4. አደጋን መለየት

በግለሰቦች ላይ ሊደርሱ የሚችሉ ጉዳቶችን ይዘርዝሩ

5. የአደጋ ግምገማ

እያንዳንዱን አደጋ በፕሮባቢሊቲ እና በተጽእኖ ያስመዝግቡ

6. የመቀነስ እርምጃዎች

ለእያንዳንዱ አደጋ የንድፍ ጥንቃቄዎች, የተረፈውን አደጋ ይለዩ

7. ማጽደቅ እና መገምገም

ውጤቱን ይመዝግቡ ፣ ለማፅደቅ ያቅርቡ ፣ በየጊዜው ያዘምኑት።

ስጋትን ማስቀደም፡ ፕሮባቢሊቲ-ተፅእኖ ማትሪክስ

እያንዳንዱን አደጋ በሁለት አቅጣጫዎች ይገመግማሉ፡ የመከሰቱ እድል እና ከተከሰተ ተጽእኖ. የሁለቱ ጥምረት ቅድሚያ ይሰጣል.

<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>ዝቅተኛ ተጽዕኖ

መካከለኛ ውጤት

ከፍተኛ ተጽዕኖ

ከፍተኛ ዕድል

መካከለኛ

ከፍተኛ

ወሳኝ

መካከለኛ ዕድል

ዝቅተኛ

መካከለኛ

ከፍተኛ

ዝቅተኛ ዕድል

ዝቅተኛ

ዝቅተኛ

መካከለኛ

ወሳኝ እና ከፍተኛ አደጋዎች ፕሮጀክቱ ቅድመ ጥንቃቄ ሳይደረግ መቀጠል የሌለባቸው አደጋዎች ናቸው. ዓላማው ሁሉንም አደጋዎች ማስወገድ አይደለም; እያንዳንዱን አደጋ ወደ ተቀባይነት ደረጃ መቀነስ እና የቀረውን (የተረፈውን) አደጋን በንቃት መቀበል ነው።

ሶስት ጥቃቅን ጉዳዮች

ጉዳይ 1 - የተተወ DPIA። የችርቻሮ ሰንሰለት ያለ DPIA የደንበኞችን ባህሪ በመደብር ውስጥ የሚከታተል ስርዓትን ተግባራዊ ያደርጋል። ከወራት በኋላ ቅሬታ እንደሚያሳየው ስርዓቱ የተወሰኑ ግምቶችን (የጤና, የእርግዝና ትንበያ) አድርጓል. በኦዲት ውስጥ "ለምን ዲፒአይኤ አላደረክም" ለሚለው ጥያቄ ምንም መልስ የለም። ዲፒአይኤ ከመጀመሪያው ጀምሮ ይህንን አደጋ በዲዛይን ደረጃ ይይዛል እና ፕሮጀክቱን ደህንነቱ የተጠበቀ ያደርገዋል።

ጉዳይ 2 - በDPIA የታደገ ፕሮጀክት። DPIA የሚደረገው ለቅጥር ድጋፍ AI በባንክ ውስጥ ነው። በአደጋ መለያ ወቅት፣ በታሪካዊ መረጃ ምክንያት የፆታ አድሏዊነት ስጋት “ከፍተኛ” ሆኖ ተገኝቷል። ለማቃለል ቡድኑ የሥርዓተ-ፆታ መረጃን ከአምሳያው ያስወግዳል, ውጤቱን በመደበኛ አድልዎ መፈተሽ እና የሰውን ማረጋገጫ ይጠይቃል. አሁን አደጋው ወደ "መካከለኛ" ይወርዳል እና ፕሮጀክቱ ተቀባይነት ይኖረዋል. ዲፒአይኤ ፕሮጀክቱን ከመግደል ይልቅ ደህንነቱ የተጠበቀ ያደርገዋል።

ጉዳይ 3 - ተመጣጣኝነት ፈተና. አንድ ኩባንያ የሰራተኛ ኢሜይሎችን ለ "ታማኝነት ትንተና" ከ AI ጋር መፈተሽ ይፈልጋል. በዲፒአይኤ አስፈላጊነት/ተመጣጣኝ ደረጃ ይህ ከዓላማው አንፃር ከመጠን በላይ ጣልቃ የሚገባ ሆኖ ተገኝቷል። ያነሱ ጣልቃ-ገብ አማራጮች አሉ። ፕሮጀክቱ አሁን ባለው መልኩ ተቀባይነት አላገኘም። የተመጣጠነነት ፈተናው “እንችላለን” እና “አለብን” መካከል ይለያል።

ትኩረት፡ DPIA አንድ ጊዜ ተሞልቶ ወደ ጎን የተቀመጠ ቅጽ አይደለም። ለውጦችን ሲያካሂዱ (አዲስ ውሂብ፣ አዲስ ዓላማ፣ አዲስ መሳሪያ) DPIA መዘመን አለበት። የሞተ ዲፒአይኤ ከምንም በላይ አሳሳች ነው ምክንያቱም የውሸት መተማመንን ይሰጣል።

ዲፒአይኤ ማን ያደርጋል እና አደጋን ከDPIA ጋር ግንኙነት ይመዘግባል

አንድ ሰው ዲፒአይኤውን በጠረጴዛቸው መሙላት አይችልም። ትክክለኛው ዲፒአይኤ የቡድን ጥረት ነው። በተለምዶ የውሂብ ጥበቃ ኦፊሰሩ ሂደቱን ያካሂዳል (አድራጊው) ፣ የታዛዥነት አስተዳዳሪው በመጨረሻ ተጠያቂ ነው (ተጠያቂ) ፣ የሚመለከተው የንግድ ክፍል ሂደቱን ይገልፃል ፣ IT / የደህንነት ቴክኒካዊ እርምጃዎችን ይገመግማል እና ህጋዊ መሰረቱን ያረጋግጣል። የሚመለከታቸውን ሰዎች አስተያየት ማግኘት (ሦስተኛ ደረጃ) ችላ ሊባል አይገባም; ሆኖም ይህ በተግባር በጣም የተዘለለ ደረጃ ነው።

የ DPIA ውጤት በቫኩም ውስጥ አይቀመጥም: ተለይተው የሚታወቁ አደጋዎች በድርጅቱ የአደጋ መዝገብ ውስጥ ይመዘገባሉ. የአደጋ መዝገብ ሁሉንም ክፍት ስጋቶች፣ ቅድሚያ የሚሰጧቸውን ጉዳዮች፣ ማቃለያዎች፣ ወንጀለኞች እና የመጨረሻ የግምገማ ቀናትን የሚይዝ የቀጥታ ገበታ ነው። በዚህ መንገድ የ AI ፕሮጀክት ስጋቶች ከድርጅቱ አጠቃላይ የአደጋ አስተዳደር ጋር አንድ አይነት ቋንቋ ይናገራሉ እና በየጊዜው ቁጥጥር ይደረግባቸዋል።

የአደጋ መመዝገቢያ ቦታ

ምሳሌ

የአደጋ ትርጉም

የሥርዓተ-ፆታ አድልዎ በምልመላ AI

ቅድሚያ የሚሰጡዋቸውን

ከፍተኛ

የመቀነስ መለኪያ

ተተኪ ተለዋዋጭ የማውጣት + አድሏዊ ሙከራ

ተጠያቂ

የውሂብ ጥበቃ ኦፊሰር

ግምገማ

በየ 3 ወሩ

ጠቃሚ ምክር፡- ዲፒአይኤን በ“አደጋ ሎግ እና ትራክ” አስተሳሰብ ይያዙት እንጂ “የተሰራ እና የረሳ” አካሄድ አይደለም። የአደጋ ቅነሳ ተተግብሯል፣ ቀሪው አደጋ ተቀባይነት ባለው ደረጃ ነው - እነዚህን ያለ መዝገብ መያዝ፣ DPIA የመስኮት ሰነድ ይሆናል።

ሊገለበጡ የሚችሉ አብነቶች

አብነት 1 - ዲፒአይኤ ቅድመ ምርመራ፡ "ለዚህ AI አጠቃቀም ዲፒአይኤ ያስፈልጋል? [አጠቃቀሙን ይግለጹ] ከአምስት ቀስቅሴዎች ጋር ይገምግሙ፡ አዲስ ቴክኖሎጂ፣ መጠነ ሰፊ ሂደት፣ ስልታዊ ክትትል፣ ሚስጥራዊነት ያለው መረጃ፣ ጉልህ የሆነ አውቶማቲክ ውሳኔ አሰጣጥ። ምን ያህል ቀስቅሴዎች አሉ፣ ዲፒአይኤን ከጽድቅ ጋር ትመክራለህ።

አብነት 2 - የአደጋ መታወቂያ የአእምሮ ማጎልበት፡ "በዚህ AI ፕሮጀክት ውስጥ በሰዎች ላይ ሊደርሱ የሚችሉ ጉዳቶችን ዘርዝሩ [ፕሮጀክቱን ይግለጹ]፡ የመረጃ መፍሰስ፣ መድልዎ፣ የተሳሳተ ፍርድ፣ የግላዊነት ወረራ፣ ግልጽነት ማጣት፣ የዓላማ መንቀጥቀጥ። ለእያንዳንዱ ጉዳት የአንድ ዓረፍተ ነገር ሁኔታ ይፃፉ። ብቻ ይወቁ፣ ነገር ግን ምላሽ አይስጡ።

አብነት 3 — የመቻል-ተፅእኖ ውጤት፡ "የሚከተለትን ስጋቶች [የዝርዝር ስጋቶች] እንደ እድል (ዝቅተኛ/መካከለኛ/ከፍተኛ) እና ተፅእኖ (ዝቅተኛ/መካከለኛ/ከፍተኛ)፤ ቅድሚያ (ዝቅተኛ/መካከለኛ/ከፍተኛ/ወሳኝ) በእያንዳንዱ ረድፍ ላይ ይታያል። ወሳኝ እና ከፍተኛ ከላይ ይዘርዝሩ። በሠንጠረዥ ቅርጸት ያቅርቡ።"

አብነት 4 - የመቀነስ ንድፍ: "ለሚከተለው አደጋ (አደጋውን ይፃፉ), ቢያንስ 3 የመቀነስ እርምጃዎችን (ቴክኒካል, ሂደት, ድርጅታዊ) ያቅርቡ. ከእያንዳንዱ መለኪያ በኋላ "የተረፈውን አደጋ" ደረጃ ይገምቱ. ከመለኪያው በኋላ አደጋው አሁንም ከፍተኛ ከሆነ, ፕሮጀክቱ እንደገና እንዲቀረጽ ያመልክቱ. "

ደካማ ጥያቄ / ጠንካራ ጥያቄ

ደካማ: "ይህ AI ፕሮጀክት አደገኛ ነው?"-> ሞዴሉ ግልጽ ያልሆነ 'ምናልባት' መልስ ይሰጣል; አደጋዎችን አይመድብም፣ አደጋዎችን አያስቀድምም፣ እርምጃዎችን አያመጣም።ኃይሉ፡ "ለሚከተለው AI ፕሮጀክት ሚኒ ዲፒአይኤ ያካሂዱ፡ (1) ሂደቱን ይግለጹ፣ (2) የዲፒአይኤ ፍላጎት በ 5 ቀስቅሴዎች መገምገም፣ (3) ዝርዝር 6 በሰዎች ላይ ሊደርስ የሚችለውን ጉዳት፣ (4) እያንዳንዱን በአቅም-ተፅእኖ፣(5) ህጋዊ ውሳኔን የሚቀንስ ወሳኝ/ከፍተኛ አደጋን ያቀርባል። ማጽደቅ።"-> ሞዴሉ የተዋቀረ፣ ሊተገበር የሚችል ዲፒአይኤ ረቂቅ ያወጣል።

የተለመዱ ስህተቶች

• ግብይቱ ከተጀመረ በኋላ (ወይም ችግሩ ከተከሰተ በኋላም ቢሆን) DPIA ን ማድረግ።
• DPIA የሚያስፈልገው ከፍተኛ አደጋን እንደ “ትልቅ ጉዳይ” መዝለል።
• አደጋዎችን አለመዘርዘር እና በፕሮባቢሊቲ እና ተጽዕኖ ቅድሚያ መስጠት።
• ለእያንዳንዱ አደጋ እርምጃዎችን ሳያደርጉ ዲፒአይኤ "ሙሉ" ን ከግምት ውስጥ ማስገባት።
• የአስፈላጊነት/ተመጣጣኝ ደረጃን በመዝለል "እኛ ማድረግ ስለምንችል እናድርገው" ማለት ነው።
• ዲፒአይኤውን አንድ ጊዜ መሙላት እና ሂደቱ ሲቀየር አለማዘመን።
• የቀረውን (የቀረውን) አደጋ በግልፅ ሳይመዘገብ ፕሮጀክቱን ማፅደቅ.

በማጠቃለያው

• DPIA ከፍተኛ ስጋት ያለበት ሂደት ከመጀመሩ በፊት በግለሰቦች ላይ ያለውን ተጽእኖ የሚገመግም የተዋቀረ ትንታኔ ነው።
• አዲስ ቴክኖሎጂ፣ መጠነ ሰፊ ሂደት፣ ስልታዊ ክትትል፣ ሚስጥራዊነት ያለው መረጃ ወይም ጉልህ የሆነ አውቶማቲክ ውሳኔ ካለ DPIA ያስፈልጋል።
• ሂደቱ ሰባት ደረጃዎችን ያቀፈ ነው፡ መለየት፣ አስፈላጊነት/ተመጣጣኝነት፣ የባለድርሻ አካላት አስተያየት፣ የአደጋ መለየት፣ ግምገማ፣ እርምጃ፣ ማፅደቅ/መገምገም።
• አደጋዎች በፕሮባቢሊቲ-ተፅእኖ ማትሪክስ ቅድሚያ ይሰጣሉ; ወሳኝ/ከፍተኛ አደጋዎች ያለ ቅድመ ጥንቃቄ ተቀባይነት የላቸውም።
• DPIA ፕሮጀክቱን አይገድልም, ደህንነቱ የተጠበቀ ያደርገዋል; ሂደት ሲቀየር መዘመን ያለበት ሕያው ሰነድ ነው።

የመተግበሪያ ተግባር

ድርጅትዎ ከፍተኛ ስጋት ያለው (ለምሳሌ የመመልመያ ድጋፍ፣ የባህሪ ክትትል ወይም የብድር ውጤት) ሊጠቀም የሚችለውን የ AI አጠቃቀም ይምረጡ። በመጀመሪያ ዲፒአይኤ ከአምስት ቀስቅሴዎች ጋር አስፈላጊ ስለመሆኑ ያስቡ። ከዚያ ለዚህ አገልግሎት ሚኒ ዲፒአይኤ ያካሂዱ፡ ሂደቱን ይግለጹ፣ በግለሰቦች ላይ ቢያንስ ስድስት ሊደርሱ የሚችሉ ጉዳቶችን ዘርዝሩ፣ እያንዳንዱን በተፅዕኖ-ተፅእኖ ማትሪክስ ላይ ያስመዝግቡ እና ቅድሚያ ይስጡ። ለሁለት ወሳኝ እና ከፍተኛ አደጋዎች ሶስት የመቀነሻ እርምጃዎችን ይንደፉ እና ከመለኪያው በኋላ የቀረውን የአደጋ ደረጃ ይገምቱ። በመጨረሻም፣ ይህ ዲፒአይኤ መቼ መዘመን እንዳለበት ልብ ይበሉ።

የማረጋገጫ ዝርዝር

• [] የDPIA መስፈርትን በአምስት ቀስቅሴዎች ገምግሜዋለሁ።
• [] ሂደቱን ገለጽኩት (መረጃ፣ ዓላማ፣ ወሰን፣ ፍሰት)።
• [ ] አስፈላጊነትን እና ተመጣጣኝነትን ጠየቅኩ።
• [ ] በግለሰቦች ላይ ሊደርሱ የሚችሉ ጉዳቶችን ዘርዝሬያለሁ።
• [ ] በፕሮባቢሊቲ-ተፅእኖ ማትሪክስ ውስጥ ያሉትን አደጋዎች ቅድሚያ ሰጥቻለሁ።
• [] ለወሳኝ/ከፍተኛ አደጋዎች የመቀነስ እርምጃዎችን ነድፌአለሁ።
• [ ] አሁን አደጋውን መዝግቤ የግምገማ ሁኔታዎችን አዘጋጅቻለሁ።