Печалби:
- Приложете критерии за оценка, преди да закупите AI инструмент
- Разпознаване на елементите, които трябва да се търсят в споразумението за обработка на данни (DPA) и модела на картата
- Създайте списък с одобрени превозни средства и оценка на риска на доставчика
Какво правите, когато бизнес звено дойде на вратата ви и каже „искаме да използваме този нов AI инструмент, ще бъде много полезен“? Казването „няма начин“ подхранва изкуствения интелект в сянка; Казването на „добре“ създава неконтролиран риск. Правилният отговор е да стартирате процес на оценка на автомобила. В този раздел ще научим какви въпроси да зададем, преди да закупим/сертифицираме превозно средство с изкуствен интелект, какво да търсим в споразумение за обработка на данни (DPA) и модел на карта и как да дестилираме всичко това в списък с одобрени превозни средства и оценка на риска на доставчика.
Защо е необходима оценката?
Всеки AI инструмент е процесор за данни: той обработва данните на организацията. Одобряването на грешен инструмент означава предаване на личните данни на организацията на трета страна (и често в чужбина) по неконтролиран начин. Основни въпроси, на които трябва да отговорите, преди да одобрите инструмент:
- Къде обработва и съхранява данни (в коя държава)?
- Използва ли нашите данни в обучението на модели? Може ли да се изключи (отказ)?
- Предлага ли споразумение за обработка на данни (DPA)?
- Има ли сертификати за сигурност (напр. ISO 27001)?
- Колко дълго се съхранява историята на чатовете и може ли да се изтрие?
- Има ли ангажимент да ни уведомите, ако има пробив в сигурността?
Споразумение за обработка на данни (DPA)
Споразумението за обработка на данни (DPA) е договор, подписан между администратора на данни (институция) и обработващия данни (доставчик на AI), който определя как ще бъдат обработвани данните. KVKK и GDPR до голяма степен налагат това. Елементи, които да търсите в DPA:
материя
Какво трябва да осигури?
Обхват и цел на обработката
Нека доставчикът работи само по наши инструкции
Подпроцесори
На кого се прехвърля? Уведомява ли се предварително?
Осигуряване на трансфер
Стандартни договорни клаузи или еквивалент
Мерки за сигурност
Криптиране, контрол на достъпа, ISO 27001
Известие за нарушение
Уведомяване в определен срок при нарушение
Изтриване/връщане
Ангажимент за изтриване/връщане на данни в края на договора
Право на одит
Възможност за одит на доставчика или получаване на отчети
Внимание: Повечето „безплатни“ и „индивидуални“ планове за AI не предлагат DPA и може да използват данни за обучение на модели. За корпоративна употреба трябва да се предпочитат корпоративни/бизнес планове, които предлагат DPA и гарантират отказ от обучение. Безплатният план често е планът, при който данните се „плащат“.
Модел карта и прозрачност
Картата на модела е документ, който обяснява за какво е предназначен AI модел, с какви данни се обучава, неговите ограничения и известни рискове. Един добър доставчик споделя това. Неща, които трябва да търсите в картата на модела: предназначение на модела, известни ограничения и рискове от пристрастия, непрепоръчителни употреби и бележки за производителност/сигурност. Ако картата на модела липсва или е много неясна, това само по себе си е предупредителен знак.
три мини калъфа
Случай 1 — Цена на безплатния план. Счетоводен екип започва да обработва финансовите данни на клиентите с безплатен AI инструмент. Инструментът не предлага DPA и заявява в условията си, че може да използва данните за обучение на модели. Служителят по съответствието забелязва това и забранява инструмента, като одобрява корпоративна алтернатива, която предлага DPA. Разлика: няколкостотин TL на месец за лиценз и т.н. Възможни глоби от милиони лири.
Случай 2 — Изненада на подпроцесора. Една компания открива при одит месеци по-късно, че одобреният от нея AI инструмент е прехвърлил данни към подпроцесори в три различни държави. Тъй като в DPA няма клауза „подобработващите трябва да бъдат уведомени предварително“, компанията не е знаела за това. Урок: Клауза в DPA, която прави веригата на подпроцесора видима, е задължителна.
Случай 3 — Решение чрез точкуване. Една организация създава таблица с оценка на риска на доставчика с 8 критерия, за да сравни три AI инструмента (DPA, местоположение на данни, отказ от обучение, ISO 27001, известие за нарушение, изтриване, карта с шаблони, цена). Резултатът от оценката подчертава инструмента, който не е най-популярният, но най-съвместимият. Решението се основава на документиран резултат, а не на субективно „Хареса ми“.
Съвет: Управлявайте списъка с одобрени превозни средства като „бял списък“: разрешавайте само превозни средства, които са в списъка. Черният списък трябва да се актуализира с всеки нов инструмент и винаги е една крачка назад; белият списък е защитен по подразбиране.
Изход и риск от пристрастяване
Въпросът, който повечето агенции пропускат, когато одобряват превозно средство, е: „Какво ще се случи, ако искаме да излезем от това превозно средство?“ Добрата оценка взема предвид както изхода, така и влизането. Открояват се два риска. Първият е преносимостта на данните: когато напуснете доставчика, можете ли да получите вашите данни и конфигурация обратно в стандартен формат или данните са заключени в доставчика? Второто е блокиране на доставчика: бизнес процесите могат да бъдат толкова обвързани с един инструмент, че разходите за излизане да станат непоносими, когато доставчикът увеличи цените или наруши услугата.
Ето защо е добра практика да добавите и ред „план за излизане“ към записа за потвърждение: как да върнем данните обратно, какъв е алтернативният инструмент, колко време отнема преходът. Дори един ден доставчикът да спре услугата, организацията ще бъде подготвена.
Внимание: Само защото едно превозно средство е популярно или евтино, не означава, че е устойчиво. Малките доставчици могат да затворят, да бъдат придобити или внезапно да променят своите политики. Преди да свържете критичен процес към един инструмент, помислете за изходния сценарий.
Копируеми шаблони
ШАБЛОН 1 — Набор от въпроси за оценка на доставчика: „Подгответе въпроси за оценка, които да зададете на доставчика, преди да одобрите нов инструмент за изкуствен интелект. Включете: местоположение на данните, използване и отказ от обучение на модели, присъствие на DPA, сертификати за сигурност, период на задържане, известие за нарушение, подпроцесори, ангажимент за изтриване. Включете очаквания „сигурен“ отговор на всеки въпрос.“
ШАБЛОН 2 — Контролен списък за клауза DPA: „Проверете черновата на DPA по-долу [поставете текст] за следните клаузи: обхват на обработка, подпроцесори, осигуряване на трансфер, мерки за сигурност, период на уведомяване за нарушение, изтриване/връщане, право на одит. Маркирайте „присъстващо / липсващо / несигурно“ за всяка клауза. Напомнете, че се изисква законово одобрение; не правете окончателни преценки.“
ШАБЛОН 3 — Табло за риск на доставчика: „Настройте табло за риск с 8 критерия, за да сравнявате 3 AI инструмента: DPA, местоположение на данни, отказ от обучение, ISO 27001, известие за нарушение, изтриване, карта с шаблони, цена. Нека всеки критерий да бъде 0-3 точки, добавете обща стойност и колона с препоръки. Дайте празен шаблон, аз ще го попълня.“
ШАБЛОН 4 — Запис в списъка с одобрени инструменти: „Изготвяне на нов запис в списъка с одобрени инструменти за изкуствен интелект: име на инструмента, одобрено предназначение, кои класове данни са разрешени (публични/вътрешни/поверителни), забранени типове данни, отговорно звено, дата на одобрение, дата на преглед. Във формат на запис от един ред.“
Слаба подкана / Силна подкана
СЛАБ: „Този AI инструмент безопасен ли е?“-> Повтаря маркетинговото обещание на моделния инструмент; Той не оценява конкретни критерии като DPA, местоположение на данните, използване на обучение. СИЛНО: „Ще оценя този AI инструмент за корпоративна употреба. Каква информация трябва да поискам от доставчика въз основа на следните 8 критерия (DPA, местоположение на данните, отказ от обучение, ISO 27001, известие за нарушение, съхранение, подпроцесор, моделна карта) и какъв трябва да бъде „приемливият“ праг за всеки критерий? Дайте във формат на контролен лист.“ -> Моделът създава конкретна, проверима рамка за оценка.
Често срещани грешки
- Използване на безплатни/индивидуални планове с корпоративни данни; Не осъзнавайки, че няма DPA и отказ.
- Одобряване на инструмента въз основа на маркетингови обещания, без искане за местоположение на данните и образователна употреба.
- Споделяне на данни без подписване на DPA или проверка на клаузата за подпроцесор.
- Одобряване на превозно средство с карта без/несигурен модел без въпроси.
- Поддържане на забранителен списък вместо бял списък и оставане с всяко ново превозно средство.
- Без повторно преразглеждане на превозното средство след одобрение (промяна на условията).
- Базиране на избора на доставчик на субективни предпочитания, а не на подлежащ на удостоверяване резултат.
В обобщение
- Всеки AI инструмент е процесор за данни; Систематичната оценка е от съществено значение преди одобрението.
- Договорът за обработка на данни (DPA) е основният документ, който обвързва данните; Той трябва да включва клаузи за обхват, подпроцесор, сигурност, нарушение и изтриване.
- Безплатните/индивидуални планове често не предлагат DPA и използват данни за обучение; Предпочитат се корпоративните планове.
- Картата на модела показва лимитите и рисковете на модела; Липсата му е предупредителен знак.
- Одобрените инструменти трябва да се управляват като бял списък, а доставчиците трябва да се управляват с документиран рисков рейтинг.
Задача за приложение
Изберете три истински AI инструмента, които вашата организация може да иска да използва. Настройте таблица с оценка на риска на доставчика с осем критерия (DPA, местоположение на данните, отказ от обучение, сертификат за сигурност, известие за нарушение, задържане, карта на модела, цена) и оценете всяко превозно средство от 0-3 въз основа на тези критерии. След това напишете запис в списъка с одобрени превозни средства за превозното средство с най-висок резултат: одобрено предназначение, разрешени класове данни, забранени типове данни, отговорен субект и дата на преглед. И накрая, отбележете пет елемента, които със сигурност ще искате да видите в DPA на превозно средство и защо всеки е важен.
контролен списък
- [ ] Зададох въпроси за оценка, преди да одобря инструмента.
- [ ] Изясних местоположението на данните и случая на използване в обучението по модела.
- [ ] Проверих съществуването на DPA и неговите критични елементи.
- [ ] Разгледах модела на картата; Видях границите и рисковете.
- [ ] Оцених доставчика с документиран рисков резултат.
- [ ] Добавих инструмента към белия списък с разрешени класове данни.
- [ ] Зададох дата за преглед.