zisky:
- Před zakoupením nástroje AI použijte hodnotící kritéria
- Rozpoznání položek, které je třeba hledat ve smlouvě o zpracování dat (DPA) a vzorové kartě
- Vytvořte seznam schválených vozidel a hodnocení rizik prodejce
Co uděláte, když k vašim dveřím přijde obchodní jednotka a řekne „chceme použít ten nový nástroj AI, bude velmi užitečný“? Říct „v žádném případě“ krmí stínovou AI; Říci "ok" otevírá nekontrolované riziko. Správná odpověď je spustit proces hodnocení vozidla. V této lekci se naučíme, jaké otázky si položit před nákupem/certifikací vozidla s umělou inteligencí, co hledat ve smlouvě o zpracování dat (DPA) a modelové kartě a jak to vše zařadit do schváleného seznamu vozidel a skóre rizika dodavatele.
Proč je hodnocení nutné?
Každý nástroj AI je zpracovatelem dat: zpracovává data organizace. Schválení špatného nástroje znamená nekontrolované předání osobních údajů organizace třetí straně (a často i do zahraničí). Základní otázky, na které je třeba před schválením nástroje odpovědět:
- Kde zpracovává a ukládá data (ve které zemi)?
- Využívá naše data při modelovém tréninku? Dá se to vypnout (opt-out)?
- Nabízí smlouvu o zpracování údajů (DPA)?
- Existují bezpečnostní certifikace (např. ISO 27001)?
- Jak dlouho se uchovává historie chatu a lze ji smazat?
- Existuje závazek upozornit nás, pokud dojde k narušení bezpečnosti?
Smlouva o zpracování údajů (DPA)
Dohoda o zpracování údajů (DPA) je smlouva podepsaná mezi správcem údajů (institucí) a zpracovatelem údajů (poskytovatelem AI), která specifikuje, jak budou údaje zpracovávány. KVKK a GDPR to z velké části nařizují. Položky, které je třeba hledat v DPA:
záležitost
Co by měl poskytovat?
Rozsah a účel zpracování
Nechte poskytovatele pracovat pouze podle našich pokynů
Dílčí zpracovatelé
Na koho se to přenáší? Je to oznámeno předem?
Zajištění převodu
Standardní smluvní ustanovení nebo ekvivalent
Bezpečnostní opatření
Šifrování, řízení přístupu, ISO 27001
Upozornění na porušení
Oznámení nám do určité doby v případě porušení
Smazání/vrácení
Závazek vymazat/vrátit data na konci smlouvy
Právo na audit
Schopnost auditovat poskytovatele nebo přijímat zprávy
Pozor: Většina „bezplatných“ a „individuálních“ plánů umělé inteligence nenabízí DPA a může používat data pro trénink modelu. Pro firemní použití by měly být preferovány firemní/podnikatelské plány, které nabízejí DPA a zaručují neúčast na vzdělávání. Bezplatný tarif je často plán, kde se „za data platí“.
Karta modelu a průhlednost
Karta modelu je dokument, který vysvětluje, k čemu je model AI určen, s jakými daty je trénován, jeho omezení a známá rizika. Dobrý poskytovatel to sdílí. Věci, které je třeba hledat na kartě modelu: zamýšlené použití modelu, známá omezení a rizika zkreslení, nedoporučená použití a poznámky k výkonu/zabezpečení. Pokud karta modelu chybí nebo je velmi nejasná, je to samo o sobě varovné znamení.
tři mini pouzdra
Případ 1 – Náklady na bezplatný tarif. Účetní tým začne zpracovávat finanční údaje zákazníků pomocí bezplatného nástroje AI. Nástroj nenabízí DPA a ve svých podmínkách uvádí, že může použít data pro trénování modelu. Kontrolor shody si toho všimne a nástroj zakáže a schválí podnikovou alternativu, která nabízí DPA. Rozdíl: několik stovek TL měsíčně za licenci atd. Možné pokuty ve výši milionů liber.
Případ 2 – Překvapení subprocesoru. Společnost při auditu o měsíce později zjistí, že nástroj AI, který schválila, přenesl data dílčím zpracovatelům ve třech různých zemích. Vzhledem k tomu, že v DPA není žádná doložka „subdodavatelé budou informováni předem“, společnost o tom nevěděla. Poučení: Klauzule v DPA, která zviditelní řetězec subprocesorů, je nutností.
Případ 3 – Rozhodnutí bodováním. Organizace vytvoří tabulku skóre rizik dodavatele s 8 kritérii, aby porovnala tři nástroje umělé inteligence (DPA, umístění dat, odhlášení ze školení, ISO 27001, oznámení o porušení, smazání, vzorová karta, cena). Výsledek hodnocení zdůrazňuje nástroj, který není nejoblíbenější, ale je nejvíce kompatibilní. Rozhodnutí je založeno spíše na dokumentovatelném skóre než na subjektivním „Líbilo se mi to“.
Tip: Seznam schválených vozidel spravujte jako „bílou listinu“: povolte pouze vozidla, která jsou na seznamu. Černá listina musí být aktualizována s každým novým nástrojem a je vždy o krok pozadu; whitelisting je ve výchozím nastavení bezpečný.
Riziko odchodu a závislosti
Otázka, kterou většina agentur při schvalování vozidla přeskakuje, je: „Co se stane, když budeme chtít z tohoto vozidla vystoupit?“ Za dobré hodnocení se považuje výstup i vstup. Vyznačují se dvě rizika. Prvním je přenositelnost dat: když opustíte poskytovatele, můžete získat svá data a konfiguraci zpět ve standardním formátu, nebo jsou data u poskytovatele uzamčena? Druhým je uzamčení dodavatele: obchodní procesy mohou být natolik svázány s jediným nástrojem, že výstupní náklady se stanou neúnosné, když poskytovatel zvýší ceny nebo naruší službu.
Proto je dobrým zvykem přidat do potvrzovacího záznamu také řádek „plán odchodu“: jak získáme data zpět, jaký je alternativní nástroj, jak dlouho přechod trvá. I když poskytovatel jednoho dne službu vypne, organizace bude připravena.
Pozor: To, že je vozidlo oblíbené nebo levné, neznamená, že je udržitelné. Malí poskytovatelé mohou zavřít, získat akvizici nebo náhle změnit své zásady. Před připojením kritického procesu k jedinému nástroji zvažte scénář ukončení.
Kopírovatelné šablony
ŠABLONA 1 — Sada otázek pro hodnocení dodavatele: "Připravte si hodnotící otázky, které položíte dodavateli před schválením nového nástroje umělé inteligence. Zahrnuje: umístění dat, použití a odhlášení v modelovém školení, přítomnost DPA, bezpečnostní certifikáty, dobu uchovávání, oznámení o narušení, subprocesory, závazek k odstranění. U každé otázky uveďte očekávanou "bezpečnou" odpověď."
ŠABLONA 2 — Kontrolní seznam klauzule DPA: "Zkontrolujte níže uvedený návrh DPA [vložte text], kde najdete následující klauzule: rozsah zpracování, dílčí zpracovatelé, zajištění převodu, bezpečnostní opatření, lhůta pro oznámení narušení, vymazání/vrácení, právo na audit. U každé klauzule označte 'přítomný/chybějící/nejistý'. Připomeňte, že je vyžadován právní souhlas; nedělejte konečné rozhodnutí."
ŠABLONA 3 — Srovnávací tabulka rizik dodavatele: "Nastavte tabulku rizik s 8 kritérii pro porovnání 3 nástrojů umělé inteligence: DPA, umístění dat, odhlášení ze školení, ISO 27001, oznámení o porušení, smazání, karta se vzorem, cena. Každé kritérium nechejte 0-3 body, přidejte součet a sloupec doporučení. Dejte prázdnou šablonu, já ji doplním."
ŠABLONA 4 — Položka v seznamu schválených nástrojů: "Navrhněte novou položku ve schváleném seznamu nástrojů AI: název nástroje, schválené zamýšlené použití, které datové třídy jsou povolené (veřejné/interní/důvěrné), zakázané typy dat, odpovědná jednotka, datum schválení, datum revize. Ve formátu záznamu s jedním řádkem."
Slabá výzva / Silná výzva
SLABÉ: „Je tento nástroj AI bezpečný?“-> Opakuje marketingový příslib modelového nástroje; Nehodnotí konkrétní kritéria, jako je DPA, umístění dat, využití školení. STRONG: „Vyhodnotím tento nástroj AI pro podnikové použití. Jaké informace bych měl od poskytovatele požadovat na základě následujících 8 kritérií (DPA, umístění dat, odhlášení ze školení, ISO 27001, oznámení o porušení, úložiště, subprocesor, modelová karta) a jaká by měla být ‚přijatelná‘ prahová hodnota v každém kritériu? Uveďte ve formátu kontrolního listu.“ -> Model vytváří konkrétní, ověřitelný rámec hodnocení.
Časté chyby
- Používání bezplatných/individuálních plánů s firemními daty; Neuvědomuje si, že neexistuje žádný DPA a opt-out.
- Schválení nástroje na základě marketingového příslibu, nežádání o umístění dat a využití ve vzdělávání.
- Sdílení dat bez podpisu DPA nebo kontroly doložky o subprocesoru.
- Schválení vozidla s žádnou/nejistou kartou modelu bez jakýchkoliv otázek.
- Vedení seznamu zákazů namísto bílého seznamu a zůstávat pozadu s každým novým vozidlem.
- Po schválení již neprovádím kontrolu vozidla (změna podmínek).
- Založení výběru dodavatele na subjektivních preferencích, nikoli na certifikovatelném skóre.
V souhrnu
- Každý nástroj umělé inteligence je zpracovatelem dat; Před schválením je nezbytné systematické hodnocení.
- Smlouva o zpracování dat (DPA) je základní dokument, který váže data; Měl by zahrnovat klauzule o rozsahu, dílčím zpracovateli, zabezpečení, porušení a výmazu.
- Bezplatné/individuální plány často nenabízejí DPA a využívají data pro školení; Upřednostňovat by se měly firemní plány.
- Karta modelu ukazuje limity a rizika modelu; Jeho absence je varovným signálem.
- Schválené nástroje by měly být spravovány jako whitelist a dodavatelé by měli být spravováni s dokumentovatelným skóre rizika.
Aplikační úkol
Vyberte si tři skutečné nástroje AI, které by vaše organizace mohla chtít používat. Vytvořte tabulku skóre rizik dodavatele s osmi kritérii (DPA, umístění dat, odhlášení ze školení, bezpečnostní certifikace, oznámení o narušení, uchovávání, modelová karta, cena) a na základě těchto kritérií ohodnoťte každé vozidlo od 0 do 3. Poté napište schválenou položku seznamu vozidel pro vozidlo s nejvyšším skóre: schválené zamýšlené použití, povolené datové třídy, zakázané typy dat, odpovědná entita a datum revize. Nakonec si poznamenejte pět položek, které budete určitě chtít vidět v DPA vozidla, a proč je každá důležitá.
kontrolní seznam
- [ ] Před schválením nástroje jsem položil hodnotící otázky.
- [ ] Objasnil jsem umístění dat a případ použití v modelovém tréninku.
- [ ] Zkontroloval jsem existenci DPA a jeho kritických položek.
- [ ] Zkoumal jsem model karty; Viděl jsem limity a rizika.
- [ ] Ohodnotil jsem dodavatele s doložitelným rizikovým skóre.
- [ ] Přidal jsem nástroj na seznam povolených datových tříd.
- [ ] Nastavil jsem datum kontroly.