سود:
- قبل از خرید ابزار هوش مصنوعی معیارهای ارزیابی را اعمال کنید
- شناسایی مواردی که باید در قرارداد پردازش داده (DPA) و کارت مدل جستجو شوند
- لیست وسیله نقلیه تایید شده و امتیازدهی ریسک فروشنده را ایجاد کنید
وقتی یک واحد تجاری به درب منزل شما می آید و می گوید "ما می خواهیم از آن ابزار هوش مصنوعی جدید استفاده کنیم، بسیار مفید خواهد بود" چه می کنید؟ گفتن "به هیچ وجه" هوش مصنوعی سایه را تغذیه می کند. گفتن "خوب" خطر کنترل نشده را باز می کند. پاسخ صحیح اجرای فرآیند ارزیابی خودرو است. در این بخش ما یاد خواهیم گرفت که چه سوالاتی را قبل از خرید/تأیید یک وسیله نقلیه هوش مصنوعی بپرسیم، در یک قرارداد پردازش داده (DPA) و کارت مدل به دنبال چه چیزی باشیم، و چگونه همه اینها را در لیست خودروهای تایید شده و امتیاز ریسک فروشنده قرار دهیم.
چرا ارزیابی لازم است؟
هر ابزار هوش مصنوعی یک پردازشگر داده است: داده های سازمان را پردازش می کند. تایید ابزار اشتباه به معنای تحویل داده های شخصی سازمان به شخص ثالث (و اغلب در خارج از کشور) به صورت کنترل نشده است. سوالات اصلی که باید قبل از تایید یک ابزار پاسخ دهید:
- کجا داده ها را پردازش و ذخیره می کند (کدام کشور)؟
- آیا از داده های ما در آموزش مدل استفاده می کند؟ آیا می توان آن را خاموش کرد (انصراف)؟
- آیا قرارداد پردازش داده (DPA) را ارائه می دهد؟
- آیا گواهینامه های امنیتی (به عنوان مثال ISO 27001) وجود دارد؟
- تاریخچه چت چقدر نگهداری می شود و آیا می توان آن را حذف کرد؟
- آیا تعهدی وجود دارد که در صورت وجود نقض امنیتی به ما اطلاع داده شود؟
قرارداد پردازش داده (DPA)
قرارداد پردازش داده (DPA) قراردادی است که بین کنترل کننده داده (موسسه) و پردازشگر داده (ارائه دهنده AI) امضا شده است که نحوه پردازش داده ها را مشخص می کند. KVKK و GDPR تا حد زیادی این را الزامی می کنند. مواردی که باید در DPA جستجو کنید:
موضوع
چه چیزی باید ارائه دهد؟
محدوده و هدف پردازش
به ارائه دهنده اجازه دهید فقط بر اساس دستورالعمل های ما عمل کند
پردازشگرهای فرعی
به چه کسی منتقل می شود؟ آیا از قبل اطلاع رسانی شده است؟
تضمین انتقال
بندهای قرارداد استاندارد یا معادل آن
اقدامات امنیتی
رمزگذاری، کنترل دسترسی، ISO 27001
اعلام تخلف
در صورت بروز تخلف در مدت زمان معینی به ما اطلاع دهید
حذف/بازگشت
تعهد به حذف/بازگرداندن داده ها در پایان قرارداد
حق ممیزی
امکان ممیزی ارائه دهنده یا دریافت گزارش
مراقب باشید: بیشتر برنامههای هوش مصنوعی «رایگان» و «انفرادی» DPA ارائه نمیدهند و ممکن است از دادهها برای آموزش مدل استفاده کنند. برای استفاده شرکتی، طرح های شرکتی/کسب و کار که DPA را ارائه می دهند و انصراف از تحصیل را تضمین می کنند باید ترجیح داده شوند. طرح رایگان اغلب طرحی است که در آن داده ها «پرداخت می شود».
کارت مدل و شفافیت
کارت مدل سندی است که توضیح می دهد یک مدل هوش مصنوعی برای چه چیزی طراحی شده است، با چه داده هایی آموزش دیده است، محدودیت ها و خطرات شناخته شده آن. یک ارائه دهنده خوب این را به اشتراک می گذارد. مواردی که باید در کارت مدل جستجو کنید: استفاده مورد نظر از مدل، محدودیت ها و خطرات شناخته شده سوگیری، مواردی که توصیه نمی شود، و نکات عملکرد/امنیتی. اگر کارت مدل گم شده باشد یا بسیار مبهم باشد، این خود یک علامت هشدار است.
سه کیف کوچک
مورد 1 - هزینه طرح رایگان. یک تیم حسابداری پردازش داده های مالی مشتری را با یک ابزار رایگان هوش مصنوعی آغاز می کند. این ابزار DPA ارائه نمی دهد و در شرایط خود بیان می کند که می تواند از داده ها برای آموزش مدل استفاده کند. افسر انطباق متوجه این موضوع می شود و ابزار را ممنوع می کند و جایگزین شرکتی را که DPA ارائه می دهد تأیید می کند. تفاوت: چند صد لیره در ماه برای مجوز و غیره. جریمه های ممکن میلیون پوندی.
مورد 2 - غافلگیری زیرپردازنده. یک شرکت ماهها بعد در یک ممیزی متوجه میشود که ابزار هوش مصنوعی که تایید کرده است، دادهها را به زیرپردازندهها در سه کشور مختلف منتقل میکند. از آنجایی که در DPA هیچ بند «به پردازشگرهای فرعی باید از قبل اطلاع داده شود» وجود ندارد، شرکت از آن مطلع نبود. درس: یک بند در DPA که زنجیره زیرپردازنده را قابل مشاهده می کند ضروری است.
مورد 3 - تصمیم گیری با امتیاز. یک سازمان برای مقایسه سه ابزار هوش مصنوعی (DPA، مکان داده، انصراف از آموزش، ISO 27001، اعلان نقض، حذف، کارت الگو، قیمت)، جدول امتیاز ریسک فروشنده 8 معیاری ایجاد می کند. نتیجه رتبه بندی ابزاری را برجسته می کند که محبوب ترین نیست، اما سازگارترین است. این تصمیم بر اساس یک نمره مستند است تا یک "من آن را دوست داشتم" ذهنی.
نکته: فهرست خودروهای تایید شده را به عنوان "لیست سفید" مدیریت کنید: فقط خودروهایی را مجاز کنید که در لیست هستند. لیست سیاه باید با هر ابزار جدید به روز شود و همیشه یک قدم عقب تر است. لیست سفید به طور پیش فرض ایمن است.
خطر خروج و اعتیاد
سوالی که اکثر آژانس ها هنگام تایید یک وسیله نقلیه از آن صرف نظر می کنند این است: "اگر بخواهیم از این وسیله نقلیه خارج شویم چه اتفاقی می افتد؟" یک ارزیابی خوب، خروجی و ورود را نیز در نظر می گیرد. دو خطر برجسته است. اولین مورد، قابلیت حمل داده است: وقتی ارائه دهنده را ترک می کنید، می توانید داده ها و پیکربندی خود را در قالب استاندارد بازگردانید یا داده ها در ارائه دهنده قفل شده اند؟ دوم قفل فروشنده است: فرآیندهای کسب و کار ممکن است به قدری به یک ابزار وابسته باشد که وقتی ارائه دهنده قیمت ها را افزایش می دهد یا خدمات را مختل می کند، هزینه خروج غیرقابل تحمل می شود.
به همین دلیل تمرین خوبی است که یک خط "برنامه خروج" را نیز به رکورد تأیید اضافه کنید: چگونه داده ها را برگردانیم، ابزار جایگزین چیست، انتقال چقدر طول می کشد. حتی اگر یک روز ارائه دهنده سرویس را خاموش کند، سازمان آماده خواهد شد.
احتیاط: فقط به این دلیل که یک وسیله نقلیه محبوب یا ارزان است، به معنای پایداری آن نیست. ارائه دهندگان کوچک ممکن است بسته شوند، خریداری شوند یا به طور ناگهانی سیاست های خود را تغییر دهند. قبل از اتصال یک فرآیند حیاتی به یک ابزار واحد، سناریوی خروج را در نظر بگیرید.
قالب های قابل کپی
الگو 1 — مجموعه سوالات ارزیابی فروشنده: "قبل از تایید ابزار هوش مصنوعی جدید، سوالات ارزیابی را برای پرسیدن از فروشنده آماده کنید. شامل: مکان داده، استفاده و انصراف از آموزش مدل، حضور DPA، گواهیهای امنیتی، دوره نگهداری، اعلان نقض، زیرپردازندهها، تعهد حذف. پاسخ "ایمن" مورد انتظار برای هر سوال را درج کنید."
الگوی 2 - چک لیست بند DPA: "پیش نویس DPA را در زیر [متن چسباندن] برای بندهای زیر بررسی کنید: محدوده پردازش، زیرپردازنده ها، تضمین انتقال، اقدامات امنیتی، دوره اطلاع رسانی نقض، حذف/بازگشت، حق ممیزی. برای هر بند، "موجود / ناقص / نامشخص" علامت گذاری کنید.
الگوی 3 — تابلوی امتیاز ریسک فروشنده: "برای مقایسه 3 ابزار هوش مصنوعی، یک تابلوی خطر 8 معیاری تنظیم کنید: DPA، مکان داده، انصراف از آموزش، ISO 27001، اعلان نقض، حذف، کارت الگو، هزینه. بگذارید هر معیار 0-3 امتیاز باشد، کل و ستون پیشنهادی را اضافه کنید.
الگوی 4 — ورودی فهرست ابزار تایید شده: "پیش نویس یک ورودی جدید در لیست ابزار تایید شده هوش مصنوعی: نام ابزار، استفاده مورد نظر تایید شده، که کلاس های داده مجاز است (عمومی/داخلی/محرمانه)، انواع داده های ممنوعه، واحد مسئول، تاریخ تایید، تاریخ بررسی. در قالب رکورد تک خطی."
اعلان ضعیف / اعلان قوی
ضعیف: "آیا این ابزار هوش مصنوعی ایمن است؟" -> وعده بازاریابی ابزار مدل را تکرار می کند. معیارهای مشخصی مانند DPA، مکان داده، استفاده از آموزش را ارزیابی نمی کند. STRONG: "من این ابزار هوش مصنوعی را برای استفاده سازمانی ارزیابی خواهم کرد. بر اساس 8 معیار زیر (DPA، مکان داده، انصراف از آموزش، ISO 27001، اعلان تخلف، ذخیره سازی، زیرپردازنده، کارت مدل) چه اطلاعاتی باید از ارائه دهنده درخواست کنم و آستانه "قابل قبول" در هر معیار چقدر باید باشد؟ در قالب چک برگ ارائه دهید." -> مدل یک چارچوب ارزیابی مشخص و قابل تأیید تولید می کند.
اشتباهات رایج
- استفاده از طرح های رایگان/انفرادی با داده های شرکتی؛ متوجه نیستید که DPA وجود ندارد و انصراف دهید.
- تایید ابزار بر اساس وعده بازاریابی، عدم درخواست مکان داده و استفاده آموزشی.
- به اشتراک گذاری داده ها بدون امضای DPA یا بررسی بند فرعی.
- تایید وسیله نقلیه با کارت مدل بدون/نامشخص بدون هیچ سوالی.
- نگه داشتن لیست ممنوعیت به جای لیست سفید و عقب ماندن با هر وسیله نقلیه جدید.
- عدم بررسی مجدد خودرو پس از تایید (تغییر شرایط).
- انتخاب فروشنده بر اساس اولویت ذهنی است، نه یک امتیاز قابل تأیید.
به طور خلاصه
- هر ابزار هوش مصنوعی یک پردازشگر داده است. ارزیابی سیستماتیک قبل از تایید ضروری است.
- قرارداد پردازش داده (DPA) سند اساسی است که داده ها را متصل می کند. باید شامل محدوده، زیرپردازنده، امنیت، موارد نقض و حذف باشد.
- برنامه های رایگان/انفرادی اغلب DPA را ارائه نمی دهند و از داده ها برای آموزش استفاده می کنند. طرح های شرکتی باید ترجیح داده شوند.
- کارت مدل محدودیت ها و خطرات مدل را نشان می دهد. نبود آن زنگ خطری است.
- ابزارهای تایید شده باید به عنوان یک لیست سفید مدیریت شوند و فروشندگان باید با یک امتیاز ریسک مستند مدیریت شوند.
وظیفه کاربردی
سه ابزار واقعی هوش مصنوعی را انتخاب کنید که ممکن است سازمان شما بخواهد از آن استفاده کند. جدول امتیاز ریسک فروشنده را با هشت معیار (DPA، مکان داده، انصراف از آموزش، گواهینامه امنیتی، اعلان تخلف، نگهداری، کارت مدل، هزینه) تنظیم کنید و بر اساس این معیارها به هر وسیله نقلیه از 0 تا 3 امتیاز دهید. سپس یک ورودی لیست خودرو تایید شده برای خودرویی که دارای بالاترین امتیاز است بنویسید: استفاده مورد نظر تایید شده، کلاس های داده مجاز، انواع داده های ممنوعه، نهاد مسئول و تاریخ بررسی. در نهایت، به پنج موردی که قطعاً می خواهید در DPA خودرو ببینید و چرا هر کدام از آنها مهم است توجه کنید.
چک لیست
- [ ] من قبل از تایید ابزار سوالات ارزیابی پرسیدم.
- [ ] من مکان داده و مورد استفاده را در آموزش مدل روشن کردم.
- [ ] من وجود DPA و موارد مهم آن را بررسی کردم.
- [ ] کارت مدل را بررسی کردم. من محدودیت ها و خطرات را دیدم.
- [ ] من فروشنده را با یک امتیاز ریسک مستند ارزیابی کردم.
- [ ] من این ابزار را با کلاس های داده مجاز به لیست سفید اضافه کردم.
- [ ] تاریخ بررسی را تعیین کردم.