Voitot:
- Käytä arviointikriteerejä ennen tekoälytyökalun ostamista
- Tietojenkäsittelysopimuksesta (DPA) ja mallikortista etsittävien kohteiden tunnistaminen
- Luo hyväksyttyjen ajoneuvojen luettelo ja myyjän riskipisteet
Mitä teet, kun liiketoimintayksikkö tulee ovellesi ja sanoo "haluamme käyttää tuota uutta tekoälytyökalua, se on erittäin hyödyllinen"? Sanomalla "ei mitenkään" ruokkii varjo-AI:tä; Sanomalla "ok" avaa hallitsemattoman riskin. Oikea vastaus on suorittaa ajoneuvon arviointiprosessi. Tässä osiossa opimme, mitä kysymyksiä tulee kysyä ennen tekoälyajoneuvon ostamista/sertifiointia, mitä tulee ottaa huomioon tietojenkäsittelysopimuksesta (DPA) ja mallikortista ja kuinka tämä kaikki tislataan hyväksyttyyn ajoneuvoluetteloon ja myyjän riskipisteisiin.
Miksi arviointi on tarpeen?
Jokainen tekoälytyökalu on tietojenkäsittelijä: se käsittelee organisaation tietoja. Väärän työkalun hyväksyminen tarkoittaa organisaation henkilötietojen luovuttamista kolmannelle osapuolelle (ja usein myös ulkomaille) hallitsemattomasti. Tärkeimmät kysymykset, joihin on vastattava ennen työkalun hyväksymistä:
- Missä se käsittelee ja tallentaa tietoja (mikä maa)?
- Käyttääkö se tietojamme mallikoulutuksessa? Voiko sen kytkeä pois päältä (opt-out)?
- Tarjoaako se tietojenkäsittelysopimusta (DPA)?
- Onko olemassa turvallisuussertifikaatteja (esim. ISO 27001)?
- Kuinka kauan keskusteluhistoriaa säilytetään ja voidaanko se poistaa?
- Onko sitoumus ilmoittaa meille, jos tietoturvaloukkaus tapahtuu?
Tietojenkäsittelysopimus (DPA)
Data Processing Agreement (DPA) on rekisterinpitäjän (laitoksen) ja tietojenkäsittelijän (AI-palveluntarjoajan) välillä allekirjoitettu sopimus, jossa määritellään kuinka tietoja käsitellään. KVKK ja GDPR suurelta osin määräävät tämän. DPA:sta etsittävät kohteet:
asia
Mitä sen pitäisi tarjota?
Käsittelyn laajuus ja tarkoitus
Anna palveluntarjoajan toimia vain ohjeidemme mukaan
Aliprosessorit
Kenelle se siirretään? Onko siitä ilmoitettu etukäteen?
Siirron vakuutus
Vakiosopimuslausekkeet tai vastaavat
Turvatoimet
Salaus, kulunvalvonta, ISO 27001
Rikkomusilmoitus
Ilmoittaa meille tietyn ajan kuluessa rikkomuksesta
Poisto/palautus
Sitoumus tietojen poistamiseen/palauttamiseen sopimuksen päätyttyä
Oikeus tilintarkastukseen
Mahdollisuus auditoida palveluntarjoaja tai vastaanottaa raportteja
Varo: Useimmat "ilmaiset" ja "yksittäiset" tekoälysuunnitelmat eivät tarjoa DPA:ta ja voivat käyttää tietoja mallikoulutukseen. Yrityskäyttöön tulee suosia yritys-/liiketoimintasuunnitelmia, jotka tarjoavat DPA:n ja takaavat koulutuksen kieltäytymisen. Ilmainen suunnitelma on usein suunnitelma, jossa tiedoista "maksetaan".
Mallikortti ja läpinäkyvyys
Mallikortti on asiakirja, joka selittää, mihin tekoälymalli on suunniteltu, millä tiedoilla se on koulutettu, sen rajoitukset ja tunnetut riskit. Hyvä palveluntarjoaja jakaa tämän. Mallikortissa huomioitavaa: mallin käyttötarkoitus, tunnetut rajoitukset ja harhan riskit, käyttötavat, joita ei suositella ja suorituskyky/turvatiedot. Jos mallikortti puuttuu tai se on hyvin epäselvä, se on itsessään varoitusmerkki.
kolme minilaukkua
Tapaus 1 – Ilmaispaketin hinta. Kirjanpitotiimi alkaa käsitellä asiakkaiden taloustietoja ilmaisella tekoälytyökalulla. Työkalu ei tarjoa DPA:ta ja ilmoittaa ehdoissaan, että se voi käyttää tietoja mallikoulutukseen. Valvontaviranomainen huomaa tämän ja kieltää työkalun hyväksymällä yritysvaihtoehdon, joka tarjoaa DPA:n. Ero: muutama sata TL kuukaudessa lisenssistä jne. Mahdolliset miljoonien puntien sakot.
Tapaus 2 – Aliprosessorin yllätys. Yritys havaitsee kuukausia myöhemmin tehdyssä tarkastuksessa, että sen hyväksymä tekoälytyökalu siirsi tietoja alikäsittelijöille kolmessa eri maassa. Koska tietosuojalaissa ei ole lauseketta "alikäsittelijöille on ilmoitettava etukäteen", yritys ei ollut tietoinen siitä. Oppitunti: DPA:n lauseke, joka tekee aliprosessoriketjun näkyväksi, on pakollinen.
Tapaus 3 – Pisteytyspäätös. Organisaatio laatii 8 kriteerin toimittajan riskipistetaulukon kolmen tekoälytyökalun (DPA, tietojen sijainti, koulutus opt-out, ISO 27001, rikkomusilmoitus, poisto, mallikortti, hinta) vertailua varten. Arviointitulos korostaa työkalua, joka ei ole suosituin, mutta yhteensopiva. Päätös perustuu dokumentoitaviin pisteisiin eikä subjektiiviseen "Pidin siitä".
Vinkki: Hallitse hyväksyttyjen ajoneuvojen luetteloa "valkoisena listana": salli vain luettelossa olevat ajoneuvot. Musta lista on päivitettävä jokaisella uudella työkalulla ja se on aina askeleen jäljessä; sallittujen luettelo on oletuksena turvallinen.
Irtautumis- ja riippuvuusriski
Useimmat virastot ohittavat ajoneuvoa hyväksyessään: "Mitä tapahtuu, jos haluamme poistua tästä ajoneuvosta?" Hyvässä arvioinnissa huomioidaan sekä poistuminen että sisääntulo. Kaksi riskiä erottuu. Ensimmäinen on tiedon siirrettävyys: kun poistut palveluntarjoajalta, voitko saada tietosi ja kokoonpanosi takaisin vakiomuodossa vai onko tiedot lukittu palveluntarjoajalle? Toinen on toimittajan lukitus: liiketoimintaprosessit voivat olla niin sidottu yhteen työkaluun, että irtautumiskustannuksista tulee sietämättömiä, kun toimittaja nostaa hintoja tai häiritsee palvelua.
Tästä syystä on hyvä käytäntö lisätä vahvistustietueeseen myös "poistumissuunnitelma" -rivi: miten saamme tiedot takaisin, mikä on vaihtoehtoinen työkalu, kuinka kauan siirtyminen kestää. Vaikka palveluntarjoaja sulkee palvelun jonain päivänä, organisaatio on valmis.
Varoitus: Se, että ajoneuvo on suosittu tai halpa, ei tarkoita, että se on kestävä. Pienet palveluntarjoajat voivat sulkea toimintansa, tulla hankituksi tai muuttaa äkillisesti käytäntöjään. Ennen kuin yhdistät kriittisen prosessin yhteen työkaluun, harkitse poistumisskenaariota.
Kopioitavat mallit
MALLI 1 – Toimittajan arviointikysymysjoukko: "Valmista arviointikysymykset toimittajalle ennen uuden tekoälytyökalun hyväksymistä. Sisällytä: tietojen sijainti, käyttö ja kieltäytyminen mallikoulutuksessa, DPA:n läsnäolo, suojausvarmenteet, säilytysaika, rikkomusilmoitus, alikäsittelijät, poistamissitoumus. Sisällytä jokaiseen kysymykseen odotettu "suojattu" vastaus."
MALLI 2 – DPA-lausekkeen tarkistuslista: "Tarkista alla olevasta DPA-luonnoksesta [liitä teksti] seuraavien lausekkeiden osalta: käsittelyn laajuus, alikäsittelijät, siirron vakuutus, turvatoimenpiteet, rikkomuksesta ilmoittamisen määräaika, poistaminen/palauttaminen, tarkastusoikeus. Merkitse jokaiseen lausekkeeseen "nykyinen / puuttuva / epävarma". Muista, että laillista hyväksyntää ei vaadita.
MALLI 3 – Toimittajan riskien tulostaulu: "Aseta 8 kriteerin riskien tulostaulu vertaillaksesi kolmea tekoälytyökalua: DPA, tietojen sijainti, koulutuksen kieltäminen, ISO 27001, rikkomusilmoitus, poisto, mallikortti, hinta. Olkoon jokainen kriteeri 0–3 pistettä, lisää kokonaissumma ja suositussarake. Anna tyhjä malli, minä täytän."
MALLI 4 – Hyväksytty työkaluluettelo: "Luonnos uusi merkintä hyväksyttyyn tekoälytyökaluluetteloon: työkalun nimi, hyväksytty käyttötarkoitus, sallitut tietoluokat (julkinen/sisäinen/luottamuksellinen), kielletyt tietotyypit, vastuullinen yksikkö, hyväksymispäivämäärä, tarkistuspäivämäärä. Yksirivisessä tietuemuodossa."
Heikko kehote / Vahva kehote
HEIKKO: "Onko tämä AI-työkalu turvallinen?"-> Toistaa mallityökalun markkinointilupauksen; Se ei arvioi konkreettisia kriteerejä, kuten DPA:ta, datan sijaintia, koulutuksen käyttöä. VAHVA: "Arvioin tämän tekoälytyökalun yrityskäyttöön. Mitä tietoja minun tulee pyytää palveluntarjoajalta seuraavien kahdeksan kriteerin perusteella (DPA, tietojen sijainti, koulutuksen kieltäytyminen, ISO 27001, rikkomusilmoitus, tallennus, aliprosessori, mallikortti) ja mikä pitäisi olla "hyväksyttävä" kynnys kussakin kriteerissä? Anna tarkistuslomake muodossa." -> Malli tuottaa konkreettisen, todennettavan arviointikehyksen.
Yleisiä virheitä
- Ilmaisten/yksittäisten sopimusten käyttö yritystietojen kanssa; Ymmärtämättä, että DPA:ta ja kieltäytymistä ei ole.
- Työkalun hyväksyminen markkinointilupauksen perusteella, ei tietojen sijaintia ja opetuskäyttöä kysymättä.
- Tietojen jakaminen allekirjoittamatta DPA-sopimusta tai tarkistamatta alikäsittelijälauseketta.
- Ajoneuvon hyväksyminen ilman/epävarman mallikortin kanssa ilman kysymyksiä.
- Kieltoluettelon pitäminen valkoisen listan sijasta ja jokaisen uuden ajoneuvon perässä pysyminen.
- Ajoneuvoa ei tarkisteta uudelleen hyväksynnän jälkeen (olosuhteet muuttuvat).
- Perusta toimittajan valinta subjektiivisiin mieltymyksiin, ei sertifioitaviin pisteisiin.
Yhteenvetona
- Jokainen tekoälytyökalu on tietojenkäsittely; Järjestelmällinen arviointi on välttämätöntä ennen hyväksyntää.
- Tietojenkäsittelysopimus (DPA) on tiedot sitova perusasiakirja; Sen tulee sisältää soveltamisalaa, alikäsittelijää, suojausta, rikkomista ja poistamista koskevat lausekkeet.
- Ilmaiset/yksittäiset suunnitelmat eivät usein tarjoa DPA:ta ja käyttävät tietoja koulutukseen; Yrityssuunnitelmia kannattaa suosia.
- Mallikortti näyttää mallin rajat ja riskit; Sen puuttuminen on varoitusmerkki.
- Hyväksyttyjä työkaluja tulee hallita sallittujen luettelona, ja toimittajia tulee hallita dokumentoitavilla riskipisteillä.
Sovellustehtävä
Valitse kolme todellista tekoälytyökalua, joita organisaatiosi saattaa haluta käyttää. Luo toimittajan riskipistemäärätaulukko kahdeksalla kriteerillä (DPA, tietojen sijainti, koulutuksen kieltäminen, turvallisuussertifiointi, rikkomusilmoitus, säilytys, mallikortti, hinta) ja anna kullekin ajoneuvolle pisteet 0–3 näiden kriteerien perusteella. Kirjoita sitten hyväksytty ajoneuvoluettelomerkintä eniten pisteitä saaneelle ajoneuvolle: hyväksytty käyttötarkoitus, sallitut tietoluokat, kielletyt tietotyypit, vastuullinen taho ja tarkistuspäivämäärä. Muista lopuksi viisi asiaa, jotka haluat ehdottomasti nähdä ajoneuvon DPA:ssa ja miksi jokainen on tärkeä.
tarkistuslista
- [ ] Esitin arviointikysymyksiä ennen työkalun hyväksymistä.
- [ ] Selvensin tietojen sijaintia ja käyttötapausta mallikoulutuksessa.
- [ ] Tarkistin DPA:n ja sen kriittisten kohteiden olemassaolon.
- [ ] Tarkastin mallikorttia; Näin rajat ja riskit.
- [ ] Arvioin toimittajan dokumentoitavalla riskipisteellä.
- [ ] Lisäsin työkalun sallittujen tietoluokkien luetteloon.
- [ ] Asetin tarkastelupäivän.