AI irányítási keretrendszer: szerepek, jóváhagyás, ellenőrzés és reagálás az eseményekre

Nyereség:

• Kormányzási szerepkörök meghatározása RACI mátrixszal
• Kiegyensúlyozott jóváhagyási folyamat és rendszeres ellenőrzési program létrehozása
• Valósítsa meg a mesterséges intelligencia és az adatsérüléses incidensek választervét 72 órás szabállyal

Az első egységtől idáig megírtuk a szabályzatot, megismertük a jogszabályokat és értékeltük a kockázatokat. Most itt az ideje, hogy mindezt egy működő rendszerbe kapcsoljuk. Bármilyen jól is van megírva egy szabályzat, ha nincsenek mögötte szerepek, jóváhagyási folyamatok, auditálás és incidensre adott válasz, akkor dokumentumként a polcon marad. Ebben a záróegységben egyesítjük a mesterséges intelligencia irányítását életben tartó négy mechanizmust – a szerepeket (RACI), a jóváhagyási folyamatot, a rendszeres ellenőrzést és az incidensekre adott válaszokat –, és kiegészítjük a keretrendszert.

A szerepek tisztázása: a RACI mátrix

Az irányítás első szabálya: minden feladatnak gazdája kell, hogy legyen. A klasszikus eszköz ennek tisztázására a RACI mátrix. A RACI négy szerep kezdőbetűiből származik:

• R (Felelős / Cselekvő): Az, aki ténylegesen elvégzi a munkát.
• A (Elszámoltatható): Csak egy személy lehet végső soron felelős.
• C (Konzultált): Az, akinek a véleményét elfogadják.
• I (informált): Tájékozott.

Quest

Készítette (R)

elszámoltatható (A)

Konzultált (C)

Tájékozott (én)

A házirend megírása

AI tiszt

megfelelőségi menedzser

Jogi, IT, HR

felső vezetés

Új jármű jóváhagyása

IT/biztonság

megfelelőségi menedzser

törvényt

üzleti egység

DPIA végrehajtás

Adatvédelmi tisztviselő

megfelelőségi menedzser

Kapcsolódó csapat

felső vezetés

jogsértésre adott válasz

biztonsági csapat

felső vezetés

jog, kommunikáció

az egész intézményt

Audit

belső ellenőrzés

megfelelőségi menedzser

Egységek

felső vezetés

Tipp: soronként csak egy "A" (elszámolható) legyen. Kettő a felelős végső soron, nulla felelős; Innen ered az a kifejezés, hogy „azt hittem, hogy nézel” a válság idején. A felelősség egyetlen szerephez való rögzítése a kormányzás hüvelykujjszabálya.

Kiegyensúlyozott jóváhagyási folyamat

Egy új AI-eszköz vagy annak használata jóváhagyási folyamatot igényel. Két csapdát kerülünk el: túl laza (minden szabad, árnyék AI) és túl merev (minden hónapokig vár jóváhagyásra, senki nem zavarja). A kompromisszum a kockázaton alapuló fokozatos jóváhagyás:

Kockázati szint

példa

Jóváhagyási útvonal

alacsony

Szövegvázlat nyílt adatokkal

Nincs szükség jóváhagyásra, a szabályzaton belül ingyenes

közepes

Elemzés házon belüli adatokkal

Egységvezető + jóváhagyott jármű követelmény

magas

Személyes/személyes adatok, automatikus döntés

Megfelelés + jogi jóváhagyás + DPIA

Az alacsony kockázatú felhasználások felszabadítása lehetővé teszi a csapatok számára, hogy átvegyék a folyamatot; A magas kockázatúaknak szigorú ellenőrzés alá helyezése kezeli a valós kockázatot. Így a folyamat gyors és biztonságos.

Rendszeres ellenőrzés

A kormányzás egy élő rendszer; Rendszeres felügyelet nélkül elpusztul. Az auditok ellenőrzik: a használt járművek szerepelnek-e még a jóváhagyott listán, vannak-e árnyék AI jelei, alkalmaznak-e megőrzési időszakokat, naprakészek-e a DPIA-k, rögzítették-e az eseményeket. Az auditálás gyakoriságát a kockázat határozza meg (például negyedévente a magas kockázatú rendszerek esetében, hathavonta általános esetben).

Figyelem: Az auditálás nem „valaki hibáztatásának” eszköze, hanem „a rendszer fejlesztésének” eszköze. A büntetés-központú könyvvizsgálati kultúra arra készteti az alkalmazottakat, hogy elrejtsék a problémákat, és elősegíti az árnyékos mesterséges intelligencia kialakulását. A cél a problémák korai felismerése és megoldása.

Az incidensre adott válasz és a 72 órás szabály

Nem számít, milyen jól sikerült a kezelés, egy napon incidens történik: adatszivárgás, rossz mesterséges intelligencia-döntés, bizalmas adatok rossz eszközbe kerülése. Az incidensre vonatkozó választerv előírja, hogy mit kell tenni:

1. Észlelés és elszigetelés: Az incidens felismerése, terjedésének megállítása (pl. a hozzáférés elzárása).
2. Értékelés: Mely adatok, hány embert, mennyit érintettek?
3. Értesítés: Személyes adatok megsértése esetén szükség esetén értesítse az illetékes hatóságot (KVKK Elnökség) és az érintetteket. A GDPR előírja a hatóság értesítését a jogsértésről való tudomásszerzéstől számított 72 órán belül; A KVKK is "a lehető leghamarabb" értesítést vár.
4. Javítás és tanulás: Javítsa ki a kiváltó okot, tegyen lépéseket a hasonló eset megelőzése érdekében, dokumentálja az incidenst.

Figyelem: A 72 órás felmondási idő attól a pillanattól kezdődik, amikor tudomást szerez az esetről; Az "először belsőleg oldjuk meg, aztán értesítjük" megközelítés kimarad a határidőből. Az incidensreagálási terv és a kommunikációs lánc előre elkészítése időt takarít meg a válság idején.

három mini tok

1. eset – Nem igényelt feladat. Egy cégnek van mesterséges intelligencia-politikája, de nem világos, hogy „ki frissíti a jóváhagyott eszközlistát”. A lista 8 hónapig nem frissül, a csapatok olyan eszközöket kezdenek használni, amelyek nem szerepelnek a listán. Ha egy RACI-mátrix ezt a feladatot egy szerepkörhöz rögzíti, a hiányosság nem fordul elő.

2. eset – 72 óra kimaradt. Egy alkalmazott rossz eszközbe ír be egy rejtélyes vásárlói listát. A csapat megpróbálja belsőleg megoldani ezt, és három nappal később értesíti a törvényt. A bejelentési határidő egyébként lejárt. Egy előkészített incidensreagálási terv és egy világos kommunikációs lánc már az első órán belül a megfelelő mederbe terelte volna az incidenst.

3. eset – Shadow AI-t az ellenőrzés elkapott. Egy szervezet három nem jóváhagyott AI-eszközt észlel a hálózati forgalomban egy rutin féléves audit során. Büntetés helyett beszél a csapatokkal, megérti, miért van szükségük ezekre az eszközökre, értékeli a kettőt és felveszi a jóváhagyott listára. Az audit egyrészt lezárja a kockázatot, másrészt láthatóvá teszi a valódi szükségletet.

Másolható sablonok

1. SABLON – RACI mátrixvázlat: "Vázlatos RACI mátrix a szervezetünk mesterséges intelligencia irányításához. Feladatok: irányelvek írása, eszköz jóváhagyása, DPIA, jogsértésekre való reagálás, audit, képzés. Szerepek: AI vezető, megfelelőségi menedzser, jogi, IT, HR, felső vezetés. Csak egy "A" minden szerepkörben."

2. SABLON – Többszintű jóváhagyási folyamat: "Tervezzen meg egy lépcsőzetes mesterségesintelligencia-jóváhagyási folyamatot a kockázatnak megfelelően: külön jóváhagyási útvonalakat az alacsony/közepes/magas kockázathoz. Írjon példát a felhasználásra, a jóváhagyó szerepkörére és a szükséges dokumentumra (DPIA stb.) minden szinthez. Tegye a folyamatot gyorssá és biztonságossá."

3. SABLON – Ellenőrzőlista: "Ellenőrzőlista készítése a hat hónapos mesterséges intelligencia irányítási auditjához: jóváhagyott eszközmegfelelőség, árnyékolt mesterséges intelligencia jelzések, megőrzési időszakok, DPIA-pénznem, eseménynaplók, képzések teljesítési aránya. Adja hozzá az "ellenőrzés módja" módszert minden elemhez."

4. SABLON – Az incidensre adott válaszfolyamat kártya: "Írjon egyoldalas incidensreagálási folyamatkártyát egy mesterséges intelligencia/adatvédelmi incidens esetén: lépésről lépésre (észlelés, elszigetelés, értékelés, értesítés, orvoslás), felelős szerepkör és kapcsolattartási adatok minden lépésnél, 72 órás értesítési riasztás. Legyen elég egyszerű ahhoz, hogy válsághelyzetben az asztalhoz üljön."

Gyenge felszólítás / Erős felszólítás

GYENGE: „Mit tegyünk a mesterséges intelligencia irányításáért?”-> A modell általános listát ad; szerepek, jóváhagyási útvonalak és incidensterv nem intézményspecifikusak és alkalmazhatók. ERŐS: "Egy 60 fős szervezet vagyunk. A mesterséges intelligencia irányításának működéséhez: (1) hozzon létre egy 5 feladatból álló RACI-mátrixot, (2) alacsony/közepes/magas kockázatú többszintű jóváhagyási folyamatot, (3) egy oldalas incidensreagálási kártyát 72 órás szabállyal. Legyen egyetlen "A" minden feladatban; az irányítási modell azonnal használható, egyszerű és használható szervezet.

Gyakori hibák

• Nem rögzíti a feladatokat a szerepkörhöz; A „mindenki munkája senki dolga” szakadék létrehozása.
• Egynél több "A" (végső felelős) meghatározása egy feladatnál.
• a jóváhagyási folyamat túl laza vagy túl szigorú; nem kockázat szerint rétegezve.
• Az ellenőrzést egyáltalán nem, vagy a büntetés eszközévé alakítva, a problémákat elrejteni.
• Az incidens bekövetkezte utáni incidens-elhárítási terv figyelembevétele.
• Csak azért hiányzik a 72 órás felmondási idő, hogy "először belsőleg javítsuk meg".
• A kormányzás egyszeri létrehozása, és újra nem felülvizsgálata; Ez azonban egy élő rendszer.

Összefoglalva

• Négy mechanizmus teszi működőképessé az irányítást: szerepek (RACI), többszintű jóváhagyás, rendszeres auditálás és incidensre adott válasz.
• A RACI mátrixban minden feladatnak egyetlen végső felelős személynek kell lennie (A).
• A jóváhagyási folyamatot a kockázatnak megfelelően kell szakaszolni; alacsony kockázatmentes, magas kockázatú szigorú ellenőrzés.
• A rendszeres ellenőrzés életben tartja a kormányzást; Nem büntetésként, hanem gyógyító eszközként használják.
• Az incidens-elhárítási tervet előre el kell készíteni; Személyes adatok megsértése esetén sem szabad megfeledkezni a 72 órás értesítési szabályról.

Pályázati feladat

Gyűjtsd össze szervezete teljes irányítási keretét egyetlen dokumentumban. Először hozzon létre egy legalább öt feladatból álló RACI-mátrixot; Ügyeljen arra, hogy minden feladatban csak egy „A” legyen. Ezután tervezzen meg egy rétegzett jóváhagyási folyamatot az alacsony, közepes és magas kockázathoz, és adjon hozzá használati példát, jóváhagyó szerepet és szükséges dokumentációt minden szinten. Ezután hozzon létre egy hat hónapos ellenőrzési ellenőrzőlistát. Végül írjon egy egyoldalas incidensre adott válaszkártyát egy mesterséges intelligencia/adatvédelmi incidens esetén; Tartalmazzon 72 órás értesítési riasztást és kommunikációs láncot. Ez a négy darab lesz az a dokumentum, amely a modul során tanultakat működő rendszerré alakítja.

ellenőrző lista

• [ ] Beállítottam a RACI mátrixot; Minden küldetésben csak egy "A" van.
• [ ] A kockázatnak megfelelő fokozatos jóváhagyási folyamatot terveztem.
• [ ] Az alacsony kockázatú felhasználásokat ésszerűen liberálisan hagytam.
• [ ] Hathónapos ellenőrzési ellenőrző listát készítettem.
• [ ] Az auditálást a fejlesztés eszközeként pozicionáltam.
• [ ] Írtam egy egyoldalas incidens válaszkártyát.
• [ ] Felvettem a 72 órás felmondási szabályt és a kommunikációs láncot.

Modul vizsga

1. Mi az a fogalom, amely a mesterséges intelligencia alkalmazottak általi jóváhagyatlan használatára vonatkozik, amely akkor fordul elő, ha a szervezetek nem rendelkeznek írott mesterségesintelligencia-irányelvvel?

• A) Shadow AI (shadow AI) ✔
• B) Nyitott súlyú AI
• C) Multimodális AI
• D) Felügyelt AI

Leírás: A mesterséges intelligenciának az intézmény tudta és jóváhagyása nélkül történő használatát „árnyék-AI”-nak nevezik, és komoly kockázatokat, például adatszivárgást rejt magában.

2. Mi legyen a jó vállalati AI-politika alapvető megközelítése?

• A) Az AI használatának lehető legteljesebb betiltása
• B) Olyan keretrendszer lenni, amely lehetővé teszi a felelősségteljes használatot, egyértelműséget és bizalmat ✔
• C) Csak az informatikai részleg által ismert műszaki dokumentum
• D) Legyen a lehető leghosszabb, és csak jogi nyelven legyen megírva

Magyarázat: A jó házirend nem tiltások listája, hanem olyan keretrendszer, amely lehetővé teszi a felelősségteljes használatot. A teljes betiltása nem szünteti meg a használatát; Csak láthatatlanná és ellenőrizhetetlenné teszi.

3. Mi határozza meg az adatok osztályozását, a vállalati mesterségesintelligencia-politika legkritikusabb részét?

• A) Az AI modell jelképes ára
• B) A vállalat éves mesterséges intelligencia költségvetése
• C) Melyik AI eszközbe milyen típusú adatokat lehet bevinni ✔
• D) Melyik alkalmazott milyen fizetést kap?

Leírás: Adatok osztályozása; Egyértelmű szabályokat ír elő arra vonatkozóan, hogy melyik AI-eszközbe milyen típusú nyílt, belső, bizalmas és védett adatok vihetők be és nem.

4. Mit jelent a KVKK „adatminimalizálási” (relevancia, korlátozott és arányos) elve az MI használatában?

• A) Csak a szükséges adatok bevitele az AI-ba, és nem több ✔
• B) Jobb eredményeket érhet el, ha a lehető legtöbb adatot viszi be az AI-ba
• C) Az adatok korlátlan tárolása
• D) Ügyeljen arra, hogy minden adatot külföldre továbbítson

Magyarázat: Az adatminimalizálás azt jelenti, hogy az MI-be csak a célhoz szükséges adatokat kell bevinni, és nem többet. Ha lehetséges, az adatok anonimizáltan vagy maszkolva kerülnek bevitelre.

5. Mit számít a KVKK szempontjából, ha személyes adatokat tartalmazó szöveget ír be egy mesterséges intelligencia eszközbe, amely feldolgozza az adatokat a szolgáltató szerverén?

• A) Jogi következmények nélküli rendes ügylet
• B) Olyan cselekvés, amely minden körülmények között szigorúan tilos
• C) Olyan művelet, amely csak akkor jelentős, ha az adat nyitva van
• D) Egy tranzakció és gyakran egy átutalás; Jogalapot és biztosítékot igényel ✔

Magyarázat: Ez „feldolgozás” és gyakran „átvitel”, mivel az adatok feldolgozása a szolgáltató szerverén történik (gyakran külföldön); Ehhez érvényes jogalap és megfelelő szerződés/garancia szükséges.

6. Mi az EU AI törvény alapvető megközelítése?

• A) Minden mesterséges intelligencia rendszert ugyanazoknak a szigorú szabályoknak kell alávetni
• B) Osztályozza a mesterséges intelligencia rendszereit potenciális kockázatuk szerint, és ennek megfelelően alkalmazza a szabályokat ✔
• C) Teljesen tiltsa be a mesterséges intelligencia használatát az EU-ban
• D) Csak a modell jelképes árának szabályozása

Magyarázat: Az EU MI-törvénye nem egyesíti az összes mesterséges intelligenciát; A rendszereket négy kockázati osztályba (tiltott, magas, korlátozott, minimális) osztja fel a lehetséges ártalmak szerint, és a kockázat növekedésével szigorítja a szabályokat.

7. Az EU MI-törvénye szerint melyik kockázati osztályba esne nagy valószínűséggel egy olyan mesterséges intelligencia rendszer, amely kiszűri a jelölteket a felvételi döntések során?

• A) Magas kockázat ✔
• B) Minimális kockázat
• C) Korlátozott kockázat
• D) Kockázatmentes

Leírás: Az emberek életét súlyosan befolyásoló területek, mint például a toborzás, a hitelezés és az egészségügy, általában a „magas kockázatú” kategóriába tartoznak, és szigorú kötelezettségek vonatkoznak rájuk (rögzítés, humán megfigyelés, adatminőség).

8. Az EU mesterséges intelligenciatörvénye szerint melyik kategóriába tartoznak az államilag támogatott „szociális pontozási” rendszerek, amelyek viselkedésük vagy tulajdonságaik alapján pontozzák az embereket, és társadalmilag hátrányos helyzetűek?

• A) Korlátozott kockázat
• B) Magas kockázat
• C) Tiltott (elfogadhatatlan kockázatú) gyakorlat ✔
• D) Minimális kockázat

Leírás: A közösségi pontozás, a tudatalatti manipuláció és bizonyos biometrikus megfigyelési gyakorlatok a „tiltott gyakorlatok” közé tartoznak; Ezeket a kockázat csökkentése esetén sem lehet elengedni, teljesen tilos.

9. Mi ellen védi az egyéneket a GDPR 22. cikke?

• A) Az AI-eszközök magas árai ellen
• B) Csak reklám e-mailek ellen
• C) Hiánnyal súlyozott modellek alkalmazása ellen
• D) Az embert jelentősen érintő és csak automatikusan meghozott döntések ellen ✔

Magyarázat: A GDPR 22. cikke védi az egyént az olyan döntésekkel szemben, amelyek jogilag vagy hasonlóan jelentős mértékben érintik az egyént, és kizárólag automatizált feldolgozáson alapulnak (beleértve a mesterséges intelligenciát is); Biztosítja az emberi beavatkozás és tiltakozás kérésének jogát.

10. Mi szükséges a KVKK/GDPR szempontjából, ha személyes adatokat kíván feldolgozni egy külföldi mesterségesintelligencia-szolgáltató szerverén?

• A) Nincsenek további feltételek; az adatok szabadon továbbíthatók
• B) Megfelelő biztosíték (kötelezettségnyilatkozat/normál szerződési záradékok) vagy olyan mechanizmus, mint a kifejezett hozzájárulás ✔
• C) Csak az adatok titkosítása elegendő
• D) Csak a munkavállaló szóbeli jóváhagyása elegendő

Magyarázat: A határokon átnyúló átutalásokhoz általában olyan mechanizmusokra van szükség, amelyek magukban foglalják a kifejezett hozzájárulást vagy a védelem iránti megfelelő kötelezettségvállalást (megfelelő biztosítékok, például kötelezettségvállalási nyilatkozat, általános szerződési záradékok); az adatok véletlenszerűen nem vihetők át.

11. Mi határozza meg, hogy a mesterséges intelligencia által generált kimenet a legtöbb jogrendszerben szerzői jogilag védett-e?

• A) Az emberi kreativitás szintje és hozzájárulása a tartalomhoz ✔
• B) A használt modell jelképes ára
• C) Csak a kimenet hossza
• D) Az AI eszköz származási országa

Leírás: Számos jogrendszerben a szerzői jogok védelme emberi kreativitást igényel. Minél nagyobb az emberi irányítás, szelekció, szabályozás és egyedi hozzájárulás, annál nagyobb a valószínűsége a kimenet megőrzésének.

12. Mire utal az „emberi irányítás”, az AI irányítási keretrendszer legkritikusabb elve?

• A) A mesterséges intelligencia minden döntést egyedül és automatikusan hoz meg
• B) Az emberek teljesen abbahagyják az AI használatát
• C) az AI egy eszköz; A fontos döntésekben a végső szó és a felelősség mindig az emberé ✔
• D) Csak a legdrágább modellt használja

Leírás: Az emberi kontroll elve hangsúlyozza, hogy a mesterséges intelligencia egy eszköz, és a felelősség mindig az emberé marad. A fontos döntésekben a felhatalmazott személy mondja ki a végső szót; „Az AI mondtam” nem kifogás.

13. Általában mikor kell adatvédelmi hatásvizsgálatot (DPIA) végezni?

• A) Adatvédelmi incidens bekövetkezte után
• B) A tervezési szakaszban, a nagy kockázatú feldolgozás megkezdése előtt ✔
• C) Csak ha a könyvvizsgáló kéri
• D) Rutinszerűen, évekkel a projekt után

Leírás: A DPIA-t a tervezési szakaszban el kell végezni, MIELŐTT olyan mesterséges intelligencia-feldolgozási tevékenység megkezdése előtt, amely új technológiát használ, nagy léptékű vagy szisztematikus megfigyelést foglal magában, vagy nagy kockázatot jelent az egyének számára.

14. A KVKK „célkorlátozási” és megőrzési elveivel összhangban mit kell tenni az AI-eszköz chat-előzményeiben szereplő személyes adatokkal?

• A) Örökké meg kell őrizni
• B) Nincs szükség szabályokra, ez a szolgáltató problémája
• C) Évente csak a vezető kérésére kerül felülvizsgálatra.
• D) Tárolási és megsemmisítési szabályzathoz kell kapcsolni, és törölni kell vagy névtelenné kell tenni, amikor a cél elkészült ✔

Magyarázat: A személyes adatok nem tárolhatók tovább, mint a feldolgozás céljához szükséges. A mesterséges intelligencia csevegési előzményeit a megőrzési és megsemmisítési politikához is hozzá kell kötni; Ha a cél már nem létezik, törölni kell, vagy névtelenné kell tenni.

15. Milyen nyilvántartás szükséges ahhoz, hogy a bizonyos küszöbértékeket túllépő adatkezelők személyes adatkezelési tevékenységeiket Türkiye területén regisztrálják?

• A) VERBIS (Adatkezelők Nyilvántartási Információs Rendszere) ✔
• B) MERSIS cégjegyzék
• C) EU AI jogi adatbázis
• D) ADÓZÓ NYILVÁNTARTÁS

Leírás: A VERBIS (Adatkezelők Nyilvántartási Információs Rendszere) az a hivatalos nyilvántartás, ahol az adatkezelők nyilvántartják feldolgozási leltárukat; Az új mesterséges intelligencia alapú feldolgozási tevékenységnek tükröződnie kell a leltárban, és szükség esetén a VERBIS rekordban is.