Keuntungan:
- Mendefinisikan peran tata kelola dengan matriks RACI
- Menetapkan proses persetujuan yang seimbang dan program audit rutin
- Menerapkan rencana respons insiden AI dan pelanggaran data dengan aturan 72 jam
Dari unit pertama hingga saat ini, kami menulis kebijakan, mempelajari peraturan perundang-undangan, dan mengevaluasi risikonya. Sekarang saatnya untuk memasukkan semua ini ke dalam sistem yang berfungsi. Tidak peduli seberapa baik suatu kebijakan ditulis, jika tidak ada peran, alur persetujuan, audit, dan respons terhadap insiden di baliknya, maka kebijakan tersebut akan tetap disimpan sebagai sebuah dokumen. Dalam unit penutup ini, kami menggabungkan empat mekanisme yang menjaga tata kelola AI tetap hidup—peran (RACI), proses persetujuan, audit reguler, dan respons insiden—dan melengkapi kerangka kerja tersebut.
Mengklarifikasi peran: matriks RACI
Aturan tata kelola yang pertama: setiap tugas harus ada pemiliknya. Alat klasik untuk memperjelas hal ini adalah matriks RACI. RACI berasal dari inisial empat peran:
- R (Penanggung Jawab/Pelaku) : Orang yang benar-benar melaksanakan pekerjaan.
- A (Akuntable): Seharusnya hanya ada satu orang yang bertanggung jawab penuh.
- C (Berkonsultasi) : Yang diajak pendapatnya.
- Saya (Diinformasikan): Diinformasikan.
Pencarian
Dibuat oleh (kanan)
Akuntabel (A)
Dikonsultasikan (C)
Diinformasikan (Saya)
Menulis kebijakan
petugas AI
manajer kepatuhan
Hukum, TI, SDM
manajemen senior
Persetujuan kendaraan baru
TI/keamanan
manajer kepatuhan
hukum
satuan bisnis
Eksekusi DPIA
Petugas perlindungan data
manajer kepatuhan
Tim terkait
manajemen senior
respons pelanggaran
tim keamanan
manajemen senior
hukum, komunikasi
seluruh institusi
Audit
audit internal
manajer kepatuhan
Satuan
manajemen senior
Tip: Miliki hanya satu "A" (Akuntansi) per baris. Dua pada akhirnya bertanggung jawab, nol bertanggung jawab; Dari sinilah ungkapan "Saya pikir Anda sedang melihat" pada saat krisis berasal. Menetapkan tanggung jawab pada satu peran adalah aturan umum dalam tata kelola.
Proses persetujuan yang seimbang
Alat AI baru atau penggunaannya memerlukan proses persetujuan. Dua jebakan dihindari: terlalu longgar (semuanya gratis, bayangan AI) dan terlalu kaku (semuanya menunggu persetujuan berbulan-bulan, tidak ada yang mengganggu). Pertukarannya adalah persetujuan bertahap berdasarkan risiko:
Tingkat risiko
contoh
Jalur persetujuan
rendah
Draf teks dengan data terbuka
Tidak diperlukan persetujuan, bebas sesuai kebijakan
sedang
Analisis dengan data internal
Manajer unit + persyaratan kendaraan yang disetujui
tinggi
Data pribadi/pribadi, keputusan otomatis
Kepatuhan + persetujuan hukum + DPIA
Melepaskan penggunaan berisiko rendah memungkinkan tim untuk mengambil kepemilikan atas proses tersebut; Menempatkan perusahaan-perusahaan yang berisiko tinggi di bawah kendali ketat akan mengelola risiko nyata. Jadi, prosesnya cepat dan aman.
Inspeksi rutin
Pemerintahan adalah suatu sistem yang hidup; Tanpa pengawasan rutin, ia akan mati. Pemeriksaan audit: apakah kendaraan yang digunakan masih dalam daftar yang disetujui, apakah ada tanda-tanda AI bayangan, apakah periode retensi diterapkan, apakah DPIA mutakhir, apakah ada insiden yang tercatat. Frekuensi audit ditentukan oleh risiko (misalnya setiap triwulan untuk sistem berisiko tinggi, setiap enam bulan untuk sistem umum).
Perhatian: Audit bukanlah alat untuk “menyalahkan seseorang”, melainkan alat untuk “memperbaiki sistem”. Budaya audit yang berfokus pada hukuman mendorong karyawan untuk menyembunyikan masalah dan mengembangkan AI bayangan. Tujuannya adalah untuk melihat dan memperbaiki masalah sejak dini.
Respons insiden dan aturan 72 jam
Tidak peduli seberapa baik pengelolaannya, suatu hari sebuah insiden akan terjadi: kebocoran data, keputusan AI yang salah, data rahasia masuk ke alat yang salah. Rencana respons insiden menentukan apa yang harus dilakukan:
- Deteksi dan pembendungan: Kenali insiden tersebut, hentikan penyebarannya (misalnya memutus akses).
- Evaluasi: Data apa, berapa banyak orang, berapa banyak yang terdampak?
- Pemberitahuan: Jika terjadi pelanggaran data pribadi, beri tahu otoritas terkait (Pengurus KVKK) dan orang terkait bila diperlukan. GDPR memerlukan pemberitahuan kepada pihak berwenang dalam waktu 72 jam setelah mengetahui pelanggaran tersebut; KVKK juga mengharapkan pemberitahuan "sesegera mungkin".
- Koreksi dan pembelajaran: Perbaiki akar permasalahan, ambil tindakan untuk mencegah hal serupa, dokumentasikan kejadian tersebut.
Perhatian: Periode pemberitahuan 72 jam dimulai dari saat Anda mengetahui kejadian tersebut; Pendekatan “mari kita selesaikan secara internal dulu, baru kami kabari” akan meleset dari tenggat waktu. Mempersiapkan rencana respons insiden dan rantai komunikasi terlebih dahulu akan menghemat waktu selama krisis.
tiga kasus mini
Kasus 1 — Tugas yang tidak diklaim. Sebuah perusahaan memiliki kebijakan AI, namun tidak jelas "siapa yang memperbarui daftar alat yang disetujui". Daftar ini tidak diperbarui selama 8 bulan, tim mulai menggunakan alat yang tidak ada dalam daftar. Jika matriks RACI menyematkan tugas ini ke suatu peran, kesenjangan tidak akan terjadi.
Kasus 2 — 72 jam terlewatkan. Seorang karyawan memasukkan daftar pembelanja misterius ke alat yang salah. Tim mencoba menyelesaikan masalah ini secara internal dan menginformasikan kepada hukum tiga hari kemudian. Ngomong-ngomong, masa notifikasi sudah lewat. Rencana tanggap insiden yang telah disiapkan dan rantai komunikasi yang jelas akan mengarahkan insiden tersebut ke jalur yang tepat dalam waktu satu jam pertama.
Kasus 3 — Shadow AI tertangkap dalam audit. Sebuah organisasi mendeteksi tiga alat AI yang tidak disetujui dalam lalu lintas jaringan selama audit rutin setengah tahunan. Alih-alih memberikan hukuman, dia berbicara kepada tim, memahami mengapa mereka membutuhkan alat ini, mengevaluasi keduanya dan menambahkannya ke daftar yang disetujui. Audit menutup risiko dan membuat kebutuhan nyata terlihat.
Templat yang dapat disalin
TEMPLATE 1 — Garis besar matriks RACI: "Rancang matriks RACI untuk tata kelola AI organisasi kami. Tugas: penulisan kebijakan, persetujuan alat, DPIA, respons terhadap pelanggaran, audit, pelatihan. Peran: pimpinan AI, manajer kepatuhan, hukum, TI, SDM, manajemen senior. Hanya satu 'A' di setiap peran."
TEMPLATE 2 — Alur persetujuan berjenjang: "Rancang proses persetujuan AI berjenjang berdasarkan risiko: pisahkan jalur persetujuan untuk risiko rendah/menengah/tinggi. Tulis contoh penggunaan, peran pemberi persetujuan, dan dokumen yang diperlukan (DPIA, dll.) untuk setiap tingkat. Jadikan prosesnya cepat dan aman."
TEMPLATE 3 — Daftar periksa audit: "Siapkan daftar periksa untuk audit tata kelola AI enam bulan: kepatuhan alat yang disetujui, indikasi AI bayangan, periode retensi, mata uang DPIA, log peristiwa, tingkat penyelesaian pelatihan. Tambahkan metode 'cara memeriksa' ke setiap item."
TEMPLATE 4 — Kartu alur respons insiden: "Tulis kartu alur respons insiden satu halaman untuk pelanggaran AI/data: langkah demi langkah (deteksi, penahanan, penilaian, pemberitahuan, remediasi), peran yang bertanggung jawab dan informasi kontak di setiap langkah, peringatan pemberitahuan 72 jam. Buatlah agar cukup sederhana untuk dibahas dalam krisis."
Perintah lemah / Perintah kuat
LEMAH: “Apa yang harus kita lakukan untuk tata kelola AI?”-> Model ini memberikan daftar umum; peran, jalur persetujuan, dan rencana insiden tidak spesifik dan dapat diterapkan pada institusi tertentu. KUAT: "Kami adalah organisasi yang beranggotakan 60 orang. Agar tata kelola AI berfungsi: (1) Menghasilkan matriks RACI 5 tugas, (2) alur persetujuan berjenjang untuk risiko rendah/menengah/tinggi, (3) kartu respons insiden satu halaman dengan aturan 72 jam. Biarkan ada satu 'A' di setiap tugas; sederhana dan dapat diterapkan."-> Model ini menghasilkan alat tata kelola yang spesifik untuk organisasi dan dapat langsung digunakan.
Kesalahan umum
- Tidak menetapkan tugas pada peran tersebut; Menciptakan kesenjangan “pekerjaan setiap orang bukanlah urusan siapa pun”.
- Mendefinisikan lebih dari satu "A" (penanggung jawab utama) pada suatu tugas.
- Membuat proses persetujuan menjadi terlalu longgar atau terlalu ketat; tidak membuat stratifikasi berdasarkan risiko.
- Tidak melakukan pemeriksaan sama sekali atau menjadikannya sebagai alat penghukuman dan menyembunyikan permasalahan.
- Mengingat rencana tanggap kejadian setelah kejadian terjadi.
- Melewatkan periode pemberitahuan 72 jam hanya untuk "mari kita perbaiki secara internal terlebih dahulu".
- Menetapkan tata kelola satu kali dan tidak mengkaji ulang; Namun, ini adalah sistem kehidupan.
Singkatnya
- Ada empat mekanisme yang membuat tata kelola berjalan baik: peran (RACI), persetujuan berjenjang, audit reguler, dan respons insiden.
- Dalam matriks RACI, setiap tugas harus memiliki satu orang yang bertanggung jawab (A).
- Proses persetujuan harus dilakukan berdasarkan risiko; bebas risiko rendah, kontrol ketat risiko tinggi.
- Audit rutin menjaga tata kelola tetap berjalan; Ini digunakan sebagai sarana penyembuhan, bukan hukuman.
- Rencana tanggap insiden harus dipersiapkan sebelumnya; Aturan pemberitahuan 72 jam tidak boleh dilupakan jika terjadi pelanggaran data pribadi.
Tugas aplikasi
Kumpulkan kerangka tata kelola yang lengkap untuk organisasi Anda dalam satu dokumen. Pertama-tama buatlah matriks RACI yang terdiri dari setidaknya lima tugas; Pastikan hanya ada satu "A" di setiap tugas. Kemudian rancang alur persetujuan berjenjang untuk risiko rendah, sedang, dan tinggi, serta tambahkan contoh penggunaan, peran persetujuan, dan dokumentasi yang diperlukan di setiap tingkat. Kemudian buatlah daftar periksa audit enam bulan. Terakhir, tulis kartu respons insiden satu halaman untuk pelanggaran AI/data; Sertakan peringatan notifikasi 72 jam dan rantai komunikasi. Keempat bagian ini akan menjadi dokumen yang mengubah apa yang telah Anda pelajari sepanjang modul menjadi sistem kerja.
daftar periksa
- [ ] Saya menyiapkan matriks RACI; Hanya ada satu "A" di setiap misi.
- [ ] Saya merancang alur persetujuan bertahap berdasarkan risiko.
- [ ] Saya membiarkan penggunaan berisiko rendah menjadi cukup liberal.
- [ ] Saya menyiapkan daftar periksa audit enam bulan.
- [ ] Saya memposisikan audit sebagai alat untuk perbaikan.
- [ ] Saya menulis kartu respons insiden satu halaman.
- [ ] Saya telah menyertakan aturan pemberitahuan 72 jam dan rantai komunikasi.
Ujian Modul
1. Apa konsep yang mengacu pada penggunaan AI yang tidak disetujui oleh karyawan yang terjadi ketika organisasi tidak memiliki kebijakan AI tertulis?
- A) Bayangan AI (bayangan AI) ✔
- B) AI berbobot terbuka
- C) AI multimoda
- D) AI yang diawasi
Deskripsi: Penggunaan AI tanpa sepengetahuan dan persetujuan institusi disebut 'shadow AI' dan menimbulkan risiko serius seperti kebocoran data.
2. Apa yang harus menjadi pendekatan dasar dalam kebijakan AI perusahaan yang baik?
- A) Melarang penggunaan AI semaksimal mungkin
- B) Menjadi kerangka kerja yang memungkinkan penggunaan yang bertanggung jawab dan memberikan kejelasan dan kepercayaan ✔
- C) Menjadi dokumen teknis yang hanya diketahui oleh departemen TI
- D) Sepanjang mungkin dan ditulis hanya dalam bahasa hukum
Penjelasan: Kebijakan yang baik bukanlah sebuah daftar larangan, namun sebuah kerangka kerja yang memungkinkan penggunaan yang bertanggung jawab. Melarang sepenuhnya tidak akan menghilangkan penggunaan; Itu hanya membuatnya tidak terlihat dan tidak terkendali.
3. Apa yang menentukan klasifikasi data, yang merupakan bagian paling penting dari kebijakan AI perusahaan?
- A) Harga token model AI
- B) Anggaran AI tahunan perusahaan
- C) Jenis data apa yang dapat dimasukkan ke dalam alat AI yang mana ✔
- D) Karyawan mana yang akan menerima gaji yang berapa?
Deskripsi: Klasifikasi data; Perjanjian ini menetapkan aturan yang jelas tentang jenis data terbuka, internal, rahasia, dan hak milik apa yang dapat dan tidak dapat dimasukkan ke dalam alat AI mana.
4. Apa yang dimaksud dengan prinsip “minimalkan data” (relevansi, terbatas dan proporsional) KVKK dalam penggunaan AI?
- A) Memasukkan hanya data yang diperlukan ke dalam AI dan tidak lebih ✔
- B) Dapatkan hasil yang lebih baik dengan memasukkan data sebanyak mungkin ke dalam AI
- C) Menyimpan data tanpa batas waktu
- D) Pastikan untuk mentransfer semua data ke luar negeri
Penjelasan: Minimalkan data mengacu pada memasukkan ke dalam AI hanya data yang diperlukan untuk tujuan tersebut dan tidak lebih. Jika memungkinkan, data dimasukkan secara anonim atau disamarkan.
5. Apa saja yang diperhatikan dalam KVKK saat memasukkan teks berisi data pribadi ke dalam alat AI yang memproses data di server penyedia?
- A) Transaksi biasa tanpa akibat hukum
- B) Suatu tindakan yang dilarang keras dalam keadaan apa pun
- C) Suatu operasi yang signifikan hanya jika datanya terbuka
- D) Suatu transaksi dan seringkali transfer; Membutuhkan dasar hukum dan jaminan ✔
Penjelasan: Ini adalah 'pemrosesan' dan seringkali 'transfer' karena data diproses di server penyedia (seringkali di luar negeri); Hal ini memerlukan dasar hukum yang sah dan kontrak/jaminan yang sesuai.
6. Apa pendekatan dasar UU AI UE?
- A) Mengarahkan semua sistem AI pada aturan ketat yang sama
- B) Klasifikasikan sistem AI berdasarkan potensi risikonya dan terapkan aturan yang sesuai ✔
- C) Melarang sepenuhnya penggunaan AI di seluruh UE
- D) Hanya mengontrol harga token model
Penjelasan: Undang-undang AI UE tidak menyatukan semua AI; Peraturan ini membagi sistem ke dalam empat kelas risiko (dilarang, tinggi, terbatas, minimal) sesuai dengan potensi bahayanya dan memperketat aturan seiring dengan meningkatnya risiko.
7. Menurut Undang-Undang AI UE, sistem AI yang menyaring kandidat dalam pengambilan keputusan perekrutan kemungkinan besar termasuk dalam kelas risiko manakah?
- A) Resiko tinggi ✔
- B) Risiko minimal
- C) Risiko terbatas
- D) Bebas risiko
Deskripsi: Bidang-bidang yang berdampak serius terhadap kehidupan masyarakat, seperti perekrutan, kredit dan layanan kesehatan, umumnya masuk dalam kategori 'berisiko tinggi' dan tunduk pada kewajiban yang ketat (pencatatan, pemantauan manusia, kualitas data).
8. Berdasarkan UU AI Uni Eropa, sistem “penilaian sosial” yang disponsori negara, yang memberikan penilaian berdasarkan perilaku atau karakteristik dan merugikan mereka secara sosial, termasuk dalam kategori apa?
- A) Risiko terbatas
- B) Resiko tinggi
- C) Praktek yang dilarang (risiko yang tidak dapat diterima) ✔
- D) Risiko minimal
Deskripsi: Penilaian sosial, manipulasi subliminal, dan praktik pengawasan biometrik tertentu termasuk di antara 'praktik yang dilarang'; Ini tidak dapat dilepaskan meskipun risikonya dikurangi, dan sepenuhnya dilarang.
9. Pasal 22 GDPR melindungi individu dari hal apa?
- A) Melawan tingginya harga alat AI
- B) Hanya terhadap email iklan
- C) Menentang penggunaan model berbobot defisit
- D) Terhadap keputusan yang secara signifikan mempengaruhi orang tersebut dan hanya dibuat secara otomatis ✔
Penjelasan: Pasal 22 GDPR melindungi individu dari keputusan yang memengaruhi individu hingga tingkat signifikan secara hukum atau serupa dan hanya didasarkan pada pemrosesan otomatis (termasuk AI); Ini memberikan hak untuk meminta intervensi dan objek manusia.
10. Apa saja yang diperlukan dalam KVKK/GDPR ketika ingin memproses data pribadi di server penyedia AI di luar negeri?
- A) Tidak ada ketentuan tambahan; data dapat ditransfer secara bebas
- B) Jaminan yang sesuai (surat perjanjian/klausul kontrak standar) atau mekanisme seperti persetujuan tegas ✔
- C) Hanya enkripsi data yang cukup
- D) Hanya persetujuan lisan dari karyawan saja sudah cukup
Penjelasan: Transfer lintas batas negara, pada umumnya, memerlukan mekanisme yang mencakup persetujuan eksplisit atau komitmen yang memadai terhadap perlindungan (perlindungan yang sesuai seperti surat perjanjian, klausul kontrak standar); data tidak dapat ditransfer secara acak.
11. Apa yang menentukan apakah keluaran yang dihasilkan AI dapat dilindungi hak cipta di sebagian besar sistem hukum?
- A) Tingkat kreativitas dan kontribusi manusia dalam konten ✔
- B) Harga token model yang digunakan
- C) Hanya panjang keluarannya
- D) Negara asal alat AI
Deskripsi: Dalam banyak sistem hukum, perlindungan hak cipta memerlukan kreativitas manusia. Semakin besar pengarahan, seleksi, regulasi, dan kontribusi unik manusia, semakin besar kemungkinan untuk melestarikan keluarannya.
12. Apa yang dimaksud dengan “kontrol manusia”, yang merupakan prinsip paling penting dalam kerangka tata kelola AI?
- A) AI membuat semua keputusan sendiri dan otomatis
- B) Orang-orang berhenti menggunakan AI sepenuhnya
- C) AI adalah sebuah alat; Keputusan akhir dan tanggung jawab dalam keputusan penting selalu menjadi milik orang tersebut ✔
- D) Gunakan hanya model yang paling mahal
Deskripsi: Prinsip pengendalian manusia menekankan bahwa AI adalah alat dan tanggung jawab selalu ada pada manusia. Orang yang berwenang mempunyai keputusan akhir dalam pengambilan keputusan penting; 'AI bilang begitu' bukanlah alasan.
13. Kapan Penilaian Dampak Perlindungan Data (DPIA) biasanya dilakukan?
- A) Setelah pelanggaran data terjadi
- B) Pada tahap desain, sebelum memulai pemrosesan berisiko tinggi ✔
- C) Hanya jika auditor memintanya
- D) Secara rutin, bertahun-tahun setelah proyek
Deskripsi: DPIA harus dilakukan pada tahap desain SEBELUM memulai aktivitas pemrosesan AI yang menggunakan teknologi baru, melibatkan pemantauan skala besar atau sistematis, atau menimbulkan risiko tinggi bagi individu.
14. Sesuai dengan "batasan tujuan" dan prinsip penyimpanan KVKK, apa yang harus dilakukan untuk data pribadi dalam riwayat obrolan alat AI?
- A) Itu harus disimpan selamanya
- B) Tidak diperlukan aturan, itu masalah penyedia
- C) Ditinjau setiap tahun hanya atas permintaan manajer.
- D) Itu harus dikaitkan dengan kebijakan penyimpanan dan pemusnahan, dan harus dihapus atau dianonimkan ketika tujuannya selesai ✔
Penjelasan: Data pribadi tidak dapat disimpan lebih lama dari yang diperlukan untuk tujuan pemrosesannya. Riwayat obrolan AI juga harus dikaitkan dengan kebijakan penyimpanan dan pemusnahan; Ketika tujuannya sudah tidak ada lagi, maka harus dihapus atau dianonimkan.
15. Registri mana yang diperlukan bagi pengontrol data yang melebihi ambang batas tertentu untuk mendaftarkan aktivitas pemrosesan data pribadi mereka di Türkiye?
- A) VERBIS (Sistem Informasi Registri Pengontrol Data) ✔
- B) pendaftaran perdagangan MERSIS
- C) Basis data Hukum AI UE
- D) DAFTAR WAJIB PAJAK
Deskripsi: VERBIS (Sistem Informasi Registri Pengontrol Data) adalah registri resmi tempat pengontrol data mendaftarkan inventaris pemrosesan mereka; Aktivitas pemrosesan baru berbasis AI harus tercermin dalam inventaris dan, jika perlu, dalam catatan VERBIS.