Keuntungan:
- Terapkan kriteria evaluasi sebelum membeli alat AI
- Mengenali item yang harus dicari dalam perjanjian pemrosesan data (DPA) dan kartu model
- Buat daftar kendaraan yang disetujui dan penilaian risiko vendor
Apa yang Anda lakukan ketika unit bisnis mendatangi Anda dan berkata "kami ingin menggunakan alat AI baru itu, itu akan sangat berguna"? Mengatakan “tidak mungkin” memberi makan bayangan AI; Mengatakan "ok" membuka risiko yang tidak terkendali. Jawaban yang benar adalah dengan menjalankan proses evaluasi kendaraan. Dalam unit ini kita akan mempelajari pertanyaan apa yang harus diajukan sebelum membeli/mensertifikasi kendaraan AI, apa yang harus dicari dalam perjanjian pemrosesan data (DPA) dan kartu model, dan bagaimana menyaring semua ini ke dalam daftar kendaraan yang disetujui dan skor risiko vendor.
Mengapa evaluasi perlu dilakukan?
Setiap alat AI adalah pemroses data: alat ini memproses data organisasi. Menyetujui alat yang salah berarti menyerahkan data pribadi organisasi kepada pihak ketiga (dan seringkali di luar negeri) dengan cara yang tidak terkendali. Pertanyaan inti yang harus dijawab sebelum menyetujui suatu alat:
- Di mana ia memproses dan menyimpan data (di negara mana)?
- Apakah itu menggunakan data kami dalam pelatihan model? Bisakah itu dimatikan (opt-out)?
- Apakah ia menawarkan perjanjian pemrosesan data (DPA)?
- Apakah ada sertifikasi keamanan (misalnya ISO 27001)?
- Berapa lama riwayat chat disimpan dan apakah bisa dihapus?
- Apakah ada komitmen untuk memberi tahu kami jika ada pelanggaran keamanan?
Perjanjian pemrosesan data (DPA)
Perjanjian Pemrosesan Data (DPA) adalah kontrak yang ditandatangani antara pengontrol data (lembaga) dan pemroses data (penyedia AI) yang menentukan cara data akan diproses. KVKK dan GDPR sebagian besar mengamanatkan hal ini. Item yang harus dicari dalam DPA:
penting
Apa yang harus diberikannya?
Ruang lingkup dan tujuan pemrosesan
Biarkan penyedia beroperasi hanya berdasarkan instruksi kami
Subprosesor
Kepada siapa itu ditransfer? Apakah sudah diberitahukan sebelumnya?
Jaminan transfer
Klausul kontrak standar atau yang setara
Langkah-langkah keamanan
Enkripsi, kontrol akses, ISO 27001
Pemberitahuan pelanggaran
Memberitahukan kepada kami dalam jangka waktu tertentu apabila terjadi pelanggaran
Penghapusan/pengembalian
Komitmen untuk menghapus/mengembalikan data di akhir kontrak
Hak untuk mengaudit
Kemampuan untuk mengaudit penyedia atau menerima laporan
Hati-hati: Sebagian besar paket AI “gratis” dan “individu” tidak menawarkan DPA dan mungkin menggunakan data untuk pelatihan model. Untuk penggunaan korporat, paket korporat/bisnis yang menawarkan DPA dan jaminan pendidikan tidak ikut serta harus lebih diutamakan. Paket gratis sering kali merupakan paket yang datanya “berbayar”.
Kartu model dan transparansi
Kartu model adalah dokumen yang menjelaskan tujuan model AI dirancang, data apa yang digunakan untuk melatihnya, keterbatasannya, dan risiko yang diketahui. Penyedia yang baik membagikan ini. Hal-hal yang perlu diperhatikan dalam kartu model: tujuan penggunaan model, batasan dan risiko bias yang diketahui, penggunaan yang tidak disarankan, dan catatan kinerja/keamanan. Jika kartu modelnya hilang atau sangat kabur, hal ini merupakan tanda peringatan.
tiga kasus mini
Kasus 1 — Biaya paket gratis. Tim akuntansi mulai memproses data keuangan pelanggan dengan alat AI gratis. Alat ini tidak menawarkan DPA dan menyatakan dalam ketentuannya bahwa alat tersebut dapat menggunakan data untuk pelatihan model. Petugas kepatuhan memperhatikan hal ini dan melarang alat tersebut, menyetujui alternatif perusahaan yang menawarkan DPA. Perbedaan: beberapa ratus TL per bulan untuk lisensi, dll. Kemungkinan denda jutaan pound.
Kasus 2 — Kejutan subprosesor. Sebuah perusahaan menemukan dalam audit beberapa bulan kemudian bahwa alat AI yang disetujuinya mentransfer data ke subprosesor di tiga negara berbeda. Karena tidak ada klausul "sub-pemroses harus diberitahukan terlebih dahulu" dalam DPA, perusahaan tidak menyadarinya. Pelajaran: Klausa dalam DPA yang membuat rantai subprosesor terlihat adalah suatu keharusan.
Kasus 3 — Keputusan dengan penilaian. Sebuah organisasi menetapkan tabel skor risiko vendor dengan 8 kriteria untuk membandingkan tiga alat AI (DPA, lokasi data, pelatihan opt-out, ISO 27001, pemberitahuan pelanggaran, penghapusan, kartu pola, harga). Hasil pemeringkatan menyoroti alat yang bukan paling populer, namun paling kompatibel. Keputusan ini didasarkan pada skor yang dapat didokumentasikan dan bukan berdasarkan penilaian subjektif “Saya menyukainya”.
Tip: Kelola daftar kendaraan yang disetujui sebagai "daftar putih": hanya izinkan kendaraan yang ada dalam daftar. Daftar hitam harus diperbarui dengan setiap alat baru dan selalu tertinggal satu langkah; daftar putih aman secara default.
Risiko keluar dan kecanduan
Pertanyaan yang dilewati sebagian besar lembaga ketika menyetujui suatu kendaraan adalah: “Apa yang terjadi jika kita ingin keluar dari kendaraan ini?” Evaluasi yang baik mempertimbangkan jalan keluar dan masuknya. Ada dua risiko yang menonjol. Yang pertama adalah portabilitas data: ketika Anda keluar dari penyedia, dapatkah Anda mendapatkan data dan konfigurasi Anda kembali dalam format standar, atau apakah data terkunci di penyedia? Yang kedua adalah vendor lock-in: proses bisnis mungkin begitu terikat pada satu alat sehingga biaya keluar menjadi tidak tertahankan ketika penyedia menaikkan harga atau mengganggu layanan.
Oleh karena itu, merupakan praktik yang baik untuk menambahkan baris "rencana keluar" ke catatan konfirmasi: bagaimana cara kami mendapatkan kembali datanya, apa alat alternatifnya, berapa lama waktu yang dibutuhkan untuk transisi. Bahkan jika penyedia layanan menutup layanannya suatu hari nanti, organisasi akan siap.
Perhatian: Hanya karena sebuah kendaraan populer atau murah bukan berarti kendaraan tersebut ramah lingkungan. Penyedia kecil mungkin tutup, diakuisisi, atau tiba-tiba mengubah kebijakannya. Sebelum menghubungkan proses penting ke satu alat, pertimbangkan skenario keluar.
Templat yang dapat disalin
TEMPLATE 1 — Kumpulan pertanyaan evaluasi vendor: "Siapkan pertanyaan evaluasi untuk ditanyakan kepada vendor sebelum menyetujui alat AI baru. Termasuk: lokasi data, penggunaan dan pilihan untuk tidak mengikuti pelatihan model, kehadiran DPA, sertifikat keamanan, periode penyimpanan, pemberitahuan pelanggaran, subprosesor, komitmen penghapusan. Sertakan jawaban 'aman' yang diharapkan untuk setiap pertanyaan."
TEMPLATE 2 — Daftar periksa klausa DPA: "Periksa draf DPA di bawah [tempel teks] untuk klausa berikut: ruang lingkup pemrosesan, sub-pemroses, jaminan transfer, tindakan keamanan, periode pemberitahuan pelanggaran, penghapusan/pengembalian, hak audit. Tandai 'ada / hilang / tidak pasti' untuk setiap klausa. Ingatkan bahwa persetujuan hukum diperlukan; jangan membuat penilaian akhir."
TEMPLATE 3 — Papan skor risiko vendor: "Siapkan papan skor risiko 8 kriteria untuk membandingkan 3 alat AI: DPA, lokasi data, pelatihan opt-out, ISO 27001, pemberitahuan pelanggaran, penghapusan, kartu pola, biaya. Biarkan setiap kriteria menjadi 0-3 poin, tambahkan total dan kolom rekomendasi. Berikan template kosong, saya akan mengisinya."
TEMPLATE 4 — Entri daftar alat yang disetujui: "Draf entri baru dalam daftar alat AI yang disetujui: nama alat, tujuan penggunaan yang disetujui, kelas data mana yang diperbolehkan (publik/internal/rahasia), tipe data yang dilarang, unit yang bertanggung jawab, tanggal persetujuan, tanggal peninjauan. Dalam format catatan satu baris."
Perintah lemah / Perintah kuat
LEMAH: “Apakah alat AI ini aman?”-> Mengulangi janji pemasaran alat model; Itu tidak mengevaluasi kriteria konkrit seperti DPA, lokasi data, penggunaan pelatihan. KUAT: "Saya akan mengevaluasi alat AI ini untuk penggunaan perusahaan. Informasi apa yang harus saya minta dari penyedia berdasarkan 8 kriteria berikut (DPA, lokasi data, pelatihan opt-out, ISO 27001, pemberitahuan pelanggaran, penyimpanan, subprosesor, kartu model) dan apa yang harus menjadi ambang batas 'dapat diterima' di setiap kriteria? Berikan dalam format lembar periksa." -> Model menghasilkan kerangka evaluasi yang konkrit dan dapat diverifikasi.
Kesalahan umum
- Menggunakan paket gratis/individu dengan data perusahaan; Tidak menyadari tidak ada DPA dan memilih keluar.
- Menyetujui alat berdasarkan janji pemasaran, bukan menanyakan lokasi data dan penggunaan pendidikan.
- Berbagi data tanpa menandatangani DPA atau memeriksa klausul subprosesor.
- Menyetujui kendaraan tanpa/tidak memiliki kartu model tertentu tanpa pertanyaan apa pun.
- Menyimpan daftar larangan alih-alih daftar putih dan tetap tinggal di belakang setiap kendaraan baru.
- Tidak meninjau ulang kendaraan setelah disetujui (kondisi berubah).
- Mendasarkan pemilihan vendor pada preferensi subjektif, bukan skor yang dapat disertifikasi.
Singkatnya
- Setiap alat AI adalah pemroses data; Evaluasi sistematis sangat penting sebelum persetujuan.
- Perjanjian Pengolahan Data (DPA) merupakan dokumen dasar yang mengikat data; Ini harus mencakup klausul cakupan, subprosesor, keamanan, pelanggaran, dan penghapusan.
- Paket gratis/individu sering kali tidak menawarkan DPA dan menggunakan data untuk pelatihan; Rencana perusahaan harus diutamakan.
- Kartu model menunjukkan batasan dan risiko model; Ketidakhadirannya merupakan tanda peringatan.
- Alat yang disetujui harus dikelola sebagai daftar putih, dan vendor harus dikelola dengan skor risiko yang dapat didokumentasikan.
Tugas aplikasi
Pilih tiga alat AI nyata yang mungkin ingin digunakan organisasi Anda. Siapkan tabel skor risiko vendor dengan delapan kriteria (DPA, lokasi data, pelatihan opt-out, sertifikasi keamanan, pemberitahuan pelanggaran, retensi, kartu model, biaya) dan beri skor pada setiap kendaraan dari 0-3 berdasarkan kriteria ini. Kemudian tulis entri daftar kendaraan yang disetujui untuk kendaraan dengan skor tertinggi: tujuan penggunaan yang disetujui, kelas data yang diizinkan, tipe data yang dilarang, entitas yang bertanggung jawab, dan tanggal peninjauan. Terakhir, catat lima item yang pasti ingin Anda lihat di DPA kendaraan dan mengapa masing-masing item itu penting.
daftar periksa
- [ ] Saya mengajukan pertanyaan evaluasi sebelum menyetujui alat tersebut.
- [ ] Saya mengklarifikasi lokasi data dan kasus penggunaan dalam pelatihan model.
- [ ] Saya memeriksa keberadaan DPA dan item kritisnya.
- [ ] Saya memeriksa kartu model; Saya melihat batasan dan risikonya.
- [ ] Saya mengevaluasi vendor dengan skor risiko yang dapat didokumentasikan.
- [] Saya menambahkan alat tersebut ke daftar putih dengan kelas data yang diizinkan.
- [ ] Saya menetapkan tanggal peninjauan.