Guadagni:
- Applica criteri di valutazione prima di acquistare uno strumento AI
- Riconoscere gli elementi da ricercare nel contratto sul trattamento dei dati (DPA) e nella scheda modello
- Creare l'elenco dei veicoli approvati e il punteggio del rischio del fornitore
Cosa fai quando un'unità aziendale viene a casa tua e dice "vogliamo usare quel nuovo strumento di intelligenza artificiale, sarà molto utile"? Dire "assolutamente no" alimenta l'IA ombra; Dire "ok" apre a rischi incontrollati. La risposta corretta è eseguire un processo di valutazione del veicolo. In questa unità impareremo quali domande porre prima di acquistare/certificare un veicolo AI, cosa cercare in un accordo sul trattamento dei dati (DPA) e in una scheda modello e come distillare tutto questo in un elenco di veicoli approvati e in un punteggio di rischio del fornitore.
Perché è necessaria la valutazione?
Ogni strumento di intelligenza artificiale è un elaboratore di dati: elabora i dati dell'organizzazione. Approvare lo strumento sbagliato significa consegnare i dati personali dell'organizzazione a terzi (e spesso all'estero) in modo incontrollato. Domande fondamentali a cui rispondere prima di approvare uno strumento:
- Dove elabora e archivia i dati (quale paese)?
- Utilizza i nostri dati nell'addestramento del modello? Può essere disattivato (opt-out)?
- Offre un accordo sul trattamento dei dati (DPA)?
- Esistono certificazioni di sicurezza (es. ISO 27001)?
- Per quanto tempo viene conservata la cronologia chat e può essere eliminata?
- C'è l'impegno a informarci in caso di violazione della sicurezza?
Accordo sul trattamento dei dati (DPA)
Il Data Processing Agreement (DPA) è un contratto firmato tra il titolare del trattamento dei dati (istituzione) e il responsabile del trattamento dei dati (fornitore di AI) che specifica come verranno trattati i dati. KVKK e GDPR lo impongono in gran parte. Elementi da cercare in un DPA:
materia
Cosa dovrebbe fornire?
Ambito e finalità del trattamento
Lascia che il fornitore operi solo secondo le nostre istruzioni
Subresponsabili del trattamento
A chi viene trasferito? Viene avvisato in anticipo?
Garanzia di trasferimento
Clausole contrattuali standard o equivalenti
Misure di sicurezza
Crittografia, controllo accessi, ISO 27001
Notifica di violazione
Avvisarci entro un certo periodo di tempo in caso di violazione
Cancellazione/restituzione
Impegno alla cancellazione/restituzione dei dati al termine del contratto
Diritto alla revisione
Possibilità di controllare il fornitore o ricevere report
Attenzione: la maggior parte dei piani AI "gratuiti" e "individuali" non offrono un DPA e possono utilizzare i dati per l'addestramento del modello. Per l’uso aziendale, dovrebbero essere preferiti i piani aziendali/aziendali che offrono DPA e garantiscono la rinuncia all’istruzione. Il piano gratuito è spesso il piano in cui i dati vengono “pagati”.
Scheda modello e trasparenza
Una scheda modello è un documento che spiega per cosa è progettato un modello di intelligenza artificiale, con quali dati è addestrato, i suoi limiti e i rischi noti. Un buon fornitore lo condivide. Cose da cercare nella scheda del modello: uso previsto del modello, limitazioni note e rischi di bias, usi non consigliati e note su prestazioni/sicurezza. Se la scheda del modello manca o è molto vaga, questo è di per sé un segnale di avvertimento.
tre mini custodie
Caso 1: costo del piano gratuito. Un team di contabilità inizia a elaborare i dati finanziari dei clienti con uno strumento di intelligenza artificiale gratuito. Lo strumento non offre un DPA e afferma nei suoi termini che può utilizzare i dati per l'addestramento del modello. Il responsabile della conformità se ne accorge e vieta lo strumento, approvando un'alternativa aziendale che offre DPA. Differenza: qualche centinaio di TL al mese per licenza ecc. Possibili multe di milioni di sterline.
Caso 2: sorpresa del subprocessore. Mesi dopo, in un audit, un’azienda scopre che lo strumento di intelligenza artificiale da lei approvato ha trasferito dati a subresponsabili del trattamento in tre paesi diversi. Poiché nel DPA non esiste la clausola "i subresponsabili del trattamento devono essere informati in anticipo", la società non ne era a conoscenza. Lezione: una clausola nel DPA che renda visibile la catena dei sub-responsabili è un must.
Caso 3 – Decisione tramite punteggio. Un'organizzazione stabilisce una tabella del punteggio di rischio del fornitore basata su 8 criteri per confrontare tre strumenti di intelligenza artificiale (DPA, localizzazione dei dati, rinuncia alla formazione, ISO 27001, notifica di violazione, cancellazione, scheda modello, prezzo). Il risultato della valutazione evidenzia lo strumento che non è il più popolare, ma il più compatibile. La decisione si basa su un punteggio documentabile piuttosto che su un soggettivo “mi è piaciuto”.
Suggerimento: gestisci l'elenco dei veicoli approvati come una "lista bianca": consenti solo i veicoli presenti nell'elenco. La lista nera deve essere aggiornata con ogni nuovo strumento ed è sempre un passo indietro; la whitelist è sicura per impostazione predefinita.
Rischio di uscita e dipendenza
La domanda che la maggior parte delle agenzie salta quando approva un veicolo è: "Cosa succede se vogliamo uscire da questo veicolo?" Una buona valutazione considera l'uscita così come l'entrata. Emergono due rischi. Il primo è la portabilità dei dati: quando lasci il provider, puoi recuperare i dati e la configurazione in un formato standard oppure i dati sono bloccati nel provider? Il secondo è il vincolo del fornitore: i processi aziendali possono essere così legati a un singolo strumento che il costo di uscita diventa insopportabile quando il fornitore aumenta i prezzi o interrompe il servizio.
Ecco perché è buona norma aggiungere al record di conferma anche una riga “piano di uscita”: come recuperiamo i dati, qual è lo strumento alternativo, quanto tempo richiede la transizione. Anche se un giorno il fornitore interrompesse il servizio, l’organizzazione sarà preparata.
Attenzione: solo perché un veicolo è popolare o economico non significa che sia sostenibile. I piccoli fornitori potrebbero chiudere, essere acquisiti o modificare improvvisamente le loro politiche. Prima di collegare un processo critico a un singolo strumento, considera lo scenario di uscita.
Modelli copiabili
MODELLO 1 - Serie di domande per la valutazione del fornitore: "Preparare domande di valutazione da porre al fornitore prima di approvare un nuovo strumento di intelligenza artificiale. Includere: ubicazione dei dati, utilizzo e rinuncia nella formazione del modello, presenza della DPA, certificati di sicurezza, periodo di conservazione, notifica di violazione, subresponsabili del trattamento, impegno di cancellazione. Includere la risposta "sicura" prevista per ciascuna domanda. "
MODELLO 2 - Elenco di controllo delle clausole DPA: "Controlla la bozza del DPA di seguito [incolla testo] per le seguenti clausole: ambito del trattamento, subresponsabili del trattamento, garanzia del trasferimento, misure di sicurezza, periodo di notifica della violazione, cancellazione/restituzione, diritto di revisione. Contrassegnare 'presente/mancante/incerto' per ciascuna clausola. Ricordare che è necessaria l'approvazione legale; non esprimere giudizi definitivi."
MODELLO 3 - Quadro di valutazione del rischio del fornitore: "Imposta un quadro di valutazione del rischio con 8 criteri per confrontare 3 strumenti di intelligenza artificiale: DPA, posizione dei dati, rinuncia alla formazione, ISO 27001, notifica di violazione, cancellazione, scheda modello, costo. Lascia che ogni criterio sia 0-3 punti, aggiungi la colonna totale e raccomandazione. Fornisci un modello vuoto, lo compilerò. "
MODELLO 4 - Voce dell'elenco degli strumenti approvati: "Crea una nuova voce nell'elenco degli strumenti AI approvati: nome dello strumento, destinazione d'uso approvata, classi di dati consentite (pubblico/interno/confidenziale), tipi di dati vietati, unità responsabile, data di approvazione, data di revisione. In formato record a riga singola."
Prompt debole / Prompt forte
DEBOLE: “Questo strumento di intelligenza artificiale è sicuro?”-> Ripete la promessa di marketing di uno strumento modello; Non valuta criteri concreti come DPA, ubicazione dei dati, utilizzo della formazione. FORTE: "Valuterò questo strumento di intelligenza artificiale per uso aziendale. Quali informazioni dovrei richiedere al fornitore in base ai seguenti 8 criteri (DPA, posizione dei dati, rinuncia alla formazione, ISO 27001, notifica di violazione, archiviazione, subresponsabile, modello di scheda) e quale dovrebbe essere la soglia "accettabile" in ciascun criterio? Fornire in formato foglio di controllo." -> Il modello produce un quadro di valutazione concreto e verificabile.
Errori comuni
- Utilizzo di piani gratuiti/individuali con dati aziendali; Non rendersi conto che non esiste DPA e opt-out.
- Approvare lo strumento in base alle promesse di marketing, senza richiedere la posizione dei dati e l'utilizzo didattico.
- Condividere i dati senza firmare un DPA o verificare la clausola del subresponsabile.
- Omologazione di un veicolo senza scheda modello/modello incerto senza alcuna domanda.
- Mantenere una lista di divieti invece di una lista bianca e restare indietro con ogni nuovo veicolo.
- Non rivedere nuovamente il veicolo dopo l'approvazione (cambiano le condizioni).
- Basare la selezione del fornitore su preferenze soggettive, non su un punteggio certificabile.
In sintesi
- Ogni strumento di intelligenza artificiale è un elaboratore di dati; La valutazione sistematica è essenziale prima dell’approvazione.
- Il contratto di trattamento dei dati (DPA) è il documento base che vincola i dati; Dovrebbe includere clausole di ambito, subresponsabile, sicurezza, violazione e cancellazione.
- I piani gratuiti/individuali spesso non offrono DPA e utilizzano i dati per la formazione; Dovrebbero essere preferiti i piani aziendali.
- La scheda modello mostra i limiti e i rischi del modello; La sua assenza è un segnale di allarme.
- Gli strumenti approvati dovrebbero essere gestiti come una whitelist e i fornitori dovrebbero essere gestiti con un punteggio di rischio documentabile.
Compito dell'applicazione
Scegli tre strumenti di intelligenza artificiale reali che la tua organizzazione potrebbe voler utilizzare. Imposta una tabella di punteggio del rischio del fornitore con otto criteri (DPA, posizione dei dati, rinuncia alla formazione, certificazione di sicurezza, notifica di violazione, conservazione, scheda modello, costo) e assegna un punteggio da 0 a 3 a ciascun veicolo in base a questi criteri. Quindi scrivere una voce nell'elenco dei veicoli approvati per il veicolo con il punteggio più alto: uso previsto approvato, classi di dati consentite, tipi di dati vietati, entità responsabile e data di revisione. Infine, prendi nota di cinque elementi che vorrai sicuramente vedere nel DPA di un veicolo e perché ciascuno di essi è importante.
lista di controllo
- [ ] Ho posto domande di valutazione prima di approvare lo strumento.
- [ ] Ho chiarito la posizione dei dati e il caso d'uso nell'addestramento del modello.
- [ ] Ho verificato l'esistenza del DPA e dei suoi elementi critici.
- [ ] Ho esaminato la scheda modello; Ho visto i limiti e i rischi.
- [ ] Ho valutato il fornitore con un punteggio di rischio documentabile.
- [] Ho aggiunto lo strumento alla whitelist con le classi di dati consentite.
- [ ] Ho impostato una data di revisione.