Табыстар:
- AI пайдалану үшін DPIA қажет екенін бағалау
- AI жобасына жеті қадамдық DPIA процесін қолдану
- Ықтималдық-әсер матрицасы арқылы тәуекелдерге басымдық беріңіз және азайту шараларын жасаңыз
AI-ны кейбір қолдану жеке адамдар үшін үлкен қауіп төндіреді: ауқымды мониторинг, құпия деректерді өңдеу, автоматтандырылған шешімдер. Мұндай жобаларда KVKK/GDPR және ЕО AI заңы жұмыс басталар алдында құрылымдық тәуекелді бағалауды күтеді. Бұл бағалаудың атауы - Деректерді қорғауға әсер етуді бағалау (DPIA). Бұл бөлімде біз пайдалану үшін DPIA қажет екенін анықтауды, жеті қадамдық DPIA процесін AI жобасына қалай қолдану керектігін және ықтималдық-әсер матрицасы арқылы тәуекелдерге басымдық беруді үйренеміз.
DPIA дегеніміз не және ол қашан қажет?
Деректерді қорғауға әсер етуді бағалау (DPIA) - жеке тұлғалардың құқықтары мен бостандықтарына өңдеу қызметінің тәуекелдерін алдын ала бағалайтын және азайту шараларын анықтайтын құрылымдық талдау. Маңызды сәт: DPIA ақаулық туындағаннан кейін емес, өңдеу басталғанға дейін жобалау сатысында орындалады.
DPIA әдетте келесі жағдайларда қажет:
- Жаңа технологияны пайдалану (AI жиі қосылады).
- Жеке деректерді ауқымды өңдеу.
- Жүйелі бақылау немесе профильдеу.
- Арнайы мәліметтерді өңдеу.
- Адамдарға айтарлықтай әсер ететін автоматтандырылған шешімдер.
Кеңес: Егер сенімді болмасаңыз, «скринингті» орындаңыз: жоғарыдағы бесеуінің екеуі немесе одан да көп болса, әдепкі бойынша DPIA орындаңыз. DPIA жасау құны төмен; Бір бұзушылықта мұны жасамаудың құны өте жоғары.
Жеті қадамдық DPIA процесі
Осы жеті қадамда AI жобасына DPIA қолданасыз:
қадам
Сіз не істейсіз?
1. Сипаттама
Өңдеуді сипаттаңыз: қандай деректер, мақсат, ауқым, ағын
2. Қажеттілік және пропорционалдылық
AI шынымен қажет пе? Аз интрузивті жол бар ма?
3. Мүдделі тараптардың пікірі
Тиісті тұлғалардың/өкілдердің пікірін алу
4. Тәуекелді анықтау
Жеке тұлғаларға мүмкін болатын зияндарды тізіңіз
5. Тәуекелді бағалау
Әрбір тәуекелді ықтималдық және әсер ету арқылы бағалаңыз
6. Әсер ету шаралары
Әрбір тәуекел үшін сақтық шараларын құрастырыңыз, қалдық тәуекелді анықтаңыз
7. Бекіту және қарау
Нәтижені құжаттаңыз, бекітуге жіберіңіз, мерзімді түрде жаңартыңыз
Тәуекелге басымдық беру: ықтималдық-әсер матрицасы
Сіз әрбір тәуекелді екі өлшемде бағалайсыз: оның орын алу ықтималдығы және орын алған жағдайда әсері. Екеуінің комбинациясы басымдық береді.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Төмен әсер
орташа әсер
жоғары әсер
жоғары ықтималдық
орташа
жоғары
сыни
орташа ықтималдық
төмен
орташа
жоғары
ықтималдығы төмен
төмен
төмен
орташа
Сыни және жоғары тәуекелдер жобаны сақтық шараларынсыз жалғастыруға болмайтын тәуекелдер болып табылады. Мақсат барлық тәуекелдерді жою емес; әрбір тәуекелді қолайлы деңгейге дейін төмендету және қалған (қалдық) тәуекелді саналы түрде қабылдау болып табылады.
үш шағын іс
1-жағдай — DPIA қабылданбады. Бөлшек сауда тізбегі DPIA жоқ, AI көмегімен дүкендегі тұтынушылардың әрекетін бақылайтын жүйені жүзеге асырады. Бір айдан кейін шағым жүйенің нақты қорытындылар жасағанын көрсетеді (денсаулық, жүктілікті болжау). Аудитте «неге DPIA жасамадың» деген сұраққа жауап жоқ. DPIA басынан бастап жобалау кезеңінде бұл тәуекелге ұшырап, жобаны қауіпсіз етеді.
2-жағдай — DPIA құтқарған жоба. DPIA банктегі AI-ны жалдауға қолдау көрсету үшін жасалады. Тәуекелді анықтау кезеңінде тарихи деректерге байланысты гендерлік бейімділік қаупі «жоғары» болып шығады. Жеңілдету ретінде топ модельден гендерлік ақпаратты жояды, нәтижені тұрақты біржақты тестілеуге жатқызады және адамның тексеруін талап етеді. Енді тәуекел «орташа» деңгейге дейін төмендейді және жоба қолайлы болады. DPIA жобаны өлтірудің орнына оны қауіпсіз етеді.
3-жағдай — Пропорционалдылық сынағы. Компания AI көмегімен «адалдықты талдау» үшін қызметкерлердің электрондық пошталарын сканерлеуді қалайды. DPIA қажеттілік/пропорционалдылық қадамында бұл мақсатқа қатысты тым интрузивті болып табылады; Аз интрузивті баламалар бар. Жоба қазіргі күйінде бекітілмеген. Пропорционалдылық сынағы «біз істей аламыз» және «біз керек» дегенді ажыратады.
Назар аударыңыз: DPIA бір рет толтырылып, кейінге қалдырылатын пішін емес. Өзгерістерді өңдеу кезінде (жаңа деректер, жаңа мақсат, жаңа құрал) DPIA жаңартылуы керек. Өлі DPIA DPIA мүлдем жоққа қарағанда жаңылыстырады, өйткені ол жалған сенімділік береді.
DPIA және DPIA-мен тәуекелдер тізілімінің қарым-қатынасын кім жасайды
Жалғыз адам өз үстелінде DPIA толтыра алмайды; Дұрыс DPIA - бұл командалық жұмыс. Әдетте, деректерді қорғау қызметкері процесті жүзеге асырады (Doer), сәйкестік менеджері түпкілікті жауапты (Жауапты), тиісті құрылымдық бөлімше өңдеуді сипаттайды, АТ/қауіпсіздіктің техникалық шараларын бағалайды және заңды негізді растайды. Тиісті адамдардың пікірін алу (үшінші қадам) назардан тыс қалмауы керек; Дегенмен, бұл іс жүзінде ең өткізіп жіберетін қадам.
DPIA нәтижесі вакуумда отырмайды: анықталған тәуекелдер ұйымның тәуекелдер тізілімінде тіркеледі. Тәуекелдер тізілімі - барлық ашық тәуекелдерді, олардың басымдықтарын, азайту шараларын, кінәлілерді және соңғы қарау күндерін қамтитын тірі диаграмма. Осылайша, AI жобасының тәуекелдері ұйымның жалпы тәуекелдерді басқаруымен бірдей тілде сөйлейді және үнемі бақыланады.
Тәуекелдерді тіркеу аймағы
мысал
Тәуекелдің анықтамасы
AI жалдаудағы гендерлік бейімділік
басымдық
жоғары
Жеңілдету шарасы
Суррогат айнымалы экстракция + қиғаштық сынағы
Жауапты
Деректерді қорғау қызметкері
шолу
әр 3 ай сайын
Кеңес: DPIA-ға «орындалды және ұмытылды» емес, «тәуекелдер журналы және қадағалау» менталитетін қолданыңыз. Тәуекелді азайту жүзеге асырылды ма, қалдық тәуекел қолайлы деңгейде — олардың есебінсіз DPIA терезе құжатына айналады.
Көшіретін үлгілер
1-ҮЛГІ — DPIA алдын ала скринингі: "Осы AI пайдалану үшін DPIA қажет пе? [пайдалануды сипаттаңыз]. Бес триггер бойынша бағалаңыз: жаңа технология, ауқымды өңдеу, жүйелі бақылау, құпия деректер, маңызды автоматтандырылған шешім қабылдау. Қанша триггер бар, DPIA-ны негіздеу арқылы ұсынасыз."
2-ҮЛГІ — Тәуекелді анықтау миға шабуылы: "Осы AI жобасындағы адамдарға тиетін ықтимал зияндарды тізіңіз [жобаны сипаттаңыз]: деректердің ағып кетуі, кемсітушілік, қате пікір, жеке өмірге қол сұғу, ашықтықтың болмауы, мақсаттың ауытқуы. Әрбір зиян үшін бір сөйлемнен тұратын сценарий жазыңыз. Тек қарсы әрекет жасаңыз, әлі де әрекет етпеңіз."
3-ҮЛГІ — Ықтималдық-әсерді бағалау: "Келесі тәуекелдерді [тәуекелдер тізімін] ықтималдық (төмен/орта/жоғары) және әсер (төмен/орта/жоғары) ретінде бағалаңыз; басымдық (төмен/орта/жоғары/критикалық) әрбір жолда пайда болады. Жоғарыда маңызды және жоғары тізімді көрсетіңіз. Кесте пішімінде көрсетіңіз."
4-ҮЛГІ — Әсерді азайтуды жобалау: "Келесі тәуекел үшін [тәуекелді жазыңыз], кем дегенде 3 азайту шарасын (техникалық, технологиялық, ұйымдастырушылық) ұсыныңыз. Әрбір шарадан кейін "қалдық тәуекел" деңгейін бағалаңыз. Егер шара қолданылғаннан кейін тәуекел әлі де жоғары болса, жобаны қайта құру қажет екенін көрсетіңіз."
Әлсіз шақыру / Күшті шақыру
ƏЛСІЗ: «Бұл AI жобасы қауіпті ме?»-> Модель анық емес «мүмкін» жауап береді; тәуекелдерді жіктемейді, тәуекелдерге басымдық бермейді, шараларды жасамайды.STRONG: "Келесі AI жобасы үшін шағын DPIA жүргізіңіз: (1) өңдеуді сипаттаңыз, (2) 5 триггермен DPIA қажеттілігін бағалаңыз, (3) адамдарға 6 ықтимал зиянды тізіңіз, (4) ықтималдық-әсері бойынша әрқайсысын бағалаңыз, (5) сыни тәуекелдер/ұсынымдар бойынша. шешім қабылдау; заңды мақұлдауға жіберілетін жобаны жасау."-> Үлгі құрылымдық, әрекет етуші DPIA жобасын жасайды.
Жалпы қателер
- DPIA транзакция басталғаннан кейін (немесе тіпті мәселе туындағаннан кейін) орындау.
- DPIA-ны «үлкен мәселе» ретінде талап ететін жоғары тәуекелді өңдеуді өткізіп жіберу.
- Тәуекелдерді тізбеу және олардың ықтималдығы мен әсері бойынша басымдық бермеу.
- Әрбір тәуекел үшін шараларды жасамай, DPIA-ны «толық» деп санау.
- Қажеттілік/пропорционалдық қадамын өткізіп жіберіп, «біз мұны істей аламыз, сондықтан жасайық» деп айту.
- DPIA бір рет толтыру және процесс өзгерген кезде оны жаңартпау.
- Қалдық (қалған) тәуекелді нақты құжаттамасыз жобаны бекіту.
Қысқаша айтқанда
- DPIA - жоғары тәуекелді өңдеуді бастамас бұрын адамдарға әсерін бағалайтын құрылымдық талдау.
- DPIA жаңа технология, ауқымды өңдеу, жүйелі бақылау, құпия деректер немесе маңызды автоматтандырылған шешім қабылдау болса қажет.
- Процесс жеті қадамнан тұрады: сәйкестендіру, қажеттілік/пропорционалдық, мүдделі тараптардың пікірі, тәуекелді анықтау, бағалау, әрекет, бекіту/қарау.
- Тәуекелдер ықтималдық-әсер матрицасы арқылы басымдыққа ие; Критикалық/жоғары тәуекелдер сақтық шараларынсыз қабылданбайды.
- DPIA жобаны өлтірмейді, оны қауіпсіз етеді; Бұл өңдеу өзгерістеріне қарай жаңартылуы керек тірі құжат.
Қолданбалы тапсырма
Қауіпті болуы мүмкін ұйымыңыз пайдаланатын AI пайдалануды таңдаңыз (мысалы, жұмысқа қолдау көрсету, мінез-құлықты бақылау немесе несиелік скоринг). Алдымен бес триггермен DPIA қажет пе екенін қарастырыңыз. Содан кейін осы пайдалану үшін шағын DPIA жүргізіңіз: өңдеуді сипаттаңыз, жеке тұлғаларға кемінде алты ықтимал зиянды тізімдеңіз, ықтималдық-әсер матрицасы бойынша әрқайсысына балл қойыңыз және басымдықты тағайындаңыз. Екі маңызды және жоғары тәуекелдер үшін үш азайту шарасын жасаңыз және шарадан кейінгі қалдық тәуекел деңгейін бағалаңыз. Соңында, бұл DPIA қашан жаңарту қажет болатынын ескеріңіз.
бақылау парағы
- [ ] Мен DPIA талабын бес триггермен бағаладым.
- [ ] Мен өңдеуді (деректер, мақсат, ауқым, ағын) анықтадым.
- [ ] Мен қажеттілік пен пропорционалдылыққа күмән келтірдім.
- [ ] Мен жеке адамдарға тигізетін ықтимал зияндарды тізімдедім.
- [ ] Мен ықтималдық-әсер матрицасында тәуекелдерге басымдық бердім.
- [ ] Мен сыни/жоғары тәуекелдер үшін азайту шараларын әзірледім.
- [ ] Мен қазір тәуекелді құжаттадым және шолу шарттарын қойдым.