Табыстар:
- AI құралын сатып алмас бұрын бағалау критерийлерін қолданыңыз
- Деректерді өңдеу келісімінде (DPA) және үлгі картасынан іздеу керек элементтерді тану
- Бекітілген көлік тізімін және жеткізушінің тәуекел рейтингін жасаңыз
Бизнес бөлімше есігіңізге келіп, «біз бұл жаңа AI құралын қолданғымыз келеді, бұл өте пайдалы болады» дегенде не істейсіз? «Мүмкін емес» деп айту көлеңкелі АИ-ді тамақтандырады; «Жарайды» деп айту бақыланбайтын тәуекелді ашады. Дұрыс жауап - көлік құралын бағалау процесін жүргізу. Бұл бөлімде біз AI көлігін сатып алу/сертификаттау алдында қандай сұрақтар қою керектігін, деректерді өңдеу келісімінде (DPA) және үлгілік картада нені іздеу керектігін және мұның барлығын бекітілген көлік тізіміне және жеткізушінің тәуекел дәрежесіне қалай бөлуге болатынын білеміз.
Бағалау не үшін қажет?
Әрбір AI құралы деректерді өңдеуші болып табылады: ол ұйымның деректерін өңдейді. Қате құралды мақұлдау ұйымның жеке деректерін үшінші тарапқа (көбінесе шетелде) бақылаусыз беруді білдіреді. Құралды мақұлдамас бұрын жауап беретін негізгі сұрақтар:
- Ол деректерді қайда өңдейді және сақтайды (қай ел)?
- Ол біздің деректерімізді модельдік оқытуда пайдаланады ма? Оны өшіруге бола ма (бас тарту)?
- Ол деректерді өңдеу келісімін (DPA) ұсынады ма?
- Қауіпсіздік сертификаттары бар ма (мысалы, ISO 27001)?
- Чат тарихы қанша уақыт сақталады және оны жоюға болады ма?
- Қауіпсіздік бұзылған жағдайда бізге хабарлау міндеттемесі бар ма?
Деректерді өңдеу келісімі (DPA)
Деректерді өңдеу келісімі (DPA) — деректер контроллері (мекеме) мен деректер өңдеушісі (AI провайдері) арасында жасалған, деректердің өңделу жолын көрсететін келісім-шарт. KVKK және GDPR негізінен бұны міндеттейді. DPA-да іздеу керек элементтер:
мәселе
Ол немен қамтамасыз етуі керек?
Өңдеу көлемі мен мақсаты
Провайдерге тек біздің нұсқауларымыз бойынша жұмыс істеуге рұқсат етіңіз
Ішкі процессорлар
Ол кімге беріледі? Ол алдын ала хабарланады ма?
Тасымалдау кепілдігі
Стандартты шарт баптары немесе баламасы
Қауіпсіздік шаралары
Шифрлау, қол жеткізуді басқару, ISO 27001
Бұзушылық туралы хабарлама
Бұзылған жағдайда белгілі бір уақыт ішінде бізге хабарлау
Жою/қайтару
Келісімшарттың соңында деректерді жою/қайтару міндеттемесі
Аудит жүргізу құқығы
Провайдерді тексеру немесе есептерді алу мүмкіндігі
Абайлаңыз: «тегін» және «жеке» AI жоспарларының көпшілігі DPA ұсынбайды және деректерді үлгілік оқыту үшін пайдалануы мүмкін. Корпоративтік пайдалану үшін DPA ұсынатын және білім беруден бас тартуға кепілдік беретін корпоративтік/бизнес жоспарларға артықшылық беру керек. Тегін жоспар көбінесе деректер «төленетін» жоспар болып табылады.
Үлгі картасы және ашықтық
Үлгі картасы - бұл AI моделі не үшін жасалғанын, қандай деректермен оқытылатынын, оның шектеулері мен белгілі тәуекелдерін түсіндіретін құжат. Жақсы провайдер мұны бөліседі. Үлгілік картада іздейтін нәрселер: үлгіні мақсатты пайдалану, белгілі шектеулер мен ауытқу тәуекелдері, ұсынылмайды пайдаланулар және өнімділік/қауіпсіздік ескертулері. Үлгі картасы жоқ немесе өте анық емес болса, бұл өздігінен ескерту белгісі болып табылады.
үш шағын іс
1-жағдай – Тегін жоспардың құны. Бухгалтерлік топ ақысыз AI құралы арқылы тұтынушылардың қаржылық деректерін өңдеуді бастайды. Құрал DPA ұсынбайды және оның шарттарында ол деректерді үлгілік оқыту үшін пайдалана алатынын айтады. Сәйкестік жөніндегі қызметкер мұны байқап, DPA ұсынатын корпоративтік баламаны бекітіп, құралға тыйым салады. Айырмашылық: лицензия үшін айына бірнеше жүз лира және т.б. мүмкін болатын миллиондаған фунт айыппұлдар.
2-жағдай — қосалқы процессордың тосынсыйы. Компания бірнеше ай өткеннен кейін аудит кезінде ол мақұлдаған AI құралы деректерді үш түрлі елдегі қосалқы процессорларға тасымалдағанын анықтайды. DPA-да «қосалқы өңдеушілерді алдын ала хабардар ету керек» деген тармақ болмағандықтан, компания бұл туралы білмеді. Сабақ: Ішкі процессорлар тізбегін көрінетін ететін DPA-дағы тармақ міндетті болып табылады.
3-жағдай – ұпай қою арқылы шешім қабылдау. Ұйым үш AI құралын (DPA, деректер орны, оқытудан бас тарту, ISO 27001, бұзушылық туралы хабарландыру, жою, үлгі картасы, баға) салыстыру үшін 8 критерий бойынша жеткізушінің тәуекел ұпай кестесін құрады. Рейтинг нәтижесі ең танымал емес, бірақ ең үйлесімді құралды бөлектейді. Шешім «маған ұнады» деген субъективті емес, құжатталған ұпайға негізделген.
Кеңес: мақұлданған көліктер тізімін «ақ тізім» ретінде басқарыңыз: тізімдегі көліктерге ғана рұқсат беріңіз. Қара тізім әрбір жаңа құралмен жаңартылуы керек және әрқашан бір қадам артта қалады; ақ тізім әдепкі бойынша қауіпсіз.
Шығу және тәуелділік қаупі
Көптеген агенттіктер көлікті мақұлдағанда өткізіп жіберетін сұрақ: «Егер біз осы көліктен шыққымыз келсе не болады?» Жақсы бағалау кіруді де, шығуды да қарастырады. Екі тәуекел көзге түседі. Біріншісі - деректерді тасымалдау мүмкіндігі: провайдерден шыққан кезде деректер мен конфигурацияны стандартты пішімге қайтара аласыз ба, әлде деректер провайдерде құлыптаулы ма? Екіншісі - жеткізушілерді құлыптау: бизнес-процестер бір құралға байланысты болуы мүмкін, сондықтан провайдер бағаларды көтергенде немесе қызмет көрсетуді тоқтатқанда шығу құны шыдамсыз болады.
Сондықтан растау жазбасына «шығу жоспары» жолын да қосу жақсы тәжірибе: деректерді қалай қайтарамыз, балама құрал дегеніміз не, өту қанша уақытқа созылады. Провайдер бір күні қызметті өшірсе де, ұйым дайын болады.
Абайлаңыз: Көліктің танымал немесе арзан болуы оның тұрақты екенін білдірмейді. Шағын провайдерлер жабылуы, сатып алынуы немесе саясаттарын кенеттен өзгертуі мүмкін. Маңызды процесті бір құралға қоспас бұрын, шығу сценарийін қарастырыңыз.
Көшіретін үлгілер
1-ҮЛГІ — Жеткізушіні бағалау сұрақтары жинағы: "Жаңа AI құралын мақұлдамас бұрын жеткізушіге қою үшін бағалау сұрақтарын дайындаңыз. Мыналарды қамтиды: деректердің орны, үлгіні оқытуда пайдалану және бас тарту, DPA болуы, қауіпсіздік сертификаттары, сақтау мерзімі, бұзушылық туралы хабарландыру, қосалқы өңдеушілер, жою міндеттемесі. Әр сұраққа күтілетін жауаптарды қосыңыз."
2-ҮЛГІ — DPA тармағының бақылау тізімі: "Төмендегі DPA жобасын [мәтінді қою] келесі тармақтар үшін тексеріңіз: өңдеу көлемі, қосалқы өңдеушілер, тасымалдау кепілдігі, қауіпсіздік шаралары, бұзушылық туралы хабарлау мерзімі, жою/қайтару, тексеру құқығы. Әрбір тармақ үшін "бар / жоқ / белгісіз" деп белгілеңіз.
3-ҮЛГІ — Жеткізушінің тәуекелі көрсеткіштері тақтасы: "3 AI құралын салыстыру үшін 8 критерийден тұратын тәуекелдер тақтасын орнатыңыз: DPA, деректер орны, оқытудан бас тарту, ISO 27001, бұзушылық туралы хабарландыру, жою, үлгі картасы, құны. Әрбір критерий 0-3 ұпай болсын, жиынтық және ұсыныс бағандарын қосыңыз. Үлгіні бос толтырыңыз."
4-ҮЛГІ — Бекітілген құралдар тізімінің жазбасы: "Бекітілген AI құралдары тізіміндегі жаңа жазбаны әзірлеу: құрал атауы, бекітілген мақсатты пайдалану, рұқсат етілген деректер сыныптары (жалпыға ортақ/ішкі/құпия), тыйым салынған деректер түрлері, жауапты бірлік, бекіту күні, қарау күні. Бір жолды жазба пішімінде."
Әлсіз шақыру / Күшті шақыру
ƏЛСІЗ: «Бұл AI құралы қауіпсіз бе?»-> Үлгі құралының маркетингтік уәдесін қайталайды; Ол DPA, деректер орны, оқытуды пайдалану сияқты нақты критерийлерді бағаламайды. STRONG: "Мен бұл AI құралын кәсіпорында пайдалану үшін бағалаймын. Келесі 8 критерий (DPA, деректер орны, оқудан бас тарту, ISO 27001, бұзушылық туралы хабарлама, сақтау, қосалқы процессор, үлгі картасы) негізінде провайдерден қандай ақпаратты сұрауым керек және әр критерийдегі "қабылданатын" шек қандай болуы керек? G." -> Модель нақты, тексерілетін бағалау құрылымын жасайды.
Жалпы қателер
- Корпоративтік деректермен тегін/жеке жоспарларды пайдалану; DPA жоқ екенін түсінбеу және бас тарту.
- Маркетингтік уәдеге негізделген құралды мақұлдау, деректер орнын және білім беруді пайдалануды сұрамау.
- DPA қол қоймастан немесе ішкі өңдеуші тармағын тексермей деректерді ортақ пайдалану.
- Үлгі картасы жоқ/белгісіз көлік құралын сұрақтарсыз мақұлдау.
- Ақ тізімнің орнына тыйым салу тізімін сақтау және әрбір жаңа көлікпен артта қалу.
- Бекітілгеннен кейін көлікті қайта қарауға болмайды (шарттар өзгереді).
- Жеткізушіні таңдау сертификатталған ұпайға емес, субъективті артықшылыққа негізделеді.
Қысқаша айтқанда
- Әрбір AI құралы деректер процессоры болып табылады; Мақұлдамас бұрын жүйелі бағалау маңызды.
- Деректерді өңдеу келісімі (DPA) деректерді байланыстыратын негізгі құжат болып табылады; Ол аумақты, қосалқы процессорды, қауіпсіздікті, бұзуды және жоюды қамтуы керек.
- Тегін/жеке жоспарлар көбінесе DPA ұсынбайды және оқу үшін деректерді пайдаланады; Корпоративтік жоспарларға артықшылық беру керек.
- Модельдік карта модельдің шектеулері мен тәуекелдерін көрсетеді; Оның болмауы ескерту белгісі болып табылады.
- Бекітілген құралдар ақ тізім ретінде басқарылуы керек, ал жеткізушілер құжатталатын тәуекел көрсеткішімен басқарылуы керек.
Қолданбалы тапсырма
Ұйымыңыз пайдаланғысы келетін үш нақты AI құралын таңдаңыз. Сегіз критерий (DPA, деректер орны, оқудан бас тарту, қауіпсіздік сертификаты, бұзу туралы хабарлама, сақтау, үлгі картасы, құны) бар жеткізуші тәуекелінің ұпай кестесін орнатыңыз және осы критерийлер негізінде әрбір көлік құралына 0-3 ұпайын қойыңыз. Содан кейін ең жоғары балл жинаған көлік құралы үшін бекітілген көлік тізімі жазбасын жазыңыз: бекітілген мақсатты пайдалану, рұқсат етілген деректер сыныптары, тыйым салынған деректер түрлері, жауапты мекеме және қарау күні. Соңында, көлік құралының DPA-да міндетті түрде көргіңіз келетін бес элементті және олардың әрқайсысы неге маңызды екенін ескеріңіз.
бақылау парағы
- [ ] Құралды мақұлдамас бұрын бағалау сұрақтарын қойдым.
- [ ] Модельді оқытуда деректер орнын және пайдалану жағдайын түсіндірдім.
- [ ] Мен DPA және оның маңызды элементтері бар екенін тексердім.
- [ ] Мен карта үлгісін қарап шықтым; Мен шектеулер мен тәуекелдерді көрдім.
- [ ] Мен жеткізушіні құжатталатын тәуекел ұпайымен бағаладым.
- [ ] Құралды рұқсат етілген деректер сыныптары бар ақ тізімге қостым.
- [ ] Мен қарап шығу күнін белгіледім.