नफा:
- एआय टूल खरेदी करण्यापूर्वी मूल्यमापन निकष लागू करा
- डेटा प्रोसेसिंग करार (DPA) आणि मॉडेल कार्डमध्ये शोधण्यासाठी आयटम ओळखणे
- मंजूर वाहन यादी आणि विक्रेता जोखीम स्कोअरिंग तयार करा
जेव्हा एखादी बिझनेस युनिट तुमच्या दारात येते आणि "आम्हाला ते नवीन AI टूल वापरायचे आहे, ते खूप उपयुक्त ठरेल" असे म्हणते तेव्हा तुम्ही काय करता? "कोणताही मार्ग नाही" असे म्हणणे सावली AI फीड करते; "ठीक आहे" म्हटल्याने अनियंत्रित धोका उघडतो. योग्य उत्तर म्हणजे वाहन मूल्यमापन प्रक्रिया चालवणे. या युनिटमध्ये आपण एआय वाहन खरेदी/प्रमाणित करण्यापूर्वी कोणते प्रश्न विचारावेत, डेटा प्रोसेसिंग करार (DPA) आणि मॉडेल कार्डमध्ये काय पहावे आणि या सर्व गोष्टींना मान्यताप्राप्त वाहन यादी आणि विक्रेता जोखीम स्कोअरमध्ये कसे डिस्टिल करावे हे शिकू.
मूल्यमापन का आवश्यक आहे?
प्रत्येक AI साधन डेटा प्रोसेसर आहे: ते संस्थेच्या डेटावर प्रक्रिया करते. चुकीचे साधन मंजूर करणे म्हणजे संस्थेचा वैयक्तिक डेटा तृतीय पक्षाकडे (आणि अनेकदा परदेशात) अनियंत्रित पद्धतीने सोपवणे. साधन मंजूर करण्यापूर्वी मुख्य प्रश्नांची उत्तरे द्या:
- ते डेटा कुठे प्रक्रिया आणि संचयित करते (कोणता देश)?
- तो आमचा डेटा मॉडेल प्रशिक्षणात वापरतो का? ते बंद केले जाऊ शकते (निवड रद्द)?
- ते डेटा प्रोसेसिंग करार (DPA) ऑफर करते का?
- तेथे सुरक्षा प्रमाणपत्रे आहेत (उदा. ISO 27001)?
- चॅट इतिहास किती काळ ठेवला जातो आणि तो हटविला जाऊ शकतो?
- सुरक्षेचा भंग झाल्यास आम्हाला सूचित करण्याची वचनबद्धता आहे का?
डेटा प्रोसेसिंग करार (DPA)
डेटा प्रोसेसिंग ॲग्रीमेंट (DPA) हा डेटा कंट्रोलर (संस्था) आणि डेटा प्रोसेसर (AI प्रदाता) यांच्यात स्वाक्षरी केलेला करार आहे जो डेटावर प्रक्रिया कशी केली जाईल हे निर्दिष्ट करतो. KVKK आणि GDPR मोठ्या प्रमाणात हे अनिवार्य करतात. DPA मध्ये शोधण्यासाठी आयटम:
बाब
ते काय प्रदान करावे?
प्रक्रियेची व्याप्ती आणि उद्देश
प्रदात्याला फक्त आमच्या सूचनांनुसार कार्य करू द्या
उपप्रोसेसर
ते कोणाकडे हस्तांतरित केले जाते? आगाऊ सूचना दिली आहे का?
हस्तांतरण आश्वासन
मानक करार खंड किंवा समतुल्य
सुरक्षा उपाय
कूटबद्धीकरण, प्रवेश नियंत्रण, ISO 27001
उल्लंघन सूचना
उल्लंघन झाल्यास ठराविक कालावधीत आम्हाला सूचित करणे
हटवणे/परत करणे
कराराच्या शेवटी डेटा हटवण्याची/परत करण्याची वचनबद्धता
ऑडिट करण्याचा अधिकार
प्रदात्याचे ऑडिट करण्याची किंवा अहवाल प्राप्त करण्याची क्षमता
सावध रहा: बहुतेक "विनामूल्य" आणि "वैयक्तिक" AI योजना DPA देत नाहीत आणि मॉडेल प्रशिक्षणासाठी डेटा वापरू शकतात. कॉर्पोरेट वापरासाठी, कॉर्पोरेट/व्यवसाय योजना ज्या DPA ऑफर करतात आणि शिक्षणाची निवड रद्द करण्याची हमी देतात त्यांना प्राधान्य दिले पाहिजे. विनामूल्य योजना ही बहुतेकदा अशी योजना असते जिथे डेटा "पैसे दिले जाते".
मॉडेल कार्ड आणि पारदर्शकता
मॉडेल कार्ड हे एक दस्तऐवज आहे जे एआय मॉडेल कशासाठी डिझाइन केलेले आहे, ते कोणत्या डेटासह प्रशिक्षित केले जाते, त्याच्या मर्यादा आणि ज्ञात जोखीम स्पष्ट करते. एक चांगला प्रदाता हे सामायिक करतो. मॉडेल कार्डमध्ये पाहण्याच्या गोष्टी: मॉडेलचा उद्देशित वापर, ज्ञात मर्यादा आणि पूर्वाग्रहाचे धोके, शिफारस केलेले नसलेले वापर आणि कार्यप्रदर्शन/सुरक्षा नोट्स. जर मॉडेल कार्ड गहाळ असेल किंवा खूप अस्पष्ट असेल तर ते स्वतः एक चेतावणी चिन्ह आहे.
तीन लहान प्रकरणे
केस 1 - विनामूल्य योजनेची किंमत. अकाउंटिंग टीम मोफत एआय टूलसह ग्राहकांच्या आर्थिक डेटावर प्रक्रिया करण्यास सुरुवात करते. साधन डीपीए ऑफर करत नाही आणि त्याच्या अटींमध्ये सांगते की ते मॉडेल प्रशिक्षणासाठी डेटा वापरू शकते. अनुपालन अधिकाऱ्याने हे लक्षात घेतले आणि डीपीए ऑफर करणाऱ्या कॉर्पोरेट पर्यायाला मान्यता देऊन टूलवर बंदी घातली. फरक: परवान्यासाठी दर महिन्याला काही शंभर TL. लाखो पौंडांचा संभाव्य दंड.
केस 2 - सबप्रोसेसर आश्चर्य. एका कंपनीला काही महिन्यांनंतर ऑडिटमध्ये आढळून आले की AI टूलने तीन वेगवेगळ्या देशांमध्ये सबप्रोसेसरला डेटा हस्तांतरित करण्यास मान्यता दिली आहे. DPA मध्ये "सब-प्रोसेसरना आगाऊ सूचित केले जाईल" असे कोणतेही कलम नसल्याने, कंपनीला त्याची माहिती नव्हती. धडा: DPA मधील उपप्रोसेसर साखळी दृश्यमान करणारा एक खंड आवश्यक आहे.
प्रकरण 3 - स्कोअर करून निर्णय. तीन AI साधनांची (DPA, डेटा स्थान, प्रशिक्षण निवड रद्द करणे, ISO 27001, उल्लंघन सूचना, हटवणे, पॅटर्न कार्ड, किंमत) ची तुलना करण्यासाठी एक संस्था 8-निकष विक्रेता जोखीम स्कोअर टेबल स्थापित करते. रेटिंग परिणाम हे साधन हायलाइट करते जे सर्वात लोकप्रिय नाही, परंतु सर्वात सुसंगत आहे. निर्णय "मला ते आवडले" या व्यक्तिपरक ऐवजी कागदोपत्री गुणांवर आधारित आहे.
टीप: मंजूर वाहनांची यादी "श्वेतसूची" म्हणून व्यवस्थापित करा: केवळ सूचीमध्ये असलेल्या वाहनांनाच परवानगी द्या. ब्लॅकलिस्ट प्रत्येक नवीन साधनासह अद्ययावत करावी लागते आणि नेहमी एक पाऊल मागे असते; व्हाइटलिस्टिंग डीफॉल्टनुसार सुरक्षित आहे.
बाहेर पडणे आणि व्यसनाचा धोका
वाहन मंजूर करताना बहुतेक एजन्सी वगळतात असा प्रश्न आहे: "आम्हाला या वाहनातून बाहेर पडायचे असल्यास काय होईल?" चांगले मूल्यमापन निर्गमन तसेच प्रवेशाचा विचार करते. दोन धोके वेगळे आहेत. पहिली म्हणजे डेटा पोर्टेबिलिटी: जेव्हा तुम्ही प्रदाता सोडता, तेव्हा तुम्ही तुमचा डेटा आणि कॉन्फिगरेशन एका मानक स्वरूपात परत मिळवू शकता किंवा डेटा प्रदात्यामध्ये लॉक केलेला आहे? दुसरे म्हणजे विक्रेता लॉक-इन: व्यवसाय प्रक्रिया एकाच साधनाशी इतकी जोडलेली असू शकते की जेव्हा प्रदाता किमती वाढवतो किंवा सेवा खंडित करतो तेव्हा बाहेर पडण्याचा खर्च असह्य होतो.
म्हणूनच पुष्टीकरण रेकॉर्डमध्ये "एक्झिट प्लॅन" ओळ देखील जोडणे चांगले आहे: आम्ही डेटा परत कसा मिळवू, पर्यायी साधन काय आहे, संक्रमणास किती वेळ लागतो. प्रदात्याने एक दिवस सेवा बंद केली तरी संस्था तयार होईल.
खबरदारी: एखादे वाहन लोकप्रिय किंवा स्वस्त आहे याचा अर्थ ते टिकाऊ आहे असे नाही. लहान प्रदाते बंद होऊ शकतात, अधिग्रहित केले जाऊ शकतात किंवा त्यांची धोरणे अचानक बदलू शकतात. गंभीर प्रक्रियेला एकाच साधनाशी जोडण्यापूर्वी, बाहेर पडण्याच्या परिस्थितीचा विचार करा.
कॉपी करण्यायोग्य टेम्पलेट्स
टेम्प्लेट 1 — विक्रेता मूल्यमापन प्रश्न संच: "नवीन AI साधन मंजूर करण्यापूर्वी विक्रेत्याला विचारण्यासाठी मूल्यमापन प्रश्न तयार करा. समाविष्ट करा: डेटा स्थान, मॉडेल प्रशिक्षणातील वापर आणि निवड रद्द करा, DPA उपस्थिती, सुरक्षा प्रमाणपत्रे, धारणा कालावधी, उल्लंघन सूचना, सबप्रोसेसर, हटवण्याची वचनबद्धता. प्रत्येक 'अपेक्षित प्रश्नाचे उत्तर समाविष्ट करा."
टेम्प्लेट 2 — DPA खंड चेकलिस्ट: "खालील कलमांसाठी DPA मसुदा [मजकूर पेस्ट करा] तपासा: प्रक्रियेची व्याप्ती, उप-प्रोसेसर, हस्तांतरण आश्वासन, सुरक्षा उपाय, उल्लंघन अधिसूचना कालावधी, हटवणे/परत करणे, ऑडिटचा अधिकार. प्रत्येक ॲपसाठी अंतिम कायदेशीर क्लॉज तयार करणे आवश्यक नाही, यासाठी 'उपस्थित / गहाळ / अनिश्चित' चिन्हांकित करा.
टेम्प्लेट 3 — विक्रेता जोखीम स्कोअरबोर्ड: "3 AI टूल्सची तुलना करण्यासाठी 8-निकष जोखीम स्कोअरबोर्ड सेट करा: DPA, डेटा स्थान, प्रशिक्षण निवड रद्द करणे, ISO 27001, उल्लंघन सूचना, हटवणे, पॅटर्न कार्ड, खर्च. प्रत्येक निकष 0-3 गुण असू द्या, एकूण आणि शिफारस स्तंभ जोडा. मी ते टेम्प्लेटमध्ये भरू."
टेम्प्लेट 4 — मंजूर टूल सूची एंट्री: "मंजूर AI टूल सूचीमध्ये नवीन एंट्री तयार करा: टूलचे नाव, मंजूर हेतू वापर, कोणत्या डेटा वर्गांना परवानगी आहे (सार्वजनिक/अंतर्गत/गोपनीय), प्रतिबंधित डेटा प्रकार, जबाबदार युनिट, मंजुरीची तारीख, पुनरावलोकन तारीख. सिंगल-लाइन रेकॉर्ड फॉरमॅटमध्ये."
कमकुवत प्रॉम्प्ट / मजबूत प्रॉम्प्ट
कमजोर: “हे एआय टूल सुरक्षित आहे का?”-> मॉडेल टूलच्या मार्केटिंग वचनाची पुनरावृत्ती; हे DPA, डेटा स्थान, प्रशिक्षण वापर यासारख्या ठोस निकषांचे मूल्यमापन करत नाही. स्ट्राँग: "मी एंटरप्राइझ वापरासाठी या AI साधनाचे मूल्यमापन करीन. खालील 8 निकषांवर (DPA, डेटा स्थान, प्रशिक्षण निवड रद्द करणे, ISO 27001, उल्लंघन सूचना, स्टोरेज, सबप्रोसेसर, मॉडेल कार्ड) आणि प्रत्येक निकषाच्या चेकशीटमध्ये 'स्वीकारण्यायोग्य' थ्रेशोल्ड काय असावे याच्या आधारावर मी प्रदात्याकडून कोणती माहिती मागावी? -> मॉडेल एक ठोस, पडताळणीयोग्य मूल्यमापन फ्रेमवर्क तयार करते.
सामान्य चुका
- कॉर्पोरेट डेटासह विनामूल्य/वैयक्तिक योजना वापरणे; DPA नाही हे समजत नाही आणि निवड रद्द करा.
- विपणन वचनावर आधारित साधन मंजूर करणे, डेटा स्थान आणि शैक्षणिक वापरासाठी न विचारणे.
- डीपीएवर स्वाक्षरी न करता किंवा सबप्रोसेसर कलम तपासल्याशिवाय डेटा शेअर करणे.
- कोणतेही/अनिश्चित मॉडेल कार्ड असलेले वाहन कोणत्याही प्रश्नाशिवाय मंजूर करणे.
- पांढऱ्या यादीऐवजी बंदी यादी ठेवणे आणि प्रत्येक नवीन वाहनाच्या मागे राहणे.
- मंजुरीनंतर पुन्हा वाहनाचे पुनरावलोकन न करणे (अटी बदलणे).
- विक्रेत्याची निवड व्यक्तिनिष्ठ प्राधान्यावर आधारित, प्रमाणित गुणांवर नाही.
सारांशात
- प्रत्येक एआय टूल डेटा प्रोसेसर आहे; मंजूरीपूर्वी पद्धतशीर मूल्यमापन आवश्यक आहे.
- डेटा प्रोसेसिंग करार (DPA) हा डेटा बांधणारा मूलभूत दस्तऐवज आहे; त्यात स्कोप, सबप्रोसेसर, सुरक्षा, उल्लंघन आणि हटवण्याच्या कलमांचा समावेश असावा.
- मोफत/वैयक्तिक योजना सहसा DPA देत नाहीत आणि प्रशिक्षणासाठी डेटा वापरत नाहीत; कॉर्पोरेट योजनांना प्राधान्य दिले पाहिजे.
- मॉडेल कार्ड मॉडेलची मर्यादा आणि जोखीम दर्शवते; त्याची अनुपस्थिती एक चेतावणी चिन्ह आहे.
- मंजूर साधने श्वेतसूची म्हणून व्यवस्थापित केली जावीत आणि विक्रेत्यांना कागदोपत्री जोखीम गुणांसह व्यवस्थापित केले जावे.
अर्ज कार्य
तुमची संस्था वापरू इच्छित असलेली तीन वास्तविक AI साधने निवडा. आठ निकषांसह विक्रेता जोखीम स्कोअर टेबल सेट करा (DPA, डेटा स्थान, प्रशिक्षण निवड रद्द करा, सुरक्षा प्रमाणपत्र, उल्लंघन सूचना, धारणा, मॉडेल कार्ड, किंमत) आणि या निकषांच्या आधारावर प्रत्येक वाहनाचा स्कोअर 0-3 करा. नंतर सर्वाधिक स्कोअर करणाऱ्या वाहनासाठी मान्यताप्राप्त वाहन यादी प्रविष्टी लिहा: मंजूर हेतू वापर, परवानगी डेटा वर्ग, प्रतिबंधित डेटा प्रकार, जबाबदार संस्था आणि पुनरावलोकन तारीख. शेवटी, वाहनाच्या DPA मध्ये तुम्हाला नक्की पहायच्या असलेल्या पाच गोष्टी लक्षात घ्या आणि त्या प्रत्येक का महत्त्वाच्या आहेत.
चेकलिस्ट
- [ ] मी साधन मंजूर करण्यापूर्वी मूल्यमापन प्रश्न विचारले.
- [ ] मी मॉडेल प्रशिक्षणात डेटा स्थान आणि वापर केस स्पष्ट केले.
- [ ] मी DPA चे अस्तित्व आणि त्यातील गंभीर बाबी तपासल्या.
- [ ] मी मॉडेल कार्ड तपासले; मी मर्यादा आणि जोखीम पाहिली.
- मी कागदोपत्री जोखीम स्कोअरसह विक्रेत्याचे मूल्यांकन केले.
- [ ] मी अनुमत डेटा वर्गांसह श्वेतसूचीमध्ये साधन जोडले आहे.
- [ ] मी पुनरावलोकनाची तारीख सेट केली आहे.