zisky:
- Pred zakúpením nástroja AI použite hodnotiace kritériá
- Rozpoznanie položiek, ktoré treba hľadať v zmluve o spracovaní údajov (DPA) a vzore karty
- Vytvorte zoznam schválených vozidiel a hodnotenie rizika predajcu
Čo urobíte, keď k vašim dverám príde obchodná jednotka a povie „chceme použiť tento nový nástroj AI, bude veľmi užitočný“? Povedať „v žiadnom prípade“ kŕmi tieňovú AI; Povedať „ok“ otvára nekontrolované riziko. Správna odpoveď je spustiť proces hodnotenia vozidla. V tejto lekcii sa dozvieme, aké otázky si položiť pred kúpou/certifikáciou vozidla AI, čo treba hľadať v dohode o spracovaní údajov (DPA) a modelovej karte a ako to všetko destilovať do schváleného zoznamu vozidiel a skóre rizika predajcu.
Prečo je potrebné hodnotenie?
Každý nástroj AI je spracovateľ údajov: spracováva údaje organizácie. Schválenie nesprávneho nástroja znamená nekontrolované odovzdanie osobných údajov organizácie tretej strane (a často aj do zahraničia). Základné otázky, ktoré je potrebné zodpovedať pred schválením nástroja:
- Kde spracúva a uchováva údaje (v ktorej krajine)?
- Používa naše údaje v modelovom tréningu? Dá sa to vypnúť (opt-out)?
- Ponúka dohodu o spracovaní údajov (DPA)?
- Existujú bezpečnostné certifikácie (napr. ISO 27001)?
- Ako dlho sa uchováva história chatu a je možné ju vymazať?
- Existuje záväzok upozorniť nás, ak dôjde k narušeniu bezpečnosti?
Dohoda o spracovaní údajov (DPA)
Dohoda o spracovaní údajov (DPA) je zmluva podpísaná medzi správcom údajov (inštitúciou) a spracovateľom údajov (poskytovateľom AI), ktorá špecifikuje, ako budú údaje spracované. KVKK a GDPR to vo veľkej miere nariaďujú. Položky, ktoré treba hľadať v DPA:
záležitosť
Čo by mal poskytovať?
Rozsah a účel spracovania
Nechajte poskytovateľa pracovať iba podľa našich pokynov
Subspracovatelia
Na koho sa prenáša? Je to vopred oznámené?
Zabezpečenie prevodu
Štandardné zmluvné doložky alebo ekvivalent
Bezpečnostné opatrenia
Šifrovanie, kontrola prístupu, ISO 27001
Upozornenie na porušenie pravidiel
Oznámenie nám v určitej lehote v prípade porušenia
Vymazanie/vrátenie
Záväzok vymazať/vrátiť údaje na konci zmluvy
Právo na audit
Schopnosť auditovať poskytovateľa alebo prijímať správy
Pozor: Väčšina „bezplatných“ a „individuálnych“ plánov AI neponúka DPA a môže používať údaje na modelový tréning. Pre firemné použitie by sa mali uprednostňovať firemné/obchodné plány, ktoré ponúkajú DPA a zaručujú výnimku zo vzdelávania. Bezplatný plán je často plán, v ktorom sa „za dáta platí“.
Modelová karta a priehľadnosť
Karta modelu je dokument, ktorý vysvetľuje, na čo je model AI určený, s akými údajmi je trénovaný, jeho obmedzenia a známe riziká. Dobrý poskytovateľ to zdieľa. Čo treba hľadať na karte modelu: zamýšľané použitie modelu, známe obmedzenia a riziká zaujatosti, neodporúčané použitia a poznámky k výkonu/bezpečnosti. Ak karta modelu chýba alebo je veľmi nejasná, je to samo o sebe varovný signál.
tri mini prípady
Prípad 1 – Náklady na bezplatný plán. Účtovný tím začína spracovávať finančné údaje zákazníkov pomocou bezplatného nástroja AI. Nástroj neponúka DPA a vo svojich podmienkach uvádza, že môže použiť údaje na trénovanie modelov. Pracovník zodpovedný za dodržiavanie súladu si to všimne a nástroj zakáže a schváli podnikovú alternatívu, ktorá ponúka DPA. Rozdiel: niekoľko stoviek TL mesačne za licenciu atď. Možné pokuty vo výške miliónov libier.
Prípad 2 – Prekvapenie subprocesora. Spoločnosť pri audite o mesiace neskôr zistí, že nástroj AI, ktorý schválila, preniesol údaje subdodávateľom v troch rôznych krajinách. Keďže v DPA nie je žiadna doložka „subdodávatelia musia byť informovaní vopred“, spoločnosť o tom nevedela. Poučenie: Klauzula v DPA, ktorá zviditeľňuje reťazec podprocesora, je nevyhnutná.
Prípad 3 – Rozhodnutie bodovaním. Organizácia vytvorí tabuľku skóre rizika dodávateľa s 8 kritériami na porovnanie troch nástrojov AI (DPA, umiestnenie údajov, odstúpenie od školenia, ISO 27001, oznámenie o porušení, vymazanie, vzorová karta, cena). Výsledok hodnotenia poukazuje na nástroj, ktorý nie je najobľúbenejší, ale je najkompatibilnejší. Rozhodnutie je založené skôr na zdokumentovateľnom skóre než na subjektívnom „Páčilo sa mi to“.
Tip: Spravujte zoznam schválených vozidiel ako „bielu listinu“: povoľte iba vozidlá, ktoré sú na zozname. Čierna listina sa musí aktualizovať s každým novým nástrojom a je vždy o krok pozadu; whitelisting je štandardne bezpečný.
Riziko odchodu a závislosti
Otázka, ktorú väčšina agentúr pri schvaľovaní vozidla preskakuje, je: „Čo sa stane, ak budeme chcieť z tohto vozidla vystúpiť?“ Za dobré hodnotenie sa považuje výstup aj vstup. Vynikajú dve riziká. Prvým je prenosnosť údajov: keď odídete od poskytovateľa, môžete získať svoje údaje a konfiguráciu späť v štandardnom formáte alebo sú údaje u poskytovateľa uzamknuté? Druhým je zablokovanie dodávateľa: obchodné procesy môžu byť tak zviazané s jedným nástrojom, že výstupné náklady sa stanú neúnosnými, keď poskytovateľ zvýši ceny alebo preruší službu.
Preto je dobrým zvykom pridať do potvrdzovacieho záznamu aj riadok „plán odchodu“: ako získame údaje späť, aký je alternatívny nástroj, ako dlho trvá prechod. Aj keď poskytovateľ jedného dňa službu vypne, organizácia bude pripravená.
Pozor: To, že je vozidlo obľúbené alebo lacné, neznamená, že je udržateľné. Malí poskytovatelia môžu zatvoriť, získať alebo náhle zmeniť svoje pravidlá. Pred pripojením kritického procesu k jedinému nástroju zvážte scenár ukončenia.
Kopírovateľné šablóny
ŠABLÓNA 1 — Sada otázok na hodnotenie dodávateľa: "Pripravte si hodnotiace otázky, ktoré sa predajcu spýtate pred schválením nového nástroja AI. Zahŕňa: umiestnenie údajov, použitie a odhlásenie v modelovom školení, prítomnosť DPA, bezpečnostné certifikáty, obdobie uchovávania, oznámenie o narušení, subspracovatelia, záväzok na vymazanie. Ku každej otázke uveďte očakávanú "bezpečnú" odpoveď."
VZOR 2 – Kontrolný zoznam doložky DPA: „Pozrite si návrh DPA nižšie [prilepte text], kde nájdete nasledujúce doložky: rozsah spracovania, subdodávatelia, zabezpečenie prenosu, bezpečnostné opatrenia, lehota na oznámenie porušenia, vymazanie/vrátenie, právo na audit. Pre každú doložku označte „prítomný/chýbajúci/neistý“. Pripomeňte, že sa vyžaduje zákonné schválenie; nerobte konečné rozhodnutia.“
ŠABLÓNA 3 — Tabuľka rizík dodávateľa: „Nastavte tabuľku rizík s 8 kritériami na porovnanie 3 nástrojov AI: DPA, umiestnenie údajov, odhlásenie zo školenia, ISO 27001, oznámenie o porušení, vymazanie, vzorová karta, cena. Každé kritérium nech sú 0 – 3 body, pridajte súčet a stĺpec odporúčaní. Dajte prázdnu šablónu, ja to doplním.“
ŠABLÓNA 4 – Schválený záznam v zozname nástrojov: „Navrhnite nový záznam v zozname schválených nástrojov AI: názov nástroja, schválené zamýšľané použitie, ktoré dátové triedy sú povolené (verejné/interné/dôverné), zakázané typy údajov, zodpovedná jednotka, dátum schválenia, dátum kontroly. Vo formáte záznamu s jedným riadkom.“
Slabá výzva / Silná výzva
SLABÝ: „Je tento nástroj AI bezpečný?“-> Opakuje marketingový prísľub modelového nástroja; Nehodnotí konkrétne kritériá, ako sú DPA, umiestnenie údajov, využitie školení. STRONG: „Vyhodnotím tento nástroj AI pre podnikové použitie. Aké informácie by som mal od poskytovateľa požadovať na základe nasledujúcich 8 kritérií (DPA, umiestnenie údajov, odhlásenie zo školenia, ISO 27001, oznámenie o porušení, úložisko, subprocesor, modelová karta) a aký by mal byť „prijateľný“ prah v každom kritériu? Uveďte vo formáte kontrolného hárku.“ -> Model vytvára konkrétny, overiteľný rámec hodnotenia.
Časté chyby
- Používanie bezplatných/individuálnych plánov s firemnými údajmi; Neuvedomujúc si, že neexistuje žiadny DPA a odhlásenie.
- Schválenie nástroja na základe marketingového prísľubu, nežiadanie o umiestnenie údajov a vzdelávacie využitie.
- Zdieľanie údajov bez podpísania DPA alebo kontroly doložky o subdodávateľoch.
- Schválenie vozidla bez/neistého modelu karty bez akýchkoľvek otázok.
- Vedenie zoznamu zákazov namiesto bieleho zoznamu a pozadu s každým novým vozidlom.
- Vozidlo po schválení znova nekontrolovať (zmena podmienok).
- Výber dodávateľa je založený na subjektívnych preferenciách, nie na overiteľnom skóre.
V súhrne
- Každý nástroj AI je procesorom údajov; Pred schválením je nevyhnutné systematické hodnotenie.
- Dohoda o spracovaní údajov (DPA) je základným dokumentom, ktorý spája údaje; Mal by zahŕňať klauzuly o rozsahu, subdodávateľoch, zabezpečení, porušení a vymazaní.
- Bezplatné/individuálne plány často neponúkajú DPA a používajú údaje na školenie; Mali by sa uprednostňovať podnikové plány.
- Karta modelu zobrazuje limity a riziká modelu; Jeho absencia je varovným signálom.
- Schválené nástroje by sa mali spravovať ako zoznam povolených a predajcovia by mali byť spravovaní s dokumentovateľným skóre rizika.
Aplikačná úloha
Vyberte si tri skutočné nástroje AI, ktoré by vaša organizácia mohla chcieť používať. Vytvorte tabuľku hodnotenia rizika predajcu s ôsmimi kritériami (DPA, umiestnenie údajov, odhlásenie zo školenia, bezpečnostná certifikácia, oznámenie o porušení, uchovávanie, modelová karta, cena) a na základe týchto kritérií ohodnoťte každé vozidlo od 0 do 3. Potom napíšte schválenú položku zoznamu vozidiel pre vozidlo s najvyšším skóre: schválené zamýšľané použitie, povolené triedy údajov, zakázané typy údajov, zodpovedný subjekt a dátum kontroly. Nakoniec si všimnite päť položiek, ktoré určite budete chcieť vidieť v DPA vozidla, a prečo je každá dôležitá.
kontrolný zoznam
- [ ] Pred schválením nástroja som položil hodnotiace otázky.
- [ ] Objasnil som umiestnenie údajov a prípad použitia v modelovom tréningu.
- [ ] Skontroloval som existenciu DPA a jej kritických položiek.
- [ ] Preskúmal som model karty; Videl som limity a riziká.
- [ ] Hodnotil som dodávateľa s doložiteľným skóre rizika.
- [ ] Nástroj som pridal do zoznamu povolených údajov s povolenými triedami údajov.
- [ ] Nastavil som dátum kontroly.