Fitimet:
- Aplikoni kriteret e vlerësimit përpara se të blini një mjet AI
- Njohja e artikujve që duhen kërkuar në marrëveshjen e përpunimit të të dhënave (DPA) dhe modelin e kartës
- Krijo listën e miratuar të automjeteve dhe vlerësimin e rrezikut të shitësit
Çfarë bëni kur një njësi biznesi vjen në derën tuaj dhe thotë "ne duam të përdorim atë mjet të ri AI, do të jetë shumë i dobishëm"? Thënia "në asnjë mënyrë" ushqen AI hije; Thënia "ok" hap rrezik të pakontrolluar. Përgjigja e saktë është kryerja e një procesi vlerësimi të automjetit. Në këtë njësi do të mësojmë se çfarë pyetjesh duhet të bëjmë përpara se të blini/çertifikoni një automjet me AI, çfarë të kërkoni në një marrëveshje për përpunimin e të dhënave (DPA) dhe kartën e modelit, dhe si t'i distiloni të gjitha këto në një listë të miratuar të automjeteve dhe rezultatin e rrezikut të shitësit.
Pse është i nevojshëm vlerësimi?
Çdo mjet i AI është një përpunues i të dhënave: ai përpunon të dhënat e organizatës. Miratimi i mjetit të gabuar nënkupton dorëzimin e të dhënave personale të organizatës tek një palë e tretë (dhe shpesh jashtë vendit) në mënyrë të pakontrolluar. Pyetjet kryesore për t'iu përgjigjur përpara se të miratoni një mjet:
- Ku i përpunon dhe ruan të dhënat (cili shtet)?
- A i përdor të dhënat tona në trajnimin e modeleve? A mund të fiket (opt-out)?
- A ofron një marrëveshje për përpunimin e të dhënave (DPA)?
- A ka çertifikata sigurie (p.sh. ISO 27001)?
- Sa kohë ruhet historiku i bisedës dhe a mund të fshihet?
- A ka një angazhim për të na njoftuar nëse ka një shkelje të sigurisë?
Marrëveshja për përpunimin e të dhënave (DPA)
Marrëveshja për Përpunimin e të Dhënave (DPA) është një kontratë e nënshkruar ndërmjet kontrolluesit (institucionit) të të dhënave dhe përpunuesit të të dhënave (ofruesi i AI) që specifikon se si do të përpunohen të dhënat. KVKK dhe GDPR kryesisht e mandatojnë këtë. Artikujt për të kërkuar në një DPA:
çështje
Çfarë duhet të sigurojë?
Fushëveprimi dhe qëllimi i përpunimit
Lëreni ofruesin të veprojë vetëm sipas udhëzimeve tona
Nënpërpunuesit
Kujt i transferohet? A njoftohet paraprakisht?
Sigurimi i transferimit
Klauzola standarde të kontratës ose ekuivalente
Masat e sigurisë
Kriptimi, kontrolli i aksesit, ISO 27001
Njoftimi për shkelje
Duke na njoftuar brenda një periudhe të caktuar kohore në rast shkeljeje
Fshirje/kthim
Angazhimi për fshirje/kthimin e të dhënave në fund të kontratës
E drejta për auditim
Aftësia për të audituar ofruesin ose për të marrë raporte
Kujdes: Shumica e planeve "falas" dhe "individuale" të AI nuk ofrojnë një DPA dhe mund të përdorin të dhëna për trajnimin e modeleve. Për përdorim korporativ, duhet të preferohen planet e korporatës/biznesit që ofrojnë DPA dhe garantojnë përjashtimin nga arsimi. Plani falas është shpesh plani ku të dhënat "paguhen".
Modeli i kartës dhe transparenca
Një kartë model është një dokument që shpjegon se për çfarë është krijuar një model i AI, me cilat të dhëna është trajnuar, kufizimet e tij dhe rreziqet e njohura. Një ofrues i mirë e ndan këtë. Gjërat për të kërkuar në kartën e modelit: përdorimi i synuar i modelit, kufizimet dhe rreziqet e njohura të paragjykimit, përdorimet që nuk rekomandohen dhe shënimet e performancës/sigurisë. Nëse karta e modelit mungon ose është shumë e paqartë, kjo në vetvete është një shenjë paralajmëruese.
tre mini kuti
Rasti 1 - Kostoja e planit falas. Një ekip kontabiliteti fillon të përpunojë të dhënat financiare të klientëve me një mjet falas të AI. Mjeti nuk ofron një DPA dhe thotë në kushtet e tij se mund të përdorë të dhënat për trajnimin e modeleve. Zyrtari i pajtueshmërisë e vëren këtë dhe e ndalon mjetin, duke miratuar një alternativë korporative që ofron DPA. Diferenca: disa qindra TL në muaj për licencë etj. Gjoba të mundshme miliona paund.
Rasti 2 - Surpriza e nënprocesorit. Një kompani zbulon në një auditim muaj më vonë se mjeti i AI që miratoi transferoi të dhëna te nënpërpunuesit në tre vende të ndryshme. Meqenëse nuk ka klauzolë "nën-përpunuesit do të njoftohen paraprakisht" në PDSH, kompania nuk ishte në dijeni të saj. Mësimi: Një klauzolë në DPA që e bën të dukshëm zinxhirin e nënprocesorit është një domosdoshmëri.
Rasti 3 - Vendimi me pikë. Një organizatë krijon një tabelë me 8 kritere të rezultateve të rrezikut të shitësit për të krahasuar tre mjete të AI (DPA, vendndodhjen e të dhënave, tërheqjen e trajnimit, ISO 27001, njoftimin e shkeljes, fshirjen, kartën e modelit, çmimin). Rezultati i vlerësimit nxjerr në pah mjetin që nuk është më i popullarizuari, por më i përshtatshmi. Vendimi bazohet në një rezultat të dokumentueshëm dhe jo në një "më pëlqeu" subjektive.
Këshillë: Menaxho listën e automjeteve të miratuara si "listë e bardhë": lejo vetëm automjetet që janë në listë. Lista e zezë duhet të përditësohet me çdo mjet të ri dhe është gjithmonë një hap prapa; lista e bardhë është e sigurt si parazgjedhje.
Rreziku i daljes dhe varësisë
Pyetja që shumica e agjencive anashkalojnë kur miratojnë një automjet është: "Çfarë ndodh nëse duam të dalim nga ky automjet?" Një vlerësim i mirë merr parasysh daljen si dhe hyrjen. Dy rreziqe dallohen. E para është transportueshmëria e të dhënave: kur largoheni nga ofruesi, a mund t'i ktheni të dhënat dhe konfigurimin tuaj në një format standard, apo të dhënat janë të kyçura në ofruesin? E dyta është mbyllja e shitësit: proceset e biznesit mund të jenë aq të lidhura me një mjet të vetëm saqë kostoja e daljes bëhet e padurueshme kur ofruesi rrit çmimet ose ndërpret shërbimin.
Kjo është arsyeja pse është praktikë e mirë të shtoni gjithashtu një linjë "plani i daljes" në regjistrimin e konfirmimit: si t'i kthejmë të dhënat, cili është mjeti alternativ, sa kohë zgjat tranzicioni. Edhe nëse ofruesi e mbyll shërbimin një ditë, organizata do të jetë e përgatitur.
Kujdes: Vetëm për shkak se një automjet është popullor ose i lirë nuk do të thotë se është i qëndrueshëm. Ofruesit e vegjël mund të mbyllen, të fitohen ose të ndryshojnë papritmas politikat e tyre. Përpara se të lidhni një proces kritik me një mjet të vetëm, merrni parasysh skenarin e daljes.
Modele të kopjueshme
SHBALL 1 — Seti i pyetjeve për vlerësimin e shitësit: "Përgatitni pyetje vlerësimi për t'i bërë shitësit përpara se të miratoni një mjet të ri të AI. Përfshi: vendndodhjen e të dhënave, përdorimin dhe tërheqjen në trajnimin e modelit, praninë e DPA-së, certifikatat e sigurisë, periudhën e ruajtjes, njoftimin e shkeljes, nënprocesorët, angazhimin e fshirjes. Përfshi përgjigjen e pritur "të sigurt" për secilën pyetje."
TABLE 2 — Lista kontrolluese e klauzolave të DPA: "Kontrollo draftin e DPA-së më poshtë [ngjit tekstin] për klauzolat e mëposhtme: fushëveprimi i përpunimit, nën-përpunuesit, siguria e transferimit, masat e sigurisë, periudha e njoftimit të shkeljes, fshirja/kthimi, e drejta e auditimit. Shënoni "i pranishëm / mungon / i pasigurt" për çdo klauzolë që nuk kërkohet miratimi përfundimtar.
TABLE 3 — Tabelë e rezultateve të rrezikut të shitësit: "Konfiguro një tabelë me 8 kritere për rrezikun për të krahasuar 3 mjete të AI: DPA, vendndodhjen e të dhënave, tërheqjen e trajnimit, ISO 27001, njoftimin e shkeljes, fshirjen, kartën e modelit, koston. Le të jetë çdo kriter 0-3 pikë, shtoni totalin dhe kolonën e rekomandimit. Plotësoni atë bosh."
TABLE 4 — Hyrja në listën e mjeteve të miratuara: "Hartoni një hyrje të re në listën e mjeteve të miratuara të AI: emri i mjetit, përdorimi i synuar i miratuar, cilat klasa të dhënash janë të lejuara (publike/të brendshme/konfidenciale), llojet e të dhënave të ndaluara, njësia përgjegjëse, data e miratimit, data e rishikimit. Në formatin e regjistrimit me një rresht."
Prompt i dobët / Prompt i fortë
I DOBËT: “A është i sigurt ky mjet i AI?”-> Përsërit premtimin e marketingut për mjetin model; Ai nuk vlerëson kriteret konkrete si DPA, vendndodhjen e të dhënave, përdorimin e trajnimit. STRONG: "Unë do ta vlerësoj këtë mjet të AI për përdorim në ndërmarrje. Çfarë informacioni duhet të kërkoj nga ofruesi bazuar në 8 kriteret e mëposhtme (DPA, vendndodhja e të dhënave, përjashtimi nga trajnimi, ISO 27001, njoftimi për shkelje, ruajtja, nënprocesori, karta modeli) dhe cili duhet të jetë pragu "i pranueshëm" në secilin kriter? Jepni në formatin e fletës së kontrollit." -> Modeli prodhon një kornizë vlerësimi konkrete, të verifikueshme.
Gabimet e zakonshme
- Përdorimi i planeve falas/individuale me të dhënat e korporatës; Duke mos kuptuar se nuk ka PDSH dhe të largoheni.
- Miratimi i mjetit bazuar në premtimin e marketingut, duke mos kërkuar vendndodhjen e të dhënave dhe përdorimin arsimor.
- Ndarja e të dhënave pa nënshkruar një DPA ose pa kontrolluar klauzolën e nënprocesorit.
- Miratimi i një automjeti me kartë modeli pa/të pasigurt pa asnjë pyetje.
- Mbajtja e një liste ndalimi në vend të një liste të bardhë dhe qëndrimi pas me çdo automjet të ri.
- Mos rishikimi i automjetit përsëri pas miratimit (ndryshojnë kushtet).
- Bazimi i përzgjedhjes së shitësit në preferencën subjektive, jo një rezultat të certifikueshëm.
Në përmbledhje
- Çdo mjet i AI është një përpunues i të dhënave; Vlerësimi sistematik është thelbësor përpara miratimit.
- Marrëveshja për përpunimin e të dhënave (DPA) është dokumenti bazë që lidh të dhënat; Ai duhet të përfshijë klauzola të fushëveprimit, nënprocesorit, sigurisë, shkeljes dhe fshirjes.
- Planet falas/individuale shpesh nuk ofrojnë DPA dhe përdorin të dhëna për trajnim; Duhet të preferohen planet e korporatës.
- Karta e modelit tregon kufijtë dhe rreziqet e modelit; Mungesa e tij është një shenjë paralajmëruese.
- Mjetet e miratuara duhet të menaxhohen si një listë e bardhë dhe shitësit duhet të menaxhohen me një rezultat rreziku të dokumentueshëm.
Detyra e aplikimit
Zgjidhni tre mjete reale të AI-së që organizata juaj mund të dëshirojë të përdorë. Vendosni një tabelë të rezultateve të rrezikut të shitësit me tetë kritere (DPA, vendndodhjen e të dhënave, tërheqjen e trajnimit, certifikimin e sigurisë, njoftimin e shkeljes, mbajtjen, kartën e modelit, koston) dhe shënoni çdo automjet nga 0-3 bazuar në këto kritere. Më pas shkruani një hyrje të miratuar në listën e automjeteve për automjetin me pikët më të larta: përdorimi i synuar i miratuar, klasat e lejuara të të dhënave, llojet e të dhënave të ndaluara, subjekti përgjegjës dhe data e rishikimit. Më në fund, vini re pesë artikuj që patjetër do të dëshironi të shihni në DPA të një automjeti dhe pse secili është i rëndësishëm.
listë kontrolli
- [ ] Unë bëra pyetje vlerësimi përpara se të miratoja mjetin.
- [ ] Unë sqarova vendndodhjen e të dhënave dhe rastin e përdorimit në trajnimin e modelit.
- [ ] Kontrollova ekzistencën e PDSH-së dhe pikat e saj kritike.
- [ ] Kam ekzaminuar kartën e modelit; I pashë kufijtë dhe rreziqet.
- [ ] E vlerësova shitësin me një rezultat rreziku të dokumentueshëm.
- [ ] E shtova mjetin në listën e bardhë me klasa të lejuara të të dhënave.
- [ ] Kam caktuar një datë shqyrtimi.