กำไร:
- การกำหนดบทบาทการกำกับดูแลด้วยเมทริกซ์ RACI
- สร้างกระบวนการอนุมัติที่สมดุลและโปรแกรมการตรวจสอบอย่างสม่ำเสมอ
- ใช้ AI และแผนตอบสนองต่อเหตุการณ์การละเมิดข้อมูลด้วยกฎ 72 ชั่วโมง
ตั้งแต่หน่วยแรกจนถึงจุดนี้ เราได้เขียนนโยบาย เรียนรู้กฎหมาย และประเมินความเสี่ยง ตอนนี้ได้เวลาเสียบปลั๊กทั้งหมดนี้เข้ากับระบบการทำงานแล้ว ไม่ว่านโยบายจะเขียนได้ดีเพียงใด หากไม่มีบทบาท ขั้นตอนการอนุมัติ การตรวจสอบ และการตอบสนองต่อเหตุการณ์อยู่เบื้องหลัง นโยบายนั้นจะยังคงอยู่บนชั้นวางเป็นเอกสาร ในหน่วยปิดนี้ เราได้รวมกลไกสี่ประการที่ทำให้การกำกับดูแล AI ยังคงดำเนินต่อไป ได้แก่ บทบาท (RACI) กระบวนการอนุมัติ การตรวจสอบตามปกติ และการตอบสนองต่อเหตุการณ์ และทำให้กรอบงานสมบูรณ์
การชี้แจงบทบาท: เมทริกซ์ RACI
กฎข้อแรกของการกำกับดูแล: ทุกงานจะต้องมีเจ้าของ เครื่องมือคลาสสิกในการชี้แจงสิ่งนี้คือเมทริกซ์ RACI RACI มาจากชื่อย่อของสี่บทบาท:
- R (Responsible / Doer): ผู้ที่ปฏิบัติงานจริง
- A (Accountable): ควรมีคนเดียวเท่านั้นที่รับผิดชอบในท้ายที่สุด
- C (ปรึกษา): ผู้ที่แสดงความคิดเห็น
- ฉัน (แจ้ง): แจ้งแล้ว
ภารกิจ
สร้างโดย (ร)
ผู้รับผิดชอบ (A)
ปรึกษาแล้ว (C)
แจ้งให้ทราบ (ฉัน)
การเขียนนโยบาย
เจ้าหน้าที่เอไอ
ผู้จัดการฝ่ายปฏิบัติตามข้อกำหนด
กฎหมาย ไอที ทรัพยากรบุคคล
ผู้บริหารระดับสูง
การอนุมัติรถยนต์ใหม่
ไอที/ความปลอดภัย
ผู้จัดการฝ่ายปฏิบัติตามข้อกำหนด
กฎหมาย
หน่วยธุรกิจ
การดำเนินการ DPIA
เจ้าหน้าที่คุ้มครองข้อมูล
ผู้จัดการฝ่ายปฏิบัติตามข้อกำหนด
ทีมงานที่เกี่ยวข้อง
ผู้บริหารระดับสูง
การตอบสนองการละเมิด
ทีมรักษาความปลอดภัย
ผู้บริหารระดับสูง
กฎหมายการสื่อสาร
ทั้งสถาบัน
การตรวจสอบ
การตรวจสอบภายใน
ผู้จัดการฝ่ายปฏิบัติตามข้อกำหนด
หน่วย
ผู้บริหารระดับสูง
เคล็ดลับ: มี "A" (รับผิดชอบ) เพียงหนึ่งรายการต่อบรรทัด สองคนต้องรับผิดชอบในท้ายที่สุด ส่วนศูนย์ต้องรับผิดชอบ นี่คือที่มาของวลี "ฉันคิดว่าคุณกำลังมองหา" ในช่วงวิกฤต การกำหนดความรับผิดชอบในบทบาทเดียวถือเป็นหลักธรรมาภิบาล
กระบวนการอนุมัติที่สมดุล
เครื่องมือ AI ใหม่หรือการใช้งานต้องมีกระบวนการอนุมัติ หลีกเลี่ยงกับดักสองประการ: หลวมเกินไป (ทุกอย่างฟรี มี AI เงา) และเข้มงวดเกินไป (ทุกอย่างรอการอนุมัติเป็นเวลาหลายเดือน ไม่มีใครรบกวน) การแลกเปลี่ยนคือการอนุมัติแบบค่อยเป็นค่อยไปตามความเสี่ยง:
ระดับความเสี่ยง
ตัวอย่าง
เส้นทางการอนุมัติ
ต่ำ
ร่างข้อความพร้อมข้อมูลที่เปิดอยู่
ไม่ต้องมีการอนุมัติ ฟรีภายในนโยบาย
ปานกลาง
การวิเคราะห์ด้วยข้อมูลภายในองค์กร
ผู้จัดการหน่วย + ข้อกำหนดยานพาหนะที่ได้รับอนุมัติ
สูง
ข้อมูลส่วนบุคคล/ส่วนตัว การตัดสินใจอัตโนมัติ
การปฏิบัติตาม + การอนุมัติทางกฎหมาย + DPIA
การปล่อยการใช้งานที่มีความเสี่ยงต่ำทำให้ทีมสามารถเป็นเจ้าของกระบวนการได้ การวางสิ่งที่มีความเสี่ยงสูงไว้ภายใต้การควบคุมที่เข้มงวดจะช่วยจัดการความเสี่ยงที่แท้จริง ดังนั้นกระบวนการจึงรวดเร็วและปลอดภัย
การตรวจสอบอย่างสม่ำเสมอ
การปกครองเป็นระบบที่มีชีวิต หากไม่มีการดูแลอย่างสม่ำเสมอ มันก็จะตาย การตรวจสอบการตรวจสอบ: ยานพาหนะที่ใช้ยังอยู่ในรายการที่ได้รับอนุมัติ มีสัญญาณของ Shadow AI หรือไม่ ใช้ระยะเวลาการเก็บรักษา มี DPIA เป็นปัจจุบัน มีการบันทึกเหตุการณ์ ความถี่ในการตรวจสอบถูกกำหนดโดยความเสี่ยง (เช่น รายไตรมาสสำหรับระบบที่มีความเสี่ยงสูง ทุก ๆ หกเดือนสำหรับทั่วไป)
ข้อควรสนใจ: การตรวจสอบไม่ใช่เครื่องมือในการ "ตำหนิใครบางคน" แต่เป็นเครื่องมือในการ "ปรับปรุงระบบ" วัฒนธรรมการตรวจสอบที่เน้นการลงโทษผลักดันให้พนักงานซ่อนปัญหาและส่งเสริม AI ที่ซ่อนอยู่ เป้าหมายคือการเห็นและแก้ไขปัญหาตั้งแต่เนิ่นๆ
การตอบสนองต่อเหตุการณ์และกฎ 72 ชั่วโมง
ไม่ว่าจะมีการจัดการที่ดีเพียงใด วันหนึ่งเหตุการณ์ก็จะเกิดขึ้น: ข้อมูลรั่วไหล การตัดสินใจของ AI ผิดพลาด ข้อมูลที่เป็นความลับเข้าสู่เครื่องมือที่ไม่ถูกต้อง แผนการตอบสนองต่อเหตุการณ์กำหนดว่าต้องทำอย่างไร:
- การตรวจจับและการกักกัน: รับรู้เหตุการณ์ หยุดการแพร่กระจาย (เช่น ตัดการเข้าถึง)
- การประเมิน: ข้อมูลใดบ้าง มีกี่คน ได้รับผลกระทบมากน้อยเพียงใด?
- การแจ้งเตือน: ในกรณีที่มีการละเมิดข้อมูลส่วนบุคคล ให้แจ้งหน่วยงานที่เกี่ยวข้อง (คณะกรรมการ KVKK) และบุคคลที่เกี่ยวข้องเมื่อจำเป็น GDPR กำหนดให้ต้องแจ้งหน่วยงานภายใน 72 ชั่วโมงหลังจากทราบการละเมิด KVKK ยังคาดหวังการแจ้งเตือน "โดยเร็วที่สุด"
- การแก้ไขและการเรียนรู้: แก้ไขสาเหตุที่แท้จริง ดำเนินการเพื่อป้องกันสิ่งที่คล้ายกัน บันทึกเหตุการณ์
ข้อควรสนใจ: ระยะเวลาแจ้งเตือน 72 ชั่วโมงเริ่มตั้งแต่วินาทีที่คุณทราบเกี่ยวกับเหตุการณ์ดังกล่าว แนวทาง "มาแก้กันภายในก่อนแล้วเราจะแจ้งให้ทราบ" จะพลาดกำหนดเวลา การมีแผนตอบสนองต่อเหตุการณ์และห่วงโซ่การสื่อสารล่วงหน้าจะช่วยประหยัดเวลาในช่วงวิกฤต
มินิเคสสามอัน
กรณีที่ 1 — งานที่ไม่มีการอ้างสิทธิ์ บริษัทมีนโยบาย AI แต่ไม่ชัดเจนว่า "ใครเป็นผู้อัปเดตรายการเครื่องมือที่ได้รับอนุมัติ" รายการจะไม่อัปเดตเป็นเวลา 8 เดือน ทีมเริ่มใช้เครื่องมือที่ไม่อยู่ในรายการ หากเมทริกซ์ RACI ตรึงงานนี้เข้ากับบทบาท ช่องว่างจะไม่เกิดขึ้น
กรณีที่ 2 — พลาดไป 72 ชั่วโมง พนักงานคนหนึ่งกรอกรายชื่อนักช้อปปริศนาโดยใช้เครื่องมือที่ไม่ถูกต้อง ทีมงานพยายามแก้ไขปัญหานี้เป็นการภายในและแจ้งให้กฎหมายทราบในสามวันต่อมา ยังไงก็ผ่านพ้นช่วงการแจ้งเตือนไปแล้ว แผนการตอบสนองต่อเหตุการณ์ที่เตรียมไว้และห่วงโซ่การสื่อสารที่ชัดเจนจะช่วยย้ายเหตุการณ์ไปยังช่องทางที่ถูกต้องภายในชั่วโมงแรก
กรณีที่ 3 — Shadow AI ถูกจับโดยการตรวจสอบ องค์กรตรวจพบเครื่องมือ AI ที่ไม่ได้รับการอนุมัติสามรายการในการรับส่งข้อมูลเครือข่ายระหว่างการตรวจสอบรายครึ่งปีตามปกติ แทนที่จะลงโทษ เขาพูดคุยกับทีม ทำความเข้าใจว่าทำไมพวกเขาถึงต้องการเครื่องมือเหล่านี้ ประเมินทั้งสองอย่าง และเพิ่มเข้าไปในรายการที่ได้รับอนุมัติ การตรวจสอบทั้งปิดความเสี่ยงและทำให้มองเห็นความต้องการที่แท้จริงได้
เทมเพลตที่คัดลอกได้
เทมเพลต 1 — โครงร่างเมทริกซ์ RACI: "ร่างเมทริกซ์ RACI สำหรับการกำกับดูแล AI ขององค์กรของเรา งาน: การเขียนนโยบาย การอนุมัติเครื่องมือ DPIA การตอบสนองต่อการละเมิด การตรวจสอบ การฝึกอบรม บทบาท: หัวหน้า AI ผู้จัดการการปฏิบัติตามกฎระเบียบ กฎหมาย ไอที ทรัพยากรบุคคล ผู้บริหารระดับสูง มี 'A' เพียงคนเดียวเท่านั้นในแต่ละบทบาท"
เทมเพลต 2 — ขั้นตอนการอนุมัติแบบแบ่งระดับ: "ออกแบบกระบวนการอนุมัติ AI แบบแบ่งระดับตามความเสี่ยง: เส้นทางการอนุมัติแยกกันสำหรับความเสี่ยงต่ำ/กลาง/สูง เขียนตัวอย่างการใช้งาน บทบาทผู้อนุมัติ และเอกสารที่จำเป็น (DPIA ฯลฯ) สำหรับแต่ละระดับ ทำให้กระบวนการทั้งรวดเร็วและปลอดภัย"
เทมเพลต 3 — รายการตรวจสอบการตรวจสอบ: "เตรียมรายการตรวจสอบสำหรับการตรวจสอบการกำกับดูแล AI เป็นเวลาหกเดือน: การปฏิบัติตามข้อกำหนดของเครื่องมือที่ได้รับอนุมัติ การบ่งชี้ Shadow AI ระยะเวลาการเก็บรักษา สกุลเงิน DPIA บันทึกเหตุการณ์ อัตราความสำเร็จของการฝึกอบรม เพิ่มวิธี 'วิธีตรวจสอบ' ให้กับแต่ละรายการ"
เทมเพลต 4 — การ์ดโฟลว์การตอบสนองต่อเหตุการณ์: "เขียนการ์ดโฟลว์การตอบสนองต่อเหตุการณ์หนึ่งหน้าสำหรับ AI/การละเมิดข้อมูล: ทีละขั้นตอน (การตรวจจับ การกักกัน การประเมิน การแจ้งเตือน การแก้ไข) บทบาทที่รับผิดชอบและข้อมูลการติดต่อในแต่ละขั้นตอน การแจ้งเตือนการแจ้งเตือน 72 ชั่วโมง ทำให้มันง่ายพอที่จะนั่งบนโต๊ะในช่วงวิกฤต"
พรอมต์อ่อน / พรอมต์แข็งแกร่ง
อ่อนแอ: “เราควรทำอย่างไรเพื่อการกำกับดูแล AI” -> โมเดลแสดงรายการทั่วไป บทบาท เส้นทางการอนุมัติ และแผนเหตุการณ์จะไม่เฉพาะเจาะจงและบังคับใช้กับสถาบัน แข็งแกร่ง: "เราเป็นองค์กรที่มีสมาชิก 60 คน เพื่อให้การกำกับดูแล AI ทำงาน: (1) สร้างเมทริกซ์ RACI 5 งาน (2) ขั้นตอนการอนุมัติแบบลำดับขั้นสำหรับความเสี่ยงต่ำ/ปานกลาง/สูง (3) การ์ดตอบสนองต่อเหตุการณ์หนึ่งหน้าพร้อมกฎ 72 ชั่วโมง ปล่อยให้มี 'A' ตัวเดียวในแต่ละงาน เรียบง่ายและใช้งานได้"-> โมเดลนี้สร้างเครื่องมือการกำกับดูแลเฉพาะองค์กรที่ใช้งานได้ทันที
ข้อผิดพลาดทั่วไป
- ไม่แก้ไขงานตามบทบาท การสร้างช่องว่าง "งานของทุกคนไม่ใช่ธุรกิจของใคร"
- การกำหนด "A" มากกว่าหนึ่งรายการ (ความรับผิดชอบขั้นสูงสุด) ในงาน
- ทำให้กระบวนการอนุมัติหละหลวมหรือเข้มงวดเกินไป ไม่แบ่งชั้นตามความเสี่ยง
- ไม่ดำเนินการตรวจสอบเลยหรือกลายเป็นเครื่องมือในการลงโทษและซ่อนปัญหา
- พิจารณาแผนการตอบสนองต่อเหตุการณ์หลังเกิดเหตุ
- ขาดระยะเวลาแจ้งเตือน 72 ชั่วโมงเพียงเพื่อ "มาแก้ไขภายในก่อน"
- สร้างธรรมาภิบาลเพียงครั้งเดียวและไม่ทบทวนอีกครั้ง อย่างไรก็ตาม มันเป็นระบบที่มีชีวิต
โดยสรุป
- กลไกสี่ประการที่ทำให้การกำกับดูแลทำงาน: บทบาท (RACI) การอนุมัติแบบลำดับชั้น การตรวจสอบเป็นประจำ และการตอบสนองต่อเหตุการณ์
- ในเมทริกซ์ RACI แต่ละงานควรมีผู้รับผิดชอบขั้นสูงสุดเพียงคนเดียว (A)
- กระบวนการอนุมัติควรเป็นไปตามความเสี่ยง ปราศจากความเสี่ยงต่ำ ความเสี่ยงสูง การควบคุมอย่างเข้มงวด
- การตรวจสอบอย่างสม่ำเสมอช่วยให้การกำกับดูแลยังคงอยู่ มันถูกใช้เป็นวิธีการรักษาไม่ใช่การลงโทษ
- ควรจัดทำแผนตอบสนองต่อเหตุการณ์ไว้ล่วงหน้า ไม่ควรลืมกฎการแจ้งเตือน 72 ชั่วโมงในกรณีที่มีการละเมิดข้อมูลส่วนบุคคล
งานสมัคร
รวบรวมกรอบการกำกับดูแลที่สมบูรณ์สำหรับองค์กรของคุณในเอกสารฉบับเดียว ขั้นแรกให้สร้างเมทริกซ์ RACI อย่างน้อยห้างาน ตรวจสอบให้แน่ใจว่ามี "A" เพียงตัวเดียวในแต่ละงาน จากนั้นออกแบบขั้นตอนการอนุมัติตามลำดับชั้นสำหรับความเสี่ยงต่ำ ปานกลาง และสูง และเพิ่มตัวอย่างการใช้งาน บทบาทการอนุมัติ และเอกสารประกอบที่จำเป็นในแต่ละระดับ จากนั้นสร้างรายการตรวจสอบการตรวจสอบหกเดือน สุดท้าย เขียนการ์ดตอบสนองต่อเหตุการณ์หนึ่งหน้าสำหรับการละเมิด AI/ข้อมูล รวมการแจ้งเตือนและห่วงโซ่การสื่อสารตลอด 72 ชั่วโมง เอกสารสี่ส่วนนี้จะเป็นเอกสารที่จะเปลี่ยนสิ่งที่คุณได้เรียนรู้ตลอดทั้งโมดูลให้กลายเป็นระบบการทำงาน
รายการตรวจสอบ
- [ ] ฉันตั้งค่าเมทริกซ์ RACI แต่ละภารกิจจะมี "A" เพียงตัวเดียว
- [ ] ฉันออกแบบขั้นตอนการอนุมัติแบบค่อยเป็นค่อยไปตามความเสี่ยง
- [ ] ฉันได้ทิ้งการใช้ที่มีความเสี่ยงต่ำไว้อย่างเสรีนิยมพอสมควร
- [ ] ฉันเตรียมรายการตรวจสอบการตรวจสอบหกเดือน
- [ ] ฉันวางตำแหน่งการตรวจสอบเป็นเครื่องมือในการปรับปรุง
- [ ] ฉันเขียนการ์ดตอบสนองต่อเหตุการณ์หนึ่งหน้า
- [ ] ฉันได้รวมกฎการแจ้งล่วงหน้า 72 ชั่วโมงและสายการสื่อสารแล้ว
การสอบโมดูล
1. แนวคิดที่อ้างถึงการใช้ AI โดยไม่ได้รับอนุญาตโดยพนักงานซึ่งเกิดขึ้นเมื่อองค์กรไม่มีนโยบาย AI ที่เป็นลายลักษณ์อักษรคืออะไร
- ก) เงา AI (เงา AI) ✔
- B) AI น้ำหนักเปิด
- C) AI ต่อเนื่องหลายรูปแบบ
- D) AI ภายใต้การดูแล
คำอธิบาย: การใช้ AI โดยไม่ได้รับความรู้และอนุมัติจากสถาบันเรียกว่า 'Shadow AI' และก่อให้เกิดความเสี่ยงร้ายแรง เช่น ข้อมูลรั่วไหล
2. แนวทางพื้นฐานของนโยบาย AI ขององค์กรที่ดีควรเป็นอย่างไร
- A) การห้ามการใช้ AI ให้สมบูรณ์ที่สุด
- ข) เพื่อเป็นกรอบการทำงานที่ช่วยให้นำไปใช้ได้อย่างมีความรับผิดชอบและให้ความชัดเจนและไว้วางใจ✔
- C) เป็นเอกสารทางเทคนิคที่แผนกไอทีรู้จักเท่านั้น
- D) ให้นานที่สุดเท่าที่จะเป็นไปได้และเขียนด้วยภาษากฎหมายเท่านั้น
คำอธิบาย: นโยบายที่ดีไม่ใช่รายการข้อห้าม แต่เป็นกรอบการทำงานที่ช่วยให้สามารถนำไปใช้ได้อย่างมีความรับผิดชอบ การห้ามโดยสิ้นเชิงจะไม่ทำให้การใช้งานหมดไป มันทำให้มองไม่เห็นและควบคุมไม่ได้
3. อะไรเป็นตัวกำหนดการจัดประเภทข้อมูล ซึ่งเป็นส่วนที่สำคัญที่สุดของนโยบาย AI ระดับองค์กร
- A) ราคาโทเค็นของโมเดล AI
- B) งบประมาณ AI ประจำปีของบริษัท
- C) ข้อมูลประเภทใดที่สามารถป้อนข้อมูลลงในเครื่องมือ AI ได้ ✔
- D) พนักงานคนไหนจะได้รับเงินเดือนเท่าไร?
คำอธิบาย: การจำแนกข้อมูล; โดยกำหนดกฎเกณฑ์ที่ชัดเจนเกี่ยวกับประเภทของข้อมูลเปิด ข้อมูลภายใน ข้อมูลลับและข้อมูลกรรมสิทธิ์ ที่สามารถและไม่สามารถป้อนเข้าไปในเครื่องมือ AI ใดได้
4. หลักการ "การลดข้อมูล" ของ KVKK (ความเกี่ยวข้อง จำกัด และได้สัดส่วน) มีความหมายอย่างไรในการใช้ AI
- A) ป้อนข้อมูลที่จำเป็นลงใน AI เท่านั้นและไม่ต้องอีกต่อไป✔
- B) รับผลลัพธ์ที่ดีขึ้นโดยการป้อนข้อมูลลงใน AI ให้ได้มากที่สุด
- C) การจัดเก็บข้อมูลอย่างไม่มีกำหนด
- D) ตรวจสอบให้แน่ใจว่าได้ถ่ายโอนข้อมูลทั้งหมดไปต่างประเทศ
คำอธิบาย: การลดขนาดข้อมูลหมายถึงการเข้าสู่ AI เฉพาะข้อมูลที่จำเป็นสำหรับวัตถุประสงค์เท่านั้น และไม่มากไปกว่านี้ หากเป็นไปได้ ข้อมูลจะถูกป้อนโดยไม่ระบุชื่อหรือปิดบัง
5. KVKK จะพิจารณาอะไรเมื่อป้อนข้อความที่มีข้อมูลส่วนบุคคลลงในเครื่องมือ AI ที่ประมวลผลข้อมูลบนเซิร์ฟเวอร์ของผู้ให้บริการ
- ก) ธุรกรรมปกติที่ไม่มีผลทางกฎหมาย
- B) การกระทำที่ต้องห้ามอย่างเคร่งครัดในทุกสถานการณ์
- C) การดำเนินการที่สำคัญเฉพาะในกรณีที่ข้อมูลเปิดอยู่
- D) ธุรกรรมและบ่อยครั้งเป็นการโอน; ต้องมีพื้นฐานทางกฎหมายและการรับประกัน✔
คำอธิบาย: นี่คือ 'การประมวลผล' และมักจะ 'ถ่ายโอน' เนื่องจากข้อมูลได้รับการประมวลผลบนเซิร์ฟเวอร์ของผู้ให้บริการ (ซึ่งมักจะอยู่ต่างประเทศ) ต้องมีพื้นฐานทางกฎหมายที่ถูกต้องและสัญญา/การรับประกันที่เหมาะสม
6. แนวทางพื้นฐานของพระราชบัญญัติ AI ของสหภาพยุโรปคืออะไร
- A) กำหนดให้ระบบ AI ทั้งหมดอยู่ภายใต้กฎที่เข้มงวดเดียวกัน
- B) จำแนกระบบ AI ตามความเสี่ยงที่อาจเกิดขึ้น และใช้กฎเกณฑ์ตามนั้น ✔
- C) ห้ามการใช้ AI ทั่วทั้งสหภาพยุโรปโดยสมบูรณ์
- D) การควบคุมเฉพาะราคาโทเค็นของโมเดล
คำอธิบาย: กฎหมาย AI ของสหภาพยุโรปไม่ได้รวม AI ทั้งหมดไว้ด้วยกัน โดยแบ่งระบบออกเป็นสี่ระดับความเสี่ยง (ต้องห้าม สูง จำกัด น้อยที่สุด) ตามอันตรายที่อาจเกิดขึ้น และกระชับกฎเกณฑ์เมื่อความเสี่ยงเพิ่มขึ้น
7. ตามกฎหมาย AI ของสหภาพยุโรป ระบบ AI ที่คัดเลือกผู้สมัครในการตัดสินใจจ้างงานจะจัดอยู่ในกลุ่มความเสี่ยงประเภทใด
- ก) ความเสี่ยงสูง ✔
- ข) ความเสี่ยงน้อยที่สุด
- C) ความเสี่ยงจำกัด
- D) ปราศจากความเสี่ยง
คำอธิบาย: พื้นที่ที่ส่งผลกระทบร้ายแรงต่อชีวิตของผู้คน เช่น การสรรหาบุคลากร สินเชื่อ และการดูแลสุขภาพ โดยทั่วไปจะจัดอยู่ในหมวดหมู่ 'ความเสี่ยงสูง' และอยู่ภายใต้ภาระผูกพันที่เข้มงวด (การบันทึก การตรวจสอบโดยมนุษย์ คุณภาพของข้อมูล)
8. ภายใต้กฎหมาย AI ของสหภาพยุโรป ระบบ "การให้คะแนนทางสังคม" ที่รัฐสนับสนุน ซึ่งให้คะแนนผู้คนตามพฤติกรรมหรือลักษณะเฉพาะและทำให้เสียเปรียบทางสังคมจัดอยู่ในหมวดหมู่ใด
- ก) ความเสี่ยงจำกัด
- ข) ความเสี่ยงสูง
- C) การปฏิบัติต้องห้าม (ความเสี่ยงที่ยอมรับไม่ได้) ✔
- ง) ความเสี่ยงน้อยที่สุด
คำอธิบาย: การให้คะแนนทางสังคม การยักยอกแบบอ่อนเกิน และแนวทางปฏิบัติในการเฝ้าระวังด้วยชีวมาตรบางอย่าง ถือเป็น "แนวทางปฏิบัติที่ต้องห้าม" สิ่งเหล่านี้ไม่สามารถปล่อยออกมาได้แม้ว่าความเสี่ยงจะลดลง แต่ก็เป็นสิ่งต้องห้ามโดยสิ้นเชิง
9. มาตรา 22 GDPR ปกป้องบุคคลจากสิ่งใด
- A) เทียบกับราคาที่สูงของเครื่องมือ AI
- B) เฉพาะกับอีเมลโฆษณาเท่านั้น
- C) ต่อต้านการใช้แบบจำลองถ่วงน้ำหนักที่ขาดดุล
- D) ต่อต้านการตัดสินใจที่ส่งผลกระทบอย่างมากต่อบุคคลและจะทำโดยอัตโนมัติเท่านั้น✔
คำอธิบาย: มาตรา 22 ของ GDPR ปกป้องบุคคลจากการตัดสินใจที่ส่งผลกระทบต่อบุคคลในขอบเขตทางกฎหมายหรือที่มีนัยสำคัญในทำนองเดียวกัน และขึ้นอยู่กับการประมวลผลอัตโนมัติเท่านั้น (รวมถึง AI) ให้สิทธิในการร้องขอการแทรกแซงของมนุษย์และวัตถุ
10. สิ่งที่จำเป็นในแง่ของ KVKK/GDPR เมื่อคุณต้องการประมวลผลข้อมูลส่วนบุคคลบนเซิร์ฟเวอร์ของผู้ให้บริการ AI ในต่างประเทศ
- ก) ไม่มีเงื่อนไขเพิ่มเติม สามารถถ่ายโอนข้อมูลได้อย่างอิสระ
- B) การรับรองที่เหมาะสม (หนังสือรับรองการดำเนินการ/ข้อสัญญามาตรฐาน) หรือกลไก เช่น การยินยอมอย่างชัดแจ้ง ✔
- C) การเข้ารหัสข้อมูลเท่านั้นที่เพียงพอ
- D) การอนุมัติด้วยวาจาจากพนักงานเท่านั้นก็เพียงพอแล้ว
คำอธิบาย: ตามกฎแล้วการโอนข้ามพรมแดนจำเป็นต้องมีกลไกที่รวมถึงการยินยอมอย่างชัดเจนหรือข้อผูกพันที่เพียงพอในการคุ้มครอง (การป้องกันที่เหมาะสม เช่น หนังสือรับรองข้อผูกพัน ข้อสัญญามาตรฐาน) ข้อมูลไม่สามารถถ่ายโอนแบบสุ่มได้
11. อะไรเป็นตัวกำหนดว่าผลงานที่สร้างโดย AI มีลิขสิทธิ์ในระบบกฎหมายส่วนใหญ่หรือไม่?
- A) ระดับความคิดสร้างสรรค์ของมนุษย์และการมีส่วนร่วมในเนื้อหา ✔
- B) ราคาโทเค็นของรุ่นที่ใช้
- C) เฉพาะความยาวของเอาต์พุต
- D) ประเทศต้นกำเนิดของเครื่องมือ AI
คำอธิบาย: ในระบบกฎหมายหลายระบบ การคุ้มครองลิขสิทธิ์ต้องใช้ความคิดสร้างสรรค์ของมนุษย์ ยิ่งมีทิศทางของมนุษย์ การคัดเลือก กฎระเบียบ และการมีส่วนร่วมที่เป็นเอกลักษณ์มากเท่าใด โอกาสในการรักษาผลลัพธ์ก็จะยิ่งมากขึ้นเท่านั้น
12. “การควบคุมโดยมนุษย์” ซึ่งเป็นหลักการที่สำคัญที่สุดของกรอบการกำกับดูแลของ AI หมายถึงอะไร
- A) AI ทำการตัดสินใจทั้งหมดโดยลำพังและโดยอัตโนมัติ
- B) ผู้คนหยุดใช้ AI โดยสิ้นเชิง
- C) AI เป็นเครื่องมือ คำพูดสุดท้ายและความรับผิดชอบในการตัดสินใจที่สำคัญเป็นของบุคคลนั้นเสมอ✔
- D) ใช้เฉพาะรุ่นที่แพงที่สุดเท่านั้น
คำอธิบาย: หลักการควบคุมของมนุษย์เน้นย้ำว่า AI เป็นเครื่องมือและความรับผิดชอบยังคงอยู่กับมนุษย์เสมอ ผู้มีอำนาจมีอำนาจตัดสินใจขั้นสุดท้ายในการตัดสินใจที่สำคัญ 'AI พูดอย่างนั้น' ไม่ใช่ข้อแก้ตัว
13. โดยปกติแล้วการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ควรดำเนินการเมื่อใด
- ก) หลังจากเกิดการละเมิดข้อมูล
- B) ในขั้นตอนการออกแบบ ก่อนเริ่มการประมวลผลที่มีความเสี่ยงสูง ✔
- C) เฉพาะในกรณีที่ผู้ตรวจสอบบัญชีร้องขอเท่านั้น
- D) เป็นประจำหลายปีหลังจากโครงการ
คำอธิบาย: DPIA ควรดำเนินการในขั้นตอนการออกแบบก่อนที่จะเริ่มกิจกรรมการประมวลผล AI ที่ใช้เทคโนโลยีใหม่ เกี่ยวข้องกับการติดตามในวงกว้างหรือเป็นระบบ หรือก่อให้เกิดความเสี่ยงสูงต่อบุคคล
14. ตาม "ข้อจำกัดวัตถุประสงค์" และหลักการเก็บรักษาของ KVKK ควรทำอย่างไรกับข้อมูลส่วนบุคคลในประวัติการแชทของเครื่องมือ AI
- ก) ควรเก็บไว้ตลอดไป
- B) ไม่ต้องมีกฎเกณฑ์ มันเป็นปัญหาของผู้ให้บริการ
- C) มีการตรวจสอบเป็นประจำทุกปีตามคำร้องขอของผู้จัดการเท่านั้น
- D) ควรเชื่อมโยงกับนโยบายการจัดเก็บและการทำลาย และควรถูกลบหรือไม่เปิดเผยชื่อเมื่อวัตถุประสงค์เสร็จสมบูรณ์ ✔
คำอธิบาย: ข้อมูลส่วนบุคคลไม่สามารถเก็บไว้นานเกินความจำเป็นเพื่อวัตถุประสงค์ในการประมวลผลได้ ประวัติการแชทของ AI ควรเชื่อมโยงกับนโยบายการเก็บรักษาและการทำลาย เมื่อวัตถุประสงค์ไม่อยู่แล้ว ควรลบหรือทำให้เป็นนิรนาม
15. การลงทะเบียนใดที่จำเป็นสำหรับผู้ควบคุมข้อมูลที่เกินเกณฑ์ที่กำหนดในการลงทะเบียนกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในตุรกี
- A) VERBIS (ระบบข้อมูลรีจิสทรีตัวควบคุมข้อมูล) ✔
- B) ทะเบียนการค้า MERSIS
- C) ฐานข้อมูลกฎหมาย AI ของสหภาพยุโรป
- D) ทะเบียนผู้เสียภาษี
คำอธิบาย: VERBIS (Data Controllers Registry Information System) คือระบบทะเบียนอย่างเป็นทางการที่ผู้ควบคุมข้อมูลลงทะเบียนการประมวลผลสินค้าคงคลัง กิจกรรมการประมวลผลที่ใช้ AI ใหม่จะต้องสะท้อนให้เห็นในสินค้าคงคลัง และหากจำเป็น ในบันทึก VERBIS