Khung quản trị AI: Vai trò, Phê duyệt, Kiểm toán và Ứng phó sự cố

Lợi nhuận:

• Xác định vai trò quản trị bằng ma trận RACI
• Thiết lập quy trình phê duyệt cân bằng và chương trình kiểm toán thường xuyên
• Triển khai kế hoạch ứng phó sự cố vi phạm dữ liệu và AI với quy tắc 72 giờ

Từ tiết đầu tiên đến thời điểm này, chúng tôi đã viết chính sách, tìm hiểu pháp luật và đánh giá rủi ro. Bây giờ là lúc cắm tất cả những thứ này vào một hệ thống đang hoạt động. Cho dù chính sách được viết tốt đến đâu, nếu không có vai trò, quy trình phê duyệt, kiểm tra và ứng phó sự cố đằng sau nó thì nó vẫn nằm trên giá như một tài liệu. Trong phần kết thúc này, chúng tôi kết hợp bốn cơ chế giúp duy trì hoạt động quản trị AI—các vai trò (RACI), quy trình phê duyệt, kiểm toán thường xuyên và ứng phó sự cố—và hoàn thiện khuôn khổ.

Làm rõ vai trò: ma trận RACI

Nguyên tắc quản trị đầu tiên: mọi công việc đều phải có người chủ. Công cụ cổ điển để làm rõ điều này là ma trận RACI. RACI xuất phát từ tên viết tắt của bốn vai trò:

• R (Responsible/Doer): Người thực sự thực hiện công việc.
• Đáp (Có trách nhiệm): Chỉ nên có một người chịu trách nhiệm cuối cùng.
• C (Consulted): Người đưa ra ý kiến.
• I (Informed): Thông báo.

Nhiệm vụ

Được thực hiện bởi (R)

Chịu trách nhiệm (A)

Đã tư vấn (C)

Thông báo (tôi)

Viết chính sách

sĩ quan AI

người quản lý tuân thủ

Pháp lý, CNTT, nhân sự

quản lý cấp cao

Phê duyệt xe mới

CNTT/bảo mật

người quản lý tuân thủ

pháp luật

đơn vị kinh doanh

thực thi dpi

Nhân viên bảo vệ dữ liệu

người quản lý tuân thủ

Nhóm liên quan

quản lý cấp cao

phản hồi vi phạm

đội an ninh

quản lý cấp cao

pháp luật, truyền thông

toàn bộ tổ chức

Kiểm toán

kiểm toán nội bộ

người quản lý tuân thủ

Đơn vị

quản lý cấp cao

Mẹo: Chỉ có một chữ "A" (Có trách nhiệm) trên mỗi dòng. Hai người chịu trách nhiệm cuối cùng, số không chịu trách nhiệm; Đây là nơi bắt nguồn của cụm từ "Tôi tưởng bạn đang nhìn" vào thời điểm khủng hoảng. Xác định trách nhiệm cho một vai trò duy nhất là nguyên tắc quản trị.

Quy trình phê duyệt cân bằng

Một công cụ AI mới hoặc việc sử dụng nó cần phải có quy trình phê duyệt. Cần tránh hai cái bẫy: quá lỏng lẻo (mọi thứ đều miễn phí, AI bóng tối) và quá cứng nhắc (mọi thứ phải chờ phê duyệt hàng tháng trời, không ai bận tâm). Sự đánh đổi là sự phê duyệt dần dần dựa trên rủi ro:

Mức độ rủi ro

ví dụ

Đường dẫn phê duyệt

thấp

Bản thảo văn bản với dữ liệu mở

Không cần phê duyệt, miễn phí trong chính sách

trung bình

Phân tích với dữ liệu nội bộ

Người quản lý đơn vị + yêu cầu phương tiện đã được phê duyệt

cao

Dữ liệu cá nhân/riêng tư, quyết định tự động

Tuân thủ + phê duyệt pháp lý + Sở KHĐT

Việc đưa ra các mục đích sử dụng có rủi ro thấp cho phép các nhóm nắm quyền sở hữu quy trình; Đặt những rủi ro cao dưới sự kiểm soát chặt chẽ sẽ quản lý rủi ro thực sự. Vì vậy, quá trình này vừa nhanh chóng vừa an toàn.

Kiểm tra thường xuyên

Quản trị là một hệ thống sống; Nếu không có sự giám sát thường xuyên, nó sẽ chết. Kiểm tra kiểm toán: các phương tiện được sử dụng có còn nằm trong danh sách được phê duyệt hay không, có dấu hiệu của Shadow AI không, thời gian lưu giữ có được áp dụng không, các Sở Kế hoạch và Đầu tư có cập nhật hay không, các sự cố có được ghi lại hay không. Tần suất kiểm tra được xác định theo rủi ro (ví dụ: hàng quý đối với các hệ thống có rủi ro cao, sáu tháng một lần đối với hệ thống chung).

Lưu ý: Kiểm toán không phải là công cụ để “đổ lỗi cho ai” mà là công cụ để “cải thiện hệ thống”. Văn hóa kiểm toán tập trung vào hình phạt thúc đẩy nhân viên che giấu các vấn đề và thúc đẩy AI bóng tối. Mục đích là để xem và khắc phục vấn đề sớm.

Ứng phó sự cố và quy tắc 72 giờ

Dù được quản lý tốt đến đâu thì một ngày nào đó cũng sẽ xảy ra sự cố: rò rỉ dữ liệu, AI quyết định sai, dữ liệu bí mật vào nhầm công cụ. Kế hoạch ứng phó sự cố quy định những việc cần làm:

1. Phát hiện và ngăn chặn: Nhận biết sự cố, ngăn chặn sự lây lan của nó (ví dụ: cắt quyền truy cập).
2. Đánh giá: Dữ liệu nào, bao nhiêu người, bao nhiêu người bị ảnh hưởng?
3. Thông báo: Trong trường hợp vi phạm dữ liệu cá nhân, hãy thông báo cho cơ quan có liên quan (Ban KVKK) và những người có liên quan khi cần thiết. GDPR yêu cầu thông báo cho cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi biết được hành vi vi phạm; KVKK cũng mong đợi thông báo “càng sớm càng tốt”.
4. Sửa chữa và rút kinh nghiệm: Khắc phục nguyên nhân gốc rễ, thực hiện hành động để ngăn chặn sự cố tương tự, ghi lại sự việc.

Lưu ý: Thời gian thông báo 72 giờ bắt đầu từ thời điểm bạn biết được sự việc; Cách tiếp cận "hãy giải quyết nội bộ trước, sau đó chúng tôi sẽ cho bạn biết" sẽ bị trễ thời hạn. Chuẩn bị trước kế hoạch ứng phó sự cố và chuỗi liên lạc giúp tiết kiệm thời gian trong thời kỳ khủng hoảng.

ba trường hợp nhỏ

Trường hợp 1 - Nhiệm vụ chưa được nhận. Một công ty có chính sách AI nhưng lại không rõ “ai cập nhật danh sách công cụ được phê duyệt”. Danh sách không được cập nhật trong 8 tháng, các nhóm bắt đầu sử dụng các công cụ không có trong danh sách. Nếu ma trận RACI ghim nhiệm vụ này vào một vai trò thì khoảng cách sẽ không xảy ra.

Trường hợp 2 - bỏ lỡ 72 giờ. Một nhân viên nhập sai danh sách người mua sắm bí ẩn vào công cụ. Nhóm cố gắng giải quyết vấn đề này trong nội bộ và thông báo pháp luật ba ngày sau đó. Nhân tiện, thời gian thông báo đã trôi qua. Một kế hoạch ứng phó sự cố đã được chuẩn bị sẵn và chuỗi liên lạc rõ ràng sẽ chuyển sự cố sang đúng kênh trong vòng một giờ đầu tiên.

Trường hợp 3 - Shadow AI bị kiểm tra phát hiện. Một tổ chức phát hiện ba công cụ AI không được phê duyệt trong lưu lượng truy cập mạng trong quá trình kiểm tra định kỳ nửa năm một lần. Thay vì trừng phạt, anh ấy nói chuyện với các đội, hiểu lý do tại sao họ cần những công cụ này, đánh giá cả hai và thêm chúng vào danh sách được phê duyệt. Kiểm toán vừa hạn chế rủi ro vừa làm cho nhu cầu thực sự trở nên rõ ràng.

Mẫu có thể sao chép

MẪU 1 - Đề cương ma trận RACI: "Dự thảo ma trận RACI cho hoạt động quản trị AI của tổ chức chúng tôi. Nhiệm vụ: viết chính sách, phê duyệt công cụ, PPIA, phản hồi vi phạm, kiểm toán, đào tạo. Các vai trò: Trưởng nhóm AI, người quản lý tuân thủ, pháp lý, CNTT, nhân sự, quản lý cấp cao. Mỗi vai trò chỉ có một chữ 'A'."

MẪU 2 — Luồng phê duyệt theo cấp độ: "Thiết kế quy trình phê duyệt AI theo cấp độ theo rủi ro: các đường dẫn phê duyệt riêng biệt cho rủi ro thấp/trung bình/cao. Viết ví dụ về cách sử dụng, vai trò người phê duyệt và tài liệu bắt buộc (DPIA, v.v.) cho mỗi cấp độ. Thực hiện quy trình vừa nhanh vừa an toàn."

MẪU 3 — Danh sách kiểm tra kiểm tra: "Chuẩn bị danh sách kiểm tra cho kiểm toán quản trị AI trong sáu tháng: tuân thủ công cụ đã được phê duyệt, chỉ báo AI bóng tối, thời gian lưu giữ, tiền tệ PPI, nhật ký sự kiện, tỷ lệ hoàn thành đào tạo. Thêm phương pháp 'cách kiểm tra' vào từng mục."

MẪU 4 — Thẻ quy trình ứng phó sự cố: "Viết thẻ quy trình ứng phó sự cố dài một trang cho một vi phạm AI/dữ liệu: từng bước (phát hiện, ngăn chặn, đánh giá, thông báo, khắc phục), vai trò chịu trách nhiệm và thông tin liên hệ ở mỗi bước, cảnh báo thông báo trong 72 giờ. Hãy giữ nó đủ đơn giản để bàn bạc trong một cuộc khủng hoảng."

Dấu nhắc yếu / Dấu nhắc mạnh

YẾU: “Chúng ta nên làm gì để quản trị AI?”-> Mô hình đưa ra danh sách chung; vai trò, lộ trình phê duyệt và kế hoạch sự cố sẽ không cụ thể và có thể áp dụng cho từng tổ chức. MẠNH MẼ: "Chúng tôi là một tổ chức gồm 60 người. Để quản trị AI hoạt động: (1) Tạo ma trận RACI gồm 5 nhiệm vụ, (2) quy trình phê duyệt theo cấp độ cho rủi ro thấp/trung bình/cao, (3) thẻ ứng phó sự cố một trang với quy tắc 72 giờ. Mỗi nhiệm vụ phải có một chữ 'A' duy nhất; đơn giản và có thể áp dụng."-> Mô hình này tạo ra các công cụ quản trị dành riêng cho tổ chức, có thể sử dụng ngay lập tức.

Những lỗi thường gặp

• Không cố định nhiệm vụ theo vai trò; Tạo ra khoảng cách “việc của mọi người không phải là việc của ai cả”.
• Xác định nhiều hơn một chữ "A" (người chịu trách nhiệm cuối cùng) trong một nhiệm vụ.
• Làm cho quá trình phê duyệt quá lỏng lẻo hoặc quá nghiêm ngặt; không phân loại theo rủi ro.
• Hoàn toàn không tiến hành thanh tra hoặc biến nó thành công cụ trừng phạt và che giấu vấn đề.
• Xem xét phương án ứng phó sự cố sau khi sự cố xảy ra.
• Bỏ lỡ thời hạn thông báo 72 giờ chỉ để "sửa chữa nội bộ trước".
• Thiết lập quản trị một lần và không xem xét lại; Tuy nhiên, nó là một hệ thống sống.

Tóm lại

• Bốn cơ chế giúp quản trị hoạt động hiệu quả: vai trò (RACI), phê duyệt theo cấp độ, kiểm tra thường xuyên và ứng phó sự cố.
• Trong ma trận RACI, mỗi nhiệm vụ phải có một người chịu trách nhiệm cuối cùng (A).
• Quá trình phê duyệt nên được thực hiện theo mức độ rủi ro; rủi ro thấp, không rủi ro, kiểm soát chặt chẽ rủi ro cao.
• Kiểm toán thường xuyên giúp duy trì hoạt động quản trị; Nó được sử dụng như một phương tiện chữa lành, không phải là hình phạt.
• Kế hoạch ứng phó sự cố cần được chuẩn bị trước; Không nên quên quy tắc thông báo 72 giờ trong trường hợp vi phạm dữ liệu cá nhân.

Nhiệm vụ ứng dụng

Tập hợp khung quản trị hoàn chỉnh cho tổ chức của bạn trong một tài liệu duy nhất. Đầu tiên hãy thiết lập ma trận RACI gồm ít nhất năm nhiệm vụ; Đảm bảo chỉ có một chữ "A" trong mỗi nhiệm vụ. Sau đó, thiết kế luồng phê duyệt theo cấp độ cho rủi ro thấp, trung bình và cao, đồng thời thêm ví dụ về cách sử dụng, vai trò phê duyệt và tài liệu cần thiết ở mỗi cấp. Sau đó tạo một danh sách kiểm tra kiểm toán sáu tháng. Cuối cùng, viết thẻ ứng phó sự cố dài một trang đối với trường hợp vi phạm AI/dữ liệu; Bao gồm chuỗi thông báo và liên lạc thông báo 72 giờ. Bốn phần này sẽ là tài liệu biến những gì bạn đã học trong học phần thành một hệ thống hoạt động được.

danh sách kiểm tra

• [ ] Tôi đã thiết lập ma trận RACI; Chỉ có một chữ "A" trong mỗi nhiệm vụ.
• [ ] Tôi đã thiết kế quy trình phê duyệt dần dần tùy theo rủi ro.
• [ ] Tôi đã để các mục đích sử dụng có rủi ro thấp được tự do một cách hợp lý.
• [ ] Tôi đã chuẩn bị một danh sách kiểm tra sáu tháng.
• [ ] Tôi coi việc kiểm tra là một công cụ để cải tiến.
• [ ] Tôi đã viết một thẻ ứng phó sự cố dài một trang.
• [ ] Tôi đã đưa vào quy tắc thông báo trước 72 giờ và chuỗi liên lạc.

Thi học phần

1. Khái niệm nào đề cập đến việc nhân viên sử dụng AI không được chấp thuận, xảy ra khi các tổ chức không có chính sách AI bằng văn bản?

• A) AI bóng tối (AI bóng tối) ✔
• B) AI có trọng lượng mở
• C) AI đa phương thức
• D) AI được giám sát

Mô tả: Việc sử dụng AI mà không có sự hiểu biết và chấp thuận của tổ chức được gọi là 'AI bóng tối' và gây ra những rủi ro nghiêm trọng như rò rỉ dữ liệu.

2. Cách tiếp cận cơ bản của một chính sách AI tốt cho doanh nghiệp là gì?

• A) Cấm sử dụng AI hoàn toàn nhất có thể
• B) Trở thành một khuôn khổ cho phép sử dụng có trách nhiệm và mang lại sự rõ ràng và tin cậy ✔
• C) Là tài liệu kỹ thuật chỉ có bộ phận CNTT mới biết
• D) Càng dài càng tốt và chỉ được viết bằng ngôn ngữ pháp lý

Giải thích: Một chính sách tốt không phải là một danh sách những điều cấm mà là một khuôn khổ cho phép sử dụng có trách nhiệm. Việc cấm hoàn toàn sẽ không loại bỏ việc sử dụng; Nó chỉ làm cho nó trở nên vô hình và không thể kiểm soát được.

3. Điều gì quyết định việc phân loại dữ liệu, phần quan trọng nhất trong chính sách AI của doanh nghiệp?

• A) Giá token của mô hình AI
• B) Ngân sách AI hàng năm của công ty
• C) Loại dữ liệu nào có thể được nhập vào công cụ AI nào ✔
• D) Nhân viên nào sẽ nhận được mức lương nào?

Mô tả: Phân loại dữ liệu; Nó quy định các quy tắc rõ ràng về loại dữ liệu mở, nội bộ, bí mật và độc quyền nào có thể và không thể được nhập vào công cụ AI nào.

4. Nguyên tắc "tối thiểu hóa dữ liệu" (phù hợp, hạn chế và tương xứng) của KVKK có ý nghĩa gì trong việc sử dụng AI?

• A) Chỉ nhập dữ liệu cần thiết vào AI và không còn nữa ✔
• B) Nhận kết quả tốt hơn bằng cách nhập càng nhiều dữ liệu càng tốt vào AI
• C) Lưu trữ dữ liệu vô thời hạn
• D) Đảm bảo chuyển tất cả dữ liệu ra nước ngoài

Giải thích: Giảm thiểu dữ liệu đề cập đến việc chỉ nhập vào AI những dữ liệu cần thiết cho mục đích đó và không hơn thế nữa. Nếu có thể, dữ liệu sẽ được nhập ẩn danh hoặc được che giấu.

5. Điều gì được coi là KVKK khi nhập văn bản chứa dữ liệu cá nhân vào công cụ AI xử lý dữ liệu trên máy chủ của nhà cung cấp?

• A) Một giao dịch thông thường không có hậu quả pháp lý
• B) Một hành động bị nghiêm cấm trong mọi trường hợp
• C) Một thao tác chỉ có ý nghĩa nếu dữ liệu được mở
• D) Giao dịch và thường là chuyển khoản; Yêu cầu có căn cứ pháp lý và đảm bảo ✔

Giải thích: Đây là quá trình 'xử lý' và thường là 'chuyển giao' vì dữ liệu được xử lý trên máy chủ của nhà cung cấp (thường ở nước ngoài); Nó đòi hỏi cơ sở pháp lý hợp lệ và hợp đồng/bảo đảm phù hợp.

6. Cách tiếp cận cơ bản của Đạo luật AI của EU là gì?

• A) Bắt tất cả các hệ thống AI phải tuân theo các quy tắc nghiêm ngặt như nhau
• B) Phân loại hệ thống AI theo rủi ro tiềm ẩn và áp dụng các quy tắc phù hợp ✔
• C) Cấm hoàn toàn việc sử dụng AI trên toàn EU
• D) Chỉ kiểm soát giá token của mô hình

Giải thích: Luật AI của EU không gộp tất cả AI lại với nhau; Nó chia hệ thống thành bốn loại rủi ro (bị cấm, cao, hạn chế, tối thiểu) tùy theo tác hại tiềm tàng của chúng và thắt chặt các quy tắc khi rủi ro tăng lên.

7. Theo Luật AI của EU, hệ thống AI sàng lọc ứng viên trong các quyết định tuyển dụng có nhiều khả năng rơi vào loại rủi ro nào?

• A) Rủi ro cao ✔
• B) Rủi ro tối thiểu
• C) Rủi ro hạn chế
• D) Không có rủi ro

Mô tả: Các lĩnh vực ảnh hưởng nghiêm trọng đến cuộc sống của người dân, chẳng hạn như tuyển dụng, tín dụng và chăm sóc sức khỏe, thường rơi vào danh mục 'rủi ro cao' và phải tuân theo các nghĩa vụ nghiêm ngặt (ghi chép, giám sát con người, chất lượng dữ liệu).

8. Theo Luật AI của EU, hệ thống “chấm điểm xã hội” do nhà nước bảo trợ, vốn chấm điểm mọi người dựa trên hành vi hoặc đặc điểm của họ và gây bất lợi cho họ về mặt xã hội, thuộc loại nào?

• A) Rủi ro hạn chế
• B) Rủi ro cao
• C) Hành vi bị cấm (rủi ro không thể chấp nhận được) ✔
• D) Rủi ro tối thiểu

Mô tả: Tính điểm xã hội, thao túng tiềm thức và một số hoạt động giám sát sinh trắc học nhất định nằm trong số 'các hành vi bị cấm'; Những thứ này không thể được phát hành ngay cả khi rủi ro giảm đi, chúng hoàn toàn bị cấm.

9. Điều 22 GDPR bảo vệ các cá nhân khỏi những gì?

• A) Chống lại mức giá cao của các công cụ AI
• B) Chỉ chống lại email quảng cáo
• C) Chống lại việc sử dụng các mô hình có trọng số thâm hụt
• D) Chống lại các quyết định ảnh hưởng đáng kể đến con người và chỉ được đưa ra một cách tự động ✔

Giải thích: Điều 22 của GDPR bảo vệ cá nhân khỏi các quyết định ảnh hưởng đến cá nhân ở mức độ pháp lý hoặc mức độ quan trọng tương tự và chỉ dựa trên quá trình xử lý tự động (bao gồm cả AI); Nó cung cấp quyền yêu cầu sự can thiệp và đối tượng của con người.

10. Yêu cầu gì về KVKK/GDPR khi bạn muốn xử lý dữ liệu cá nhân trên máy chủ của nhà cung cấp AI ở nước ngoài?

• A) Không có điều kiện bổ sung; dữ liệu có thể được chuyển giao tự do
• B) Sự đảm bảo phù hợp (thư cam kết/điều khoản hợp đồng tiêu chuẩn) hoặc một cơ chế như sự đồng ý rõ ràng ✔
• C) Chỉ mã hóa dữ liệu là đủ
• D) Chỉ có sự chấp thuận bằng lời nói của nhân viên là đủ

Giải thích: Theo nguyên tắc, việc chuyển giao xuyên biên giới đòi hỏi các cơ chế bao gồm sự đồng ý rõ ràng hoặc cam kết bảo vệ đầy đủ (các biện pháp bảo vệ thích hợp như thư cam kết, các điều khoản hợp đồng tiêu chuẩn); dữ liệu không thể được truyền ngẫu nhiên.

11. Điều gì quyết định liệu đầu ra do AI tạo ra có bản quyền trong hầu hết các hệ thống pháp luật hay không?

• A) Mức độ sáng tạo và đóng góp của con người trong nội dung ✔
• B) Giá token của mô hình được sử dụng
• C) Chỉ độ dài của đầu ra
• D) Nước xuất xứ của công cụ AI

Mô tả: Trong nhiều hệ thống pháp luật, việc bảo vệ bản quyền đòi hỏi sự sáng tạo của con người. Sự chỉ đạo, lựa chọn, điều tiết và đóng góp độc đáo của con người càng lớn thì khả năng bảo toàn sản lượng càng lớn.

12. “Sự kiểm soát của con người”, nguyên tắc quan trọng nhất của khuôn khổ quản trị AI, đề cập đến điều gì?

• A) AI đưa ra mọi quyết định một mình và tự động
• B) Mọi người ngừng sử dụng AI hoàn toàn
• C) AI là một công cụ; Tiếng nói và trách nhiệm cuối cùng trong những quyết định quan trọng luôn thuộc về con người ✔
• D) Chỉ sử dụng mẫu đắt tiền nhất

Mô tả: Nguyên tắc kiểm soát của con người nhấn mạnh rằng AI là một công cụ và trách nhiệm đó luôn thuộc về con người. Người được ủy quyền có tiếng nói cuối cùng trong các quyết định quan trọng; 'AI đã nói như vậy' không phải là một cái cớ.

13. Đánh giá tác động bảo vệ dữ liệu (DPIA) thường nên được thực hiện khi nào?

• A) Sau khi xảy ra vi phạm dữ liệu
• B) Ở giai đoạn thiết kế, trước khi bắt đầu xử lý rủi ro cao ✔
• C) Chỉ khi kiểm toán viên yêu cầu
• D) Thường xuyên, nhiều năm sau dự án

Mô tả: Nên thực hiện CPIA ở giai đoạn thiết kế TRƯỚC KHI bắt đầu hoạt động xử lý AI sử dụng công nghệ mới, liên quan đến việc giám sát có hệ thống hoặc quy mô lớn hoặc gây rủi ro cao cho các cá nhân.

14. Theo nguyên tắc lưu giữ và "giới hạn mục đích" của KVKK, dữ liệu cá nhân trong lịch sử trò chuyện của công cụ AI cần phải làm gì?

• A) Nó nên được giữ mãi mãi
• B) Không yêu cầu quy tắc, đó là vấn đề của nhà cung cấp
• C) Nó chỉ được xem xét hàng năm theo yêu cầu của người quản lý.
• D) Nó phải được liên kết với chính sách lưu trữ và tiêu hủy và phải bị xóa hoặc ẩn danh khi mục đích hoàn thành ✔

Giải thích: Dữ liệu cá nhân không thể được lưu giữ lâu hơn mức cần thiết cho mục đích xử lý dữ liệu đó. Lịch sử trò chuyện của AI cũng phải được gắn với chính sách lưu giữ và hủy bỏ; Khi mục đích không còn nữa, nó sẽ bị xóa hoặc ẩn danh.

15. Những người kiểm soát dữ liệu vượt quá ngưỡng nhất định phải đăng ký hoạt động xử lý dữ liệu cá nhân của họ ở Türkiye?

• A) ĐỘNG TỪ (Hệ thống thông tin đăng ký bộ điều khiển dữ liệu) ✔
• B) Cơ quan đăng ký thương mại MERSIS
• C) Cơ sở dữ liệu Luật AI của EU
• D) ĐĂNG KÝ NGƯỜI NỘP THUẾ

Mô tả: VERBIS (Hệ thống thông tin đăng ký của bộ điều khiển dữ liệu) là cơ quan đăng ký chính thức nơi các bộ điều khiển dữ liệu đăng ký kho lưu trữ xử lý của họ; Hoạt động xử lý dựa trên AI mới phải được phản ánh trong kho và, nếu cần, trong bản ghi ĐỘNG TỪ.