Zgodność z Aktem w sprawie sztucznej inteligencji
Unijny Akt w sprawie sztucznej inteligencji wprowadza uporządkowane podejście do regulowania AI na podstawie ryzyka związanego z jej przeznaczeniem. W przypadku organizacji opracowujących, dostarczających, wdrażających lub wykorzystujących systemy AI zgodność wymaga czegoś więcej niż samej analizy technologii.
Organizacja powinna wiedzieć, z jakich systemów AI korzysta, jaką rolę pełni wobec każdego z nich, do której kategorii należy dany system i jakie obowiązki mają zastosowanie. Zakres odpowiedzialności może się różnić zależnie od tego, czy organizacja tworzy system, kupuje go od dostawcy, integruje z usługą czy wykorzystuje jego wyniki w procesie biznesowym.
Usługi CA w zakresie zgodności z Aktem w sprawie sztucznej inteligencji pomagają zrozumieć te obowiązki i przełożyć je na praktyczne zabezpieczenia. Oceniamy środowisko AI, identyfikujemy odpowiednie wymagania, wyjaśniamy odpowiedzialność i opracowujemy uporządkowany plan osiągnięcia oraz utrzymania zgodności.
Dlaczego to ważne
Systemy AI mogą wspierać zadania wewnętrzne, kontaktować się z klientami, wpływać na decyzje, tworzyć treści i wykonywać działania w połączonych systemach. Obowiązki związane z takim wykorzystaniem zależą między innymi od przeznaczenia systemu, osób, na które może on wpływać, poziomu automatyzacji oraz możliwych konsekwencji błędnego wyniku.
Organizacja może również korzystać z większej liczby funkcji AI, niż wynika to z jej oficjalnych rejestrów. Sztuczna inteligencja może być wbudowana w aplikacje biznesowe, usługi chmurowe, platformy rekrutacyjne, narzędzia obsługi klienta, produkty bezpieczeństwa oraz oprogramowanie dostarczane przez podmioty zewnętrzne.
Bez pełnego obrazu trudno ustalić, które wymagania mają zastosowanie oraz czy wprowadzono właściwe zabezpieczenia, dokumentację, informacje dla użytkowników i zasady monitorowania.
Praktyczny program zgodności pomaga:
Zrozumieć rolę regulacyjną organizacji
Określić, czy wobec danego systemu organizacja działa jako dostawca, podmiot stosujący, importer, dystrybutor lub inna właściwa strona.
Spójnie klasyfikować systemy AI
Oceniać systemy według ich przeznaczenia, sposobu wykorzystania, potencjalnego wpływu i odpowiedniej kategorii ryzyka.
Wprowadzać odpowiednie zabezpieczenia
Ustanawiać zasady nadzoru, dokumentacji, przejrzystości, kontroli człowieka, testowania i monitorowania odpowiadające obowiązkom organizacji.
Utrzymywać wiarygodne dowody
Prowadzić jasne zapisy ocen, decyzji, zabezpieczeń, dostawców, zmian systemowych, incydentów i okresowych przeglądów.
Nasze podejście
Nie traktujemy zgodności jako jednorazowej analizy prawnej ani standardowego kwestionariusza stosowanego jednakowo do każdego systemu. Praktyczne wymagania zależą od sposobu korzystania z technologii, zaangażowanych stron oraz możliwego wpływu systemu na osoby i działalność biznesową.
Łączymy interpretację wymagań z perspektywą biznesową, techniczną, bezpieczeństwa, prywatności i zarządzania ryzykiem. Analizujemy kompletne rozwiązanie, w tym jego cel, model, dane, użytkowników, integracje, dostawców, wyniki oraz zakres udziału człowieka.
Szczegółowość oceny jest proporcjonalna do ryzyka. Zastosowania o niższym poziomie ryzyka mogą przechodzić prostszą ścieżkę, natomiast systemy o większym potencjalnym wpływie wymagają dokładniejszej analizy, dokumentacji, zatwierdzania i monitorowania.
Identyfikacja systemów AI i określenie roli organizacji
Zaczynamy od utworzenia lub przeglądu rejestru systemów AI i przypadków użycia w organizacji.
Może on obejmować modele tworzone wewnętrznie, zakupione aplikacje, wbudowane funkcje AI, asystentów generatywnych, narzędzia zautomatyzowanego podejmowania decyzji, systemy dla klientów, platformy analityczne i usługi dostawców zewnętrznych.
Dla każdego systemu dokumentujemy cel, użytkowników, osoby, na które system może wpływać, źródła danych, relacje z dostawcami, integracje, wyniki i poziom automatyzacji. Ustalamy również, jak organizacja faktycznie wykorzystuje system i czy sposób ten różni się od przeznaczenia pierwotnie określonego przez dostawcę.
Następnie określamy właściwą rolę organizacji. Obowiązki mogą być inne w zależności od tego, czy organizacja rozwija, dostarcza, modyfikuje, dystrybuuje, importuje czy stosuje daną technologię.
Klasyfikacja systemów i ocena luk w zgodności
Analizujemy każdy istotny system, aby określić jego klasyfikację i wymagania, które mogą mieć zastosowanie.
Uwzględniamy przeznaczenie, kontekst wykorzystania, osoby, na które system wpływa, znaczenie wspieranej decyzji, zakres nadzoru człowieka, przetwarzane dane i możliwe konsekwencje błędu lub niewłaściwego użycia.
Następnie porównujemy obecne rozwiązania z odpowiednimi wymaganiami. Ocena może obejmować nadzór organizacyjny, zarządzanie ryzykiem, dokumentację techniczną, zarządzanie danymi, prowadzenie zapisów, przejrzystość, kontrolę człowieka, dokładność, odporność, cyberbezpieczeństwo, zarządzanie dostawcami, informowanie użytkowników i stałe monitorowanie.
Wyniki jasno rozróżniają istniejące już środki, rozwiązania wymagające poprawy oraz obowiązki, których dotychczas nie uwzględniono.
Wdrożenie zabezpieczeń i przygotowanie dokumentacji
Przekładamy zidentyfikowane wymagania na praktyczne działania dla odpowiedzialnych zespołów biznesowych i technicznych.
W zależności od systemu i roli organizacji może to obejmować procesy zatwierdzania, oceny ryzyka, określenie nadzoru człowieka, poprawę dokumentacji technicznej, opis źródeł danych, testowanie wydajności, przygotowanie informacji dla użytkowników, przegląd umów z dostawcami oraz wprowadzenie procedur zgłaszania incydentów i problemów.
Pomagamy przypisać właściciela do każdego działania i określić odpowiednie dowody wykonania. Dokumentacja powinna opisywać rzeczywisty system oraz jego działanie, a nie jedynie powtarzać ogólne sformułowania regulacyjne.
Jeżeli wymagania pokrywają się z istniejącymi procesami bezpieczeństwa, prywatności, jakości lub zgodności, łączymy je ze wspólnymi zabezpieczeniami. Ogranicza to powielanie pracy i ułatwia utrzymanie programu.
Wprowadzenie monitorowania i utrzymanie zgodności
Zgodność należy utrzymywać również po zatwierdzeniu i wdrożeniu systemu AI.
Modele, dane, dostawcy, integracje, użytkownicy i cele biznesowe mogą się zmieniać. System, który pierwotnie przeszedł określoną klasyfikację i ścieżkę zatwierdzenia, może wymagać ponownej oceny po rozszerzeniu zastosowania lub istotnej zmianie sposobu działania.
Pomagamy ustanowić regularne przeglądy, monitorowanie wyników, zgłaszanie incydentów, obsługę skarg, testowanie zabezpieczeń, nadzór nad dostawcami, zarządzanie zmianami i raportowanie do kierownictwa.
Określamy także zdarzenia wymagające ponownej oceny. Mogą to być istotna aktualizacja modelu, zmiana zastosowania, nowe źródło danych, zwiększenie automatyzacji, powtarzające się błędne wyniki, poważny incydent lub zmiana dotycząca osób korzystających z systemu albo podlegających jego wpływowi.
Co wyróżnia CA
Zgodność oparta na rzeczywistym wykorzystaniu AI
Oceniamy sposób działania każdego systemu w organizacji, zamiast polegać wyłącznie na nazwie produktu lub opisie dostawcy.
Połączenie perspektywy biznesowej, technicznej i regulacyjnej
Łączymy odpowiedzialność za system, działanie techniczne, obowiązki prawne, bezpieczeństwo, prywatność, ryzyko i zgodność.
Proporcjonalne wdrożenie wymagań
Dostosowujemy zakres oceny, dokumentacji i nadzoru do roli organizacji oraz możliwego wpływu systemu.
Praktyczne i niezależne wsparcie
Nasze rekomendacje koncentrują się na obowiązkach organizacji i nie są związane z określonym modelem, platformą ani dostawcą oprogramowania.
Wartość biznesowa
Usługi CA w zakresie zgodności z Aktem w sprawie sztucznej inteligencji zapewniają organizacji jaśniejsze zrozumienie tego, jak wymagania regulacyjne odnoszą się do jej systemów AI i działalności biznesowej.
Kadra zarządzająca zyskuje lepszy wgląd w rejestr AI, role regulacyjne, systemy o podwyższonym ryzyku, luki w zabezpieczeniach i nierozwiązane decyzje. Zespoły biznesowe i techniczne otrzymują praktyczne działania, zamiast samodzielnie interpretować szerokie wymagania.
Uporządkowane podejście ogranicza również zbędne powielanie pracy. Istniejące procesy zarządzania ryzykiem, bezpieczeństwa, prywatności, zakupów, jakości i kontroli dostawców mogą wspierać zgodność AI.
Jasna dokumentacja i przypisana odpowiedzialność ułatwiają wykazanie, jak oceniono system, dlaczego został zatwierdzony, które zabezpieczenia mają zastosowanie i w jaki sposób monitorowane jest jego dalsze działanie.
Rezultatem jest bardziej wiarygodna droga do zgodności, silniejsza kontrola ryzyka AI oraz większa pewność podczas wprowadzania i rozszerzania wykorzystania sztucznej inteligencji.
Następny krok
Przygotowanie do wymagań Aktu w sprawie sztucznej inteligencji zaczyna się od ustalenia, które systemy AI są wykorzystywane, jaką rolę pełni organizacja oraz jakie obowiązki mają zastosowanie.
Skontaktuj się z CA, aby umówić się na wstępną konsultację. Pomożemy zmapować środowisko AI, ocenić istotne systemy, wskazać luki w zgodności oraz opracować praktyczny plan wdrożenia i utrzymania wymaganych zabezpieczeń.