Kontekst regulacyjny
Unijne rozporządzenie o sztucznej inteligencji (AI Act) oraz przepisy o ochronie danych osobowych nadają wdrażaniu sztucznej inteligencji wymiar obowiązku prawnego. Organizacja, która korzysta z rozwiązań opartych na modelach AI, wie, czego używa, w jakim celu, na jakich danych i pod czyim nadzorem.
Harmonogram stosowania poszczególnych obowiązków podlega pracom legislacyjnym, dlatego rekomendacje opieramy na stanie prawnym aktualnym w momencie podejmowania decyzji.
Kluczowe obowiązki
Zakres obowiązków wynika ze sposobu, w jaki organizacja wykorzystuje sztuczną inteligencję. Większości organizacji dotyczą następujące obszary:
- kompetencje personelu jako wymóg formalny,
- inwentaryzacja i rejestr systemów AI,
- klasyfikacja ryzyka zastosowań,
- nadzór ludzki zapewniony i udokumentowany,
- przejrzystość wobec pracowników i klientów końcowych,
- ocena zgodności przetwarzania danych osobowych w rozwiązaniach opartych na modelach.
Inwentaryzacja
Pracę zaczynamy od pełnego obrazu rozwiązań AI działających w organizacji, w tym narzędzi, z których pracownicy korzystają na co dzień. To punkt wyjścia do świadomego zarządzania.
Każde narzędzie opisujemy według jednego wzorca: cel, użytkownicy, przetwarzane dane, miejsce przetwarzania i właściciel. Inwentaryzacja jest częścią Audytu gotowości i tworzy pierwsze wpisy w rejestrze.
Rejestr i klasyfikacja ryzyka
Rejestr systemów AI to stale aktualizowany spis rozwiązań działających w organizacji i element codziennego zarządzania. Każde nowe rozwiązanie trafia do niego przed uruchomieniem, a każda istotna zmiana jest w nim odnotowywana.
Klasyfikacja ryzyka określa poziom kontroli właściwy dla każdego zastosowania: zastosowania o niskim ryzyku korzystają z uproszczonych zasad, a wrażliwe są objęte pełnym nadzorem. Oba elementy są częścią zasad i nadzoru nad AI.
Kompetencje i nadzór ludzki
Regulacja wymaga, aby osoby pracujące z rozwiązaniami AI miały odpowiednie kompetencje. W tym obszarze zgodność łączy się z Programem kompetencji: ścieżki dopasowane do ról są opisane i udokumentowane, dzięki czemu organizacja wykazuje, kto i w jakim zakresie został przygotowany.
Nadzór ludzki opiera się na tych samych kompetencjach. Decyzja należy do człowieka wszędzie tam, gdzie dotyczy ludzi, pieniędzy albo zgodności z przepisami, a osoba nadzorująca rozumie działanie rozwiązania, które nadzoruje.
Nasza rola
Interpretacja przepisów i opinie prawne należą do kancelarii prawnych. Naszą rolą jest zaprojektowanie i zbudowanie rozwiązania zgodnego z regulacją: rejestru, klasyfikacji ryzyka, nadzoru, architektury danych i dokumentacji. Najlepsze rezultaty daje współpraca obu stron od początku projektu.
Obowiązek jako okazja
Przegląd wymagany przez regulację daje organizacji pełny obraz używanych narzędzi, przetwarzanych danych i podziału odpowiedzialności. Ten obraz staje się fundamentem kolejnych wdrożeń.
Obowiązek jest okazją do uporządkowania sposobu pracy ze sztuczną inteligencją w całej organizacji.