Опишите систему, прежде чем применять правовую квалификацию
Система ИИ, которая предлагает текст, ранжирует заявки или действует без проверки, порождает разные практические вопросы. Перечислите каждую точку принятия решения, данные, которые она получает, кто проверяет ее результат и кто может остановить или исправить действие. Такая схема работы полезнее общего заявления о том, что фирма «использует ИИ ответственно». Не полагайте, что название инструмента «ассистентом» решает вопрос ответственности за его действия. Для проекта документа, отправляемого клиенту, назовите юриста, который проверяет ссылки и удаляет конфиденциальные входные данные. Для автоматизированного потока обслуживания клиентов укажите, кто следит за результатами и может остановить систему. Этап проверки, существующий только на бумаге, не выявит неверное или несанкционированное действие.
Сравните обязательства поставщика с договором
Держите вместе описание продукта, подписанные условия, условия обработки данных, записи об испытаниях, версию модели и журнал инцидентов. Куда поступают конфиденциальные входные данные? Сохраняются ли они или используются для улучшения? Что происходит при смене субподрядчика, места размещения или модели? Проверяйте действующие настройки, а не только презентацию продавца. Условия должны описывать поддержку, исправление, выход и доступ к записям при возникновении проблемы. Отделяйте заявления поставщика о безопасности от средств контроля, доступных клиенту: ограничения доступа, удаление, экспорт, аудиторские журналы и уведомления об изменениях. Проверьте, что происходит с данными при закрытии учетной записи, и получите канал связи для срочных инцидентов.
Ведите документированный учет проверок и подтверждающих материалов
Определите результаты, которые перед использованием требуют проверки квалифицированным специалистом. Фиксируйте тестовые случаи, сбои, отклонения и изменения рабочего процесса. При оспаривании результата сохраните соответствующие входные данные и версию, не раскрывая несвязанные конфиденциальные данные. Журнал сбоев должен указывать, когда проблема обнаружена, кто ее рассмотрел и что изменено, чтобы организация могла проверить, сработало ли исправление. Проверьте неверную ссылку, скрытую инструкцию в загруженном файле и запрос информации, которую инструмент не должен раскрывать. Зафиксируйте, заметил ли проверяющий каждую проблему и можно ли откатить или отключить систему. После смены модели проводите повторную проверку, а не переносите согласование, данное при запуске.
Примените кувейтский анализ к фактической деятельности
Определите действующую компанию в Кувейте, ее отрасль и предполагаемых пользователей. Вместе с квалифицированным местным юристом установите, какие договорные требования и требования к конфиденциальности, данным и отрасли применяются к такому использованию. Региональная политика или общее заявление поставщика о соответствии не доказывают, что конкретный рабочий процесс отвечает действующим правилам Кувейта. Перепроверяйте правовую и техническую позицию при изменении продукта или его потока данных. Документируйте конкретную услугу и порядок передачи данных для такой консультации. Если тот же инструмент используется для новой группы клиентов или иного решения, считайте это новым случаем применения и повторите проверку.
Запись о решении по внедрению
- Укажите разрешенную задачу, категории данных и ответственного проверяющего.
- Зафиксируйте фактические условия поставщика, настройки, субподрядчиков и механизмы выхода.
- Проверьте случаи ошибок и злоупотреблений, затем зафиксируйте согласование, откат и контакты по инцидентам.
- Проверьте с местным юристом действующие обязанности в Кувейте для компании, отрасли и рабочего процесса.
См. нашу практику управления ИИ и практику защиты данных по смежным вопросам.