Чек-лист для поставщика
Спросите каждого поставщика ИИ об этих пунктах:
- Существует ли договор на обработку данных согласно статье 28 GDPR?
- Где хранятся данные и какие субподрядчики по обработке данных существуют?
- Используются ли данные клиентов для обучения моделей ИИ?
- Как защищены учетные данные и конфиденциальные поля?
- Кто в команде что видит и можно ли это настроить для каждого человека?
- Протоколируются ли действия ИИ?
Права доступа: ИИ не должен показывать больше, чем человек
Часто упускаемый из виду момент: ИИ, который знает все, может случайно передать информацию лицам, которым не следует ее видеть. Поэтому ответы ИИ должны регулироваться теми же правами, что и у запрашивающего лица. Личные задачи, частные календари и чужие почтовые ящики не должны попадать в ответ коллегам.
Что дополнительно требует EU AI Act
С февраля 2025 года компании, использующие ИИ, должны обеспечивать достаточную компетенцию своих сотрудников в области ИИ (статья 4). Те, кто общается с людьми через ИИ, должны раскрывать это (статья 50). Для систем высокого риска требуется эффективный человеческий надзор (статья 14).
Великобритания, США и Канада
В Соединенном Королевстве действует UK GDPR с очень схожими принципами. В США нет единого федерального закона, но есть законы штатов, такие как California Consumer Privacy Act. В Канаде PIPEDA регулирует обращение с персональными данными в частном секторе. Приведенный выше чек-лист является хорошей отправной точкой для всех стран.
Кто что делает?
AIRIS подготавливает
- Хранение данных в ЕС: База данных находится во Франкфурте, файлы — в центрах обработки данных в ЕС. Данные клиентов не используются для обучения моделей ИИ.
- Права действуют и для AIRIS: AIRIS показывает каждому только то, что он сам вправе видеть. Задачи и календари являются личными, почтовые ящики принадлежат только одной конкретной компании.
- Протокол и разрешения: Действия AIRIS протоколируются. Насколько самостоятельно она работает, вы определяете для каждой задачи.
- Компетенции в области ИИ согласно EU AI Act: Обучение с сертификатом для вашей команды.
Вы решаете
- Какие данные вообще должны поступать в систему ИИ, решает компания, а не поставщик.
- Особые категории, такие как медицинские данные, требуют отдельной проверки.
- Данное руководство не заменяет юридическую консультацию.
