Контрольний список для постачальника
Запитайте кожного постачальника ШІ про такі пункти:
- Чи є договір про обробку за дорученням відповідно до статті 28 GDPR?
- Де зберігаються дані та хто є субпідрядниками?
- Чи використовуються дані клієнтів для навчання моделей ШІ?
- Як захищені облікові дані та конфіденційні поля?
- Хто з команди що бачить, і чи можна це налаштувати для кожної особи?
- Чи протоколюється, що робив ШІ?
Права доступу: ШІ не повинен показувати більше, ніж людина
Часто упускається з уваги: ШІ, який знає все, може випадково надати інформацію особам, яким її не слід бачити. Тому для відповідей ШІ повинні діяти ті ж права, що й для особи, яка запитує. Особисті завдання, приватні календарі та чужі поштові скриньки не повинні потрапляти у відповідь колегам.
Що додатково вимагає EU AI Act
З лютого 2025 року компанії, що використовують ШІ, повинні забезпечити достатню компетенцію своїх співробітників у галузі ШІ (стаття 4). Особи, які спілкуються з людьми через ШІ, повинні це розкривати (стаття 50). Для систем високого ризику діє ефективний людський нагляд (стаття 14).
Великобританія, США та Канада
У Сполученому Королівстві діє UK GDPR з дуже схожими принципами. У США немає єдиного федерального закону, але є закони штатів, такі як California Consumer Privacy Act. У Канаді PIPEDA регулює поводження з персональними даними в приватному секторі. Наведений вище контрольний список є гарною відправною точкою для всіх.
Хто що робить?
AIRIS готує
- Зберігання даних в ЄС: База даних знаходиться у Франкфурті, файли – у центрах обробки даних в ЄС. Дані клієнтів не використовуються для навчання моделей ШІ.
- Права також поширюються на AIRIS: AIRIS показує кожному лише те, що він сам має право бачити. Завдання та календарі є особистими, поштові скриньки належать конкретній компанії.
- Протокол та дозволи: Дії AIRIS протоколюються. Рівень її самостійності Ви визначаєте для кожного завдання.
- Компетенція ШІ згідно з EU AI Act: Навчання з сертифікатом для Вашої команди.
Ви вирішуєте
- Які дані взагалі повинні потрапляти до системи ШІ, вирішує компанія, а не постачальник.
- Особливі категорії, такі як медичні дані, потребують окремої перевірки.
- Цей посібник не замінює юридичну консультацію.
