A mesterséges intelligencia alkalmazása a vállalatoknál gyorsan változik. Új eszközök és szolgáltatások jelennek meg, bővülnek a meglévő AI-rendszerek funkciói és új felhasználási módok alakulnak ki. Közben a szabályozási és szabványosítási környezet is folyamatosan fejlődik.
Egy szervezet ezért könnyen kerülhet olyan helyzetbe, hogy az AI használata már megváltozott, miközben a kapcsolódó belső szabályozás, kockázatértékelés vagy dokumentáció még a korábbi állapotot tükrözi.
A kérdés tehát nem egyszerűen az, hogy „megfelelünk-e az AI Actnek?”
Hanem az is, hogy hogyan biztosítjuk a megfelelőség folyamatos fenntartását egy gyorsan változó környezetben?
Egy AI megfelelőségi projekt fontos kiindulópont lehet: a szervezet feltérképezi az alkalmazott AI-rendszereket, elvégzi a szükséges besorolásokat és kockázatértékeléseket, kialakítja a szabályzatokat és meghatározza a szükséges kontrollokat.
Ezzel azonban a feladat nem ér véget.
A szervezet működése változik. Új munkatársak érkeznek, új AI-eszközöket vezetnek be, megváltozhat egy rendszer funkcionalitása vagy felhasználási célja. Ezzel együtt a kockázatok és a megfelelőségi követelmények is változhatnak.
A kialakított rendszer akkor működik megfelelően, ha képes ezeket a változásokat követni.
Ezért az AI megfelelőség fenntartása folyamatos irányítási feladat.
A naprakészség nem csupán azt jelenti, hogy valaki rendszeresen elolvassa az új jogszabályokat, útmutatókat vagy szabványokat.
Egy változás ugyanis nem feltétlenül jelent ugyanazt minden szervezet számára. A lényeg annak meghatározása, hogy az adott változás milyen hatással van a szervezet konkrét AI használatára és meglévő megfelelőségi rendszerére.
Egy változás miatt például szükségessé válhat:
A gyakorlatban nem is feltétlenül a jogszabályváltozás jelenti a legnagyobb kihívást.
Elég, ha egy vállalatnál új AI-eszközt kezdenek használni. Valaki bevezet egy generatív AI alkalmazást, egy másik részleg automatizált döntéstámogató megoldást használ, vagy egy meglévő rendszer új funkciót kap.
Ilyenkor máris felmerülhet több megfelelőségi kérdés:
Milyen AI rendszerről van szó? Milyen kockázatok kapcsolódnak hozzá? Milyen AI Act szerinti követelmények vonatkoznak rá? Milyen adatokat kezel? Összhangban van a használata a GDPR követelményeivel? Szükséges-e módosítani a szervezet meglévő szabályait vagy kontrolljait?
Ezeket a kérdéseket célszerű már a bevezetési döntés előtt feltenni.
Egy működő AI megfelelőségi rendszerben érdemes egymásra épülő feladatokként kezelni a változásokat:
Mi változott az AI Act, a kapcsolódó útmutatások, szabványok vagy adatvédelmi gyakorlat területén?
Mit jelent az adott változás szakmailag, és milyen követelményeket érint?
Érinti-e a változás a szervezetet, az alkalmazott AI rendszereket, a kockázatértékeléseket vagy a megfelelőségi dokumentációt?
Ha szükséges változtatni, mit kell módosítani, ki végzi el, és hogyan lehet igazolni a változás kezelését?
Ez különösen fontos olyan szervezeteknél, ahol az AI használata már nem egyetlen kísérleti alkalmazásra korlátozódik.
Egy egyszer elkészített AI megfelelőségi dokumentáció idővel könnyen elveszítheti a kapcsolatát a tényleges működéssel.
Például:
Ilyenkor formálisan létezhet AI megfelelőségi rendszer, de kérdésessé válhat, hogy az valóban lefedi-e a szervezet aktuális működését.
Nem minden szervezet számára indokolt külön belső AI megfelelőségi szakértői munkakört létrehozni.
Ugyanakkor az AI használatával kapcsolatos kérdések rendszeresen felmerülhetnek, és ezek megválaszolásához nem mindig áll rendelkezésre házon belül a szükséges szakértelem vagy kapacitás.
Ilyenkor külső szakértői támogatás biztosíthatja a szükséges hátteret.
Egy ilyen együttműködés kiterjedhet például:
Ez különösen akkor lehet értékes, ha a szervezet már rendelkezik kialakított AI megfelelőségi rendszerrel, vagy ISO/IEC 42001 szerinti AI irányítási rendszer működtetésén dolgozik.
A jó AI megfelelőségi rendszer nem attól működik, hogy egyszer elkészült, hanem attól, hogy képes együtt változni a szervezettel és az AI használatával.
Ezért érdemes a naprakészséget folyamatos folyamatként kezelni:
követés → értelmezés → hatásértékelés → intézkedés → dokumentálás → felülvizsgálat
Így a megfelelőség nem elszigetelt dokumentációs feladat marad, hanem beépülhet az AI használatának és irányításának mindennapi működésébe.
A folyamatos szakértői támogatásnak éppen ebben lehet szerepe: segít abban, hogy a szervezet ne csak egyszer legyen felkészült, hanem tartósan képes legyen reagálni az AI használat és a szabályozási környezet változásaira.
Az AI Compliance as a Service keretében a SAASCO AI folyamatos szakértői hátteret biztosít az AI szabályozási környezet követéséhez, a változások értékeléséhez, az AI megfelelőségi rendszer fenntartásához és az új AI megoldások megfelelőségi kérdéseinek kezeléséhez.
A szolgáltatás részletei: AI Compliance as a Service
Az illusztráció generatív AI alkalmazásával készült.
