KI-oversikt mal: feltene som faktisk betyr noe

Hvorfor bruksscenariet er enheten, ikke verktøyet

Risikoen i henhold til KI-forordningen er knyttet til bruken, ikke til selve produktet. Den samme assistenten utgjør minimal risiko når den rydder opp i et utkast, men høyrisiko når den rangerer jobbsøkere. En oversikt basert på verktøynavn utvisker dette skillet og kan ikke danne grunnlag for noen klassifisering.

Dette er også det kjøperne etterspør. I et innkjøpsspørreskjema blir det spurt om hva KI-en brukes til og hvem som har ansvaret, ikke hvilke leverandører man har lisenser hos.

• Ett verktøy med to bruksområder utgjør to rader.
• En rad er et bruksscenario: verktøy pluss formål pluss data pluss eier.
• Det er radene som blir klassifisert, godkjent eller fjernet.
• En verktøyliste er en lisensoversikt, ikke en vareliste.

Feltene som skal fylles ut

Begynn med disse kolonnene. De fire første er nok til å være til nytte allerede fra første dag; resten kan fylles ut etter hvert som varelageret utvikler seg.

• Bruksområde — én setning som beskriver hva det brukes til.
• Verktøy og leverandør – produktet og hvem som leverer det.
• Eier — en navngitt person, ikke et team.
• Involverte data — personopplysninger, særlige kategorier, konfidensielle forretningsopplysninger eller ingen.
• Hvilke beslutninger påvirkes — hva resultatet har innflytelse på, og om det er et menneske som tar beslutningen.
• Brukere – hvilket team, og omtrent hvor mange personer.
• Risikoklasse – uakseptabel, høy, begrenset eller minimal, med begrunnelse.
• Rolle – om du er leverandør eller implementeringsansvarlig for dette bruksområdet.
• Rettslig grunnlag – når personopplysninger behandles.
• Avtale om databehandling – inngått, ikke nødvendig eller mangler.
• Godkjent – ja, nei eller under behandling, og av hvem.
• Sist bekreftet — datoen da en navngitt person bekreftet denne raden.

De tre søylene som utfører arbeidet

Selv om du ikke registrerer noe annet, må du registrere formål, data og beslutning. Disse tre faktorene avgjør risikoklassen, personvernforpliktelsene og om det kreves menneskelig tilsyn. Alt annet er administrasjon knyttet til disse.

Den siste bekreftede datoen er viktigere enn man skulle tro. Et varelager som ingen har sjekket på nytt på et år, er et tegn på at prosessen har stoppet opp, noe som er verre enn å ikke ha noe varelager i det hele tatt når en kunde eller en myndighet spør.

• Formålet avgjør om et område i vedlegg III er berørt.
• Det er dataene som avgjør om GDPR-forpliktelsene gjelder, og i hvilken grad.
• Avgjørelsen avgjør om det er behov for meningsfull menneskelig tilsyn.
• Det er den siste bekreftelsen som avgjør om noen bør tro på krangelen.

Å være ærlig

Inventaroppgavene blir ufullstendige fordi de samles inn én gang av et sentralt team fra personer som ikke har noen grunn til å svare. De radene som betyr mest – det ikke-godkjente verktøyet noen prøvde ut forrige uke – er nettopp de som det er minst sannsynlig at noen vil oppgi frivillig.

Gjør bekreftelsen enkel og sporbar: En navngitt person bekrefter en kort beskrivelse av sitt eget arbeid, og datoen registreres. Det er forskjellen mellom et dokument og en kontroll.

• Spør den som utfører arbeidet, ikke en sentral representant.
• Sørg for at hver rad er kort nok til at den kan bekreftes på under ett minutt.
• Noter hvem som bekreftet det og når.
• Bekreft på nytt i henhold til tidsplanen, og etter enhver endring i formålet.