Stefna um gervigreind í fyrirtækjum: hvernig á að undirbúa fyrirtækið þitt fyrir ESB-löggjöf um gervigreind
Gervigreind (AI) þróast hratt og hefur orðið hluti af daglegum rekstri fyrirtækja. Fleiri og fleiri fyrirtæki reiða sig á gervigreindarkerfi, allt frá skapandi gervigreindartólum og spjallþjónum til kerfa sem notuð eru við ráðningar, viðskiptavinagreiningar og ákvarðanatöku, oft án þess að vera fullkomlega skýr um lagalegar og skipulagslegar skyldur sem fylgja þeim.
Með lögum ESB um gervigreind er þetta að breytast grundvallaratriðum. Fyrirtæki eru ætluð til að taka upplýstar ákvarðanir um notkun gervigreindar og stjórna áhættu sem henni fylgir virkt. Þessi grein útskýrir hvernig hægt er að þróa hagnýta, nothæfa og lagalega trausta stefnu um gervigreind, svo að fyrirtækið þitt sé undirbúið fyrir lög ESB um gervigreind og haldi áfram að fylgja gildandi reglum eins og almennu persónuverndarreglugerðinni (GDPR).
Hvað er stefna um gervigreind og hvers vegna er hún nauðsynleg?
Stefna um gervigreind er safn innri reglna sem skilgreina hvernig, hvers vegna og við hvaða aðstæður má nota gervigreind innan fyrirtækisins. Hún veitir starfsmönnum leiðbeiningar og hjálpar stjórnendum að viðhalda eftirliti og stjórn eftir því sem tæknin þróast.
Gervigreind er ekki lengur takmörkuð við upplýsingatæknideildir eða stór tæknifyrirtæki. Margir eiginleikar gervigreindar eru innbyggðir í núverandi hugbúnað, svo sem CRM-kerfi, mannauðstól og markaðssetningarvettvanga. Starfsmenn gera einnig oft tilraunir með opinber gervigreindartól að eigin frumkvæði. Án skýrra öryggiskerfa getur þetta leitt til brota á friðhelgi einkalífsins, mismununar, skorts á gagnsæi eða gallaðrar ákvarðanatöku.
Gervigreindarlög ESB og persónuverndarreglugerðin leggja skýra ábyrgð á stofnanir. Þar á meðal eru skyldur varðandi áhættustýringu, gagnanotkun, eftirlit manna og gagnsæi. Vel hönnuð stefna um gervigreind hjálpar til við að færa þessar kröfur yfir í daglega framkvæmd.
Lagaumgjörðin: Gervigreindarlög ESB, GDPR og atvinnumál lög
Gervigreindarlög ESB fylgja áhættumiðaðri nálgun. Gervigreindarkerfi eru flokkuð í mismunandi flokka, allt frá lágmarksáhættu til óásættanlegrar áhættu. Strangar kröfur gilda um notkun gervigreindar með mikilli áhættu, svo sem kerfi fyrir ráðningar og val, lánshæfismati eða aðrar ákvarðanir sem hafa veruleg áhrif á einstaklinga.
Þessar kröfur ná meðal annars til áhættustýringar og skjölunar, gæða og uppruna gagna, gagnsæis varðandi virkni kerfisins og takmarkana þess, og virks eftirlits manna með möguleika á að grípa inn í. Ákveðnar aðferðir gervigreindar eru alfarið bannaðar, þar á meðal sérstakar gerðir af manipulerandi gervigreind og félagslegrar stigagjöf.
Að auki gildir GDPR enn að fullu. Þar sem gervigreindarkerfi vinna úr persónuupplýsingum eru grunnreglur eins og lágmörkun gagna, lögmæti, öryggi og takmarkanir á sjálfvirkri ákvarðanatöku sérstaklega viðeigandi. Vinnumálalög og reglur um neytendavernd geta einnig átt við, til dæmis í mannauðstengdum gervigreindarforritum eða gervigreindarforritum sem snúa að viðskiptavinum. Stefna um gervigreind tengir þessar lagalegu kröfur við daglegan rekstur.
Tilgangur og umfang sterkrar stefnu um gervigreind
Árangursrík stefna um gervigreind er ekki fræðilegt skjal; hún er hagnýt áttaviti fyrir alla sem vinna með gervigreind. Hún ætti að útskýra hvers vegna fyrirtækið notar gervigreind, hvað það stefnir að, hvaða áhættur kunna að koma upp og hvernig starfsmenn eiga að nota gervigreindartól á ábyrgan hátt.
Það er afar mikilvægt að skilgreina gildissviðið. Í stefnunni ætti að tilgreina hvaða deildir hún á við um, svo sem mannauðsdeildir, markaðsdeildir, þjónustudeildir, fjármál, rekstur og rannsóknir og þróun. Einnig ætti að skýra hvaða gerðir kerfa falla undir stefnuna, þar á meðal keyptur gervigreindarhugbúnaður, innri líkön, skapandi gervigreindartól, spjallþjónar, stigagjöfartól og ráðleggingakerfi. Að lokum ætti að fjalla um hvort og við hvaða skilyrði einstaklingsbundnar tilraunir með opinber gervigreindartól eru leyfðar.
Lykilþættir stefnu um gervigreind
Stefna um gervigreind ætti að hefjast með skýrum skilgreiningum, í samræmi við víðtæka hugtakið gervigreind samkvæmt lögum ESB um gervigreind, en vera rituð á máli sem starfsmenn skilja. Starfsfólk ætti að geta greint hvenær það notar gervigreindarkerfi sem fellur undir stefnuna. Hagnýt dæmi eftir sviðum, svo sem mannauðsmál, samskipti við viðskiptavini og innri ferlar, hjálpa til við að gera þetta að veruleika.
Stefnan ætti síðan að greina á milli leyfilegrar notkunar gervigreindar, takmarkaðrar notkunar með skilyrðum og bannaðrar notkunar. Bönnuð notkun felur í sér gervigreindaraðferðir sem flokkaðar eru sem óásættanleg áhætta samkvæmt lögum ESB um gervigreind. Fyrir notkunartilvik með takmarkaða áhættu getur stefnan sett skilyrði eins og gagnsæisskyldur eða fyrirfram samþykki. Leyfð notkun getur verið tengd öryggisráðstöfunum eins og áhættumati, mati á persónuvernd og viðbótar tæknilegum og skipulagslegum ráðstöfunum.
Stjórnarhættir eru annar kjarnaþáttur. Stefnan ætti að skilgreina skýrt hver ber endanlega ábyrgð á samræmi við reglur um gervigreind, hver hefur heimild til að velja eða innleiða ný gervigreindarforrit og hver hefur umsjón með samræmi og meðhöndlun atvika. Val á söluaðilum og stjórnun birgja skipta einnig máli. Fyrirtæki ættu að meta hvort birgjar geti uppfyllt kröfur ESB-laga um gervigreind og tryggja að þessar skuldbindingar séu rétt endurspeglaðar í samningum.
Gögn, friðhelgi einkalífs, öryggi og gagnsæi
Þar sem gervigreind er háð gögnum ætti stefnan að skilgreina hvaða gögn mega og mega ekki vera unnin í gegnum gervigreindarkerfi. Hún ætti að fjalla um lágmörkun gagna, nafnleynd eða dulnefni eftir því sem við á, varðveislutíma og aðskilnað þjálfunargagna frá framleiðslugögnum. Fyrir kerfi með mikla áhættu er oft þörf á sameiginlegu mati sem tekur mið af bæði lögum ESB um gervigreind og persónuverndarreglugerðinni.
Gervigreindarkerfi og gögnin sem þau reiða sig á verða að vera tryggð á viðeigandi hátt. Stefnan ætti að lýsa því hvernig aðgangsréttindi eru skipulögð, hvernig notkun er skráð og vaktað og hvernig brugðist er við atvikum og gagnalekum.
Gervigreindarlög ESB krefjast gagnsæis þegar einstaklingar hafa samskipti við gervigreindarkerfi eða þegar efni er búið til með gervigreind. Því gæti stefnan krafist þess að starfsmenn, viðskiptavinir og aðrir hagsmunaaðilar séu upplýstir um hvenær gervigreind er notuð, þar á meðal helstu einkenni og takmarkanir.
Mannlegt eftirlit, hlutdrægni og gæði ákvarðana
Fyrir gervigreindarkerfi sem hafa veruleg áhrif á einstaklinga er eftirlit með fólki nauðsynlegt. Í stefnunni ætti að tilgreina hvenær eftirlit með fólki eða ákvarðanataka með fólki er skylda og hvernig þetta eftirlit er framkvæmt í reynd. Einnig er ráðlegt að prófa gervigreindarkerfi reglulega til að athuga skekkju, villutíðni og ófyrirséðar afleiðingar, sérstaklega á sviðum eins og mannauðsmálum og innleiðingu viðskiptavina.
Þjálfun og læsi í gervigreind
Samkvæmt ESB-lögum um gervigreind eru stofnanir skyldu til að efla læsi á gervigreind. Því ætti stefna um gervigreind að innihalda þjálfunarramma með grunnþjálfun fyrir alla starfsmenn og ítarlegri þjálfun fyrir tiltekin störf eins og mannauðsmál, upplýsingatækni, gagnateymi og stjórnun. Reglulegar uppfærslur eru nauðsynlegar til að halda í við tæknilegar og lagalegar framfarir.
Frá upphaflegri birgðaskrá til fullþróaðrar gervigreindarstefnu
Nothæf stefna um gervigreind er yfirleitt þróuð í áföngum. Fyrst greinir fyrirtækið hvaða gervigreindarforrit eru í notkun, þar á meðal eiginleika sem eru innbyggðir í núverandi hugbúnað og verkfæri sem starfsmenn hafa tekið upp. Næst eru þessi forrit flokkuð eftir áhættu. Löglegt og skipulagslegt áhættumat fylgir í kjölfarið, og að lokum er stefnan um gervigreind samin og samræmd við núverandi persónuverndar-, upplýsingaöryggis- og mannauðsramma. Stefnan er síðan innleidd í ferla, samninga og kerfi. Að lokum tryggja þjálfun, samskipti, eftirlit og reglubundnar uppfærslur að stefnan haldist virk til lengri tíma litið.
Niðurstaða
Í ESB-lögum um gervigreind er ljóst að óskipulagðar tilraunir með gervigreind eru ekki lengur sjálfbærar. Fyrirtæki sem fjárfesta snemma í vel útfærðri stefnu um gervigreind draga úr lagalegri áhættu og byggja upp traust starfsmanna, viðskiptavina og eftirlitsaðila.
Viltu vita hvort fyrirtækið þitt sé tilbúið fyrir gervigreindarlög ESB, eða þarftu aðstoð við að semja eða innleiða stefnu um gervigreind? Law & More. Við erum fús til að aðstoða.
FAQ
Er stefna um gervigreind skylda samkvæmt lögum ESB um gervigreind?
Í ESB-lögum um gervigreind er ekki sérstaklega kveðið á um að stofnanir eigi að hafa skjal sem ber heitið „Stefna um gervigreind“. Í reynd er stefna um gervigreind þó nauðsynleg til að sýna fram á að farið sé að skyldum sem lög um gervigreind og GDPR leggja á þær, svo sem áhættustýringu, eftirliti manna, gagnsæi og færni í gervigreind.
Hvaða stofnanir falla undir lög ESB um gervigreind?
Gervigreindarlög ESB eiga við um nánast allar stofnanir sem þróa, setja á markað eða nota gervigreindarkerfi innan Evrópusambandsins. Þetta á ekki aðeins við um tæknifyrirtæki, heldur einnig vinnuveitendur, þjónustuaðila og stofnanir sem nota gervigreind í mannauðsmálum, markaðssetningu, samskiptum við viðskiptavini, fjármálum eða ákvarðanatöku.
Á lög ESB um gervigreind við ef við notum aðeins staðlaðan hugbúnað sem hægt er að nálgast á lager?
Já. Jafnvel þótt gervigreindarvirkni sé innbyggð í hugbúnað þriðja aðila ber sú stofnun sem notar kerfið ábyrgð á notkun þess. Að reiða sig á söluaðila leysir ekki af skyldum notandans samkvæmt lögum ESB um gervigreind og persónuverndarreglugerðinni.
Hver er munurinn á gervigreindarkerfum með litla, takmarkaða og mikla áhættu?
Í ESB-lögum um gervigreind eru gervigreindarkerfi flokkuð eftir áhættustigi sem þau skapa fyrir grundvallarréttindi og hagsmuni einstaklinga. Með gervigreind sem er mjög áhættusöm eru kerfi sem notuð eru til ráðningar og vals, starfsmannamats, lánshæfismata eða aðgangs að nauðsynlegri þjónustu. Þessi kerfi eru háð mun strangari kröfum.
Þarf að meta öll gervigreindarforrit fyrirfram?
Í reynd, já. Fyrirtæki ættu að skrá og meta gervigreindarforrit áður en þau eru tekin í notkun og flokka þau eftir áhættu. Fyrir gervigreind sem felur í sér mikla áhættu er krafist ítarlegs mats, oft ásamt mati á áhrifum á persónuvernd samkvæmt GDPR.
Hvernig tengist stefna um gervigreind GDPR?
Gervigreindarlög ESB og persónuverndarreglugerðin bæta hvort annað upp. Þótt gervigreindarlögin einbeiti sér að stjórnarháttum, áhættustýringu og virkni gervigreindarkerfa, þá stjórnar persónuverndarreglugerðin vinnslu persónuupplýsinga. Skilvirk gervigreindarstefna samþættir bæði rammaverkin og tryggir samræmda eftirfylgni.
Er alltaf krafist áhrifamat á persónuvernd þegar gervigreind er notuð?
Ekki alltaf, en oft. Ef gervigreindarkerfi vinnur persónuupplýsingar og líklegt er að það leiði til mikillar áhættu fyrir einstaklinga, þá er DPIA skylda samkvæmt GDPR. Ef um er að ræða gervigreind sem felur í sér mikla áhættu samkvæmt lögum ESB um gervigreind, þá er DPIA oft óhjákvæmileg í reynd.
Geta gervigreindarkerfi tekið sjálfstæðar ákvarðanir um starfsmenn eða viðskiptavini?
Aðeins með ströngum skilyrðum. Persónuverndarreglugerðin takmarkar fullkomlega sjálfvirka ákvarðanatöku og gervigreindarlög ESB krefjast verulegs eftirlits manna með áhættusömum gervigreindarkerfum. Í mörgum tilfellum verður manneskja að geta gripið inn í, endurskoðað eða hnekkt ákvörðunum sem byggjast á gervigreind.
Getur stefna um gervigreind takmarkað notkun starfsmanna á opinberum gervigreindartólum?
Já. Eitt af lykiltilgangi stefnu um gervigreind er að skilgreina hvort og við hvaða skilyrði starfsmenn mega nota opinber gervigreindartól. Þetta felur venjulega í sér reglur um færslu trúnaðarupplýsinga, persónuupplýsinga eða viðkvæmra viðskiptaupplýsinga.
Hver ber ábyrgð á að stefnu um gervigreind sé fylgt?
Stefna um gervigreind ætti að úthluta skýrt ábyrgð á fylgni við reglur um gervigreind. Endanleg ábyrgð liggur venjulega hjá framkvæmdastjórn eða stjórn, með mikilvægum hlutverkum fyrir lögfræði, eftirlit, upplýsingatækni og mannauðsmál. Án skýrrar stjórnarhátta er ólíklegt að virkt eftirlit verði virkt.
Hverjar eru hætturnar ef fyrirtæki hefur ekki stefnu um gervigreind?
Fjarvera stefnu um gervigreind eykur hættuna á að ákvæði ESB um gervigreind og GDPR séu ekki fylgt. Þetta getur leitt til verulegra sekta, framfylgdaraðgerða, orðsporsskaða og hugsanlegrar skaðabótaskyldu. Það gerir það einnig erfiðara að sýna fram á ábyrga stjórnun gervigreindar fyrir eftirlitsaðilum.
Hversu oft ætti að endurskoða stefnu um gervigreind?
Ekki ætti að líta á stefnu um gervigreind sem kyrrstætt skjal. Regluleg endurskoðun er nauðsynleg, sérstaklega þegar ný gervigreindarkerfi eru kynnt til sögunnar, löggjöf eða reglugerðir breytast eða atvik eiga sér stað. Árleg endurskoðun er oft talin lágmark.
Er krafist að allir starfsmenn hafi þekkingu á gervigreind?
Samkvæmt lögum ESB um gervigreind eru stofnanir skyldugar til að grípa til aðgerða til að efla læsi á gervigreind. Þetta þýðir ekki að allir starfsmenn verði að verða tæknifræðingar, en þeir ættu að skilja hvað gervigreind er, hvernig hún er notuð innan fyrirtækisins og hvaða áhættu fylgir henni.
Hvenær er ráðlegt að leita sér lögfræðiráðgjafar?
Lögfræðiráðgjöf er sérstaklega ráðleg þegar verið er að innleiða áhættusöm gervigreindarkerfi, þegar óvissa ríkir um lögmæti tiltekinna forrita eða þegar spurningar vakna varðandi framfylgd, endurskoðun eða ábyrgð. Snemmbúin lagaleg endurskoðun getur komið í veg fyrir kostnaðarsamar leiðréttingaraðgerðir síðar.
