מה כולל פרויקט ממשל AI
SEYA Group מסייעת לארגונים לכתוב את המדיניות, הבקרות והראיות למערכות AI שהם כבר מפעילים או עומדים להשיק. העבודה ממופה ל-NIST AI Risk Management Framework, ובמקום שבו אתם רוצים מערכת ניהול, גם ל-ISO/IEC 42001. SEYA אינה מסמיכה את התוכנית ואינה טוענת שמסמך מדיניות הופך מודל לבטוח. הפרויקטים מובלים ממשרדנו בוונקובר על ידי מהנדסים בכירים שמבצעים גם את הסקירה הטכנית.
למי זה מיועד
מנהלי סיכונים, אבטחת מידע וטכנולוגיה שהתבקשו להציג מדיניות AI ואינם רוצים קלסר שההנדסה לא תפעל לפיו. צוותים שצריכים להסביר לדירקטוריון, ללקוח או לרגולטור באיזו החלטה המערכת תומכת, באילו נתונים היא משתמשת ומי יכול לכבות אותה. חברות שכבר נמצאות בעיצומה של סקירת אבטחת AI וזקוקות לתוצרי ממשל שיתאימו לבקרות הטכניות.
מה תקבלו
- מצאי מערכות. מערכות ה-AI שבהיקף: מטרה, משתמשים, מקורות נתונים, ספק המודל או ה-API, והבעלים העסקי. מערכת ללא בעלים נרשמת כפער, ולא מקבלת בעלים על הנייר.
- מדיניות שמצביעה על בקרה. שימוש מקובל, סקירה אנושית, טיפול בנתונים וסקירת ספקים, וכל אחת מהן מפנה לבקרה שמישהו יכול להפעיל. המבנה עוקב אחר NIST AI Risk Management Framework (govern, map, measure, manage). כשאתם מיישרים מערכת ניהול ל-ISO/IEC 42001, אנחנו ממפים את אותן בקרות לסעיפי התקן. מיפוי אינו תעודה. הסמכת ISO, אם תבקשו אותה, ניתנת על ידי גוף מוסמך.
- ראיות. הרשומות שמראות שהמדיניות יושמה בפועל: אישור, דוח בדיקה מתוך הערכת אבטחת LLM, יומן של מי שינה רשימת כלים מורשים. אנחנו לא ממציאים פרוטוקולים לישיבות שלא התקיימו.
- הערת הקשר קנדית. ההערה מתעדת כיצד המערכת ממוקמת תחת חוק הפרטיות הפדרלי של קנדה למגזר הפרטי (PIPEDA), והאם חקיקה ייעודית ל-AI אכן בתוקף לגבי אותה מערכת. חקיקה מוצעת, ובכלל זה Artificial Intelligence and Data Act שהוגש במסגרת הצעת החוק C-27, מסומנת כמוצעת. איננו מתייחסים להצעת חוק כאל חובה משפטית קיימת. ההערה היא הקשר הנדסי עבור היועצים המשפטיים שלכם, לא חוות דעת משפטית.
איך הפרויקט מתנהל
- מגדירים את המערכות. מוצר אחד או רשימה קצרה. תוכנית שמנסה למשול בכל ניסוי כבר ביום הראשון אינה מגיעה לסיום.
- כותבים את ההחלטות. מה המערכת רשאית לעשות, מה אסור לה לעשות, ומי מקבל על עצמו את הסיכון השיורי. מגבלות טכניות שנמצאו בבדיקות אבטחה נכתבות לתוך הבקרה, ולא נדחקות לנספח.
- מצרפים ראיות. כל בקרה מציינת את המערכת שמפיקה את הרשומה. בדיקות Pipeline מתוך DevSecOps משמשות במקום שבו הן כבר קיימות.
- מוסרים לבעלים. מערך המדיניות ואינדקס הראיות שייכים לחברה שלכם. SEYA אינה נשארת הגורם המאשר.
מה צריך להיות מוכן מצדכם
בעלים עסקי לכל מערכת שבהיקף, ייעוץ משפטי אם אתם זקוקים למסקנה משפטית, וגישה לארכיטקטורה. אם איש עדיין לא בדק את הפרומפטים ואת הכלים, בצעו את ההערכה הזו לפני שהמדיניות טוענת לבקרה שלא ראיתם עובדת.
מחוץ להיקף: חוות דעת משפטית, תעודת ISO/IEC 42001, הצהרה שמודל הוא נטול הטיות או בטוח, ובניית מוצר ה-AI. העבודה שפורסמה ושאנחנו יכולים להצביע עליה היא עדיין דפוס סקירת האבטחה בפרויקט הגירת Boeing GoldCare ל-Azure, שבו צוות ה-InfoSec של הלקוח בדק את התשתית לפני העלייה לאוויר. זו לא הייתה תוכנית ממשל AI. זה הרגל הסקירה שעליו השירות הזה בנוי.
שאלות נפוצות
האם אתם מסמיכים אותנו ל-ISO/IEC 42001 או ל-NIST?
לא. NIST AI RMF הוא מסגרת עבודה, לא תוכנית הסמכה. ISO/IEC 42001 הוא תקן שגוף מוסמך יכול להסמיך לפיו. SEYA ממפה את הבקרות שלכם למסמכים האלה ורושמת את הפערים. איננו מנפיקים את התעודה.
האם זה מחליף סקירת פרטיות?
לא. נאמר לאילו נתונים המערכת יכולה להגיע והיכן שאלת פרטיות דורשת את היועצים המשפטיים שלכם. החובות לפי PIPEDA הן שלכם. חבילת הממשל נותנת ליועצים המשפטיים משהו קונקרטי לקרוא. היא אינה תזכיר משפטי בענייני פרטיות.
האם המדיניות יכולה להיות קצרה מהמסגרת?
כן. החבילה מכסה את המערכות שבהיקף, לא כל פונקציה במסגרת. בקרה שאינה רלוונטית מסומנת כלא ישימה עם נימוק, במקום להיות מועתקת כטקסט ריק.
לתיאום הערכת אבטחת ענן אם דירקטוריון או לקוח ביקשו מדיניות AI ואתם רוצים שהיא תהיה קשורה למערכות שאתם באמת מפעילים.
צור קשר
שלחו פנייה בנוגע להתקשרות בענן, בפלטפורמה, בנתונים או באמינות. דוא"ל שיווקי הוא בחירה נפרדת בטופס.