Apabila jabatan mula menggunakan AI, organisasi perlu tahu di mana ia digunakan, data yang dikendalikannya dan pihak yang bertanggungjawab terhadap penggunaan hasil. Mulakan dengan inventori penggunaan AI dan pemilik keputusan, kemudian rancang ujian, pengawasan dan perubahan mengikut impak.
Siapa yang sesuai dan bila perlu bermula
Organisasi yang membangunkan, menyediakan atau menggunakan produk dan perkhidmatan AI boleh menilai skop sistem apabila aplikasi bertambah, pelanggan meminta bukti tadbir urus atau AI disambungkan kepada proses penting. Penggunaan model luaran juga memerlukan pengesahan tujuan serta tanggungjawab organisasi sendiri.
Cabaran lazim
Jabatan berbeza mungkin menggunakan alat sama untuk keputusan berlainan tetapi bergantung pada satu hasil ujian mudah. Kemas kini model boleh mengubah output atau pengendalian data tanpa kembali kepada proses kelulusan asal. Ketepatan sebelum pelancaran sahaja tidak menjawab isu impak berterusan atau campur tangan manusia.
Pendekatan dan keperluan berkaitan
ISO/IEC 42001:2023 ialah standard keperluan sistem pengurusan AI edisi pertama untuk organisasi yang menyediakan atau menggunakan produk dan perkhidmatan AI. Ia menangani risiko, peluang dan penambahbaikan berterusan. Penilaian sistem pengurusan tidak menjamin ketepatan satu model atau setiap output. Rujuk penerangan ISO.
Skop projek yang boleh dipersetujui termasuk:
- Tujuan, peranan dan dasar: inventori aplikasi serta rekodkan tujuan, jabatan pengguna, data, penyedia dan tanggungjawab kelulusan.
- Penilaian risiko dan impak: bezakan risiko yang perlu diurus oleh organisasi daripada kemungkinan impak terhadap individu terjejas; rekodkan batasan, pemilik dan maklumat yang belum ada.
- Kitar hayat dan pengawasan manusia: semak sumber data, ujian, pelaksanaan, pemantauan, penggantungan dan persaraan; takrifkan kawalan serta keadaan campur tangan manusia dan nilai semula selepas perubahan model atau tujuan.
Peringkat sokongan
- Inventori penggunaan rasmi dan rutin jabatan; sahkan peranan organisasi serta sempadan pengurusan yang dimaksudkan.
- Pilih kaedah penilaian dan kawalan berdasarkan penggunaan serta impak; tetapkan tindakan kepada perniagaan, IT atau rakan luar.
- Uji proses pengawasan dan perubahan menggunakan satu aplikasi; semak bukti ujian, kelulusan, semakan manusia dan pengendalian anomali.
- Gabungkan pemantauan, insiden dan dapatan audit untuk keputusan pengurusan mengenai sumber, batasan dan penambahbaikan.
Hasil yang boleh dipersetujui termasuk inventori AI, penerangan peranan dan skop, penilaian risiko serta impak, aturan kawalan dan pengawasan, serta rekod perubahan dan penambahbaikan. Sahkan siapa menilai hasil penggunaan dan bila sistem perlu digantung atau diluluskan semula.
Maklumat yang perlu disediakan
- Penggunaan AI, jabatan, model atau penyedia perkhidmatan dan peranan organisasi.
- Sumber data, hak akses dan ringkasan proses berkaitan.
- Maklumat risiko, impak, kawalan dan pengawasan manusia.
- Rekod ujian, versi, pemantauan, insiden dan perubahan.
Mulakan dengan indeks maklumat dan contoh tanpa identiti. Kongsi data projek selepas tujuan, akses dan penyimpanannya dipersetujui.
Jadual dan fi
Kedalaman kerja bergantung pada bilangan aplikasi, peranan organisasi, impak dan maklumat sedia ada. Pembangunan model, penilaian teknikal, pengubahsuaian sistem dan nasihat undang-undang memerlukan skop berasingan. Pensijilan pihak ketiga juga memerlukan pengesahan skim tersendiri.
Soalan lazim
Adakah ini terpakai jika kami hanya menggunakan alat AI luaran?
Organisasi tetap mengurus tujuan, data dan tanggungjawab sendiri terhadap penggunaan hasil; pembangunan model bukan satu-satunya kriteria.
Adakah dasar penggunaan AI biasa sama dengan sistem pengurusan lengkap?
Dasar penggunaan boleh menjadi permulaan. Sistem lengkap juga perlu menangani keperluan skop, pelaksanaan, semakan dalaman dan penambahbaikan.
Adakah sijil membuktikan semua jawapan AI betul?
Tidak. Penilaian sistem bukan jaminan bagi setiap output; penggunaan sebenar masih memerlukan ujian sesuai dan pertimbangan manusia.
Bolehkah penilaian risiko dan impak menggunakan label sama?
Maklumat boleh dikongsi tetapi risiko organisasi perlu dibezakan daripada akibat terhadap individu terjejas; menukar nama borang sahaja tidak memadai.
Perlukah perubahan model disemak semula?
Nilai kesan terhadap tujuan, data, tingkah laku atau kawalan dan aturkan ujian serta kelulusan yang diperlukan.
Adakah perancangan siap bermakna sijil akan diperoleh?
Pihak ketiga menilai bukti operasi mengikut skimnya. Penyampaian perkhidmatan, skop pensijilan dan penerimaan pelanggan perlu disahkan berasingan.
Perkhidmatan berkaitan
Senaraikan satu penggunaan AI penting, data input, pihak yang menggunakan output dan kaedah semakan semasa. Hubungi Captain International.