เมื่อพนักงานเริ่มใช้ AI องค์กรจำเป็นต้องทราบว่าบัญชีใดประมวลผลข้อมูลประเภทใด และนำผลลัพธ์ไปใช้ในบริบทใด การวางระบบกำกับดูแลเริ่มได้จากการจัดทำรายการกรณีใช้งาน แล้วกำหนดขั้นตอนขออนุมัติ ตรวจทาน และแจ้งปัญหาที่พนักงานปฏิบัติตามได้
เหมาะกับใครและควรเริ่มเมื่อใด
ควรทบทวนช่องว่างการกำกับดูแลเมื่อแต่ละแผนกจัดซื้อเครื่องมือเอง มีแผนเชื่อมต่อข้อมูลลูกค้า หรือพบการส่งข้อมูลผิดที่และคำตอบที่คลาดเคลื่อน แม้ใช้ผลิตภัณฑ์สำเร็จรูปก็ต้องกำหนดบัญชี ข้อมูล และผู้รับผิดชอบ ไม่จำเป็นต้องรอให้พัฒนาโมเดลเองก่อน
กติกาที่เขียนไว้ต้องตรงกับการทำงานจริง
ข้อกำหนดว่า “ห้ามอัปโหลดข้อมูลลับ” ต้องเชื่อมโยงกับการจัดชั้นข้อมูลของบริษัท เพื่อให้พนักงานตัดสินใจได้ว่าจะใช้ใบเสนอราคา บันทึกการประชุม หรืออีเมลลูกค้าได้หรือไม่ การใช้บัญชีสิทธิ์สูงร่วมกัน ไม่มีผู้ตรวจทาน หรือไม่มีเจ้าของดูแลรายการเครื่องมือ ล้วนทำให้นโยบายไม่ตรงกับการปฏิบัติจริง
กรอบงานและขอบเขตของระบบ
หน้าที่ Govern, Map, Measure และ Manage ใน NIST AI Risk Management Framework ช่วยจัดหมวดงานด้านธรรมาภิบาล บริบท การประเมิน และการจัดการกรอบนี้เป็นแนวทางสมัครใจ องค์กรสามารถกำหนดระดับการทบทวนตามข้อมูลและการใช้งาน ส่วนกฎหมายและสัญญาที่เกี่ยวข้องควรให้ผู้รับผิดชอบตรวจสอบแยกต่างหาก
ISO/IEC 42001 ครอบคลุมระบบการจัดการ AI ขององค์กร แนวปฏิบัติการใช้ AI ของพนักงานอาจเป็นส่วนหนึ่งได้ แต่การจัดทำนโยบายเพียงฉบับเดียวไม่ได้หมายความว่ามีระบบครบถ้วนหรือได้รับการรับรองแล้ว ดู ระบบการจัดการ AI สำหรับความต้องการที่เกี่ยวข้อง
ขั้นตอนที่นำมาหารือได้
- ทำรายการเครื่องมือ บัญชี ผู้ใช้ ข้อมูลนำเข้า และการใช้ผลลัพธ์ พร้อมบันทึกเงื่อนไขที่ยังไม่ได้ยืนยัน
- แบ่งการใช้งานเป็นอนุญาต ต้องขออนุมัติ หรือห้ามใช้ พร้อมกำหนดเงื่อนไขข้อมูลนำเข้า ผู้ตรวจทาน และเกณฑ์หยุดใช้งาน
- ฝึกซ้อมการขอใช้ การปฏิเสธ และการแจ้งเหตุด้วยสถานการณ์การทำงานจริง ให้ผู้รับผิดชอบด้านเทคนิคตรวจสอบสิทธิ์ที่ใช้งานจริง
- กำหนดผู้ดูแลรายการ และระบุเงื่อนไขทบทวนเมื่อเพิ่มกรณีใช้งาน ข้อมูล หรือความสามารถของเครื่องมือ
ข้อมูลเตรียมการและผลลัพธ์ที่อาจหารือ
คุณอาจเตรียมรายการเครื่องมือและกรณีใช้งาน แผนบัญชี นโยบายความปลอดภัย ข้อกำหนดลูกค้า และเหตุการณ์ที่ทราบ ผลงานที่อาจหารือ ได้แก่ ร่างนโยบายการใช้ แบบตรวจทาน ตารางความรับผิดชอบ และบันทึกการฝึกซ้อม การปรับระบบ คำปรึกษากฎหมาย และการรับรองต้องกำหนดขอบเขตแยกต่างหาก
ระยะเวลาและค่าใช้จ่าย
จำนวนแผนกและเครื่องมือ รวมถึงผลกระทบของข้อมูล เป็นตัวกำหนดความลึกของการสัมภาษณ์และการฝึกซ้อม ควรประเมินงานจัดทำนโยบาย การฝึกอบรม และการทดสอบทางเทคนิคแยกกัน พร้อมคำนึงถึงบุคลากรที่จะดูแลกติกาหลังเริ่มใช้งาน
คำถามที่พบบ่อย
ใช้บัญชีองค์กรแบบชำระเงินกับข้อมูลทุกประเภทได้หรือไม่
ตรวจสอบผลิตภัณฑ์ แพ็กเกจ การตั้งค่า และเงื่อนไขสัญญาเรื่องการเก็บรักษา การใช้ และการเข้าถึงข้อมูล บัญชีแบบชำระเงินไม่ได้เป็นตัวกำหนดโดยลำพังว่าข้อมูลใดป้อนเข้าได้
ลบชื่อบุคคลแล้วป้อนข้อมูลได้อย่างปลอดภัยหรือไม่
ช่องข้อมูลอื่นอาจยังระบุตัวบุคคลหรือเปิดเผยข้อมูลธุรกิจได้ ควรพิจารณาเนื้อหา การอนุญาต และเงื่อนไขการประมวลผลร่วมกัน
ควรทำอย่างไรเมื่อข้อมูลรั่วไหลโดยไม่ตั้งใจหรือเกิดการดำเนินการผิดพลาด
ปฏิบัติตามขั้นตอนรับมือเหตุการณ์เพื่อจำกัดผลกระทบ แจ้งผู้ประสานงานที่กำหนด และเก็บหลักฐานที่จำเป็น จากนั้นประเมินข้อมูล ผู้ได้รับผลกระทบ และขั้นตอนต่อไป รวมถึงตรวจสอบหน้าที่การรายงานตามเหตุการณ์นั้น
ควรปรับปรุงแนวปฏิบัติบ่อยเพียงใด
ทบทวนเป็นระยะ และกำหนดให้กรณีใช้งานใหม่ การเปลี่ยนแปลงฟังก์ชันสำคัญ หรือเหตุการณ์ที่เกิดขึ้นเป็นตัวกระตุ้นให้ทบทวน ความถี่ควรเหมาะกับการใช้งานจริง
แหล่งอ้างอิงทางการ
แหล่งข้อมูลเหล่านี้อธิบายแนวทางและขอบเขต ส่วนขั้นตอนและผลลัพธ์ที่กล่าวถึงเป็นข้อเสนอสำหรับหารือในโครงการ