เมื่อหน่วยงานเริ่มใช้ AI องค์กรต้องทราบว่าใช้ที่ใด จัดการข้อมูลใด และใครรับผิดชอบต่อการนำผลไปใช้ เริ่มจากบัญชีการใช้งานและผู้รับผิดชอบการตัดสินใจ แล้ววางการทดสอบ การกำกับ และการเปลี่ยนแปลงตามระดับผลกระทบ
เหมาะสำหรับใครและเริ่มเมื่อใด
องค์กรที่พัฒนา ให้บริการ หรือใช้ผลิตภัณฑ์และบริการ AI อาจประเมินขอบเขตระบบเมื่อแอปพลิเคชันเพิ่มขึ้น ลูกค้าขอหลักฐานธรรมาภิบาล หรือเตรียมเชื่อม AI กับกระบวนการสำคัญ แม้ใช้โมเดลภายนอกก็ยังต้องยืนยันการใช้งานและหน้าที่ขององค์กรเอง
ความท้าทายที่พบบ่อย
หลายฝ่ายใช้เครื่องมือเดียวกันกับการตัดสินใจต่างกันแต่พึ่งผลทดสอบอย่างง่ายชุดเดียว การอัปเดตโมเดลอาจเปลี่ยนผลลัพธ์หรือเงื่อนไขจัดการข้อมูลโดยไม่กลับเข้าสู่ขั้นอนุมัติเดิม ความแม่นยำก่อนเปิดใช้เพียงอย่างเดียวไม่ตอบเรื่องผลกระทบต่อเนื่องหรือการแทรกแซงโดยมนุษย์
แนวทางและข้อกำหนดที่เกี่ยวข้อง
ISO/IEC 42001:2023 เป็นมาตรฐานข้อกำหนดระบบบริหาร AI ฉบับแรก ใช้กับองค์กรที่ให้บริการหรือใช้ผลิตภัณฑ์และบริการ AI โดยครอบคลุมความเสี่ยง โอกาส และการปรับปรุงต่อเนื่อง การประเมินระบบบริหารไม่รับประกันความถูกต้องของโมเดลใดโมเดลหนึ่งหรือทุกผลลัพธ์ ดู ข้อมูล ISO
ขอบเขตโครงการที่อาจตกลงกัน ได้แก่:
- วัตถุประสงค์ บทบาท และนโยบาย: จัดทำบัญชีแอปพลิเคชันและบันทึกวัตถุประสงค์ ฝ่ายผู้ใช้ ข้อมูล ผู้ให้บริการ และหน้าที่อนุมัติ
- การประเมินความเสี่ยงและผลกระทบ: แยกความเสี่ยงที่องค์กรต้องจัดการจากผลกระทบที่อาจเกิดกับผู้ได้รับผลกระทบ พร้อมบันทึกข้อจำกัด ผู้รับผิดชอบ และข้อมูลที่ขาด
- วงจรชีวิตและการกำกับโดยมนุษย์: ทบทวนแหล่งข้อมูล การทดสอบ การติดตั้ง การติดตาม การระงับและเลิกใช้ กำหนดการควบคุมและเงื่อนไขแทรกแซง แล้วประเมินใหม่เมื่อโมเดลหรือวัตถุประสงค์เปลี่ยน
ขั้นตอนการสนับสนุน
- สำรวจการใช้งาน AI ที่ติดตั้งอย่างเป็นทางการและที่ใช้ประจำในหน่วยงาน ยืนยันบทบาทและขอบเขตที่ตั้งใจจัดการ
- เลือกวิธีประเมินและควบคุมตามการใช้งานกับผลกระทบ มอบหมายให้ฝ่ายธุรกิจ IT หรือคู่ค้าภายนอก
- ใช้แอปพลิเคชันจริงหนึ่งรายการทดสอบการกำกับและการเปลี่ยนแปลง ตรวจหลักฐานการทดสอบ อนุมัติ ทบทวนโดยมนุษย์ และจัดการความผิดปกติ
- รวมการติดตาม เหตุการณ์ และผลตรวจประเมินเพื่อให้ฝ่ายบริหารตัดสินใจด้านทรัพยากร ข้อจำกัด และการปรับปรุง
ผลงานที่ตกลงกันได้อาจรวมบัญชี AI คำอธิบายบทบาทและขอบเขต การประเมินความเสี่ยงและผลกระทบ การควบคุมและการกำกับ และบันทึกการเปลี่ยนแปลงกับการปรับปรุง ยืนยันให้ได้ว่าใครทบทวนผลการใช้งานและเมื่อใดต้องระงับหรืออนุมัติใหม่
ข้อมูลที่ควรเตรียม
- การใช้ AI หน่วยงาน โมเดลหรือผู้ให้บริการ และบทบาทองค์กร
- แหล่งข้อมูล สิทธิ์เข้าถึง และสรุปกระบวนการที่เกี่ยวข้อง
- ข้อมูลความเสี่ยง ผลกระทบ การควบคุม และการกำกับโดยมนุษย์
- บันทึกทดสอบ รุ่น การติดตาม เหตุการณ์ และการเปลี่ยนแปลง
เริ่มจากดัชนีข้อมูลและตัวอย่างที่ไม่ระบุตัวบุคคล ให้ข้อมูลโครงการเมื่อกำหนดวัตถุประสงค์ ผู้เข้าถึง และการเก็บรักษาแล้ว
ระยะเวลาและค่าบริการ
จำนวนแอปพลิเคชัน บทบาทองค์กร ผลกระทบ และข้อมูลเดิมกำหนดความลึกของงาน การพัฒนาโมเดล การประเมินทางเทคนิค การแก้ระบบ และความเห็นกฎหมายต้องกำหนดแยก การรับรองบุคคลที่สามต้องยืนยันโครงการแยกต่างหาก
คำถามที่พบบ่อย
ใช้เครื่องมือ AI ภายนอกอย่างเดียวก็เกี่ยวข้องหรือไม่?
องค์กรยังต้องจัดการวัตถุประสงค์ ข้อมูล และความรับผิดชอบต่อการนำผลไปใช้ การพัฒนาโมเดลไม่ใช่เกณฑ์เดียว
นโยบายการใช้ AI ทั่วไปเท่ากับระบบบริหารครบถ้วนหรือไม่?
นโยบายการใช้เป็นจุดเริ่มต้นได้ แต่ระบบยังต้องครอบคลุมข้อกำหนดที่เกี่ยวข้อง การปฏิบัติ การทบทวนภายใน และการปรับปรุง
ใบรับรองพิสูจน์ว่าคำตอบ AI ถูกต้องทั้งหมดหรือไม่?
ไม่ได้ การประเมินระบบไม่รับประกันผลลัพธ์แต่ละครั้ง การใช้งานจริงยังต้องทดสอบและใช้ดุลยพินิจของมนุษย์อย่างเหมาะสม
การประเมินความเสี่ยงและผลกระทบใช้ชื่อเดียวกันได้หรือไม่?
ใช้ข้อมูลร่วมกันได้ แต่ต้องแยกความเสี่ยงองค์กรจากผลที่เกิดกับผู้ได้รับผลกระทบ การเปลี่ยนชื่อแบบฟอร์มอย่างเดียวไม่เพียงพอ
เปลี่ยนโมเดลแล้วต้องตรวจใหม่หรือไม่?
ประเมินว่าวัตถุประสงค์ ข้อมูล พฤติกรรม หรือการควบคุมได้รับผลกระทบหรือไม่ แล้วจัดการทดสอบและอนุมัติที่จำเป็น
วางแผนเสร็จแล้วจะได้ใบรับรองหรือไม่?
บุคคลที่สามประเมินหลักฐานการดำเนินงานตามโครงการของตน ต้องยืนยันบริการ ขอบเขตการรับรอง และการยอมรับของลูกค้าแยกกัน
บริการที่เกี่ยวข้อง
ระบุการใช้ AI สำคัญหนึ่งรายการ ข้อมูลนำเข้า ผู้ใช้ผลลัพธ์ และวิธีทบทวนปัจจุบัน ติดต่อ Captain International