Съответствие на ИИ: управление на системи с ИИ и използване на ИИ в работата по съответствието

Съответствието на ИИ има две значения: непрекъснатата работа, с която се гарантира, че системите с ИИ, които вашата организация изгражда или използва, отговарят на приложимите закони, стандарти и вътрешни политики, както и използването на ИИ за рутинна работа по съответствието в голям обем.

Тази статия разглежда и двете значения: рисковете, които адресира съответствието на ИИ, основните рамки, как да изградите програма за съответствие, контролите за агенти с ИИ и къде ИИ помага на екипите по съответствието. Накрая са посочени въпроси, които да зададете, преди да закупите инструмент за съответствие.

Какво е съответствие на ИИ?

Съответствието на ИИ означава две неща: системите с ИИ да отговарят на правилата, заложени в регулирането на ИИ, и използването на ИИ за работа по съответствието.

В първия смисъл съответствието на ИИ гарантира, че системата с ИИ спазва законите, регулациите, етичните стандарти и вътрешните политики през целия жизнен цикъл на ИИ – от данните за обучение до производителността и използването.

Например Местен закон 144 на град Ню Йорк изисква работодателите, които използват автоматизиран инструмент за вземане на решения при наемане на работа, да възложат одит за пристрастия в рамките на една година от използването му, да оповестят публично информацията за одита и да уведомят служителите или кандидатите за работа.

Работата по регулаторното съответствие на ИИ е непрекъсната, защото приложенията с ИИ се актуализират, данните, с които работят, се променят, а регулациите се развиват.

Във втория смисъл екипите по съответствието използват ИИ за рутинна работа в голям обем, като наблюдение на транзакции, преглед на документи и проследяване на регулаторни промени.

Някои финансови институции например използват ИИ, за да преглеждат транзакции и да намаляват фалшиво положителните сигнали при наблюдението на транзакции, преди анализаторите да решат за кои от тях е необходим доклад за съмнителна дейност.

Съответствие на ИИ, управление на ИИ и управление на риска при ИИ

Трите понятия се припокриват, но обхващат различни области: управлението определя правилата, управлението на риска установява какво може да се обърка, а съответствието гарантира, че правилата се спазват.

Защо съответствието на ИИ е важно

Постигането на съответствие на ИИ ограничава риска от глоби, защитава поверителността на хората, чиято информация обработва вашият ИИ, и позволява на организацията ви да се отчете за използването на системи с ИИ в случай на одит.

• Регулаторни санкции: Съгласно Акта за ИИ на ЕС използването на забранена практика с ИИ, като например извличането на заключения за емоциите на служителите на работното място, може да струва до 35 милиона евро или 7% от общия годишен световен оборот. Доставчиците и внедрителите могат да бъдат глобени с до 15 милиона евро или 3% за нарушения на Акта.
• Защита на данните: Система с ИИ, която обработва лични данни, е обект на законите за защита на данните, като GDPR в ЕС. Това включва данните за обучение, подканите и резултатите, съдържащи лични данни.
• Готовност за одит: Записите за това кои системи с ИИ използвате, кой ги е одобрил и как ги наблюдавате ви позволяват да се отчитате пред регулаторите, одиторите и клиентите.

Основните рискове, които адресира съответствието на ИИ

Съответствието на ИИ адресира пет основни риска: алгоритмични пристрастия, липса на обяснимост, халюцинации в регулирани процеси, поверителност и изтичане на данни, както и сенчест ИИ.

Уголеми

Ето как се проявяват основните рискове и примери за контроли, които ги ограничават:

• Алгоритмични пристрастия: Моделът възпроизвежда закономерности в данните си за обучение, които поставят определени групи в неравностойно положение. Инструмент за подбор на персонал например може да класира кандидатите по-ниско въз основа на косвен показател за възраст или етническа принадлежност, като година на завършване или пощенски код. Одитите за пристрастия, които сравняват резултатите между демографски групи, помагат за откриването на тези закономерности.
• Липса на обяснимост: Организацията не може да покаже как моделът е стигнал до дадено решение. Ако кредитор не може да обясни защо моделът е отказал заем, той не може да защити резултата. Организациите предотвратяват това, като документират входните данни и логиката на вземане на решения на модела и избират модели с проследими резултати.
• Халюцинации в регулирани процеси: Инструмент с генеративен ИИ уверено заявява нещо невярно. Например адвокат може да поиска от инструмент с ИИ съдебна практика в подкрепа на аргумент и да получи позовавания на съдебни решения, които не съществуват. Изискването на източници за всеки резултат и проверката им от квалифициран човек улавят подобни грешки.
• Поверителност и изтичане на данни: Поверителна информация или информация за клиенти попада в инструмент извън контрола на организацията. Например служител може да постави клиентски записи в публичен инструмент с ИИ, който запазва въведените данни, за да обучава бъдещи модели. Използването само на одобрени инструменти с договорни ограничения за обучението и съхранението на данни намалява риска.
• Сенчест ИИ: Служителите използват инструменти с ИИ, които организацията не е одобрила или не може да види. В проучване на Compliance Week от 2026 г. 42% от участниците съобщават за неконтролирано използване на ИИ от служители. Възможните решения включват списък с одобрени инструменти, съчетан с бърз процес за одобрение на инструменти с ИИ, както и уеб шлюзове.

Основни рамки за съответствие на ИИ

Съответствието на ИИ се основава на задължителни рамки за управление на ИИ, като Акта за ИИ на ЕС, и на доброволни рамки, като Рамката на NIST за управление на риска при ИИ и ISO/IEC 42001, които помагат на организациите да ги спазват.

Акт за ИИ на ЕС

Актът за ИИ на ЕС (Регламент (ЕС) 2024/1689) възприема основан на риска подход към регулирането на ИИ: някои практики са изцяло забранени, високорисковите системи са подложени на строги ограничения, а за останалите важат само леки правила за прозрачност. Той се прилага за доставчиците и внедрителите навсякъде, „когато резултатът, получен от системата с ИИ, се използва в Съюза“.

Задълженията по Акта за ИИ на ЕС зависят от ролята на организацията:

• Тези, които разработват високорискова система с ИИ или я пускат на пазара под свое име (доставчици), трябва да извършат оценяване на съответствието, да поставят маркировката CE, да регистрират системата, да поддържат техническа документация и да я наблюдават след пускането ѝ.
• Тези, които използват система, изградена от някой друг (внедрители), трябва да следват инструкциите на доставчика, да възложат надзора на хора с „необходимата компетентност, подготовка и авторитет“, да съхраняват записите за поне шест месеца и да информират работниците и другите лица, засегнати от решенията ѝ.

Уголеми

Актът се въвежда на етапи. Забранените практики, грамотността в областта на ИИ и правилата за ИИ с общо предназначение се прилагат от 2025 г., а задълженията за високорисковите системи започват да се прилагат на 2 декември 2027 г., както и на 2 август 2028 г. за ИИ, вграден в продукти, обхванати от законодателството на ЕС за безопасност на продуктите.

EN 18286:2026 за системите за управление на качеството е първият европейски стандарт в подкрепа на Акта. За доставчиците, които го прилагат, се приема, че отговарят на изискването на Акта за управление на качеството.

Рамка на NIST за управление на риска при ИИ

NIST AI RMF (Рамка за управление на риска), публикувана през януари 2023 г., е доброволна американска рамка, изградена около четири функции: Ръководство (Govern), Картографиране (Map), Измерване (Measure) и Управление (Manage).

Нейният профил за генеративен ИИ, публикуван през юли 2024 г., прилага рамката към рисковете, свързани с генеративния ИИ.

ISO/IEC 42001

ISO/IEC 42001 е международният стандарт за системи за управление на ИИ и обхваща политиките, ролите и процесите, които ръководят отговорното разработване и използване на ИИ. Сертифицирането е доброволно и се извършва от независими сертифициращи органи, а не от самата ISO.

Сертификатът обхваща системата за управление на организацията, а не конкретен продукт с ИИ.

Правила в САЩ и в отделни сектори, които се прилагат за ИИ

В САЩ няма единен федерален закон за ИИ. Правилата идват от градове, щати и съществуващи закони и регулации, които се прилагат за ИИ.

Например законът SB26-189 на Колорадо, който влиза в сила на 1 януари 2027 г., регулира технологиите за автоматизирано вземане на решения, а законите за поверителност, като California Consumer Privacy Act (CCPA) или HIPAA, се прилагат винаги когато ИИ обработва защитени данни.

Как да изградите програма за съответствие на ИИ

Изграждането на програма за съответствие на ИИ включва шест стъпки: инвентаризиране на системите с ИИ, класифицирането им по риск, съпоставяне на контролите с приложимите правила, определяне на отговорници, документиране на всяка система и наблюдението ѝ със записи, които одиторът може да провери.

Уголеми

Всяка стъпка по-долу завършва със записа, който създава:

1. Инвентаризирайте всяка система с ИИ. Избройте системите, които вашата организация изгражда, купува или използва, включително функциите с ИИ в съществуващ софтуер и инструментите, които служителите са започнали да използват без одобрение. Запишете какво прави всяка от тях, кой я използва и до какви данни има достъп.
   Резултат: Инвентарен списък на ИИ.
2. Класифицирайте всеки случай на употреба по риск. Оценете всяка система според вредата, която може да причини, като използвате схема като нивата на риск в Акта за ИИ на ЕС. Например инструмент, който определя премиите по животозастраховане, е високорисков съгласно Акта, докато инструмент, който обобщава вътрешни срещи, не е.
   Резултат: Регистър на рисковете.
3. Съпоставете контролите с приложимите правила. Избройте законите, стандартите и вътрешните политики, които се прилагат за всяка система, както и контролата, която изпълнява всяко изискване за съответствие. Например документираният човешки преглед помага да се изпълнят изискванията на Акта за ИИ на ЕС за човешки надзор над високорисковите системи и призивът на NIST AI RMF за документирани процеси за човешки надзор.
   Резултат: Карта на контролите.
4. Определете отговорници и точки за човешки надзор. Посочете отговорник за всяка система и решете къде човек преглежда резултатите ѝ. Например правният отдел и отделът по съответствието отговарят за задълженията, отделът по сигурността – за техническите контроли, бизнес собствениците – за своите случаи на употреба, а един ръководител носи общата отговорност. Уверете се, че хората в цялата организация са информирани, и създайте ясни канали за комуникация.
   Резултат: Посочени отговорници за всяка система.
5. Документирайте всяка система. Запишете предназначението, данните за обучение, тестването и известните ограничения на всяка система във формати като карти на модели и оценки на въздействието. Доставчиците на високорискови системи трябва също да изготвят техническата документация по приложение IV към Акта за ИИ на ЕС.
   Резултат: Комплект документация за системата.
6. Наблюдавайте, водете записи и съхранявайте доказателства. Проектирайте записите още от самото начало като одитни доказателства, които показват какво е направила системата и кой я е прегледал. Актът за ИИ на ЕС изисква високорисковите системи автоматично да записват събития през целия си жизнен цикъл. Одитната следа трябва да обхваща:
   • Използвания модел и неговата версия
   • Входните и изходните данни или определена извадка от тях
   • Данните за обучение или фина настройка
   • Точките за човешки преглед и техните резултати
   • Действията, които агентът е предприел, и разрешенията, които е използвал
   • Колко дълго се съхранява всеки запис

Резултат: Записи от наблюдението и одитна следа.

Специализирани инструменти за съответствие на ИИ, като IBM watsonx.governance и OneTrust AI Governance, могат да поемат части от тази програма, включително инвентарния списък на ИИ, оценките на риска спрямо Акта за ИИ на ЕС и документацията.

Как да одобрите инструменти с ИИ, които служителите могат да използват

Преди да одобрите инструмент с ИИ, проверете четири неща:

• Достъп до данни: Кои файлове, системи и свързани бази знания може да чете инструментът и дали те съдържат лични данни, които той би могъл да разкрие.
• Обучение върху въведените данни: Дали доставчикът използва подкани, файлове или резултати, за да обучава моделите си, и дали договорът ви с доставчика го забранява.
• Съхранение: Колко дълго доставчикът съхранява подканите, файловете и историята на разговорите и дали можете да съкратите този срок.
• Хостинг и прехвърляне: Къде доставчикът съхранява и обработва данните, включително прехвърлянията извън вашия регион.

Контроли за съответствие при агенти с ИИ

Агентите с ИИ се нуждаят от повече контроли от инструментите за чат, защото сами решават какви стъпки да предприемат и действат чрез предоставените им инструменти и разрешения. Три контроли ги държат в рамки:

• Достъп с най-малко привилегии: Давайте на агента само инструментите и разрешенията, необходими за задачата му. Прекомерната свобода на действие (Excessive Agency), при която агентът може да прави повече, отколкото изисква задачата му, е сред най-сериозните рискове за сигурността според OWASP Top 10 for LLM Applications 2026.
• Запис на всяко действие: Записвайте всяко извикване на инструмент, данните, до които е осъществен достъп, и използваните разрешения, за да проследите какво е направил агентът и за кого.
• Одобрение от човек за действия с голямо въздействие: Изисквайте човек да потвърждава стъпките, които изпращат данни извън организацията, превеждат пари или не могат да бъдат отменени.

Как се използва ИИ в работата по съответствието

Екипите по съответствието и управлението на риска използват ИИ, за да наблюдават контролите, да оценяват риска, да проследяват регулаторните промени, да преглеждат документи и да сортират сигналите за финансови престъпления.

В проучване на Compliance Week от 2026 г. сред 193 ръководители в областта на съответствието, етиката, риска и одита над 83% заявяват, че използват ИИ, а близо 40% посочват, че компаниите им са го внедрили за оценка и наблюдение на риска.

Често срещаните случаи на употреба на ИИ в областта на съответствието включват:

• Непрекъснато наблюдение на съответствието и събиране на доказателства: ИИ извършва проверки и събира доказателства, че те работят (напр. просрочени инспекции за безопасност на оборудването в завод).
• Оценка и приоритизиране на риска: ИИ класира бизнес звената или третите страни по риск (напр. доставчици с нови санкции или изложени на риск от съдебни спорове).
• Наблюдение на регулаторните промени: ИИ проследява публикациите на регулаторите и обобщава промените (напр. ревизирани насоки за борба с подкупите, които намаляват лимита за подаръци в политиката за разходите).
• Преглед на документи и политики: ИИ сравнява договори и политики с изискванията (напр. договори с доставчици без клауза за право на одит).
• Проверка за финансови престъпления: ИИ сортира сигналите от наблюдението на транзакции и проверките на клиенти (напр. съвпадения на имена със санкционни списъци, които се оказват друго лице).

ИИ, използван за осигуряване на съответствие, се нуждае от същото управление като другите системи с ИИ. Както заяви Органът за финансово поведение на Обединеното кралство през октомври 2026 г., „фирмите носят отговорност за системите с ИИ, които разработват, придобиват и внедряват – включително за резултатите и последиците от тях“, и предупреди, че човешкият преглед не бива да се превръща във „формално ‚отмятане на квадратчета‘“.

На практика инструментите с ИИ могат да поемат рутинни задачи като събирането на доказателства или сигнализирането за регулаторни промени, но не и решения, които носят правна отговорност, като например дали да се докладва съмнителна дейност или как да се разработват политики.

Контрол на данните в Perplexity Enterprise

Perplexity Enterprise дава на администраторите контрол върху обучението с въведените данни, достъпа до данни и тяхното съхранение:

• Без обучение с вашите данни: Perplexity никога не използва корпоративно съдържание за обучение на своите модели с ИИ, а споразуменията му с доставчици на модели от трети страни им забраняват да го използват за обучение.
• Контрол на достъпа: SSO, SCIM и разрешенията, базирани на роли, определят кой може да качва файлове и да споделя отговори.
• Съхранение и одитни журнали: Файловете, прикачени към сесии, се изтриват след седем дни. Организациите с 50 или повече места или с поне едно място Enterprise Max могат също да задават срок на съхранение на сесиите и да получават одитни журнали за активността на потребителите.
• Сертификати: Perplexity има сертификат SOC 2 Type II, спазва GDPR и позволява работа със защитена здравна информация само при подписано споразумение с бизнес сътрудник (Business Associate Agreement).

За представяне на тези контроли свържете се с нашия екип по продажбите и си запазете персонализирана демонстрация.

Често задавани въпроси

Какво е съответствие с изискванията на ЕС за ИИ?

Съответствието с изискванията на ЕС за ИИ означава изпълнение на задълженията по Акта на ЕС за ИИ според вашата роля (доставчик или внедрител) и според степента на риск на всяка система. Задълженията се прилагат поетапно, като тези за високорисковите системи влизат в сила на 2 декември 2027 г.

Какво е ИИ, съвместим с HIPAA?

ИИ, съвместим с HIPAA, е инструмент, използван в рамките на предпазните мерки на HIPAA за защитена здравна информация. Ако доставчикът съхранява или обработва тази информация, Министерството на здравеопазването и социалните услуги на САЩ изисква първо да бъде подписано споразумение с бизнес сътрудник (Business Associate Agreement).

Прилага ли се Актът на ЕС за ИИ за американски компании?

Да. Актът за ИИ обхваща американските компании, които пускат системи с ИИ на пазара на ЕС, както и тези, чиито резултати от ИИ се използват в ЕС.

Може ли ИИ да замени служителите по съответствието?

ИИ не може да замени служителите по съответствието. Организациите носят отговорност за работата си, а технологиите с ИИ могат да допускат грешки, затова служителите по съответствието все още трябва внимателно да проверяват и одобряват резултатите от ИИ.