Reglufylgni gervigreindar: stjórnun gervigreindarkerfa og notkun gervigreindar í regluvörslu

Regluvarsla gervigreindar felur í sér tvennt: stöðuga vinnu við að tryggja að gervigreindarkerfin sem fyrirtækið þitt smíðar eða notar uppfylli gildandi lög, staðla og innri stefnur, og notkun gervigreindar í hefðbundin og umfangsmikil regluvörsluverkefni.

Þessi grein fjallar um báðar merkingarnar: áhættuna sem regluvarsla gervigreindar tekur á, helstu rammana, hvernig á að byggja upp regluvörslukerfi, eftirlitsþætti fyrir gervigreindarfulltrúa og hvar gervigreind nýtist regluvörsluteymum. Að lokum eru taldar upp spurningar sem gott er að spyrja áður en regluvörslutól er keypt.

Hvað er regluvarsla gervigreindar?

Regluvarsla gervigreindar vísar til tveggja hluta: að tryggja að gervigreindarkerfi uppfylli reglurnar sem settar eru fram í löggjöf um gervigreind, og að nota gervigreind til að sinna regluvörslu.

Í fyrri merkingunni tryggir regluvarsla gervigreindar að gervigreindarkerfi fylgi lögum, reglugerðum, siðferðilegum stöðlum og innri stefnum á öllum lífsferli gervigreindarinnar, allt frá þjálfunargögnum til afkasta og notkunar.

Sem dæmi krefst Local Law 144 í New York-borg þess að vinnuveitendur sem nota sjálfvirkt ákvörðunartól við ráðningar láti gera skekkjuúttekt á því innan árs frá notkun, birti upplýsingar um úttektina opinberlega og láti starfsmenn eða umsækjendur vita.

Regluvarsla gervigreindar gagnvart lögum og reglum er viðvarandi verkefni því að gervigreindarforrit eru uppfærð, gögnin sem þau vinna með breytast og reglur þróast.

Í seinni merkingunni nota regluvörsluteymi gervigreind í hefðbundin og umfangsmikil verkefni á borð við að vakta færslur, fara yfir skjöl og fylgjast með breytingum á regluverki.

Sumar fjármálastofnanir nota til dæmis gervigreind til að fara yfir færslur og fækka fölskum viðvörunum í færsluvöktun áður en greinendur ákveða hverjar þeirra kalla á tilkynningu um grunsamleg viðskipti.

Munurinn á regluvörslu, stjórnarháttum og áhættustýringu gervigreindar

Hugtökin þrjú skarast en ná yfir ólík svið: stjórnarhættir setja reglurnar, áhættustýring greinir hvað gæti farið úrskeiðis og regluvarsla tryggir að reglunum sé fylgt.

Af hverju regluvarsla gervigreindar skiptir máli

Með regluvörslu gervigreindar dregurðu úr hættu á sektum, verndar friðhelgi fólksins sem gervigreindin þín vinnur upplýsingar um og gerir fyrirtækinu kleift að gera grein fyrir notkun sinni á gervigreindarkerfum ef til úttektar kemur.

• Sektir eftirlitsaðila: Samkvæmt gervigreindarreglugerð ESB getur það kostað allt að 35 milljónir evra eða 7% af árlegri heildarveltu á heimsvísu að beita bönnuðum starfsháttum í gervigreind, t.d. að álykta um tilfinningar starfsmanna á vinnustað. Veitendur og notendur geta átt yfir höfði sér sektir upp á allt að 15 milljónir evra eða 3% fyrir brot á reglugerðinni.
• Persónuvernd: Gervigreindarkerfi sem vinnur persónuupplýsingar fellur undir persónuverndarlög, t.d. GDPR í ESB. Þetta á við um þjálfunargögn, fyrirmæli og úttak sem innihalda persónuupplýsingar.
• Undirbúningur fyrir úttektir: Skrár yfir hvaða gervigreindarkerfi þú notar, hver samþykkti þau og hvernig þú vaktar þau gera þér kleift að svara eftirlitsaðilum, úttektaraðilum og viðskiptavinum.

Helstu áhættuþættir sem regluvarsla gervigreindar tekur á

Regluvarsla gervigreindar tekur á fimm helstu áhættuþáttum: skekkju í reikniritum, skorti á skýranleika, ofskynjunum í eftirlitsskyldum ferlum, persónuvernd og gagnaleka, og skuggagervigreind.

Stækka

Hér sést hvernig helstu áhættuþættirnir birtast og dæmi um eftirlitsþætti sem halda þeim í skefjum:

• Skekkja í reikniritum: Líkan endurskapar mynstur í þjálfunargögnum sínum sem koma niður á tilteknum hópum. Ráðningartól gæti til dæmis raðað umsækjendum neðar út frá staðgengilsbreytu fyrir aldur eða uppruna, svo sem útskriftarári eða póstnúmeri. Skekkjuúttektir, þar sem niðurstöður eru bornar saman milli lýðfræðilegra hópa, hjálpa til við að greina slík mynstur.
• Skortur á skýranleika: Fyrirtækið getur ekki sýnt fram á hvernig líkan komst að ákvörðun. Ef lánveitandi getur ekki útskýrt hvers vegna líkan hafnaði láni getur hann ekki varið niðurstöðuna. Fyrirtæki koma í veg fyrir þetta með því að skjalfesta inntak líkana og ákvörðunarrökin, og með því að velja líkön með rekjanlegu úttaki.
• Ofskynjanir í eftirlitsskyldum ferlum: Skapandi gervigreindartól fullyrðir eitthvað rangt af öryggi. Lögmaður gæti til dæmis beðið gervigreindartól um dómafordæmi sem styðja röksemd og fengið tilvísanir í dómsúrskurði sem eru ekki til. Slíkar villur koma í ljós ef krafist er heimilda fyrir öllu úttaki og hæfur aðili látinn sannreyna þær.
• Persónuvernd og gagnaleki: Trúnaðarupplýsingar eða upplýsingar um viðskiptavini berast í tól sem fyrirtækið hefur ekki stjórn á. Starfsmaður gæti til dæmis límt viðskiptavinaskrár inn í opið gervigreindartól sem geymir inntak til að þjálfa framtíðarlíkön. Það dregur úr áhættunni að nota eingöngu samþykkt tól með samningsbundnum takmörkunum á þjálfun og varðveislu gagna.
• Skuggagervigreind: Starfsmenn nota gervigreindartól sem fyrirtækið hefur ekki samþykkt eða hefur ekki yfirsýn yfir. Í könnun Compliance Week frá 2026 greindu 42% þátttakenda frá óstýrðri gervigreindarnotkun starfsmanna. Mögulegar lausnir eru meðal annars listi yfir samþykkt tól ásamt hröðu samþykktarferli fyrir gervigreindartól, og vefgáttir.

Helstu rammar um regluvörslu gervigreindar

Regluvarsla gervigreindar byggir á bindandi römmum um stjórnarhætti gervigreindar, svo sem gervigreindarreglugerð ESB, og valfrjálsum römmum, svo sem NIST AI Risk Management Framework og ISO/IEC 42001, sem hjálpa fyrirtækjum að uppfylla þá.

Gervigreindarreglugerð ESB

Gervigreindarreglugerð ESB (reglugerð (ESB) 2024/1689) byggir á áhættumiðaðri nálgun við regluverk um gervigreind: sumir starfshættir eru bannaðir með öllu, ströng skilyrði gilda um áhættumikil kerfi en önnur þurfa aðeins að uppfylla vægar gagnsæisreglur. Hún gildir um veitendur og notendur hvar sem er „þar sem úttak sem gervigreindarkerfið framleiðir er notað í Sambandinu.“

Skyldur samkvæmt gervigreindarreglugerð ESB ráðast af hlutverki fyrirtækisins:

• Þeir sem þróa áhættumikið gervigreindarkerfi eða markaðssetja það undir eigin nafni (veitendur) þurfa að ljúka samræmismati, setja CE-merkið á kerfið, skrá það, halda utan um tæknigögn og vakta það eftir útgáfu.
• Þeir sem nota kerfi sem einhver annar smíðaði (notendur) þurfa að fylgja leiðbeiningum veitandans, fela eftirlitið fólki sem býr yfir „nauðsynlegri hæfni, þjálfun og valdi“, varðveita annála í að minnsta kosti sex mánuði og upplýsa starfsfólk og aðra sem verða fyrir áhrifum af ákvörðunum kerfisins.

Stækka

Reglugerðin kemur til framkvæmda í áföngum. Reglur um bannaða starfshætti, gervigreindarlæsi og gervigreind til almennra nota hafa gilt frá 2025, en skyldur vegna áhættumikilla kerfa taka gildi 2. desember 2027, og 2. ágúst 2028 fyrir gervigreind sem er innbyggð í vörur sem falla undir vöruöryggislöggjöf ESB.

EN 18286:2026 um gæðastjórnunarkerfi er fyrsti evrópski staðallinn sem styður við reglugerðina. Gengið er út frá því að veitendur sem fylgja honum uppfylli kröfu reglugerðarinnar um gæðastjórnun.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), sem kom út í janúar 2023, er valfrjáls bandarískur rammi sem byggir á fjórum meginaðgerðum: Govern (stjórna), Map (kortleggja), Measure (mæla) og Manage (stýra).

Generative AI Profile rammans, sem kom út í júlí 2024, heimfærir rammann á áhættu tengda skapandi gervigreind.

ISO/IEC 42001

ISO/IEC 42001 er alþjóðlegi staðallinn fyrir stjórnunarkerfi gervigreindar og nær yfir þær stefnur, hlutverk og ferla sem stýra ábyrgri þróun og notkun gervigreindar. Vottun er valfrjáls og er veitt af óháðum vottunaraðilum, ekki af ISO sjálfri.

Vottorð nær yfir stjórnunarkerfi fyrirtækisins, ekki tiltekna gervigreindarvöru.

Bandarískar og geirabundnar reglur um gervigreind

Í Bandaríkjunum eru engin ein alríkislög um gervigreind. Reglurnar koma frá borgum, ríkjum og gildandi lögum og reglugerðum sem ná yfir gervigreind.

Til dæmis setja lögin SB26-189 í Colorado, sem taka gildi 1. janúar 2027, reglur um tækni sem tekur sjálfvirkar ákvarðanir, og persónuverndarlög á borð við California Consumer Privacy Act (CCPA) eða HIPAA gilda alltaf þegar gervigreind vinnur úr vernduðum gögnum.

Hvernig á að byggja upp regluvörslukerfi fyrir gervigreind

Uppbygging regluvörslukerfis fyrir gervigreind felur í sér sex skref: að skrá gervigreindarkerfin, flokka þau eftir áhættu, tengja eftirlitsþætti við reglurnar sem gilda, skipa ábyrgðaraðila, skjalfesta hvert kerfi og vakta það með gögnum sem úttektaraðili getur sannreynt.

Stækka

Hverju skrefi hér að neðan lýkur með gögnunum sem það skilar:

1. Skráðu öll gervigreindarkerfi. Gerðu lista yfir kerfin sem fyrirtækið smíðar, kaupir eða notar, þar á meðal gervigreindareiginleika í núverandi hugbúnaði og tól sem starfsmenn hafa tekið upp án samþykkis. Skráðu hvað hvert kerfi gerir, hver notar það og hvaða gögn það snertir.
   Niðurstaða: Skrá yfir gervigreindarkerfi.
2. Flokkaðu hvert notkunartilvik eftir áhættu. Mettu hvert kerfi eftir þeim skaða sem það gæti valdið og notaðu til þess flokkunarkerfi á borð við áhættuflokka gervigreindarreglugerðar ESB. Tól sem ákvarðar iðgjöld líftrygginga telst til dæmis áhættumikið samkvæmt reglugerðinni, en tól sem tekur saman efni innri funda gerir það ekki.
   Niðurstaða: Áhættuskrá.
3. Tengdu eftirlitsþætti við gildandi reglur. Gerðu lista yfir lög, staðla og innri stefnur sem gilda um hvert kerfi og eftirlitsþáttinn sem uppfyllir hverja regluvörslukröfu. Skjalfest mannleg yfirferð hjálpar til dæmis við að uppfylla kröfur gervigreindarreglugerðar ESB um mannlegt eftirlit með áhættumiklum kerfum og ákall NIST AI RMF um skjalfest ferli fyrir mannlegt eftirlit.
   Niðurstaða: Kort af eftirlitsþáttum.
4. Skipaðu ábyrgðaraðila og ákveddu hvar mannlegt eftirlit fer fram. Tilnefndu ábyrgðaraðila fyrir hvert kerfi og ákveddu hvar manneskja fer yfir úttak þess. Til dæmis bera lögfræði- og regluvörslusvið ábyrgð á skyldunum, öryggissvið á tæknilegu eftirlitsþáttunum, rekstrareigendur á sínum notkunartilvikum og einn stjórnandi ber heildarábyrgð. Gakktu úr skugga um að fólk um allt fyrirtækið sé meðvitað um þetta og komdu á skýrum samskiptaleiðum.
   Niðurstaða: Tilnefndir ábyrgðaraðilar fyrir hvert kerfi.
5. Skjalfestu hvert kerfi. Skráðu tilgang hvers kerfis, þjálfunargögn, prófanir og þekktar takmarkanir á sniði á borð við líkanaspjöld og áhrifamat. Veitendur áhættumikilla kerfa þurfa einnig að útbúa tæknigögnin sem tilgreind eru í IV. viðauka gervigreindarreglugerðar ESB.
   Niðurstaða: Safn kerfisgagna.
6. Vaktaðu, skráðu í annála og varðveittu sönnunargögn. Hannaðu annála frá upphafi sem sönnunargögn fyrir úttektir til að sýna hvað kerfi gerði og hver fór yfir það. Gervigreindarreglugerð ESB krefst þess að áhættumikil kerfi skrái atburði sjálfkrafa allan líftíma sinn. Endurskoðunarslóð ætti að ná yfir:
   • Líkanið og útgáfuna sem er í notkun
   • Inntak og úttak, eða skilgreint úrtak af því
   • Gögn sem notuð eru til þjálfunar eða fínstillingar
   • Stig mannlegrar yfirferðar og niðurstöður þeirra
   • Aðgerðir sem gervigreindarfulltrúi framkvæmdi og heimildirnar sem hann notaði
   • Hve lengi hver færsla er varðveitt

Niðurstaða: Vöktunargögn og endurskoðunarslóð.

Sérhæfð regluvörslutól fyrir gervigreind, svo sem IBM watsonx.governance og OneTrust AI Governance, geta tekið yfir hluta af þessu kerfi, þar á meðal skrána yfir gervigreindarkerfi, áhættumat gagnvart gervigreindarreglugerð ESB og skjölun.

Hvernig á að samþykkja gervigreindartól fyrir starfsmenn

Áður en þú samþykkir gervigreindartól skaltu athuga fjögur atriði:

• Aðgangur að gögnum: Hvaða skrár, kerfi og tengda þekkingargrunna tólið getur lesið og hvort þar séu persónuupplýsingar sem það gæti afhjúpað.
• Þjálfun á inntaki: Hvort söluaðilinn notar fyrirmæli, skrár eða úttak til að þjálfa líkön sín og hvort samningur þinn við söluaðilann bannar það.
• Varðveisla: Hve lengi söluaðilinn geymir fyrirmæli, skrár og samtalsferil og hvort þú getir stytt þann tíma.
• Hýsing og gagnaflutningur: Hvar söluaðilinn geymir og vinnur gögn, þar á meðal hvort gögn eru flutt út fyrir þitt svæði.

Eftirlitsþættir regluvörslu fyrir gervigreindarfulltrúa

Gervigreindarfulltrúar þurfa fleiri eftirlitsþætti en spjalltól því þeir ákveða sjálfir hvaða skref þeir taka og starfa í gegnum tól og heimildir sem þeim eru veitt. Þrír eftirlitsþættir halda þeim í skefjum:

• Aðgangur með lágmarksheimildum: Veittu gervigreindarfulltrúa aðeins þau tól og heimildir sem verkefni hans krefst. Excessive Agency (óhóflegt sjálfræði), þegar gervigreindarfulltrúi getur gert meira en verkefnið krefst, er ein helsta öryggisáhættan samkvæmt OWASP Top 10 for LLM Applications 2026.
• Annáll yfir allar aðgerðir: Skráðu hvert tólakall, gögnin sem voru sótt og heimildirnar sem voru notaðar, til að rekja hvað gervigreindarfulltrúi gerði og fyrir hvern.
• Mannlegt samþykki fyrir aðgerðir sem hafa mikil áhrif: Krefstu þess að manneskja staðfesti skref sem senda gögn út fyrir fyrirtækið, færa fjármuni eða er ekki hægt að afturkalla.

Hvernig gervigreind er notuð í regluvörslu

Regluvörslu- og áhættustýringarteymi nota gervigreind til að vakta eftirlitsþætti, meta áhættu, fylgjast með breytingum á regluverki, fara yfir skjöl og forgangsraða viðvörunum um fjármálaglæpi.

Í könnun Compliance Week frá 2026 meðal 193 stjórnenda á sviði regluvörslu, siðferðis, áhættu og endurskoðunar sögðust meira en 83% nota gervigreind og nærri 40% sögðu að fyrirtæki þeirra hefðu tekið hana í notkun við áhættumat og vöktun.

Algeng notkunartilvik gervigreindar í regluvörslu eru meðal annars:

• Stöðug regluvörsluvöktun og söfnun sönnunargagna: Gervigreind framkvæmir athuganir og safnar sönnunum fyrir því að eftirlitsþættir virki (t.d. öryggisskoðanir á búnaði í verksmiðju sem eru komnar fram yfir tíma).
• Áhættumat og forgangsröðun: Gervigreind raðar rekstrareiningum eða þriðju aðilum eftir áhættu (t.d. birgjum sem hafa nýlega sætt þvingunaraðgerðum eða eiga á hættu málaferli).
• Vöktun breytinga á regluverki: Gervigreind fylgist með útgáfum eftirlitsaðila og tekur saman breytingar (t.d. endurskoðaðar leiðbeiningar gegn mútum sem lækka hámarksverðmæti gjafa í útgjaldastefnunni).
• Yfirferð skjala og stefna: Gervigreind ber samninga og stefnur saman við kröfur (t.d. birgjasamninga án ákvæðis um úttektarrétt).
• Skimun fyrir fjármálaglæpum: Gervigreind forgangsraðar viðvörunum úr færsluvöktun og áreiðanleikakönnunum á viðskiptavinum (t.d. nafnasamsvörunum á þvingunarlistum sem reynast eiga við aðra manneskju).

Gervigreind sem notuð er í regluvörslu þarf sömu stjórnarhætti og önnur gervigreindarkerfi. Eins og breska fjármálaeftirlitið Financial Conduct Authority sagði í október 2026 „bera fyrirtæki ábyrgð á gervigreindarkerfum sem þau þróa, kaupa og innleiða – þar á meðal úttaki þeirra og niðurstöðum“ og varaði við því að gera mannlega yfirferð að „æfingu í að ‚haka í reiti‘“.

Í reynd geta gervigreindartól séð um hefðbundin verkefni eins og að safna sönnunargögnum eða benda á breytingar á regluverki, en ekki ákvarðanir sem fela í sér lagalega ábyrgð, eins og að ákveða hvort tilkynna eigi um grunsamlega starfsemi eða hvernig eigi að móta stefnur.

Gagnastýringar í Perplexity Enterprise

Perplexity Enterprise veitir stjórnendum stýringar sem ná yfir þjálfun á innsendum gögnum, gagnaaðgang og varðveislu:

• Engin þjálfun á gögnunum þínum: Perplexity notar aldrei efni fyrirtækja til að þjálfa gervigreindarlíkön sín og samningar þess við líkanaveitur þriðja aðila banna þeim að þjálfa á því.
• Aðgangsstýring: SSO, SCIM og hlutverkatengdar heimildir ákvarða hverjir geta hlaðið upp skrám og deilt svörum.
• Varðveisla og endurskoðunarskrár: Skrám sem hengdar eru við samtöl er eytt eftir sjö daga. Fyrirtæki og stofnanir með 50 sæti eða fleiri, eða að minnsta kosti eitt sæti í Enterprise Max, geta einnig stillt varðveislu samtala og fengið endurskoðunarskrár yfir virkni notenda.
• Vottanir: Perplexity er með SOC 2 Type II-vottun, uppfyllir kröfur GDPR og leyfir vinnu með verndaðar heilbrigðisupplýsingar eingöngu samkvæmt undirrituðum samningi um meðferð heilbrigðisupplýsinga (Business Associate Agreement).

Viljir þú fá yfirferð yfir þessar stýringar geturðu haft samband við söluteymið okkar og bókað sérsniðna sýnikennslu.

Algengar spurningar

Hvað er reglufylgni gervigreindar í ESB?

Reglufylgni gervigreindar í ESB felst í því að uppfylla þær skyldur samkvæmt gervigreindarreglugerð ESB sem eiga við um hlutverk þitt (veitandi eða notandi) og áhættuflokk hvers kerfis. Skyldurnar taka gildi í áföngum og skyldur vegna kerfa í mikilli áhættu hefjast 2. desember 2027.

Hvað er HIPAA-samhæfð gervigreind?

HIPAA-samhæfð gervigreind er tól sem er notað innan verndarráðstafana HIPAA fyrir verndaðar heilbrigðisupplýsingar. Ef söluaðilinn geymir eða vinnur úr þessum upplýsingum krefst heilbrigðis- og mannþjónusturáðuneyti Bandaríkjanna þess að fyrst sé undirritaður samningur um meðferð heilbrigðisupplýsinga (Business Associate Agreement).

Gildir gervigreindarreglugerð ESB um bandarísk fyrirtæki?

Já. Gervigreindarreglugerðin nær til bandarískra fyrirtækja sem setja gervigreindarkerfi á markað í ESB og fyrirtækja þar sem úttak gervigreindar þeirra er notað í ESB.

Getur gervigreind komið í stað regluvarða?

Gervigreind getur ekki komið í stað regluvarða. Fyrirtæki og stofnanir bera ábyrgð á störfum sínum og gervigreindartækni getur gert mistök, svo regluverðir þurfa enn að rýna í og samþykkja úttak gervigreindar.