DI atitiktis: DI sistemų valdymas ir DI naudojimas atitikties užtikrinimo darbe

DI atitiktis reiškia du dalykus: nuolatinį darbą užtikrinant, kad jūsų organizacijos kuriamos ar naudojamos DI sistemos atitiktų taikomus įstatymus, standartus ir vidaus politiką, ir DI naudojimą įprastiniams, didelės apimties atitikties darbams.

Šiame straipsnyje aptariamos abi reikšmės: rizikos, kurias sprendžia DI atitiktis, pagrindinės reguliavimo sistemos, kaip sukurti atitikties programą, DI agentų kontrolės priemonės ir kur DI padeda atitikties komandoms. Pabaigoje pateikiami klausimai, kuriuos verta užduoti prieš perkant atitikties įrankį.

Kas yra DI atitiktis?

DI atitiktis reiškia du dalykus: užtikrinimą, kad DI sistemos atitiktų DI reguliavimo nustatytas taisykles, ir DI naudojimą atitikties darbams atlikti.

Pirmąja prasme DI atitiktis užtikrina, kad DI sistema laikytųsi įstatymų, kitų teisės aktų, etikos standartų ir vidaus politikos per visą DI gyvavimo ciklą – nuo mokymo duomenų iki veikimo ir naudojimo.

Pavyzdžiui, Niujorko miesto vietos įstatymas Nr. 144 reikalauja, kad darbdaviai, naudojantys automatizuotą įdarbinimo sprendimų priėmimo įrankį, užtikrintų, jog jo šališkumo auditas būtų atliktas ne anksčiau kaip prieš vienus metus iki naudojimo, viešai paskelbtų informaciją apie auditą ir informuotų darbuotojus ar kandidatus į darbą.

DI reguliavimo atitikties darbas yra nuolatinis, nes DI programos atnaujinamos, keičiasi jų naudojami duomenys, o reguliavimas nuolat tobulėja.

Antrąja prasme atitikties komandos naudoja DI įprastiniams, didelės apimties darbams, pavyzdžiui, operacijoms stebėti, dokumentams peržiūrėti ir reguliavimo pokyčiams sekti.

Pavyzdžiui, kai kurios finansų įstaigos naudoja DI operacijoms peržiūrėti ir klaidingai teigiamų operacijų stebėsenos įspėjimų skaičiui sumažinti, prieš analitikams nusprendžiant, dėl kurių iš jų reikia teikti pranešimą apie įtartiną veiklą.

DI atitiktis, DI valdysena ir DI rizikos valdymas: palyginimas

Šios trys sąvokos persidengia, tačiau apima skirtingas sritis: valdysena nustato taisykles, rizikos valdymas padeda nustatyti, kas gali nutikti ne taip, o atitiktis užtikrina, kad taisyklių būtų laikomasi.

Kodėl DI atitiktis svarbi

DI atitikties užtikrinimas sumažina baudų riziką, apsaugo žmonių, kurių informaciją tvarko jūsų DI, privatumą ir leidžia jūsų organizacijai audito atveju atsiskaityti už DI sistemų naudojimą.

• Reguliavimo nuobaudos: Pagal ES DI aktą už draudžiamos DI praktikos taikymą, pavyzdžiui, darbuotojų emocijų nustatymą darbe, gali būti skirta iki 35 mln. EUR arba 7 % pasaulinės metinės apyvartos dydžio bauda. Tiekėjams ir diegėjams už akto pažeidimus gali būti skirtos iki 15 mln. EUR arba 3 % dydžio baudos.
• Duomenų apsauga: DI sistemai, kuri tvarko asmens duomenis, taikomi duomenų apsaugos įstatymai, pavyzdžiui, ES Bendrasis duomenų apsaugos reglamentas (BDAR). Tai apima mokymo duomenis, užklausas ir išvesties rezultatus, kuriuose yra asmens duomenų.
• Pasirengimas auditui: Įrašai apie tai, kokias DI sistemas naudojate, kas jas patvirtino ir kaip jas stebite, leidžia atsiskaityti reguliuotojams, auditoriams ir klientams.

Pagrindinės rizikos, kurias sprendžia DI atitiktis

DI atitiktis sprendžia penkias pagrindines rizikas: algoritminį šališkumą, paaiškinamumo trūkumą, haliucinacijas reguliuojamuose procesuose, duomenų privatumo pažeidimus ir nutekėjimą bei šešėlinį DI.

Padidinti

Štai kaip pasireiškia pagrindinės rizikos ir kokios kontrolės priemonės padeda jas suvaldyti:

• Algoritminis šališkumas: Modelis atkartoja mokymo duomenų dėsningumus, dėl kurių tam tikros grupės atsiduria nepalankioje padėtyje. Pavyzdžiui, įdarbinimo įrankis gali žemiau reitinguoti kandidatus pagal požymius, netiesiogiai atspindinčius amžių ar etninę kilmę, tokius kaip mokslų baigimo metai ar pašto kodas. Tokius dėsningumus padeda nustatyti šališkumo auditai, kurių metu palyginami skirtingų demografinių grupių rezultatai.
• Paaiškinamumo trūkumas: Organizacija negali parodyti, kaip modelis priėmė sprendimą. Jei skolintojas negali paaiškinti, kodėl modelis atmetė paskolos paraišką, jis negali apginti tokio sprendimo. Organizacijos to išvengia dokumentuodamos modelio įvesties duomenis ir sprendimų logiką bei rinkdamosi modelius, kurių išvesties rezultatus galima atsekti.
• Haliucinacijos reguliuojamuose procesuose: Generatyvinio DI įrankis užtikrintai pateikia klaidingą informaciją. Pavyzdžiui, advokatas gali paprašyti DI įrankio pateikti argumentą pagrindžiančią teismų praktiką ir gauti nuorodas į neegzistuojančius teismų sprendimus. Tokias klaidas padeda aptikti reikalavimas kiekvienam išvesties rezultatui nurodyti šaltinius ir kvalifikuoto asmens atliekamas jų patikrinimas.
• Duomenų privatumas ir nutekėjimas: Konfidenciali arba klientų informacija patenka į įrankį, kurio organizacija nekontroliuoja. Pavyzdžiui, darbuotojas gali įklijuoti klientų įrašus į viešą DI įrankį, kuris saugo įvestis būsimiems modeliams mokyti. Riziką mažina tik patvirtintų įrankių, kuriems sutartyse nustatyti mokymo ir duomenų saugojimo apribojimai, naudojimas.
• Šešėlinis DI: Darbuotojai naudoja DI įrankius, kurių organizacija nepatvirtino arba nemato. 2026 m. „Compliance Week“ apklausoje 42 % dalyvių nurodė, kad darbuotojai DI naudoja be jokios kontrolės. Galimi sprendimai – patvirtintų įrankių sąrašas kartu su sparčiu DI įrankių tvirtinimo procesu ir žiniatinklio šliuzai.

Pagrindinės DI atitikties sistemos

DI atitiktis remiasi privalomomis DI valdysenos sistemomis, pavyzdžiui, ES DI aktu, ir savanoriškomis sistemomis, pavyzdžiui, NIST DI rizikos valdymo sistema ir ISO/IEC 42001, kurios padeda organizacijoms įvykdyti privalomus reikalavimus.

ES DI aktas

ES DI aktas (Reglamentas (ES) 2024/1689) DI reguliavimui taiko rizika grindžiamą požiūrį: kai kurios praktikos visiškai uždraustos, didelės rizikos sistemoms taikomi griežti apribojimai, o kitoms – tik nesudėtingos skaidrumo taisyklės. Jis taikomas tiekėjams ir diegėjams visame pasaulyje, „kai DI sistemos sugeneruoti išvesties duomenys naudojami Sąjungoje“.

Pagal ES DI aktą organizacijos prievolės priklauso nuo jos vaidmens:

• Tie, kurie kuria didelės rizikos DI sistemą arba pateikia ją rinkai savo vardu (tiekėjai), turi atlikti atitikties vertinimą, paženklinti ją CE ženklu, užregistruoti sistemą, saugoti techninę dokumentaciją ir stebėti sistemą po jos išleidimo.
• Tie, kurie naudoja kitų sukurtą sistemą (diegėjai), turi laikytis tiekėjo instrukcijų, pavesti priežiūrą asmenims, turintiems „būtiną kompetenciją, parengimą ir įgaliojimus“, saugoti žurnalus bent šešis mėnesius ir informuoti darbuotojus bei kitus asmenis, kuriems daro poveikį sistemos sprendimai.

Padidinti

Aktas įgyvendinamas etapais. Draudžiamos praktikos, DI raštingumo ir bendrosios paskirties DI taisyklės taikomos nuo 2025 m., didelės rizikos sistemoms taikomos prievolės pradedamos taikyti 2027 m. gruodžio 2 d., o DI, integruotam į gaminius, kuriems taikomi ES gaminių saugos teisės aktai, – 2028 m. rugpjūčio 2 d.

Standartas EN 18286:2026 dėl kokybės vadybos sistemų yra pirmasis Europos standartas, padedantis įgyvendinti aktą. Laikoma, kad jo besilaikantys tiekėjai atitinka akto kokybės vadybos reikalavimą.

NIST DI rizikos valdymo sistema

NIST AI RMF (rizikos valdymo sistema), paskelbta 2023 m. sausio mėn., yra savanoriška JAV sistema, grindžiama keturiomis funkcijomis: valdysena (Govern), nustatymu (Map), vertinimu (Measure) ir valdymu (Manage).

Jos generatyviojo DI profilis, paskelbtas 2024 m. liepos mėn., pritaiko šią sistemą generatyviojo DI rizikoms.

ISO/IEC 42001

ISO/IEC 42001 yra tarptautinis DI vadybos sistemų standartas, apimantis politiką, vaidmenis ir procesus, kuriais reglamentuojamas atsakingas DI kūrimas ir naudojimas. Sertifikavimas yra savanoriškas, o sertifikatus išduoda nepriklausomos sertifikavimo įstaigos, o ne pati ISO.

Sertifikatas taikomas organizacijos vadybos sistemai, o ne konkrečiam DI produktui.

JAV ir sektorinės taisyklės, taikomos DI

JAV nėra vieno federalinio DI įstatymo. Taisykles nustato miestai, valstijos ir galiojantys įstatymai bei kiti teisės aktai, taikomi DI.

Pavyzdžiui, Kolorado įstatymas SB26-189, įsigaliojantis 2027 m. sausio 1 d., reglamentuoja automatizuoto sprendimų priėmimo technologijas, o privatumo įstatymai, tokie kaip Kalifornijos vartotojų privatumo aktas (CCPA) ar HIPAA, taikomi visada, kai DI tvarko saugomus duomenis.

Kaip sukurti DI atitikties programą

DI atitikties programa kuriama šešiais žingsniais: inventorizuokite savo DI sistemas, suskirstykite jas pagal riziką, susiekite kontrolės priemones su taikomomis taisyklėmis, paskirkite atsakingus asmenis, dokumentuokite kiekvieną sistemą ir stebėkite ją, kaupdami įrašus, kuriuos gali patikrinti auditorius.

Padidinti

Kiekvienas toliau aprašytas žingsnis baigiamas jo sukuriamu dokumentu:

1. Inventorizuokite visas DI sistemas. Išvardykite sistemas, kurias jūsų organizacija kuria, perka ar naudoja, įskaitant esamos programinės įrangos DI funkcijas ir įrankius, kuriuos darbuotojai pradėjo naudoti be patvirtinimo. Užfiksuokite, ką kiekviena sistema daro, kas ja naudojasi ir su kokiais duomenimis ji susijusi.
   Rezultatas: DI inventorius.
2. Suskirstykite kiekvieną naudojimo atvejį pagal riziką. Įvertinkite kiekvieną sistemą pagal žalą, kurią ji gali padaryti, taikydami tokią schemą kaip ES DI akto rizikos lygiai. Pavyzdžiui, pagal aktą įrankis, nustatantis gyvybės draudimo įmokas, yra didelės rizikos, o įrankis, apibendrinantis vidinius susitikimus, – ne.
   Rezultatas: Rizikos registras.
3. Susiekite kontrolės priemones su taikomomis taisyklėmis. Išvardykite kiekvienai sistemai taikomus įstatymus, standartus ir vidaus politiką bei kontrolės priemonę, kuria įgyvendinamas kiekvienas atitikties reikalavimas. Pavyzdžiui, dokumentuota žmogaus atliekama peržiūra padeda įvykdyti ES DI akto žmogaus priežiūros reikalavimus didelės rizikos sistemoms ir NIST AI RMF raginimą turėti dokumentuotus žmogaus priežiūros procesus.
   Rezultatas: Kontrolės priemonių žemėlapis.
4. Paskirkite atsakinguosius ir žmogaus priežiūros taškus. Kiekvienai sistemai paskirkite atsakingą asmenį ir nuspręskite, kur žmogus peržiūri jos išvesties rezultatus. Pavyzdžiui, už prievoles atsako teisės ir atitikties skyriai, už technines kontrolės priemones – saugumo skyrius, už savo naudojimo atvejus – verslo procesų savininkai, o bendrą atsakomybę prisiima vienas vadovas. Užtikrinkite, kad žmonės visoje organizacijoje būtų informuoti, ir nustatykite aiškius komunikacijos kanalus.
   Rezultatas: Kiekvienai sistemai paskirti atsakingi asmenys.
5. Dokumentuokite kiekvieną sistemą. Užfiksuokite kiekvienos sistemos paskirtį, mokymo duomenis, testavimą ir žinomus apribojimus tokiais formatais kaip modelių kortelės ir poveikio vertinimai. Didelės rizikos sistemų tiekėjai taip pat turi parengti ES DI akto IV priede nurodytą techninę dokumentaciją.
   Rezultatas: Sistemos dokumentacijos rinkinys.
6. Stebėkite, registruokite ir kaupkite įrodymus. Nuo pat pradžių kurkite žurnalus kaip audito įrodymus, kad būtų galima parodyti, ką sistema darė ir kas tai peržiūrėjo. ES DI aktas reikalauja, kad didelės rizikos sistemos automatiškai registruotų įvykius per visą jų gyvavimo laikotarpį. Audito sekoje turėtų būti užfiksuota:
   • Naudojamas modelis ir jo versija
   • Įvesties ir išvesties duomenys arba apibrėžta jų imtis
   • Mokymo arba tikslinimo duomenys
   • Žmogaus peržiūros taškai ir jų rezultatai
   • Agento atlikti veiksmai ir jo naudoti leidimai
   • Kiek laiko saugomas kiekvienas įrašas

Rezultatas: Stebėsenos įrašai ir audito seka.

Specializuoti DI atitikties įrankiai, pavyzdžiui, IBM watsonx.governance ir OneTrust AI Governance, gali perimti dalį šios programos, įskaitant DI inventorių, rizikos vertinimus pagal ES DI aktą ir dokumentaciją.

Kaip patvirtinti DI įrankius, kuriuos gali naudoti darbuotojai

Prieš patvirtindami DI įrankį, patikrinkite keturis dalykus:

• Prieiga prie duomenų: Kokius failus, sistemas ir prijungtas žinių bazes įrankis gali skaityti ir ar juose yra asmens duomenų, kuriuos jis galėtų atskleisti.
• Mokymas naudojant įvestis: Ar teikėjas naudoja užklausas, failus ar išvesties rezultatus savo modeliams mokyti ir ar jūsų sutartis su teikėju tai draudžia.
• Saugojimas: Kiek laiko teikėjas saugo užklausas, failus ir pokalbių istoriją ir ar galite šį laikotarpį sutrumpinti.
• Talpinimas ir perdavimas: Kur teikėjas saugo ir tvarko duomenis, įskaitant perdavimą už jūsų regiono ribų.

DI agentų atitikties kontrolės priemonės

DI agentams reikia daugiau kontrolės priemonių nei pokalbių įrankiams, nes jie patys sprendžia, kokius žingsnius atlikti, ir veikia per jiems suteiktus įrankius bei leidimus. Juos suvaldyti padeda trys kontrolės priemonės:

• Mažiausių privilegijų prieiga: Suteikite agentui tik tuos įrankius ir leidimus, kurių reikia jo užduočiai. Pernelyg didelis savarankiškumas (Excessive Agency), kai agentas gali padaryti daugiau, nei reikia jo užduočiai, yra viena didžiausių saugumo rizikų pagal OWASP Top 10 for LLM Applications 2026 sąrašą.
• Kiekvieno veiksmo žurnalas: Registruokite kiekvieną įrankio iškvietimą, pasiektus duomenis ir naudotus leidimus, kad galėtumėte atsekti, ką agentas darė ir kieno vardu.
• Žmogaus patvirtinimas didelio poveikio veiksmams: Reikalaukite, kad žmogus patvirtintų žingsnius, kuriais duomenys siunčiami už organizacijos ribų, pervedami pinigai arba kurių negalima atšaukti.

Kaip DI naudojamas atitikties darbe

Atitikties ir rizikos valdymo komandos naudoja DI kontrolės priemonėms stebėti, rizikai vertinti, reguliavimo pokyčiams sekti, dokumentams peržiūrėti ir finansinių nusikaltimų įspėjimams rūšiuoti.

2026 m. „Compliance Week“ apklausoje, kurioje dalyvavo 193 atitikties, etikos, rizikos ir audito vadovai, daugiau nei 83 % nurodė, kad naudoja DI, o beveik 40 % teigė, kad jų įmonės jį įdiegė rizikai vertinti ir stebėti.

Dažniausi DI naudojimo atvejai atitikties srityje:

• Nuolatinė atitikties stebėsena ir įrodymų rinkimas: DI atlieka patikras ir renka įrodymus, kad jos veikia (pvz., pradelsti įrangos saugos patikrinimai gamykloje).
• Rizikos vertinimas ir prioritetų nustatymas: DI reitinguoja verslo padalinius ar trečiąsias šalis pagal riziką (pvz., tiekėjus, kuriems taikomos naujos sankcijos arba kyla bylinėjimosi rizika).
• Reguliavimo pokyčių stebėsena: DI seka reguliuotojų leidinius ir apibendrina pokyčius (pvz., atnaujintas kovos su kyšininkavimu gaires, kuriomis sumažinama išlaidų politikoje nustatyta dovanų vertės riba).
• Dokumentų ir politikos peržiūra: DI lygina sutartis ir politiką su reikalavimais (pvz., tiekėjų sutartys be audito teisės sąlygos).
• Finansinių nusikaltimų patikra: DI rūšiuoja operacijų stebėsenos ir klientų patikros įspėjimus (pvz., vardų sutapimai su sankcijų sąrašu, kai paaiškėja, kad tai kitas asmuo).

DI, naudojamam atitikčiai užtikrinti, reikia tokios pat valdysenos kaip ir kitoms DI sistemoms. Kaip 2026 m. spalio mėn. pareiškė JK Finansinio elgesio priežiūros institucija, „įmonės yra atsakingos už DI sistemas, kurias kuria, įsigyja ir diegia, – įskaitant jų išvesties rezultatus ir pasekmes“, ir įspėjo, kad žmogaus atliekama peržiūra neturėtų tapti „formaliu ‚varnelių dėjimo‘ veiksmu“.

Praktiškai DI įrankiai gali atlikti įprastines užduotis, pavyzdžiui, rinkti įrodymus ar žymėti reguliavimo pokyčius, bet ne priimti sprendimus, susijusius su teisine atsakomybe, pavyzdžiui, ar pranešti apie įtartiną veiklą arba kaip rengti politiką.

Perplexity Enterprise duomenų valdymo priemonės

Perplexity Enterprise suteikia administratoriams valdymo priemones, apimančias modelių mokymą naudojant įvesties duomenis, prieigą prie duomenų ir jų saugojimą:

• Jokio mokymo naudojant jūsų duomenis: Perplexity niekada nenaudoja įmonės turinio savo DI modeliams mokyti, o bendrovės sutartys su trečiųjų šalių modelių teikėjais draudžia jiems naudoti šį turinį mokymui.
• Prieigos valdymas: SSO, SCIM ir vaidmenimis pagrįsti leidimai nustato, kas gali įkelti failus ir bendrinti atsakymus.
• Saugojimas ir audito žurnalai: prie sesijų pridėti failai ištrinami po septynių dienų. Organizacijos, turinčios 50 ar daugiau vietų arba bent vieną Enterprise Max vietą, taip pat gali nustatyti sesijų saugojimo trukmę ir gauti naudotojų veiklos audito žurnalus.
• Sertifikatai: Perplexity turi SOC 2 Type II sertifikatą, atitinka BDAR reikalavimus ir leidžia dirbti su saugoma sveikatos informacija tik pasirašius verslo partnerio sutartį (angl. Business Associate Agreement).

Norėdami susipažinti su šiomis valdymo priemonėmis, susisiekite su mūsų pardavimų komanda ir užsisakykite individualią demonstraciją.

Dažnai užduodami klausimai

Kas yra ES DI atitiktis?

ES DI atitiktis – tai ES dirbtinio intelekto akto įpareigojimų, taikomų jūsų vaidmeniui (tiekėjo ar diegėjo) ir kiekvienos sistemos rizikos lygiui, vykdymas. Įpareigojimai taikomi etapais, o su didelės rizikos sistemomis susijusios pareigos pradedamos taikyti 2027 m. gruodžio 2 d.

Kas yra HIPAA reikalavimus atitinkantis DI?

HIPAA reikalavimus atitinkantis DI – tai įrankis, naudojamas laikantis HIPAA nustatytų saugomos sveikatos informacijos apsaugos priemonių. Jei tiekėjas saugo arba tvarko šią informaciją, JAV Sveikatos ir žmogiškųjų paslaugų departamentas reikalauja pirmiausia pasirašyti verslo partnerio sutartį (angl. Business Associate Agreement).

Ar ES DI aktas taikomas JAV bendrovėms?

Taip. DI aktas taikomas JAV bendrovėms, kurios teikia DI sistemas ES rinkai, taip pat bendrovėms, kurių DI sistemų rezultatai naudojami ES.

Ar DI gali pakeisti atitikties pareigūnus?

DI negali pakeisti atitikties pareigūnų. Organizacijos atsako už savo darbą, o DI technologijos gali klysti, todėl atitikties pareigūnai vis tiek turi atidžiai tikrinti ir tvirtinti DI rezultatus.