MI atbilstība: MI sistēmu pārvaldība un MI izmantošana atbilstības darbā

MI atbilstība nozīmē divas lietas: nepārtrauktu darbu, lai nodrošinātu, ka jūsu organizācijas izstrādātās vai izmantotās MI sistēmas atbilst piemērojamajiem likumiem, standartiem un iekšējām politikām, kā arī MI izmantošanu rutīnas, liela apjoma atbilstības darbā.

Šajā rakstā aplūkotas abas nozīmes: riski, ko novērš MI atbilstība, galvenie ietvari, kā izveidot atbilstības programmu, kontroles MI aģentiem un jomas, kurās MI palīdz atbilstības komandām. Noslēgumā – jautājumi, kas jāuzdod pirms atbilstības rīka iegādes.

Kas ir MI atbilstība?

MI atbilstība attiecas uz divām lietām: nodrošināt, ka MI sistēmas atbilst MI regulējumā noteiktajām prasībām, un izmantot MI atbilstības darbā.

Pirmajā nozīmē MI atbilstība nodrošina, ka MI sistēma ievēro likumus, noteikumus, ētikas standartus un iekšējās politikas visā MI dzīves ciklā – no apmācības datiem līdz veiktspējai un lietojumam.

Piemēram, Ņujorkas pilsētas Vietējais likums Nr. 144 nosaka, ka darba devējiem, kas izmanto automatizētu nodarbinātības lēmumu pieņemšanas rīku, ne agrāk kā gadu pirms tā izmantošanas jāveic rīka neobjektivitātes audits, jāpublisko informācija par auditu un jāinformē darbinieki vai darba kandidāti.

Darbs pie MI normatīvās atbilstības ir nepārtraukts, jo MI lietojumprogrammas tiek atjauninātas, dati, ar kuriem tās strādā, mainās, un regulējums attīstās.

Otrajā nozīmē atbilstības komandas izmanto MI rutīnas, liela apjoma darbam, piemēram, darījumu uzraudzībai, dokumentu pārskatīšanai un normatīvo izmaiņu izsekošanai.

Piemēram, dažas finanšu iestādes izmanto MI, lai pārskatītu darījumus un samazinātu kļūdaini pozitīvu darījumu uzraudzības brīdinājumu skaitu, pirms analītiķi izlemj, par kuriem no tiem jāsagatavo ziņojums par aizdomīgām darbībām.

MI atbilstība, MI pārvaldība un MI risku pārvaldība: atšķirības

Šie trīs termini pārklājas, taču aptver dažādas jomas: pārvaldība nosaka noteikumus, risku pārvaldība atklāj, kas varētu noiet greizi, bet atbilstība nodrošina, ka noteikumi tiek ievēroti.

Kāpēc MI atbilstība ir svarīga

MI atbilstības nodrošināšana ierobežo naudas sodu risku, aizsargā to cilvēku privātumu, kuru informāciju apstrādā jūsu MI, un ļauj organizācijai audita gadījumā sniegt pārskatu par MI sistēmu izmantošanu.

• Regulatīvie sodi: Saskaņā ar ES MI aktu aizliegtas MI prakses izmantošana, piemēram, darbinieku emociju noteikšana darbavietā, var izmaksāt līdz 35 miljoniem eiro vai 7 % no pasaules mēroga gada apgrozījuma. Nodrošinātājiem un uzturētājiem par akta pārkāpumiem var piemērot naudas sodus līdz 15 miljoniem eiro vai 3 %.
• Datu aizsardzība: Uz MI sistēmu, kas apstrādā personas datus, attiecas datu aizsardzības tiesību akti, piemēram, VDAR Eiropas Savienībā. Tas attiecas arī uz apmācības datiem, uzvednēm un izvades rezultātiem, kas satur personas datus.
• Gatavība auditam: Uzskaite par to, kuras MI sistēmas izmantojat, kas tās apstiprināja un kā tās uzraugāt, ļauj sniegt atbildes regulatoriem, auditoriem un klientiem.

Galvenie riski, ko novērš MI atbilstība

MI atbilstība novērš piecus galvenos riskus: algoritmisko neobjektivitāti, izskaidrojamības trūkumu, halucinācijas regulētos procesos, datu privātuma apdraudējumu un noplūdi, kā arī ēnu MI.

Izvērst

Lūk, kā izpaužas galvenie riski, un kontroļu piemēri, kas palīdz tos ierobežot:

• Algoritmiskā neobjektivitāte: Modelis atveido apmācības datos esošas likumsakarības, kas nostāda noteiktas grupas nelabvēlīgā situācijā. Piemēram, darbā pieņemšanas rīks varētu ierindot kandidātus zemāk, pamatojoties uz netiešu vecuma vai etniskās piederības rādītāju, piemēram, absolvēšanas gadu vai pasta indeksu. Neobjektivitātes auditi, kuros salīdzina rezultātus dažādās demogrāfiskajās grupās, palīdz atklāt šīs likumsakarības.
• Izskaidrojamības trūkums: Organizācija nevar parādīt, kā modelis nonāca pie lēmuma. Ja aizdevējs nevar izskaidrot, kāpēc modelis noraidīja aizdevumu, tas nevar aizstāvēt šo iznākumu. Organizācijas to novērš, dokumentējot modeļa ievaddatus un lēmumu loģiku, kā arī izvēloties modeļus ar izsekojamiem izvades rezultātiem.
• Halucinācijas regulētos procesos: Ģeneratīvā MI rīks pārliecinoši apgalvo kaut ko nepatiesu. Piemēram, advokāts varētu lūgt MI rīkam atrast judikatūru, kas pamato kādu argumentu, un saņemt atsauces uz tiesu nolēmumiem, kas neeksistē. Ja katram izvades rezultātam tiek pieprasīti avoti un kvalificēta persona tos pārbauda, šādas kļūdas tiek atklātas.
• Datu privātums un noplūde: Konfidenciāla vai klientu informācija nonāk rīkā, ko organizācija nekontrolē. Piemēram, darbinieks varētu ielīmēt klientu ierakstus publiski pieejamā MI rīkā, kas saglabā ievaddatus nākotnes modeļu apmācībai. Risku samazina tikai apstiprinātu rīku izmantošana ar līgumiskiem ierobežojumiem attiecībā uz apmācību un datu glabāšanu.
• Ēnu MI: Darbinieki izmanto MI rīkus, kurus organizācija nav apstiprinājusi vai neredz. Compliance Week aptaujā, kas veikta 2026. gadā, 42 % dalībnieku ziņoja par nekontrolētu MI izmantošanu darbinieku vidū. Iespējamie risinājumi ietver apstiprināto rīku sarakstu apvienojumā ar ātru MI rīku apstiprināšanas procesu, kā arī tīmekļa vārtejas.

Galvenie MI atbilstības ietvari

MI atbilstība balstās uz saistošiem MI pārvaldības ietvariem, piemēram, ES MI aktu, un brīvprātīgiem ietvariem, piemēram, NIST MI risku pārvaldības ietvaru un ISO/IEC 42001, kas palīdz organizācijām tos izpildīt.

ES MI akts

ES MI akts (Regula (ES) 2024/1689) MI regulējumam piemēro uz risku balstītu pieeju: dažas prakses ir pilnībā aizliegtas, augsta riska sistēmām noteikti stingri ierobežojumi, savukārt citām ir tikai vieglas pārredzamības prasības. Tas attiecas uz nodrošinātājiem un uzturētājiem jebkurā vietā, „ja MI sistēmas radītos iznākumus izmanto Savienībā”.

Pienākumi saskaņā ar ES MI aktu ir atkarīgi no organizācijas lomas:

• Tiem, kas izstrādā augsta riska MI sistēmu vai laiž to tirgū ar savu nosaukumu (nodrošinātāji), jāveic atbilstības novērtēšana, jāpiestiprina CE zīme, jāreģistrē sistēma, jāuztur tehniskā dokumentācija un jāuzrauga sistēma pēc tās izlaišanas.
• Tiem, kas izmanto kāda cita izveidotu sistēmu (uzturētāji), jāievēro nodrošinātāja norādījumi, jāuztic cilvēka virsvadība personām, kurām ir „vajadzīgā kompetence, apmācība un pilnvaras”, jāglabā žurnāli vismaz sešus mēnešus un jāinformē darbinieki un citas personas, kuras ietekmē sistēmas lēmumi.

Izvērst

Akts tiek ieviests pakāpeniski. Noteikumi par aizliegtajām praksēm, MI pratību un vispārīga lietojuma MI ir piemērojami kopš 2025. gada, savukārt augsta riska pienākumi stāsies spēkā 2027. gada 2. decembrī, bet MI, kas iebūvēts produktos, uz kuriem attiecas ES produktu drošuma tiesību akti, – 2028. gada 2. augustā.

EN 18286:2026 par kvalitātes vadības sistēmām ir pirmais Eiropas standarts, kas atbalsta aktu. Tiek uzskatīts, ka nodrošinātāji, kas to ievēro, atbilst akta prasībai par kvalitātes vadību.

NIST MI risku pārvaldības ietvars

NIST AI RMF (MI risku pārvaldības ietvars), kas publicēts 2023. gada janvārī, ir brīvprātīgs ASV ietvars, kura pamatā ir četras funkcijas: Govern (pārvaldīt), Map (kartēt), Measure (mērīt) un Manage (vadīt).

Tā Ģeneratīvā MI profils, kas izdots 2024. gada jūlijā, piemēro šo ietvaru ģeneratīvā MI riskiem.

ISO/IEC 42001

ISO/IEC 42001 ir starptautisks standarts MI pārvaldības sistēmām, un tas aptver politikas, lomas un procesus, kas regulē atbildīgu MI izstrādi un izmantošanu. Sertifikācija ir brīvprātīga, un to veic neatkarīgas sertifikācijas institūcijas, nevis pati ISO.

Sertifikāts attiecas uz organizācijas pārvaldības sistēmu, nevis konkrētu MI produktu.

ASV un nozaru noteikumi, kas attiecas uz MI

ASV nav viena federāla MI likuma. Noteikumus nosaka pilsētas, štati, kā arī esošie likumi un noteikumi, kas attiecas uz MI.

Piemēram, Kolorādo SB26-189, kas stāsies spēkā 2027. gada 1. janvārī, regulē automatizētu lēmumu pieņemšanas tehnoloģiju, bet privātuma likumi, piemēram, Kalifornijas Patērētāju privātuma likums (CCPA) vai HIPAA, ir piemērojami ikreiz, kad MI apstrādā aizsargātus datus.

Kā izveidot MI atbilstības programmu

MI atbilstības programmas izveide ietver sešus soļus: inventarizējiet savas MI sistēmas, klasificējiet tās pēc riska, piesaistiet kontroles piemērojamajiem noteikumiem, nosakiet atbildīgos, dokumentējiet katru sistēmu un uzraugiet to, uzturot ierakstus, kurus auditors var pārbaudīt.

Izvērst

Katrs tālāk aprakstītais solis noslēdzas ar ierakstu, ko tas rada:

1. Inventarizējiet katru MI sistēmu. Uzskaitiet sistēmas, ko jūsu organizācija izstrādā, iegādājas vai izmanto, tostarp MI funkcijas esošajā programmatūrā un rīkus, ko darbinieki sākuši lietot bez apstiprinājuma. Pierakstiet, ko katra no tām dara, kas to izmanto un ar kādiem datiem tā saskaras.
   Rezultāts: MI sistēmu inventarizācijas saraksts.
2. Klasificējiet katru lietojuma gadījumu pēc riska. Novērtējiet katru sistēmu pēc kaitējuma, ko tā varētu radīt, izmantojot tādu shēmu kā ES MI akta riska līmeņi. Piemēram, rīks, kas nosaka dzīvības apdrošināšanas prēmijas, saskaņā ar aktu ir augsta riska rīks, bet rīks, kas apkopo iekšējās sanāksmes, nav.
   Rezultāts: Risku reģistrs.
3. Piesaistiet kontroles pasākumus piemērojamajiem noteikumiem. Uzskaitiet likumus, standartus un iekšējās politikas, kas attiecas uz katru sistēmu, un kontroles pasākumu, kas nodrošina atbilstību katrai prasībai. Piemēram, dokumentēta cilvēka veikta pārskatīšana palīdz izpildīt ES MI akta prasības par cilvēka virsvadību augsta riska sistēmām un NIST AI RMF aicinājumu dokumentēt cilvēka virsvadības procesus.
   Rezultāts: Kontroles pasākumu karte.
4. Nosakiet atbildīgos un cilvēka virsvadības punktus. Norīkojiet atbildīgo katrai sistēmai un izlemiet, kur persona pārskata tās izvades rezultātus. Piemēram, juridiskā un atbilstības funkcija atbild par pienākumiem, drošības komanda – par tehniskajām kontrolēm, biznesa vienību īpašnieki – par saviem lietojuma gadījumiem, bet viens vadītājs ir atbildīgs kopumā. Nodrošiniet, lai cilvēki visā organizācijā būtu informēti, un izveidojiet skaidrus saziņas kanālus.
   Rezultāts: Katrai sistēmai norīkoti atbildīgie.
5. Dokumentējiet katru sistēmu. Pierakstiet katras sistēmas mērķi, apmācības datus, testēšanu un zināmos ierobežojumus tādos formātos kā modeļu kartītes un ietekmes novērtējumi. Augsta riska sistēmu nodrošinātājiem jāsagatavo arī tehniskā dokumentācija saskaņā ar ES MI akta IV pielikumu.
   Rezultāts: Sistēmas dokumentācijas kopums.
6. Uzraugiet, reģistrējiet žurnālos un glabājiet pierādījumus. Jau no paša sākuma veidojiet žurnālus kā audita pierādījumus, lai parādītu, ko sistēma darīja un kas to pārskatīja. ES MI akts nosaka, ka augsta riska sistēmām visā to darbības laikā automātiski jāreģistrē notikumi. Audita takā jāiekļauj:
   • Izmantotais modelis un tā versija
   • Ievaddati un izvaddati vai noteikta to izlase
   • Apmācības vai precīzās pielāgošanas dati
   • Cilvēka veiktās pārskatīšanas punkti un to iznākumi
   • Aģenta veiktās darbības un izmantotās atļaujas
   • Cik ilgi tiek glabāts katrs ieraksts

Rezultāts: Uzraudzības ieraksti un audita taka.

Specializēti MI atbilstības rīki, piemēram, IBM watsonx.governance un OneTrust AI Governance, var pārņemt daļu šīs programmas, tostarp MI sistēmu inventarizācijas sarakstu, riska novērtējumus saskaņā ar ES MI aktu un dokumentāciju.

Kā apstiprināt MI rīkus, ko darbinieki drīkst izmantot

Pirms MI rīka apstiprināšanas pārbaudiet četras lietas:

• Piekļuve datiem: Kurus failus, sistēmas un pievienotās zināšanu bāzes rīks var lasīt un vai tajās ir personas dati, ko tas varētu atklāt.
• Apmācība ar ievaddatiem: Vai piegādātājs izmanto uzvednes, failus vai izvades rezultātus savu modeļu apmācībai un vai jūsu līgums ar piegādātāju to aizliedz.
• Glabāšana: Cik ilgi piegādātājs glabā uzvednes, failus un sarunu vēsturi un vai jūs varat šo laiku saīsināt.
• Mitināšana un pārsūtīšana: Kur piegādātājs glabā un apstrādā datus, tostarp pārsūtīšana ārpus jūsu reģiona.

Atbilstības kontroles MI aģentiem

MI aģentiem nepieciešams vairāk kontroļu nekā tērzēšanas rīkiem, jo tie paši izlemj savus soļus un rīkojas, izmantojot piešķirtos rīkus un atļaujas. Tos ierobežo trīs kontroles:

• Piekļuve pēc mazāko privilēģiju principa: Piešķiriet aģentam tikai tos rīkus un atļaujas, kas nepieciešamas tā uzdevumam. Pārmērīga rīcībspēja (Excessive Agency), kad aģents var paveikt vairāk, nekā prasa tā uzdevums, ir viens no galvenajiem drošības riskiem saskaņā ar OWASP Top 10 for LLM Applications 2026.
• Katras darbības žurnāls: Reģistrējiet katru rīka izsaukumu, piekļūtos datus un izmantotās atļaujas, lai izsekotu, ko aģents darīja un kura labā.
• Cilvēka apstiprinājums darbībām ar lielu ietekmi: Pieprasiet, lai persona apstiprina soļus, kas nosūta datus ārpus organizācijas, pārvieto naudu vai ir neatgriezeniski.

Kā MI tiek izmantots atbilstības darbā

Atbilstības un risku pārvaldības komandas izmanto MI, lai uzraudzītu kontroles, novērtētu riskus, izsekotu normatīvās izmaiņas, pārskatītu dokumentus un šķirotu brīdinājumus par finanšu noziegumiem.

Compliance Week aptaujā, kas 2026. gadā veikta starp 193 atbilstības, ētikas, risku un audita vadītājiem, vairāk nekā 83 % norādīja, ka izmanto MI, un gandrīz 40 % – ka viņu uzņēmumi to ir ieviesuši risku novērtēšanai un uzraudzībai.

Biežākie MI lietojuma gadījumi atbilstības jomā:

• Nepārtraukta atbilstības uzraudzība un pierādījumu vākšana: MI veic pārbaudes un vāc pierādījumus, ka kontroles darbojas (piemēram, nokavētas iekārtu drošības pārbaudes rūpnīcā).
• Riska novērtēšana un prioritāšu noteikšana: MI sarindo biznesa vienības vai trešās puses pēc riska (piemēram, piegādātājus, kuriem radušies jauni sankciju vai tiesvedības riski).
• Normatīvo izmaiņu uzraudzība: MI izseko regulatoru publikācijas un apkopo izmaiņas (piemēram, pārskatītas pretkukuļošanas vadlīnijas, kas samazina dāvanu limitu izdevumu politikā).
• Dokumentu un politiku pārskatīšana: MI salīdzina līgumus un politikas ar prasībām (piemēram, piegādātāju līgumus bez klauzulas par tiesībām veikt auditu).
• Finanšu noziegumu riska pārbaude: MI šķiro darījumu uzraudzības un klientu pārbaužu brīdinājumus (piemēram, vārdu sakritības ar sankciju sarakstiem, kas izrādās attiecināmas uz citu personu).

Atbilstības nodrošināšanai izmantotajam MI nepieciešama tāda pati pārvaldība kā citām MI sistēmām. Kā 2026. gada oktobrī norādīja Apvienotās Karalistes Finanšu uzvedības iestāde, „uzņēmumi ir atbildīgi par MI sistēmām, ko tie izstrādā, iepērk un ievieš, – tostarp par to izvades rezultātiem un iznākumiem”, un brīdināja nepārvērst cilvēka veikto pārskatīšanu par „‘ķeksīša pēc’ veiktu formalitāti”.

Praksē MI rīki var veikt rutīnas uzdevumus, piemēram, pierādījumu vākšanu vai normatīvo izmaiņu atzīmēšanu, bet ne lēmumus, kas saistīti ar juridisku atbildību, piemēram, lēmumu par to, vai ziņot par aizdomīgām darbībām, vai par to, kā izstrādāt politikas.

Datu kontroles iespējas pakalpojumā Perplexity Enterprise

Perplexity Enterprise nodrošina administratoriem kontroles iespējas attiecībā uz apmācību ar ievaddatiem, piekļuvi datiem un datu glabāšanu:

• Jūsu dati netiek izmantoti apmācībai: Perplexity nekad neizmanto uzņēmuma saturu savu MI modeļu apmācībai, un tā līgumi ar trešo pušu modeļu nodrošinātājiem aizliedz arī tiem izmantot šo saturu apmācībai.
• Piekļuves kontrole: SSO, SCIM un uz lomām balstītas atļaujas nosaka, kas var augšupielādēt failus un kopīgot atbildes.
• Glabāšana un audita žurnāli: Sesijām pievienotie faili tiek dzēsti pēc septiņām dienām. Organizācijas, kurām ir 50 vai vairāk licenču vai vismaz viena Enterprise Max licence, var arī iestatīt sesiju glabāšanas laiku un saņemt lietotāju darbību audita žurnālus.
• Sertifikācija: Perplexity ir saņēmis SOC 2 Type II sertifikātu, atbilst VDAR prasībām un atļauj strādāt ar aizsargātu veselības informāciju tikai saskaņā ar parakstītu biznesa partnera līgumu (Business Associate Agreement).

Lai iepazītos ar šīm kontroles iespējām, sazinieties ar mūsu pārdošanas komandu un piesakieties personalizētai demonstrācijai.

Bieži uzdotie jautājumi

Kas ir atbilstība ES MI regulējumam?

Atbilstība ES MI regulējumam nozīmē ES MI akta pienākumu izpildi atbilstoši jūsu lomai (nodrošinātājs vai uzturētājs) un katras sistēmas riska līmenim. Pienākumi stājas spēkā pakāpeniski, un augsta riska sistēmām noteiktās prasības sāk piemērot no 2027. gada 2. decembra.

Kas ir HIPAA prasībām atbilstošs MI?

HIPAA prasībām atbilstošs MI ir rīks, ko izmanto saskaņā ar HIPAA noteiktajiem aizsardzības pasākumiem attiecībā uz aizsargātu veselības informāciju. Ja piegādātājs glabā vai apstrādā šo informāciju, ASV Veselības un cilvēkpakalpojumu departaments pieprasa vispirms parakstīt biznesa partnera līgumu (Business Associate Agreement).

Vai ES MI akts attiecas uz ASV uzņēmumiem?

Jā. MI akts attiecas uz ASV uzņēmumiem, kas laiž MI sistēmas ES tirgū, kā arī uz uzņēmumiem, kuru MI sistēmu izvaddati tiek izmantoti ES.

Vai MI var aizstāt atbilstības speciālistus?

MI nevar aizstāt atbilstības speciālistus. Organizācijas ir atbildīgas par savu darbu, un MI tehnoloģijas var kļūdīties, tāpēc atbilstības speciālistiem joprojām ir rūpīgi jāpārbauda un jāapstiprina MI radītie rezultāti.