Conformitatea în domeniul IA: guvernarea sistemelor de IA și utilizarea IA în activitatea de conformitate

Conformitatea AI înseamnă două lucruri: munca continuă de a vă asigura că sistemele AI pe care organizația dumneavoastră le construiește sau le utilizează respectă legile, standardele și politicile interne aplicabile, precum și utilizarea AI pentru activitățile de conformitate de rutină, cu volum mare.

Acest articol acoperă ambele sensuri: riscurile pe care le abordează conformitatea AI, principalele cadre, cum să construiți un program de conformitate, controalele pentru agenții AI și domeniile în care AI ajută echipele de conformitate. Se încheie cu întrebări pe care să le puneți înainte de a cumpăra un instrument de conformitate.

Ce este conformitatea AI?

Conformitatea AI se referă la două lucruri: asigurarea faptului că sistemele AI respectă regulile stabilite de reglementările privind AI și utilizarea AI pentru activitățile de conformitate.

În primul sens, conformitatea AI asigură că un sistem AI respectă legile, reglementările, standardele etice și politicile interne pe parcursul întregului ciclu de viață al AI, de la datele de antrenare până la performanță și utilizare.

De exemplu, Legea locală 144 a orașului New York impune angajatorilor care utilizează un instrument automatizat de luare a deciziilor privind angajarea să îl supună unui audit privind părtinirea în termen de un an de la utilizare, să facă publice informațiile despre audit și să notifice angajații sau candidații.

Conformitatea cu reglementările privind AI este o activitate continuă, deoarece aplicațiile AI sunt actualizate, datele cu care lucrează se schimbă, iar reglementările evoluează.

În al doilea sens, echipele de conformitate folosesc AI pentru activități de rutină, cu volum mare, cum ar fi monitorizarea tranzacțiilor, analiza documentelor și urmărirea modificărilor de reglementare.

De exemplu, unele instituții financiare folosesc AI pentru a analiza tranzacțiile și a reduce numărul de rezultate fals pozitive din alertele de monitorizare a tranzacțiilor, înainte ca analiștii să decidă care dintre ele necesită un raport privind activitățile suspecte.

Conformitatea AI vs. guvernanța AI vs. gestionarea riscurilor AI

Cei trei termeni se suprapun, dar acoperă domenii diferite: guvernanța stabilește regulile, gestionarea riscurilor identifică ce ar putea merge prost, iar conformitatea asigură respectarea regulilor.

De ce este importantă conformitatea AI

Obținerea conformității AI vă limitează expunerea la amenzi, protejează confidențialitatea persoanelor ale căror informații sunt prelucrate de sistemele dumneavoastră AI și permite organizației să dea socoteală pentru modul în care utilizează sistemele AI în cazul unui audit.

• Sancțiuni de reglementare: În temeiul EU AI Act, utilizarea unei practici AI interzise, cum ar fi deducerea emoțiilor angajaților la locul de muncă, poate costa până la 35 de milioane EUR sau 7% din cifra de afaceri anuală la nivel mondial. Furnizorii și implementatorii se pot confrunta cu amenzi de până la 15 milioane EUR sau 3% pentru încălcarea regulamentului.
• Protecția datelor: Un sistem AI care prelucrează date cu caracter personal intră sub incidența legislației privind protecția datelor, cum ar fi GDPR în UE. Aceasta include datele de antrenare, prompturile și rezultatele care conțin date cu caracter personal.
• Pregătirea pentru audit: Evidențele privind sistemele AI pe care le utilizați, cine le-a aprobat și cum le monitorizați vă permit să dați socoteală în fața autorităților de reglementare, a auditorilor și a clienților.

Principalele riscuri abordate de conformitatea AI

Conformitatea AI abordează cinci riscuri principale: părtinirea algoritmică, lipsa explicabilității, halucinațiile în procesele reglementate, confidențialitatea și scurgerea datelor și AI din umbră (shadow AI).

Extinde

Iată cum se manifestă principalele riscuri și exemple de controale care le țin în frâu:

• Părtinirea algoritmică: Un model reproduce tipare din datele de antrenare care dezavantajează anumite grupuri. De exemplu, un instrument de recrutare ar putea clasa candidații mai jos pe baza unui indicator indirect al vârstei sau al etniei, cum ar fi anul absolvirii sau codul poștal. Auditurile privind părtinirea, care compară rezultatele între grupuri demografice, ajută la detectarea acestor tipare.
• Lipsa explicabilității: Organizația nu poate arăta cum a ajuns un model la o decizie. Dacă un creditor nu poate explica de ce un model a respins un împrumut, nu poate apăra rezultatul. Organizațiile previn acest risc documentând datele de intrare și logica decizională ale modelelor și alegând modele cu rezultate trasabile.
• Halucinațiile în procesele reglementate: Un instrument de AI generativă afirmă cu încredere ceva fals. De exemplu, un avocat ar putea cere unui instrument AI jurisprudență în sprijinul unui argument și ar putea primi trimiteri la hotărâri judecătorești care nu există. Solicitarea de surse pentru fiecare rezultat și verificarea acestora de către o persoană calificată permit depistarea unor astfel de erori.
• Confidențialitatea și scurgerea datelor: Informații confidențiale sau ale clienților ajung într-un instrument aflat în afara controlului organizației. De exemplu, un angajat ar putea lipi înregistrări ale clienților într-un instrument AI public care păstrează datele de intrare pentru a antrena modele viitoare. Utilizarea exclusivă a instrumentelor aprobate, cu limite contractuale privind antrenarea și păstrarea datelor, reduce riscul.
• AI din umbră: Angajații folosesc instrumente AI pe care organizația nu le-a aprobat sau pe care nu le poate vedea. Într-un sondaj Compliance Week din 2026, 42% dintre participanți au raportat utilizarea necontrolată a AI de către angajați. Printre soluțiile posibile se numără o listă de instrumente aprobate, combinată cu un proces rapid de aprobare a instrumentelor AI, precum și gateway-urile web.

Principalele cadre de conformitate AI

Conformitatea AI se bazează pe cadre obligatorii de guvernanță AI, cum ar fi EU AI Act, și pe cadre voluntare, cum ar fi NIST AI Risk Management Framework și ISO/IEC 42001, care ajută organizațiile să le respecte.

EU AI Act

EU AI Act (Regulamentul (UE) 2024/1689) adoptă o abordare bazată pe risc în reglementarea AI: unele practici sunt interzise complet, sistemele cu risc ridicat sunt supuse unor restricții stricte, iar altele au doar reguli ușoare de transparență. Se aplică furnizorilor și implementatorilor de pretutindeni „în cazul în care rezultatele produse de sistemul de IA sunt utilizate în Uniune”.

Obligațiile prevăzute de EU AI Act depind de rolul organizației:

• Cei care dezvoltă un sistem AI cu risc ridicat sau îl introduc pe piață sub propriul nume (furnizorii) trebuie să efectueze o evaluare a conformității, să aplice marcajul CE, să înregistreze sistemul, să păstreze documentația tehnică și să îl monitorizeze după lansare.
• Cei care utilizează un sistem construit de altcineva (implementatorii) trebuie să respecte instrucțiunile furnizorului, să încredințeze supravegherea unor persoane care au „competența, formarea și autoritatea necesare”, să păstreze jurnalele timp de cel puțin șase luni și să informeze lucrătorii și alte persoane afectate de deciziile sistemului.

Extinde

Regulamentul este implementat în etape. Regulile privind practicile interzise, alfabetizarea în domeniul AI și AI de uz general se aplică din 2025, în timp ce obligațiile privind sistemele cu risc ridicat se aplică de la 2 decembrie 2027, respectiv de la 2 august 2028 pentru AI integrată în produse care intră sub incidența legislației UE privind siguranța produselor.

EN 18286:2026 privind sistemele de management al calității este primul standard european care sprijină regulamentul. Se prezumă că furnizorii care îl respectă îndeplinesc cerința regulamentului privind managementul calității.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), publicat în ianuarie 2023, este un cadru voluntar din SUA, construit în jurul a patru funcții: Govern (Guvernare), Map (Cartografiere), Measure (Măsurare) și Manage (Gestionare).

Profilul său Generative AI Profile, lansat în iulie 2024, aplică acest cadru riscurilor asociate AI generative.

ISO/IEC 42001

ISO/IEC 42001 este standardul internațional pentru sistemele de management al AI și acoperă politicile, rolurile și procesele care guvernează dezvoltarea și utilizarea responsabilă a AI. Certificarea este voluntară și este acordată de organisme de certificare independente, nu de ISO.

Un certificat acoperă sistemul de management al organizației, nu un anumit produs AI.

Reglementări din SUA și sectoriale aplicabile AI

SUA nu au o lege federală unică privind AI. Regulile provin de la orașe, de la state și din legile și reglementările existente care se aplică AI.

De exemplu, legea SB26-189 din Colorado, care intră în vigoare la 1 ianuarie 2027, reglementează tehnologia de luare automată a deciziilor, iar legile privind confidențialitatea, cum ar fi California Consumer Privacy Act (CCPA) sau HIPAA, se aplică ori de câte ori AI prelucrează date protejate.

Cum să construiți un program de conformitate AI

Construirea unui program de conformitate AI presupune șase pași: inventariați sistemele AI, clasificați-le în funcție de risc, asociați controalele cu regulile aplicabile, desemnați responsabili, documentați fiecare sistem și monitorizați-l, păstrând evidențe pe care un auditor le poate verifica.

Extinde

Fiecare pas de mai jos se încheie cu documentul pe care îl produce:

1. Inventariați fiecare sistem AI. Enumerați sistemele pe care organizația dumneavoastră le construiește, le cumpără sau le utilizează, inclusiv funcțiile AI din software-ul existent și instrumentele adoptate de angajați fără aprobare. Notați ce face fiecare, cine îl utilizează și ce date accesează.
   Rezultat: Un inventar AI.
2. Clasificați fiecare caz de utilizare în funcție de risc. Evaluați fiecare sistem în funcție de prejudiciul pe care l-ar putea cauza, folosind o schemă precum nivelurile de risc din EU AI Act. De exemplu, un instrument care stabilește primele de asigurare de viață prezintă un risc ridicat conform regulamentului, în timp ce unul care rezumă ședințele interne nu.
   Rezultat: Un registru al riscurilor.
3. Asociați controalele cu regulile aplicabile. Enumerați legile, standardele și politicile interne care se aplică fiecărui sistem, precum și controlul care îndeplinește fiecare cerință de conformitate. De exemplu, o analiză umană documentată ajută la îndeplinirea cerințelor EU AI Act privind supravegherea umană a sistemelor cu risc ridicat și a recomandării din NIST AI RMF privind procesele documentate de supraveghere umană.
   Rezultat: O hartă a controalelor.
4. Desemnați responsabili și puncte de supraveghere umană. Numiți un responsabil pentru fiecare sistem și decideți în ce puncte o persoană îi analizează rezultatele. De exemplu, departamentele juridic și de conformitate răspund de obligații, echipa de securitate de controalele tehnice, responsabilii de business de propriile cazuri de utilizare, iar un director executiv răspunde de ansamblu. Asigurați-vă că oamenii din întreaga organizație sunt informați și stabiliți canale clare de comunicare.
   Rezultat: Responsabili desemnați pentru fiecare sistem.
5. Documentați fiecare sistem. Înregistrați scopul, datele de antrenare, testarea și limitările cunoscute ale fiecărui sistem în formate precum fișele de model (model cards) și evaluările de impact. Furnizorii de sisteme cu risc ridicat trebuie să pregătească și documentația tehnică prevăzută în anexa IV la EU AI Act.
   Rezultat: Un set de documentație a sistemului.
6. Monitorizați, înregistrați în jurnale și păstrați dovezi. Concepeți jurnalele ca dovezi de audit încă de la început, pentru a arăta ce a făcut un sistem și cine l-a verificat. EU AI Act impune ca sistemele cu risc ridicat să înregistreze automat evenimentele pe toată durata lor de viață. O pistă de audit ar trebui să cuprindă:
   • Modelul și versiunea utilizate
   • Datele de intrare și rezultatele sau un eșantion definit al acestora
   • Datele de antrenare sau de ajustare fină (fine-tuning)
   • Punctele de analiză umană și rezultatele acestora
   • Acțiunile efectuate de un agent și permisiunile pe care le-a folosit
   • Cât timp este păstrată fiecare înregistrare

Rezultat: Evidențe de monitorizare și o pistă de audit.

Instrumentele specializate de conformitate AI, cum ar fi IBM watsonx.governance și OneTrust AI Governance, pot prelua părți ale acestui program, inclusiv inventarul AI, evaluările riscurilor în raport cu EU AI Act și documentația.

Cum să aprobați instrumentele AI pe care le pot folosi angajații

Înainte de a aproba un instrument AI, verificați patru aspecte:

• Accesul la date: Ce fișiere, sisteme și baze de cunoștințe conectate poate citi instrumentul și dacă acestea conțin date cu caracter personal pe care le-ar putea expune.
• Antrenarea pe baza datelor de intrare: Dacă furnizorul folosește prompturi, fișiere sau rezultate pentru a-și antrena modelele și dacă contractul dumneavoastră cu furnizorul interzice acest lucru.
• Păstrarea datelor: Cât timp păstrează furnizorul prompturile, fișierele și istoricul conversațiilor și dacă puteți scurta această perioadă.
• Găzduirea și transferurile: Unde stochează și prelucrează furnizorul datele, inclusiv transferurile în afara regiunii dumneavoastră.

Controale de conformitate pentru agenții AI

Agenții AI necesită mai multe controale decât instrumentele de chat, deoarece își decid singuri pașii și acționează prin instrumentele și permisiunile acordate. Trei controale îi țin în frâu:

• Acces cu privilegii minime: Oferiți unui agent doar instrumentele și permisiunile de care are nevoie sarcina sa. Excessive Agency (autonomia excesivă), situația în care un agent poate face mai mult decât necesită sarcina sa, este unul dintre principalele riscuri de securitate conform OWASP Top 10 for LLM Applications 2026.
• Un jurnal al fiecărei acțiuni: Înregistrați fiecare apel de instrument, datele accesate și permisiunile utilizate, pentru a putea urmări ce a făcut un agent și pentru cine.
• Aprobare umană pentru acțiunile cu impact ridicat: Solicitați ca o persoană să confirme pașii care trimit date în afara organizației, transferă bani sau sunt ireversibili.

Cum este utilizată AI în activitățile de conformitate

Echipele de conformitate și de gestionare a riscurilor folosesc AI pentru a monitoriza controalele, a evalua riscurile, a urmări modificările de reglementare, a analiza documente și a tria alertele privind infracțiunile financiare.

Într-un sondaj Compliance Week din 2026, realizat în rândul a 193 de lideri din domeniile conformității, eticii, riscurilor și auditului, peste 83% au declarat că folosesc AI, iar aproape 40% au spus că firmele lor au implementat-o pentru evaluarea și monitorizarea riscurilor.

Printre cazurile frecvente de utilizare a AI în conformitate se numără:

• Monitorizarea continuă a conformității și colectarea dovezilor: AI efectuează verificări și adună dovezi că acestea funcționează (de exemplu, inspecțiile de siguranță restante ale echipamentelor dintr-o fabrică).
• Evaluarea și prioritizarea riscurilor: AI clasifică unitățile de business sau terții în funcție de risc (de exemplu, furnizorii cu sancțiuni noi sau expuși la litigii).
• Monitorizarea modificărilor de reglementare: AI urmărește publicațiile autorităților de reglementare și rezumă modificările (de exemplu, ghiduri anticorupție revizuite care reduc limita pentru cadouri din politica privind cheltuielile).
• Analiza documentelor și a politicilor: AI compară contractele și politicile cu cerințele (de exemplu, contracte cu furnizorii fără clauză privind dreptul de audit).
• Screeningul privind infracțiunile financiare: AI triază alertele de monitorizare a tranzacțiilor și de verificare a clienților (de exemplu, potriviri de nume pe listele de sancțiuni care se dovedesc a fi o altă persoană).

AI utilizată pentru conformitate necesită aceeași guvernanță ca celelalte sisteme AI. După cum a declarat Financial Conduct Authority din Regatul Unit în octombrie 2026, „firmele sunt responsabile pentru sistemele AI pe care le dezvoltă, le achiziționează și le implementează – inclusiv pentru rezultatele și efectele acestora” și a avertizat ca analiza umană să nu devină „un exercițiu de «bifare a căsuțelor»”.

În practică, instrumentele AI pot gestiona sarcini de rutină, precum colectarea dovezilor sau semnalarea modificărilor de reglementare, dar nu și deciziile care implică răspundere juridică, cum ar fi decizia de a raporta sau nu o activitate suspectă ori modul de elaborare a politicilor.

Controale pentru date în Perplexity Enterprise

Perplexity Enterprise oferă administratorilor controale privind antrenarea pe baza datelor introduse, accesul la date și păstrarea datelor:

• Fără antrenare pe datele dvs.: Perplexity nu folosește niciodată conținutul organizațiilor pentru a-și antrena modelele de IA, iar acordurile sale cu furnizorii terți de modele le interzic acestora să îl folosească pentru antrenare.
• Controlul accesului: SSO, SCIM și permisiunile bazate pe roluri stabilesc cine poate încărca fișiere și partaja răspunsuri.
• Păstrarea datelor și jurnalele de audit: Fișierele atașate sesiunilor sunt șterse după șapte zile. Organizațiile cu 50 sau mai multe locuri ori cu cel puțin un loc Enterprise Max pot, de asemenea, să seteze perioada de păstrare a sesiunilor și să primească jurnale de audit ale activității utilizatorilor.
• Certificări: Perplexity deține certificarea SOC 2 Type II, respectă GDPR și permite lucrul cu informații medicale protejate numai în baza unui Business Associate Agreement semnat.

Pentru o prezentare detaliată a acestor controale, contactați echipa noastră de vânzări și programați o demonstrație personalizată.

Întrebări frecvente

Ce înseamnă conformitatea cu reglementările UE în domeniul IA?

Conformitatea cu reglementările UE în domeniul IA înseamnă respectarea obligațiilor prevăzute de Regulamentul UE privind IA pentru rolul dvs. (furnizor sau implementator) și pentru nivelul de risc al fiecărui sistem. Obligațiile se aplică etapizat, iar cele pentru sistemele cu risc ridicat se aplică începând cu 2 decembrie 2027.

Ce este un sistem de IA conform cu HIPAA?

Un sistem de IA conform cu HIPAA este un instrument utilizat în cadrul măsurilor de protecție prevăzute de HIPAA pentru informațiile medicale protejate. Dacă furnizorul stochează sau prelucrează aceste informații, Departamentul de Sănătate și Servicii Umane al SUA impune mai întâi semnarea unui Business Associate Agreement.

Se aplică Regulamentul UE privind IA companiilor din SUA?

Da. Regulamentul privind IA vizează companiile din SUA care introduc sisteme de IA pe piața UE, precum și pe cele ale căror rezultate generate de IA sunt utilizate în UE.

Poate IA să înlocuiască ofițerii de conformitate?

IA nu poate înlocui ofițerii de conformitate. Organizațiile sunt responsabile pentru propria activitate, iar tehnologiile de IA pot face greșeli, așa că ofițerii de conformitate trebuie în continuare să examineze atent și să aprobe rezultatele generate de IA.