Dojrzałość AI Act · Zgodność z europejskim rozporządzeniem o AI (wykorzystanie AI w firmie)
Państwa zastosowania AI sklasyfikowane, dojrzałość AI Act zmierzona, plan działania wyliczony.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość AI Act · Zgodność z europejskim rozporządzeniem o AI (wykorzystanie AI w firmie)
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie faktu w trajektorię rozwoju.
Czy systemy AI wykorzystywane w organizacji są spisane i zakwalifikowane według poziomu ryzyka?
- N1
Brak spisu. Zastosowania AI są znane jedynie przypadkowo, w zależności od osób, które je wdrożyły.
- N2
Istnieje lista, sporządzona podczas jednorazowego zbierania danych. Obejmuje projekty prowadzone przez dział IT i nie zawiera poziomu ryzyka.
- N3
Inwentarz obejmuje wszystkie jednostki, każdy system ma przypisaną kwalifikację ryzyka i wskazaną osobę odpowiedzialną. Aktualizacja odbywa się regularnie.
- N4
Inwentarz jest zasilany obowiązkowym procesem zgłoszeniowym przy uruchomieniu. Kwalifikacje są zatwierdzane przez organ zarządzający i dokumentowane.
- N5
Inwentarz jest okresowo weryfikowany przy okazji zmian funkcjonalnych i regulacyjnych, z historią przeklasyfikowań i ich uzasadnień.
Działanie umożliwiające przejście z N2 do N3
Rozszerzenie zbierania danych na narzędzia wprowadzone przez działy biznesowe oraz funkcje AI wbudowane w istniejące oprogramowanie, dodanie do każdej pozycji osoby odpowiedzialnej i kwalifikacji ryzyka, oraz wpisanie przeglądu inwentarza do porządku obrad kwartalnego komitetu ds. danych.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna AI ACT.
O czym jest ten model referencyjny
Rozporządzenie (UE) 2024/1689, opublikowane w lipcu 2024 roku i obowiązujące od 1 sierpnia 2024 roku, klasyfikuje systemy AI według ryzyka, jakie stwarzają: praktyki zakazane, systemy wysokiego ryzyka objęte pełnym zestawem wymogów, systemy z obowiązkami przejrzystości, modele AI ogólnego przeznaczenia z własnymi zasadami. Rozróżnia też role: dostawca, podmiot stosujący, importer, dystrybutor. Dla firmy, która kupuje i wdraża AI, a nie ją tworzy, większość obowiązków wynika ze statusu podmiotu stosującego, z możliwym przejściem do statusu dostawcy w przypadku istotnej modyfikacji lub wprowadzenia pod własną marką.
Trudność nie leży w lekturze tekstu, lecz w jego powiązaniu z rzeczywistymi zastosowaniami, które często pojawiły się w działach biznesowych z pominięciem działu IT. Ile systemów AI faktycznie działa w Państwa jednostkach, i kto prowadzi ich inwentarz? Które z nich wchodzą w zakres załącznika III, zwłaszcza w obszarze HR, dostępu do kredytu czy zarządzania pracownikami? Kto zatwierdza uruchomienie nowego zastosowania i na jakich kryteriach? Odpowiedzi rzadko są scentralizowane, a zakres zmienia się szybciej niż dokumentacja.
Warto zaznaczyć jeden element kontekstu. Harmonogram jest rozłożony w czasie: zakazy i obowiązki w zakresie kompetencji AI obowiązują od lutego 2025 roku, zasady dotyczące modeli ogólnego przeznaczenia od sierpnia 2025 roku, większość wymogów dotyczących systemów wysokiego ryzyka od sierpnia 2026 roku, z odroczeniem dla niektórych systemów wbudowanych w produkty regulowane. Inne częste nieporozumienie: AI Act nie zastępuje RODO ani się z nim nie łączy w jedno. Oba teksty obowiązują równolegle, a analiza wpływu na prawa podstawowe nie zwalnia z analizy wpływu na ochronę danych.
Audyt zgodności rozstrzyga jednoznacznie: obowiązek jest spełniony albo nie. Diagnoza dojrzałości odpowiada na inne pytanie. Na jakim poziomie opanowania znajduje się inwentarz systemów, klasyfikacja ryzyka, nadzór ludzki, dokumentacja czy szkolenie zespołów, i jakie konkretne działanie pozwala przejść na poziom wyższy. To właśnie ta lektura pozwala rozłożyć program transformacji na kilka jednostek biznesowych, zamiast jednoczesnego usuwania wszystkich luk.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo również go dostosować: AI dopasowuje obszary tematyczne, pytania i poziomy do Państwa sektora i statusu w rozumieniu rozporządzenia, lub buduje wariant na podstawie Państwa wewnętrznych polityk i istniejącego inwentarza zastosowań.
Norma referencyjna: Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act)
Oceniane obszary tematyczne
Zarządzanie AI i role
Organ decyzyjny, umiejscowienie w strukturze hierarchicznej, role i odpowiedzialności, kwalifikacja statusu dostawcy lub podmiotu stosującego dla każdego systemu, wewnętrzna polityka wykorzystania AI.
Inwentarz systemów AI
Spis zastosowań produkcyjnych i projektowych, objęty zakres, aktualizowane informacje, uwzględnienie narzędzi wprowadzonych przez działy biznesowe oraz funkcji AI wbudowanych w oprogramowanie dostępne na rynku.
Klasyfikacja według poziomu ryzyka
Metoda kwalifikacji, identyfikacja praktyk zakazanych, analiza przypadków z załącznika III, systemy objęte obowiązkami przejrzystości, identyfikowalność i przegląd decyzji o klasyfikacji.
Zarządzanie ryzykiem i jakość danych
Analiza ryzyka dla każdego systemu, zbiory danych treningowych i testowych, reprezentatywność, zidentyfikowane obciążenia i działania naprawcze, oczekiwana solidność i dokładność.
Dokumentacja techniczna i identyfikowalność
Dokumentacja wymagana w zależności od roli, instrukcje użytkowania od dostawcy, rejestrowanie zdarzeń, okres przechowywania zapisów, elementy możliwe do przedstawienia na żądanie organu nadzorczego.
Nadzór ludzki
Rzeczywiste punkty kontroli ludzkiej, uprawnienia osoby odpowiedzialnej za nadzór, zdolność do przerwania działania systemu, faktyczne kompetencje i dostępność osób nadzorujących.
Przejrzystość i informowanie osób
Informowanie osób narażonych na działanie systemu AI, oznaczanie treści generowanych, informowanie pracowników i ich przedstawicieli, wyjaśnialność decyzji indywidualnych.
Łańcuch dostaw i dostawcy
Klauzule umowne z dostawcami systemów i modeli ogólnego przeznaczenia, uzyskane elementy potwierdzające zgodność, zależności techniczne, warunki odwracalności.
Kompetencje w zakresie AI
Uświadamianie użytkowników, szkolenie dostosowane do zastosowań, wewnętrzne kompetencje w ocenie modeli, wsparcie dla działów biznesowych.
Nadzór po wdrożeniu i incydenty
Monitorowanie zachowania systemów w eksploatacji, wykrywanie odchyleń, procedura zgłaszania i obsługi poważnych incydentów, pętla zwrotna w kierunku dostawcy i organu zarządzającego.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza zapewnia zgodność mojej organizacji z AI Act?
Nie. Mierzy ona dojrzałość Państwa systemu i identyfikuje luki do usunięcia. Zgodność ustala się w odniesieniu do rozporządzenia, system po systemie, a jej wykazanie wynika z Państwa własnych prac i w razie potrzeby z oceny zgodności. Diagnoza przygotowuje i porządkuje tę drogę.
Jaka jest różnica między tą diagnozą dojrzałości a audytem zgodności?
Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Diagnoza sytuuje Państwa praktyki na stopniowej skali i wskazuje działanie pozwalające przejść na wyższy poziom. Obie metody się uzupełniają: diagnoza służy do rozłożenia działań w czasie, audyt do ich zatwierdzenia.
Czy model referencyjny jest przeznaczony dla dostawców czy dla użytkowników systemów AI?
Jest zbudowany dla organizacji, które wdrażają AI w swoich działaniach operacyjnych, w statusie podmiotu stosującego w rozumieniu rozporządzenia. Obszary tematyczne obejmują także sytuacje przejścia do statusu dostawcy, częste w przypadku istotnej modyfikacji lub wprowadzenia pod własną marką.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut. Wersja pełna, w trybie zespołowym, trwa zazwyczaj od tygodnia do dwóch: większość czasu poświęca się na zebranie informacji od działów biznesowych, prawnego i IT.
Czy można dostosować model referencyjny do naszego kontekstu?
Tak. Mogą Państwo zmieniać pytania, poziomy i obszary tematyczne, lub zacząć od pustej bazy. AI może również opracować wariant sektorowy na podstawie Państwa wewnętrznych polityk. Kontrola nad modelem referencyjnym pozostaje po Państwa stronie.
Jak ta diagnoza łączy się z ISO/IEC 42001 i RODO?
ISO/IEC 42001 dostarcza system zarządzania, który pozwala utrzymać spełnianie obowiązków w czasie, RODO ma zastosowanie, gdy tylko pojawiają się dane osobowe. Przekrojowa mapa drogowa konsoliduje wszystkie trzy oceny i pozwala uniknąć powielania wspólnych działań, zwłaszcza w zakresie zarządzania i dokumentacji.
Czy można porównać kilka jednostek między sobą?
Tak. Audyty mogą być uruchamiane na dużą skalę w wielu jednostkach biznesowych, z benchmarkiem między jednostkami oraz w odniesieniu do wcześniejszych kampanii. AI grupuje powtarzające się luki w jedną priorytetową mapę drogową na poziomie całej grupy.
Gdzie są przechowywane dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską. Wykorzystywane modele AI mogą być wybierane, również spośród rozwiązań europejskich.