ES DI aktu nustatomi aiškūs įsipareigojimai, tačiau žinoti, kokie jie yra, ir žinoti, kaip jų laikytis, yra du skirtingi dalykai. Peržiūrėdami ES DI akto atitikties sąrašą, galėsite aiškiai suprasti savo įsipareigojimus. Šiame straipsnyje paaiškinama, ką reiškia kiekvienas reikalavimas ir kaip jo laikymasis atrodo praktikoje.
Atitikties vertinimas
Prieš diegiant didelės rizikos DI sistemą, teikėjai privalo įrodyti, kad ji atitinka įstatymo reikalavimus. Daugumai organizacijų tai yra vidinis procesas, kuriam nereikia trečiųjų šalių pagalbos.
Išimtis yra biometrinės sistemos, pavyzdžiui, veido atpažinimo ar emocijų atpažinimo įrankiai. Jiems reikalingas nepriklausomas įgaliotosios institucijos vertinimas.
Reikia nepamiršti vieno dalyko: jei sistema po pirminio vertinimo yra iš esmės modifikuojama, procesą reikia pakartoti.
Rizikos valdymo sistema
Rizikos valdymo sistema – tai nuolatinis procesas, vykstantis per visą didelės rizikos DI sistemos gyvavimo ciklą. Praktikoje tai reiškia rizikos veiksnių nustatymą ir jų šalinimą, kol jie netapo problemomis.
Šis procesas susideda iš keturių etapų:
- žinomų ir numatomų rizikos veiksnių nustatymas;
- rizikos veiksnių tikimybės ir galimo poveikio įvertinimas;
- stebėjimas, ar po diegimo neatsiranda naujų rizikų;
- priemonių, skirtų šioms rizikoms spręsti, įgyvendinimas.
Pagrindinis žodis čia yra „pakartotinis". Rizikos valdymo sistema turi būti reguliariai peržiūrima ir atnaujinama. Prieš diegimą būtina atlikti bandymus, o po to – nuolat stebėti sistemą.
Duomenų kokybė ir valdymas
Pagal šį reikalavimą paslaugų teikėjai privalo užtikrinti, kad jų mokymo, validavimo ir testavimo duomenys atitiktų nustatytus kokybės standartus.
Duomenys turi būti aktualūs ir pakankamai reprezentatyvūs žmonių bei situacijų, su kuriomis sistema susidurs realiame pasaulyje, atžvilgiu. Juos būtina patikrinti dėl galimų šališkumų, o nustačius šališkumą, reikia imtis atitinkamų priemonių jam pašalinti.
Teikėjai taip pat privalo dokumentuoti, iš kur gaunami jų duomenys, kaip jie buvo tvarkomi ir kokios prielaidos buvo daromos juos rengiant. Jei nustatomi duomenų trūkumai ar neatitikimai, jie turi būti pašalinti prieš diegiant sistemą.
Praktinė pastaba: jei šališkumo testavimui reikia tvarkyti jautrius asmens duomenis, pvz., informaciją apie tautybę ar sveikatą, įstatymas tai leidžia griežtomis sąlygomis, tačiau tik šališkumo nustatymo ir ištaisymo tikslais, o duomenys turi būti ištrinti, kai šis tikslas pasiekiamas.
Techninė dokumentacija
Techninė dokumentacija – tai dokumentai, įrodantys, kad jūsų sistema atitinka DI akto reikalavimus. Ji turi būti parengta prieš diegiant sistemą ir nuolat atnaujinama per visą sistemos gyvavimo ciklą.
Dokumentacija turi būti pakankamai išsami, kad reguliavimo institucijos ir auditoriai galėtų įvertinti, ar sistema atitinka keliamus reikalavimus. Ji turi apimti bent jau tai, kaip sistema veikia, kam ji buvo sukurta, kokiais duomenimis ji buvo mokoma, kokie yra jos žinomi apribojimai, taip pat bandymų ir rizikos vertinimų rezultatus.
Mažesnėms organizacijoms DI aktas numato supaprastintą dokumentacijos formatą, specialiai sukurtą MVĮ ir startuoliams, todėl našta yra proporcinga organizacijos dydžiui.
Žmogaus priežiūros mechanizmai
DI aktas reikalauja, kad didelės rizikos DI sistemos būtų projektuojamos ir diegiamos taip, kad žmonės galėtų stebėti jų veiklos rezultatus, juos suprasti ir, kai reikalinga, įsikišti. Ši prievolė taikoma tiek teikėjams, tiek diegėjams, tačiau skirtingais būdais.
Teikėjai privalo įdiegti priežiūros funkcijas pačioje sistemoje, užtikrindami, kad ją naudojantys žmonės galėtų ją stebėti, sustabdyti arba perimti jos valdymą.
Diegėjai privalo priskirti priežiūrą konkretiems asmenims, turintiems kompetenciją, išsilavinimą ir įgaliojimus veikti. Priežiūra nėra pasyvus vaidmuo – paskirtas asmuo privalo sugebėti interpretuoti sistemos rezultatus ir prireikus priimti nepriklausomus sprendimus.
Jokia didelės rizikos DI sistema negali būti vienintelis sprendimų priėmėjas svarbiose situacijose. Žmogus visada privalo turėti galimybę peržiūrėti ir, jei reikia, pakeisti rezultatą.
Registracija ES duomenų bazėje
Prieš diegiant didelės rizikos DI sistemą, jos teikėjai privalo ją užregistruoti viešai prieinamoje ES duomenų bazėje, kurią tvarko Europos Komisija. Taip sukuriama centralizuota duomenų bazė, prie kurioje informaciją gali pasiekti ir reguliavimo institucijos, ir įprasti žmonės.
Registruojantis reikia pateikti pagrindinę informaciją apie sistemą: kontaktinius duomenis, aprašymą, kokias užduotis sistema atlieka ir kaip veikia, jos dabartinę būklę bei ES atitikties deklaracijos kopiją. Jei sistema buvo įvertinta trečiosios šalies, taip pat reikia pridėti atitinkamą sertifikatą. Registracija turi būti nuolat atnaujinama per visą sistemos gyvavimo ciklą.
Diegėjams, kurie yra viešosios valdžios institucijos, taikomas papildomas reikalavimas: jei sistema, kurią jie ketina naudoti, nėra įregistruota duomenų bazėje, jos naudoti negalima.
Sistemos veikimo stebėjimas ir veiklos registravimas
Diegėjai privalo stebėti didelės rizikos DI sistemų veikimą visą jų naudojimo laiką ir tvarkyti jų veikimo žurnalus. Žurnalai turi būti saugomi ne trumpiau kaip šešis mėnesius, išskyrus atvejus, kai kiti taikytini teisės aktai numato ilgesnį saugojimo laikotarpį.
Stebėjimas nėra pasyvus duomenų registravimas. Jei diegėjas nustato, kad sistema kelia riziką, jis privalo apie tai informuoti tiekėją ir atitinkamą rinkos priežiūros instituciją bei, jei būtina, sustabdyti sistemos naudojimą.
Darbuotojų mokymas ir žinios apie DI
Kiekvienas jūsų organizacijos darbuotojas, dirbantis su DI sistemomis, privalo pakankamai gerai suprasti, ką šios sistemos daro, kaip jos veikia ir kokie yra jų apribojimai. Tai nereiškia, kad jie turi būti ekspertai, tačiau turi gebėti sąmoningai naudotis sistemomis.
Kalbant apie didelės rizikos sistemas, asmenys, kuriems pavesta priežiūra, privalo būti pakankamai kompetetingi ir būti apmokyti, kad galėtų interpretuoti rezultatų išvadas ir prireikus įsikišti. Kitiems organizacijos darbuotojams keliamas reikalavimas – turėti pakankamai žinių apie DI priklausomai nuo jų užimamų pareigų.
Pranešimas apie rimtus incidentus
Didelės rizikos DI sistemų teikėjai privalo pranešti apie rimtus incidentus rinkos priežiūros institucijai toje valstybėje narėje, kurioje incidentas įvyko. Standartinis pranešimo terminas yra 15 dienų nuo to momento, kai sužinoma apie incidentą. Dėl plačiai paplitusių incidentų terminas yra 2 dienos, o mirties atveju – 10 dienų.
Diegėjai, sužinoję apie rimtą incidentą, privalo nedelsdami informuoti teikėją. Jei su teikėju susisiekti nepavyksta, diegėjas praneša tiesiogiai atitinkamoms institucijoms.
DI kuriamo turinio žymėjimas ir vartotojų informavimas
Organizacijos, naudojančios ribotos rizikos DI sistemas, turi dvi skaidrumo prievoles. Vartotojai turi būti informuojami, kai jie sąveikauja su DI sistema. Tai taikoma pokalbių robotams ir bet kokioms sistemoms, kurias galima supainioti su žmogumi. DI sukurtas turinys, įskaitant tekstą, vaizdus, garso įrašus ir vaizdo įrašus, turi būti atitinkamai pažymėtas.
Išvada
Šios prievolės gali atrodyti sudėtingos. Praktikoje dauguma organizacijų mano, kad sunkiausia yra ne pačios prievolės, o tai, nuo ko pradėti. Jei peržiūrėjote atitikties kontrolinį sąrašą ir nustatėte savo rizikos lygį, jau turite viską, ko reikia tinkamai pradžiai.