Cum demonstrezi conformitate AI Act la un audit de client enterprise?

Începe prin a separa două întrebări. Articolul 4 cere furnizorilor și deployerilor să ia măsuri care susțin un nivel suficient de alfabetizare AI. Un audit de client poate cere materiale suplimentare de guvernanță prin procesul propriu de furnizori, securitate sau contractare. Un dosar de dovezi poate ajuta în ambele situații, dar este o recomandare practică, nu un certificat sau o garanție de conformitate legală.

Întrebări la care poate răspunde dosarul

Întrebările exacte depind de client și contract. Un dosar util de pregătire poate răspunde la întrebări precum:

• Ce tooluri AI folosesc angajații voștri și pe ce tip de conturi?
• Ce date de-ale noastre ar putea intra în acele tooluri și ce împiedică asta?
• Cum sunt instruiți angajații pentru utilizare responsabilă a AI și când s-a întâmplat ultima dată?
• Cum e verificat outputul generat de AI înainte să ajungă la noi?
• Ce se întâmplă când ceva merge prost: cine e anunțat, care e procesul?

Articolul 4 nu creează o certificare obligatorie. El cere măsuri proporționale de alfabetizare AI. Comisia Europeană spune că organizațiile pot păstra evidențe interne despre training și îndrumări, precizând că nu este cerut un certificat anume. Aceste evidențe arată acțiunile întreprinse. Nu dovedesc că toate obligațiile din AI Act sau din contract au fost îndeplinite.

Dosarul de dovezi, piesă cu piesă

1. Inventarul de tooluri. O listă datată a toolurilor AI folosite, tipurile de cont (enterprise vs personal) și ce echipe le folosesc pentru ce.
2. Politica de utilizare AI. Două până la patru pagini care acoperă tooluri aprobate, limite de date, obligații de verificare și responsabilități. Structura e în template-ul nostru de politică.
3. Evidențele de training. Cine a fost instruit, când, pe ce conținut și cum reflectă conținutul rolul și contextul.
4. Standardul de verificare. Regula scrisă pentru cum se verifică outputul AI înainte de utilizare și cine semnează pentru munca ce ajunge la client.
5. Traseul de incident. O procedură scurtă: ce contează ca incident AI (date lipite unde nu trebuie, output neverificat trimis), cine e anunțat, ce urmează.

Ce nu dovedește acest dosar

Dosarul nu dovedește singur conformitatea cu AI Act, legislația privind protecția datelor, un contract de client sau un standard de securitate. El organizează fapte pe care compania le poate verifica intern și le poate prezenta când un client le cere. Specialiștii juridici, de privacy și securitate trebuie să evalueze obligațiile aplicabile sistemelor, datelor și contractului concret.

Întrebări frecvente

Există o certificare oficială EU AI Act pe care o putem cumpăra?

Nu. Articolul 4 nu creează o certificare generală obligatorie. Comisia spune că organizațiile pot păstra evidențe interne despre training și îndrumări, dar nu cere un certificat anume.

Suntem un furnizor mic. Ne ajută proporționalitatea?

Da. Articolul 4 face explicit relevant contextul, inclusiv cunoștințele tehnice, experiența, educația și trainingul oamenilor, contextul utilizării AI și persoanele afectate. Dosarul practic trebuie adaptat acelui context.

Dacă angajații folosesc AI informal și spunem asta?

Înregistrează toolurile și taskurile reale, decide ce utilizări sunt aprobate și definește regulile și trainingul necesare. Nu declara utilizare zero dacă această afirmație nu a fost verificată.

Cum se leagă trainingul de trecerea unui audit?

Evidențele de training pot arăta cine a primit îndrumare, când și pe ce teme. Sunt o parte a dosarului practic, alături de inventarul de tooluri, politică, regulile de verificare și traseul de incident.

Surse

• Comisia Europeană, AI Literacy, Questions & Answers
• EUR-Lex, Regulamentul (UE) 2024/1689 (AI Act)

Pasul următor

Începe dosarul de dovezi cu template-ul de politică de utilizare AI sau măsoară poziția curentă cu Scorul de Adopție AI, gratuit.