Стаття 12 Закону ЄС про ШІ: вимоги до ведення журналу та аудиторського звіту

Що вимагає стаття 12

Високоризикові системи ШІ повинні бути розроблені таким чином, щоб забезпечувати автоматичний запис подій («журнали») протягом усього терміну служби системи. Журнали повинні забезпечувати достатню простежуваність для післяпродажного моніторингу, регуляторних перевірок та людського контролю, як передбачено у статті 14.

Стаття 12 є однією з небагатьох вимог Закону ЄС про ШІ, яка вимагає наявності технічних можливостей, а не лише документації щодо процесів — ваша система ШІ повинна фактично створювати ці записи під час її роботи.

Що повинен містити ваш аудит

Журнали, що ведуться відповідно до статті 12, повинні містити достатню кількість деталей для відтворення того, як і чому приймалися рішення:

• Ведення журналу на рівні подій з надійними мітками часу
• Вхідні дані, отримані системою ШІ, та вихідні дані, що генеруються
• Внутрішні етапи процесу (обговорення, проміжні рішення, оцінка політики)
• Дії, що виконуються людиною: затвердження, скасування, передача на вищий рівень
• Дані про стан системи, достатні для відтворення контексту прийняття рішення
• Аномальні події та їх обробка

Технічні вимоги

У нормативному акті визначено кілька технічних характеристик, яким повинна відповідати ваша інфраструктура ведення журналів:

• Автоматичне ведення журналів — ручне введення записів у журнал не відповідає вимогам статті 12
• Надійний, повний запис подій
• Безпечне зберігання, захищене від несанкціонованого доступу
• Термін зберігання, пропорційний призначенню та профілю ризиків
• Можливість експорту у формати, придатні для перевірки регуляторними органами

Найбільш поширені недоліки у відповідності вимогам

Виходячи з нашого досвіду роботи з командами, що розробляють системи ШІ для підприємств, ось найчастіші недоліки у відповідності вимогам статті 12:

• Ведеться облік лише вихідних даних, а не обґрунтування, яке їх створило
• Відсутні або неповні записи про скасування дій людиною
• Зберігання журналів, яке можна змінювати, і яке не відповідає вимогам щодо захисту від несанкціонованого доступу
• Занадто короткі терміни зберігання для регуляторних перевірок
• Відсутність структурованого експорту — лише запити до бази даних, що виконуються вручну

Технічна документація, що передбачена статтею 11 та Додатком IV

Стаття 11 вимагає наявності технічної документації, яка разом із журналами, що ведуться відповідно до статті 12, демонструє відповідність вимогам.

У Додатку IV зазначено структуру: опис системи, передбачуване призначення, вибір дизайну, дані для навчання та тестування, процедури перевірки, моніторинг та самі журнали. Розглядайте ці два аспекти як один робочий процес.