Управление ИИ

В этой статье показано, как создать организационный процесс управления ИИ. Вы используете это руководство для интеграции управления рисками ИИ в более широкие стратегии управления рисками, создавая единый подход к ИИ, кибербезопасности и управлению конфиденциальностью. Этот процесс следует за платформой управления рисками искусственного интеллекта NIST (AI RMF) и сборником схем NIST AI RMF. Рекомендации соответствуют платформе в CAF Govern.

Оценка рисков организации ИИ

Оценка рисков ИИ определяет потенциальные риски, которые технологии ИИ вводятся в вашу организацию. Эта оценка создает доверие к системам искусственного интеллекта и снижает непредвиденные последствия. Необходимо проводить тщательные оценки рисков, чтобы обеспечить соответствие развертываний искусственного интеллекта значениям вашей организации, терпимости к рискам и операционным целям. Это делается следующим образом:

1. Поймите ваши нагрузки ИИ. Каждая рабочая нагрузка ИИ представляет уникальные риски, основанные на его цели, области и реализации. Необходимо уточнить конкретную функцию, источники данных и предполагаемые результаты для каждой рабочей нагрузки ИИ, чтобы эффективно сопоставить связанные риски. Задокументируйте любые предположения и ограничения, связанные с каждой рабочей нагрузкой ИИ, чтобы установить четкие границы для оценки рисков.

2. Используйте принципы ответственного искусственного интеллекта для выявления рисков. Принципы ответственного искусственного интеллекта предоставляют структурированную платформу для комплексной оценки рисков. Необходимо оценить каждую рабочую нагрузку ИИ в отношении этих принципов, чтобы определить потенциальные уязвимости и этические проблемы. Используйте следующую таблицу, чтобы руководствоваться процессом идентификации рисков:

   Принцип ответственного искусственного интеллекта	Определение	Вопрос о оценке рисков
   Конфиденциальность и безопасность ИИ	Рабочие нагрузки ИИ должны соблюдать конфиденциальность и быть безопасными.	Как рабочие нагрузки искусственного интеллекта обрабатывают конфиденциальные данные или становятся уязвимыми к нарушениям безопасности?
   Надежность и защита	Рабочие нагрузки искусственного интеллекта должны безопасно и надежно выполняться.	В каких ситуациях рабочие нагрузки ИИ не могут безопасно работать или создавать ненадежные результаты?
   Справедливость	Рабочие нагрузки ИИ должны относиться к людям справедливо.	Как рабочие нагрузки искусственного интеллекта могут привести к неравному обращению или непреднамеренной предвзятости в принятии решений?
   Инклюзивность	Рабочие нагрузки ИИ должны быть инклюзивными и обеспечивающими возможности.	Как определенные группы могут быть исключены или поставлены в невыгодное положение при проектировании или развертывании рабочих процессов с использованием ИИ?
   Прозрачность	Рабочие нагрузки ИИ должны быть понятными.	Какие аспекты принятия решений ИИ могут быть трудными для пользователей, чтобы понять или объяснить?
   Отчетность	Люди должны отвечать за рабочие нагрузки ИИ.	Где может быть неясно или трудно установить подотчетность в разработке или использовании искусственного интеллекта?

3. Определение конкретных рисков ИИ. Для идентификации рисков требуется системная оценка безопасности, операционных и этических уязвимостей. Необходимо оценить потенциальные нарушения данных, несанкционированный доступ, манипуляцию моделью и сценарии неправильного использования для каждой рабочей нагрузки ИИ. Обратитесь к заинтересованным лицам из разных отделов, чтобы выявить риски, которые технические группы могут игнорировать, и оценить как количественные последствия (финансовые потери, снижение производительности), так и качественные последствия (репутационный ущерб, доверие пользователей) для определения допустимости рисков вашей организации.

4. Определите риски от внешних зависимостей. Внешние зависимости вводят дополнительные векторы рисков, требующие тщательной оценки. Необходимо оценить риски от сторонних источников данных, моделей ИИ, библиотек программного обеспечения и интеграции API, от которые зависят рабочие нагрузки ИИ. Устранение потенциальных проблем, таких как уязвимости безопасности, проблемы с качеством данных, предвзятость во внешних наборах данных, конфликтах интеллектуальной собственности и надежности поставщиков путем установления четких политик, которые обеспечивают соответствие внешним зависимостям в соответствии со стандартами конфиденциальности, безопасности и соответствия требованиям организации.

5. Оцените риски интеграции. Рабочие нагрузки искусственного интеллекта редко работают в изоляции и создают новые риски при интеграции с существующими системами. Необходимо оценить, как рабочие нагрузки ИИ подключаются к текущим приложениям, базам данных и бизнес-процессам, чтобы определить потенциальные точки сбоя. Задокументируйте определенные риски, которые могут компрометировать общую функциональность системы, таких как:

   • Каскады зависимостей, в которых сбой искусственного интеллекта влияет на несколько систем.
   • Повышенная сложность системы, которая затрудняет устранение неполадок
   • Несовместимость формата данных
   • Узкие места производительности
   • Пробелы в безопасности в точках интеграции

Документы политик управления ИИ

Политики управления ИИ предоставляют структурированную платформу для ответственного использования ИИ в организации. Эти политики соответствуют действиям ИИ с этическими стандартами, нормативными требованиями и бизнес-целями. Необходимо задокументируйте политики, которые касаются определенных рисков искусственного интеллекта на основе допустимости рисков вашей организации. Ниже приведены примеры политик управления ИИ:

Применение политик управления ИИ

Применение политик управления ИИ поддерживает согласованные и этические методики ИИ в организации. Вы должны использовать автоматизированные средства и ручное вмешательство, чтобы обеспечить соблюдение политики во всех развертываниях ИИ. Это делается следующим образом:

1. Автоматизация применения политик по возможности. Автоматическое применение снижает человеческую ошибку и гарантирует согласованность приложений политики во всех развертываниях ИИ. Автоматизация обеспечивает мониторинг в режиме реального времени и немедленное реагирование на нарушения политики, с которыми ручные процессы не могут справиться эффективно. Используйте такие платформы, как Политика Azure и Microsoft Purview, чтобы автоматически применять политики в развертываниях ИИ, а также регулярно оценивать области, в которых автоматизация может повысить соблюдение политики.

2. Применять политики искусственного интеллекта вручную, когда автоматизация недостаточна. Ручное применение устраняет сложные сценарии, требующие человеческого решения, и обеспечивает необходимую подготовку для осведомленности о политике. Человеческий надзор обеспечивает адаптацию политик к уникальным ситуациям и поддерживает понимание организационных принципов управления ИИ. Предоставьте сотрудникам подготовку по рискам ИИ и соответствию требованиям, чтобы они понимали свою роль в управлении ИИ, проводили регулярные семинары, чтобы держать сотрудников обновленными в политиках ИИ, а также проводить периодические аудиты для отслеживания соблюдения и выявления областей для улучшения.

3. Используйте рекомендации по управлению, специально предназначенные для конкретной рабочей нагрузки, для целевого соблюдения. Рекомендации, относящиеся к рабочей нагрузке, рассматривают уникальные требования к безопасности и соответствию различным шаблонам развертывания ИИ. Этот подход обеспечивает соответствие политик технической архитектуре и профиле риска каждого типа рабочей нагрузки ИИ. Используйте подробные рекомендации по безопасности, доступные для рабочих нагрузок ИИ в службах платформы Azure (PaaS) и инфраструктуре Azure (IaaS), чтобы управлять моделями, ресурсами и данными в этих типах рабочих нагрузок.

   • Управление ИИ PaaS
   • Управление ИИ IaaS

Мониторинг рисков организации искусственного интеллекта

Мониторинг рисков определяет возникающие угрозы и гарантирует, что рабочие нагрузки искусственного интеллекта работают должным образом. Непрерывная оценка обеспечивает надежность системы и предотвращает негативные последствия. Необходимо установить систематический мониторинг для адаптации к изменяющимся условиям и устранению рисков, прежде чем они влияют на операции. Это делается следующим образом:

1. Создайте процедуры для текущей оценки рисков. Регулярные оценки рисков обеспечивают раннее обнаружение возникающих угроз и ухудшения системы. Необходимо создать структурированные процессы проверки, которые привлекают заинтересованных лиц из всей организации, чтобы оценить более широкие последствия ИИ и обеспечить комплексное осведомленность о рисках. Планирование квартальных оценок рисков для рабочих нагрузок ИИ высокого риска и ежегодных оценок для систем низкого риска и разработки планов реагирования, которые описывают конкретные действия для различных сценариев риска, чтобы обеспечить быстрое устранение проблем при возникновении проблем.

2. Разработка комплексного плана измерения. Структурированный план измерения обеспечивает согласованную сбор и анализ данных во всех рабочих нагрузках ИИ. Необходимо определить четкие методы сбора данных, которые объединяют автоматизированное ведение журнала для операционных метрик с опросами и интервью для качественных отзывов пользователей и заинтересованных лиц. Установите частоту измерения на основе уровней риска рабочей нагрузки, фокусируя усилия мониторинга на областях высокого риска и создавая циклы обратной связи, использующие результаты измерения для уточнения оценок рисков и улучшения процессов мониторинга.

3. Количественно оцените и квалифицируйте риски ИИ систематически. Для измерения сбалансированного риска требуются как количественные метрики, так и качественные индикаторы, которые соответствуют конкретной цели и профиле риска каждой рабочей нагрузки. Необходимо выбрать соответствующие количественные метрики, такие как ставки ошибок, оценки точности и показатели производительности, а также качественные показатели, включая отзывы пользователей, этические проблемы и удовлетворенность заинтересованных сторон. Оцените производительность по сравнению с отраслевыми стандартами и нормативными требованиями для отслеживания надежности, эффективности и соответствия ИИ с течением времени.

4. Документируйте и фиксируйте результаты измерений на постоянной основе. Систематическая документация и отчетность повышают прозрачность и поддержку принятия обоснованных решений в организации. Необходимо создать стандартизированные отчеты, которые суммируют ключевые метрики, значительные результаты и любые аномалии, обнаруженные во время мониторинга. Поделитесь этими аналитическими сведениями с соответствующими заинтересованными лицами с помощью регулярных брифингов и использования результатов для уточнения стратегий устранения рисков, обновления политик управления и улучшения будущих развертываний искусственного интеллекта.

5. Создание процессов независимой проверки. Независимые проверки предоставляют объективные оценки, которые внутренние команды могут упустить из-за знакомства или пристрастия. Необходимо реализовать регулярные независимые проверки с помощью внешних аудиторов или непреднамеренных внутренних рецензентов, которые могут оценивать риски ИИ и соответствие объективно. Используйте результаты проверки, чтобы определить слепые пятна в оценках рисков, укрепить политики управления и проверить эффективность текущих подходов мониторинга.

Следующий шаг

Примеры устранения рисков искусственного интеллекта

В следующей таблице перечислены некоторые распространенные риски ИИ, а также стратегия устранения рисков и пример политики для каждой из них. Таблица не содержит полный набор рисков.