Jak prověřit AI nástroj před nasazením

Nejdřív určete práci, pro kterou nástroj vybíráte

Ukázka může vypadat přesvědčivě, zvlášť když nástroj během chvíle připraví návrh práce, kterou běžně děláte ručně. Před nákupem si ale vyberte konkrétní práci, na které ho vyzkoušíte. Pro návrh textu potřebujete jiné přístupy než pro změny záznamů a jinak budete řešit případnou chybu. Pokud dodavatel neumí doložit, co se stane s vašimi vstupy, zůstaňte při zkoušce u smyšlených dat.

Schválení formulujte konkrétně. Například příprava interního návrhu ze schválených podkladů s kontrolou člověkem. Připojení schránky nebo automatické odesílání zpráv posuďte jako rozšíření tohoto použití. Pro zápis pravidel navazuje AI playbook se vzorem ke stažení.

Zjistěte, co služba skutečně dostane

Projděte tok dat od zadání po výsledek. Zahrňte vložený text, soubory, obsah připojených aplikací a provozní záznamy. Ptejte se, které údaje nástroj potřebuje pro vybranou práci. Nepřipojujte celý disk jen proto, že integrace takovou možnost nabízí.

Oddělte používání dat pro trénování od jejich uchování. Ověřte délku uchování pro historii, nahrané soubory i další dostupné funkce. U osobních údajů posuďte nezbytnost a oprávněnost použití. EDPB popisuje minimalizaci a omezení uchování. Smazání jména samo nemusí zabránit identifikaci člověka.

Prověřte podmínky konkrétního tarifu

Uložte reference na podmínky služby, pravidla použití dat a dostupné smluvní dokumenty. Zaznamenejte datum kontroly a tarif. Marketingové tvrzení o bezpečnosti porovnejte s tím, co platí pro funkce, které budete používat. Rozhodnutí neopírejte o nastavení jiného produktu stejné značky.

Zjistěte příjemce dat, dostupná místa zpracování a role dodavatelů. Pokud dochází k předávání osobních údajů mimo EHP, posuďte podmínky takového předávání. EDPB vysvětluje příslušné požadavky. Výběr evropského úložiště sám neodpoví na všechny otázky o přístupu a dalších příjemcích.

NCSC doporučuje průběžně posuzovat dodavatelský řetězec AI. Prověřte také způsob oznámení incidentu, změny podmínek a omezení či ukončení služby. Chybějící odpověď zapište jako otevřenou otázku, nikoli jako splněnou kontrolu.

Omezte přístupy podle skutečného úkolu

Každému uživateli dejte vlastní účet a potřebná oprávnění. U integrací rozlišujte čtení od zápisu. Ověřte, zda služba respektuje přístupy ke konkrétním dokumentům a jak je odeberete. Seznam souborů, které uživatel nesmí otevřít, patří do testů.

Pro citlivé akce připravte samostatné potvrzení a kontrolu v systému, který akci vykonává. Pokyn v zadání nenahrazuje autorizaci. Doporučení NCSC pro nasazení AI zahrnují zabezpečení infrastruktury a připravenost na incidenty. Zvažte i možnost rychle odpojit nástroj od zdrojů dat.

Ověřte běžnou práci, chybu i chybějící podklad

Na zkoušku si vezměte úlohy, které ve své práci znáte, se smyšlenými nebo schválenými daty. Budete tak umět posoudit odpověď i poznat, zda nástroj přizná chybějící informaci. Do porovnání započítejte čas na kontrolu a opravy i cenu služby. Teprve nad vlastními podklady zjistíte, kolik práce po vytvoření návrhu zbývá.

Pokud potřebujete vlastní vyhledávání nad dokumenty, navazuje návrh RAG s přístupovými právy. U nástrojů pracujících s externím obsahem zahrňte i testy podvržených pokynů.

Zapište rozhodnutí a připravte ukončení služby

Schválení má obsahovat účel, nástroj a tarif, povolená data, oprávnění a odpovědného vlastníka. Přidejte otevřené otázky, omezení pilotu a podmínky rozšíření. Pravidla pro osobní údaje nebo jiné závazky posuďte podle konkrétního použití. Technická zkouška sama toto posouzení nenahradí.

Před nasazením zjistěte, jak získáte své podklady zpět, zrušíte přístupy a ověříte odstranění dostupných kopií podle podmínek služby. Pro důležitou práci připravte náhradní postup bez AI. Změna funkcí, připojených zdrojů nebo podmínek má vyvolat novou kontrolu, které se týká.