Zasady spisane raz starzeją się razem z narzędziami. Przegląd raz w roku wystarcza, o ile faktycznie się odbywa.
Co sprawdzamy
- czy rejestr zastosowań jest aktualny,
- czy praktyka odpowiada spisanym zasadom,
- czy warunki dostawców się nie zmieniły,
- czy dostępy odpowiadają obecnym stanowiskom,
- czy pojawiły się nowe wymogi prawne.
Lista jest krótka celowo. Przegląd ma się zmieścić w jednym popołudniu, bo taki się odbędzie. Rozpisany na tygodnie zostanie przełożony i nie wróci.
Rozmowa zamiast ankiety
Kilka rozmów z zespołem ujawnia zastosowania, których nie ma w żadnym rejestrze. Ankieta pokazuje stan deklarowany.
Pytanie warto zadać wprost i bez oceniania: z czego korzystasz i co ci to daje. Odpowiedzi bywają zaskakujące, zwłaszcza w działach, które nie zgłaszały żadnych potrzeb. Zebrane pozycje trafiają potem do rejestru zastosowań, także te, które trzeba będzie wycofać.
Zmiany u dostawców
Warunki usług zmieniają się kilka razy w roku, zwykle bez wyraźnego powiadomienia. Sprawdzenie zapisów o danych należy do przeglądu.
Sprawdzamy trzy rzeczy: czy dane nadal nie są wykorzystywane do rozwoju modelu, czy okres przechowywania się nie wydłużył i czy nie zmieniła się lista dalszych podmiotów. Jeśli coś się zmieniło, ocenę skutków zostawiamy prawnikowi albo inspektorowi ochrony danych, a sami odnotowujemy fakt i datę.
Zasady wobec praktyki
Reguła notorycznie omijana jest źle napisana. Przegląd jest właściwym momentem, żeby ją zmienić, a nie egzekwować mocniej.
Omijanie reguły to informacja, nie przewinienie. Zwykle znaczy, że reguła blokuje pracę albo że nikt nie dał alternatywy. Poprawiona zasada ma szansę być przestrzegana. Zaostrzona — przenosi użycie tam, gdzie nikt go nie widzi.
Nowe wymogi
Regulacje dotyczące AI wchodzą etapami. Warto raz w roku sprawdzić, czy któryś obowiązek zaczął dotyczyć firmy.
Tego punktu nie da się odhaczyć samodzielnie. Pytanie, czy coś nowego dotyczy tej konkretnej firmy i tych konkretnych zastosowań, kierujemy do prawnika albo inspektora ochrony danych. Rozmowa jest krótka, jeśli przychodzi się na nią z aktualnym rejestrem zastosowań zamiast z ogólnym opisem działalności.
Wynik
Krótka lista rzeczy do poprawienia z terminami i osobami. Przegląd bez takiej listy jest spotkaniem, nie kontrolą.
Lista powinna mieć kilka pozycji, nie kilkanaście. Przy dłuższej nic się nie wydarzy. Warto też sprawdzić przy okazji, czy dostępy do narzędzi odpowiadają obecnym stanowiskom — to zwykle najszybsza część całego przeglądu i najczęściej przynosi konkretne zmiany.
Kto go prowadzi
Jedna osoba z wyznaczoną datą, a nie zespół bez gospodarza. Przegląd, za który odpowiadają wszyscy, nie odbywa się. Ta osoba nie musi znać się na przepisach — jej zadaniem jest zebrać fakty i doprowadzić do rozmowy z prawnikiem albo inspektorem ochrony danych tam, gdzie coś budzi wątpliwość. Przy okazji warto sprawdzić, czy ścieżka zgłaszania incydentów nadal wskazuje właściwe osoby, bo to informacja, która starzeje się najszybciej.
