פתרונות / המצב
הוספתם AI למוצר. השאלות הגיעו שלושה חודשים אחר כך.
המודל נכנס למוצר כי הוא שיפר את המוצר. אף אחד לא כתב על אילו נתונים הוא אומן, מי סוקר את הפלטים שלו, מה קורה כשהוא טועה, או לגבי אילו מהמשתמשים של הלקוחות שלכם הוא מחליט משהו. עכשיו קונה ארגוני רוצה את מדיניות ממשל ה-AI שלכם, ול-EU AI Act יש חובות שתלויות בתשובות שמעולם לא נדרשתם לתת.
ה-EU AI Act נכנס לתוקף בהדרגה, וחובותיו זולגות במורד שרשרת האספקה: צוות הציות של הלקוח שלכם חייב לסווג את השימוש שלו ב-AI, וכדי לעשות זאת הוא צריך תיעוד מכם. ISO 42001 מתגבש כדרך לענות על זה פעם אחת במקום ללקוח-ללקוח. השוק הזה בקושי מתחרה. היכולת לענות היא כרגע יתרון מבדל.
מה זה עולה לכם
- פיצ'ר AI שבניתם כדי לזכות בעסקאות מתחיל לחסום אותן, כי אתם לא יכולים לתעד אותו.
- סיווג אינו אופציונלי: האם הפיצ'ר שלכם בסיכון מינימלי או בסיכון גבוה משנה את חובותיכם לחלוטין, ואף אחד בחברה לא יודע מה מהם.
- כל קונה ארגוני שואל גרסה מעט שונה של אותה שאלה, והמהנדסים שלכם עונים עליה מאפס בכל פעם.
- התנהגות המודל משתנה עם כל אימון מחדש וכל עדכון ספק, כך שכל תשובה שאתם נותנים נכונה רק עד השחרור הבא.
מה אנחנו עושים
אנחנו ממפים את ה-AI שיש לכם
מודלים במוצר, ממשקי API של צד שלישי, מודלים מוטמעים בכלים שהצוותים שלכם אימצו בלי לספר לאף אחד. אתם לא יכולים לנהל ממשל על מה שאינו ברשימה, והרשימה תמיד ארוכה מהצפוי.
אנחנו מסווגים כל שימוש לפי ה-EU AI Act
אסור, סיכון גבוה, סיכון מוגבל, סיכון מינימלי, והאם אתם ספק (provider) או מפעיל (deployer). קביעה אחת זו מניעה כל חובה שבאה אחריה, וטעות בה יקרה בשני הכיוונים.
אנחנו בונים את הממשל שהקונים מבקשים
מדיניות AI, פיקוח אנושי, ממשל נתונים, הודעות שקיפות, תיעוד לוגים, טיפול באירועים עבור כשלי מודל, והתיעוד הטכני שצוות הציות של הלקוח שלכם צריך מכם.
ISO 42001, אם זה שווה לכם
מערכת ניהול AI שאתם יכולים להסמיך, אותו טריק ש-ISO 27001 מבצע עבור אבטחה: לענות פעם אחת, להציג לכולם.
אנחנו שומרים על זה נכון לאורך אימונים מחדש
ממשל שנכתב פעם אחת מתיישן עד גרסת המודל הבאה. ה-ROC שומר על המלאי, הסיווגים והתיעוד מעודכנים ככל שהמוצר משתנה.
האם ה-EU AI Act חל על חברה ישראלית?
כן, אם מערכת ה-AI שלכם מוצבת בשוק האירופי או שהפלט שלה נעשה בו שימוש באיחוד האירופי, אותה לוגיקה חוץ-טריטוריאלית כמו GDPR. חובותיכם תלויות בתפקידכם (ספק או מפעיל) ובסיווג הסיכון של השימוש הספציפי. בפועל, רוב חברות התוכנה הישראליות B2B מרגישות את זה קודם דרך הלקוחות שלהן: הקונה האירופי חייב לסווג את השימוש שלו עצמו בפיצ'ר ה-AI שלכם, והוא לא יכול לעשות זאת בלי תיעוד מכם.
מה זה ISO 42001 והאם אנחנו צריכים אותו?
ISO 42001 הוא התקן הבינלאומי למערכת ניהול AI, המקבילה של ISO 27001 בתחום הממשל, אך עבור AI: מלאי, הערכת סיכונים, פיקוח אנושי, ממשל נתונים, שקיפות וניטור רציף של מערכות AI. הוא אינו חובה משפטית. הוא הופך לדרך המעשית לענות על בדיקת נאותות AI ארגונית פעם אחת ולא ללקוח-ללקוח, והוא ממופה בצמוד למה שה-EU AI Act דורש מספקים לתעד.
איזה תיעוד AI לקוחות ארגוניים מבקשים?
בדרך כלל: מלאי של מערכות ה-AI במוצר שלכם, סיווג הסיכון של כל אחת, על אילו נתונים המודלים אומנו או מקבלים בזמן היסק, האם נתוני לקוחות משמשים לאימון, היכן ממוקם הפיקוח האנושי, איך כשלי מודל מזוהים ומטופלים, ואילו ספקי מודלים של צד שלישי נמצאים בשרשרת האספקה שלכם. חברות שיכולות להפיק את זה במסמך סוגרות מהר יותר מחברות שעונות על זה מאפס בכל סקירת אבטחה.