Първият въпрос на ИТ и информационната сигурност към всеки AI проект е един и същ: „Къде отиват данните ни?“. Добре е, че го задават. AI работи с договори, записи на срещи, клиентски данни и отчети. Ако тези данни изтекат или се ползват неправилно, щетата е по-голяма от всяка спестена минута.
Сигурността при AI не е магия и не е само въпрос на доверие в доставчика. Тя се състои от няколко конкретни решения, които можете да проверите. Ето кои са те.
Къде се хостват данните
Първото решение е физическо: къде се обработват и съхраняват данните. За компания в България отговорът, който търсите, е „в ЕС“. Това се отнася и за сървъра на приложението, и за базата, и за архивите, и за самите AI модели, когато обработват лични данни.
Питайте конкретно: кой е доставчикът на хостинга, в коя държава е центърът за данни, къде са архивите. „В облака“ не е отговор.
Какъв достъп има AI до ключовите системи
Второто решение е архитектурно. AI не трябва да има директен достъп до ERP, CRM или счетоводната система. Правилният модел е AI да работи „отгоре“:
- получава само данните, нужни за конкретната задача;
- връща резултат (документ, отчет, предложение), а не записва директно;
- записът в системите минава през ясни правила и през одобрение от човек;
- достъпът е през отделен потребител или API ключ с ограничени права, съгласуван с ИТ.
Така дори при грешка AI не може да промени данни в ядрото на компанията.
Синтетични данни в демото
Третото решение е за началото. Не е нужно да давате истински данни, за да видите дали AI помага. В демото работим със синтетични данни: измислени, но реалистични записи и документи, които имат същата форма като вашите. Истинските данни влизат едва в пилота, при подписан договор и NDA.
Ако доставчик иска достъп до реални клиентски данни още за демото, попитайте защо.
Дневник на действията
Четвъртото решение е за контрола. Всяка стъпка на AI и всяко одобрение от човек се записват в дневник: кой, кога, какво. Това е нужно за вътрешен одит, за регулираните браншове (финанси, застраховане) и просто за спокойствие. Когато нещо се обърка, дневникът показва къде.
GDPR и договорите
Петото решение е правно. Когато доставчикът обработва лични данни от ваше име, трябва да има договор за обработка на данни. В него се описва какви данни, за каква цел, колко време се пазят и кой има достъп. Добре е да включите длъжностното лице по защита на данните още в анализа, не след пилота.
NDA покрива останалото: бизнес информацията, шаблоните, процесите. Затова, когато показваме наш реален кейс, говорим за процеса и нашите измервания, без името на клиента, системите му и вътрешните му числа.
Какво става, когато AI сгреши
Шестото решение е за грешките, защото те ще има. Езиковите модели понякога „досмислят“: попълват празно място с правдоподобен, но грешен текст. Защитата е в процеса, не в надеждата:
- неясното не се попълва, а се маркира „За проверка“ с цитат от източника;
- човек одобрява всеки документ, преди да излезе или да влезе в системата;
- отговорността за решението остава при човека; AI подготвя.
В пилота мерим и точността: колко документа минават без корекция и какви са корекциите. Тези числа са по-полезни от всяко обещание.
Кратък списък за ИТ
Преди да започнете, поискайте писмен отговор на тези въпроси:
- Къде се хостват и архивират данните? В ЕС ли са?
- Кои AI модели се ползват и къде обработват данните?
- Има ли AI директен достъп до ERP, CRM или счетоводството?
- С какви права е достъпът и кой го одобрява?
- Какви данни се ползват в демото?
- Има ли дневник на действията на AI и на одобренията?
- Има ли договор за обработка на данни и NDA?
- Какво става с данните след края на договора?
Накратко
Сигурният AI в компанията е AI в ЕС, без директен достъп до ключовите системи, със синтетични данни в демото, с дневник и с човек, който одобрява. Всичко това може да се провери, преди да сте дали и един истински запис.
Ако искате да видите тези правила в работещо решение, заявете демо или прочетете как пазим данните.