قائمة فحص للأمان والخصوصية لوكيل ذكاء اصطناعي

الفصل وملكية البيانات

• هل بياناتكم مفصولة عن بقية عملاء المورّد، وكيف.
• هل تُستخدم البيانات لتدريب النماذج، سواء نماذج المورّد أو نماذج طرف ثالث.
• أين تُخزَّن البيانات وأين تُحفظ النسخ الاحتياطية. الاثنان معًا، لا أحدهما فقط.
• من لدى المورّد يستطيع الوصول إلى المحتوى الخاص بكم، وفي أي ظروف.
• ماذا يحدث للمحتوى والبيانات عند انتهاء العقد، وبأي صيغة تصدير.

البيانات الشخصية في المحادثة

هذه هي النقطة الأقل تقديرًا. فالخطر لا يكمن فيما يُخزَّن فقط، بل أيضًا فيما يُدعى الشخص أصلًا إلى كتابته.

• هل يحذّر النظام من إدخال رقم الهوية أو بيانات الدفع.
• هل تُحجب المعرّفات مثل رقم هاتف WhatsApp، وأين يتم الحجب بالضبط.
• كم تُحفظ المحادثات، ومن يستطيع الاطلاع عليها.
• هل يمكن تحديد محادثة بعينها عند وصول طلب يتعلق بالخصوصية.
• هل توجد سياسة احتفاظ مكتوبة، لا مجرد تأكيد شفهي.

التحكم

• سجل التدقيق: من غيّر المحتوى أو الصلاحيات، ومتى.
• صلاحيات قائمة على الأدوار، بما في ذلك الفصل بين الأقسام.
• هل يمكن تحديد ردود ثابتة مسبقًا للمواضيع الحساسة.
• هل يمكن إيقاف النظام فورًا، ومن المخوّل بذلك.

أدلة يجدر طلبها

المبدأ: اطلبوا شيئًا يمكن التحقق منه، لا مجرد بيان. انتبهوا إلى الفرق بين نظام إدارة أمن معلومات مبني وفق معيار وشهادة سارية؛ والمورّد الذي يطمس هذا الفرق ينبغي أن يُطلب منه توضيحه.

• حزمة السياسات والإجراءات للمراجعة.
• نتائج فحوص أمنية خارجية، مع رابط يتيح لكم إعادة تشغيلها.
• بيان صريح: نظام إدارة أمن معلومات وفق المعيار، أو شهادة سارية. لا تقبلوا صياغة غامضة.
• وصف للمراقبة والنسخ الاحتياطي واستمرارية العمل، وما الذي جرى اختباره فعلًا لا ما جرى التخطيط له فقط.