6. Принцип ответственного управления рисками

6.1. Организациям рекомендуется организовать и осуществлять управление рисками при разработке и применении искусственного интеллекта в рамках общей системы управления рисками в организации.

6.2. В рамках организации управления рисками при разработке и применении искусственного интеллекта организациям рекомендуется с учетом особенностей вида и масштаба ее деятельности, организационной структуры, существующей системы управления рисками и характера услуг, оказываемых организацией, разработать и утвердить правила управления рисками искусственного интеллекта, являющиеся составной частью применяемых документов об управлении рисками в организации, или в виде самостоятельного документа, а также назначить лицо или подразделение, ответственное за соблюдение указанных правил и соответствие их настоящему Кодексу.

6.3. Организациям рекомендуется при управлении рисками искусственного интеллекта обеспечить следующие процессы:

1) учет применяемых моделей искусственного интеллекта;

2) выявление рисков искусственного интеллекта;

3) оценка и присвоение уровня риска искусственного интеллекта;

4) мониторинг и контроль рисков искусственного интеллекта;

5) минимизация выявленных рисков искусственного интеллекта;

6) реагирование на реализовавшиеся риски искусственного интеллекта (далее - риск-события);

7) ведение базы риск-событий.

6.4. В рамках учета применяемых моделей искусственного интеллекта организациям рекомендуется вести централизованный учет моделей искусственного интеллекта и случаев их применения с учетом присвоенного уровня риска искусственного интеллекта.

6.5. В рамках выявления рисков искусственного интеллекта организациям рекомендуется документировать информацию о порядке разработки искусственного интеллекта, включая описание процесса разработки искусственного интеллекта, использованных при разработке наборов данных, сведения об условиях применения искусственного интеллекта, лицах, ответственных за применение искусственного интеллекта в организации, а также анализировать указанную информацию на предмет наличия рисков искусственного интеллекта.

6.6. В рамках оценки и присвоения уровня риска искусственного интеллекта организациям рекомендуется сформировать систему факторов риска и уровней риска, присваивать уровни риска разрабатываемому и применяемому искусственному интеллекту с учетом установленных факторов риска.

6.7. При присвоении уровня риска искусственного интеллекта рекомендуется учитывать следующие факторы риска:

1) сфера применения искусственного интеллекта (например, применение искусственного интеллекта при оказании услуг клиентам, в системах управления рисками, при управлении имуществом организации, в критически важных процессах организации, в процессах, для которых установлены требования операционной надежности);

2) использование при разработке искусственного интеллекта данных ограниченного доступа;

3) размер убытков или ущерб деловой репутации, которые могут быть причинены организации в случае реализации риска;

4) количество клиентов, при оказании услуг которым применяется искусственный интеллект;

5) объяснимость решений, принимаемых искусственным интеллектом;

6) применение искусственного интеллекта, разработанного третьим лицом;

7) использование наборов данных, полученных от третьих лиц, или наборов данных, находящихся в открытом доступе в информационно-телекоммуникационной сети "Интернет";

8) наличие риск-событий, связанных с применением искусственного интеллекта.

6.8. В рамках мониторинга и контроля рисков искусственного интеллекта организациям рекомендуется регулярно проверять процессы, связанные с разработкой и применением искусственного интеллекта на предмет наличия рисков, а также осуществлять предварительный, текущий, последующий контроль рисков с учетом специфики конкретного случая применения искусственного интеллекта.

6.9. В рамках минимизации выявленных рисков искусственного интеллекта организациям рекомендуется определять меры, направленные на снижение уровня риска искусственного интеллекта, и лиц, ответственных за реализацию указанных мер, а также обеспечивать контроль сотрудников организации за решениями искусственного интеллекта, которому присвоен высокий уровень риска.

6.10. В рамках реагирования на реализовавшиеся риски искусственного интеллекта организациям рекомендуется определять типы риск-событий и принимать меры, направленные на минимизацию последствий риск-событий, а также обеспечить своим сотрудникам и клиентам возможность направления жалоб и сообщений о риск-событиях.

6.11. В рамках ведения базы риск-событий организациям рекомендуется выявлять риск-события и осуществлять их регистрацию с описанием риск-события, обстоятельств, повлекших наступление риск-события, а также приведением сведений о мероприятиях, направленных на минимизацию последствий риск-события, и статусе исполнения таких мероприятий.