«Жасанды интеллект туралы» заң және №832 қаулы: ЖИ жүйесіне қойылатын талаптар

Мемлекеттік орган, квазимемлекеттік компания немесе қаржы ұйымы ЖИ жүйесін сатып алғанда, техникалық тапсырмада әдетте «ҚР заңнамасының талаптарына сәйкестік» деген жол болады. Оның артында нақты не тұрғанын көбіне тапсырыс беруші де, жеткізуші де білмейді. Бұл чек-парақ — талаптарды тексерілетін тармақтарға жіктеу әрекеті. Ол корпоративтік енгізулер үшін сәйкестік матрицаларын дайындаудағы тәжірибемізге негізделген.

Бірге қолданылатын екі акт

Ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (ҚР Үкіметінің №832 қаулысымен бекітілген) ақпараттандыру объектісінің өзін реттейді: ол қайда орналасқан, қолжетімділік қалай ұйымдастырылған, журналдар қалай жүргізіледі, деректер қалай қорғалған. «Жасанды интеллект туралы» Заң (№230-VIII) ЖИ-ге тән қабатты қосады: тәуекелдерді жіктеу, иесі мен пайдаланушының міндеттері, адамдарды ЖИ-мен әрекеттесу туралы хабардар ету, жекелеген функцияларға тыйым салу.

Бірінші акт «жүйе қауіпсіз бе» деген сұраққа, екіншісі «ол ЖИ-ді жауапкершілікпен қолдана ма» деген сұраққа жауап береді. Екеуін де тексеру қажет.

1-блок. Қорғауды ұйымдастыру (БТ, ұйымдастырушылық талаптар)

• Ақпараттандыру объектісінің сыныбы анықталған. Көп факторлы аутентификацияның міндеттілігі мен криптографиялық қорғау деңгейі сыныпқа байланысты — сондықтан сыныпты тапсырыс беруші енгізуден кейін емес, енгізуге дейін беруі керек.
• Құжатталған ақпараттық қауіпсіздік саясаты, рөлдер және жүйеге жауапты адамдар бар.
• Оқиғалар журналдары белгіленген мерзімнен кем емес уақыт жергілікті сақталады және өзгертуден қорғалған.
• Криптографиялық қорғау құралдары қолданылады. Егер тапсырыс беруші ҚР СТ 1073 бойынша сертификатталған құралдарды талап етсе, мұны техникалық тапсырмада бекіту керек: сертификатталмаған стандартты AES-256 пен TLS қабылдаудан өтпеуі мүмкін.

2-блок. Қолданбалы бағдарламалық жасақтама (БТ, бағдарламалық жасақтамаға қойылатын талаптар)

• Пайдаланушыларды корпоративтік каталог арқылы сәйкестендіру және аутентификациялау; құпиясөз саясаты; сәтсіз әрекеттерден кейін бұғаттау; сессия таймауттары.
• Ең аз артықшылықтар қағидатымен рөлдер бойынша қолжетімділікті шектеу.
• Пайдаланушылар мен әкімшілердің әрекеттерін экспорттау мүмкіндігі бар журналға тіркеу.
• Қабылдау кезінде бастапқы кодты беру немесе эскроу — шартта жиі ескерусіз қалып, кейін қабылдау кезінде еске түсетін талап.

3-блок. Ақпараттық жүйе (БТ, АЖ-ге қойылатын талаптар)

• Тапсырыс берушінің деректерді өңдеу орталығында немесе орналастыру талаптарына сай инфрақұрылымда орналастыру.
• Белгіленген RTO мен RPO бар сақтық көшірме жасау және қалпына келтіру.
• Егер объект сыныбына қолданылатын болса, пайдалануға енгізер алдында ақпараттық қауіпсіздікке сынақ өткізу.
• Бақыланбайтын сыртқы қосылыстардың болмауы: ЖИ жүйесі үшін бұл модельдің сыртқы API-ге жүгінбейтінін білдіреді.

4-блок. ЖИ туралы заң: не қосылады

• Жүйені тәуекел деңгейі мен автономия деңгейі бойынша жіктеу және оны құжатпен ресімдеу (ЖИ жүйесінің паспорты).
• Пайдаланушыларды ЖИ жүйесімен әрекеттесіп жатқаны туралы хабардар ету және пайдалану басталғанға дейін пайдаланушы келісімі.
• Адамның араласу мүмкіндігі: құқықтық салдары бар шешімдер үшін — адамның міндетті қатысуы; диалогтық жүйелер үшін — операторға беру.
• Тыйым салынған функциялардың болмауы (манипуляция, адамдарды қорғалатын белгілері бойынша жасырын бағалау және т.б.).
• Көзделген жағдайларда ЖИ жасаған нәтижелерді таңбалау.
• Тәуекелдер паспортын мезгіл-мезгіл қайта қарау және модельді оқыту туралы мәліметтерді сақтау.

Чек-парақты қалай қолдануға болады

1. Сатып алу жарияланғанға дейін ақпараттандыру объектісінің сыныбын беріп, криптографиялық қорғау құралдары мәселесін шешіңіз — осы екі шешім талаптардың жартысын анықтайды.
2. Чек-парақтың әр тармағын техникалық тапсырмаға күтілетін дәлелімен (құжат, демонстрация, сынақ хаттамасы) тексерілетін талап ретінде енгізіңіз.
3. Жеткізушіден екі акт бойынша әр талаптың мәртебесі көрсетілген сәйкестік матрицасын сұраңыз: орындалды, орындалуда, негіздемесімен қолданылмайды.
4. Қабылдауды тек функционалдық тапсырыс берушімен емес, ақпараттық қауіпсіздік қызметі мен заң департаментінің қатысуымен өткізіңіз.

Біз әр корпоративтік енгізуге №832 Бірыңғай талаптар мен ЖИ туралы заңға сәйкестік матрицаларын қоса береміз. Егер сіз ЖИ жүйесіне техникалық тапсырма дайындап жатсаңыз, мұндай матрицаның нақты жобада қалай көрінетінін көрсете аламыз.

Мақала ақпараттық сипатта және заңдық кеңес болып табылмайды. Қолданар алдында әр актінің қолданыстағы редакциясын тексеріңіз.