它涵蓋治理、風險評估與人工監督、系統實施與管理，以及與持份者的溝通。落到日常工作，就是四份文件。
- 在用 AI 系統的清冊，附負責人。
- 每個系統的風險與影響評估。
- 涵蓋員工與供應商的可接受使用政策。
- 人工監督決定的紀錄。
對你的意義
你不需要一個框架項目，你需要四份文件與一位具名負責人。這就是半天回覆問卷與一個月回覆問卷的分別。
四份文件
一份 AI 使用清冊、每個系統的風險與影響評估、一份員工可接受使用政策，以及監督決定的紀錄。
若投訴到達 PCPD，第一條問題通常是你有沒有依循自己的政策。若你拿不出政策或紀錄，這份自願指引實際上就變成你未能通過的標準。
資料來源
PCPD, Artificial Intelligence: Model Personal Data Protection Framework, 11 June 2024 — pcpd.org.hk