ISPnext beheert nextAI binnen een AI-managementsysteem dat is ingericht op ISO/IEC 42001. Op deze pagina is beschreven welke waarborgen gelden en wat dit betekent voor het gebruik van nextAI.
Algemene richtlijnen voor verantwoord gebruik van nextAI, waaronder menselijke controle en verantwoordelijkheden, zijn beschreven in het artikel NextAI - Verantwoord gebruik van nextAI.
1. Beoogd gebruik en grenzen
Elke nextAI-functionaliteit (Capability) wordt ontwikkeld met een duidelijk omschreven doel, doelgroep en toepassingsgebied. Vóór de ontwikkeling wordt vastgelegd:
- wie de Capability gebruikt, waarvoor en met welk verwacht resultaat;
- welk gebruik niet is toegestaan of buiten de scope valt;
- welke gebruikers, klanten of processen door de output kunnen worden geraakt;
- welke menselijke controle vereist is voordat de output wordt verwerkt.
Deze afbakening is de basis voor alle ontwerpbeslissingen en acceptatiecriteria die volgen.
2. Gegevensbescherming tijdens ontwikkeling
Bij de ontwikkeling van nextAI-functionaliteiten gelden de volgende waarborgen ten aanzien van gegevens:
- Prompts en klantdata worden niet onnodig gelogd.
- ISPnext en Microsoft gebruiken klantgegevens niet om de generatieve AI-modellen van nextAI te trainen. Zij verwerken klantgegevens volgens de contractuele, privacy- en beveiligingsafspraken.
- Per Capability wordt vastgelegd welke data wordt gebruikt, wat de herkomst is, hoe de kwaliteit en integriteit worden geborgd en wie toegang heeft.
- Wanneer trainingsdata niet van toepassing is, wordt dit expliciet en gemotiveerd vastgelegd.
NextAI maakt gebruik van Microsoft Azure AI-diensten binnen de door ISPnext beheerde Azure-omgeving. De verwerking van klantgegevens vindt plaats binnen de toepasselijke contractuele, privacy- en beveiligingsafspraken.
3. Modellen en afhankelijkheden
ISPnext beheert actief de AI-modellen en technische afhankelijkheden waarop nextAI is gebaseerd:
- Modelversies, providers en configuraties worden geregistreerd en bijgehouden.
- Bekende beperkingen van modellen worden meegenomen in ontwerp en communicatie.
- Wijzigingen in modellen worden gemonitord en beoordeeld op impact.
- De output van nextAI wordt gevalideerd; het systeem vertrouwt niet blind op modelgedrag.
4. Testen vóór vrijgave
Voor vrijgave test ISPnext de werking, kwaliteit, afwijkende invoer en menselijke controle van elke nextAI-functionaliteit. De Product Owner beoordeelt de testresultaten, open risico's en benodigde maatregelen en neemt het vrijgavebesluit. ISPnext legt de uitgevoerde tests en het besluit vast.
Het testproces omvat minimaal de volgende categorieën:
- Functioneel: doet de Capability wat is afgesproken, getoetst aan acceptatiecriteria.
- Kwaliteit: is de output voldoende juist, relevant en consistent, getoetst met een testset en grenswaarden.
- Fout- en randgevallen: wat gebeurt er bij onduidelijke, onvolledige of afwijkende invoer.
- Privacy en security: kan data lekken, worden gemanipuleerd of ongewenst worden gelogd.
- Menselijke controle: kan de gebruiker de output herkennen, controleren, corrigeren en indien nodig stoppen.
Ondanks uitgebreid testen kan de output van nextAI onvolledig, onnauwkeurig of onjuist zijn. Controleer bij gebruik van nextAI-onderdelen altijd de AI-output voordat deze wordt verwerkt of gebruikt als basis voor besluitvorming.
5. Productieacceptatie
ISPnext beoordeelt vóór vrijgave of de benodigde monitoring, correctiemogelijkheden en herstelmaatregelen beschikbaar zijn. De benodigde maatregelen verschillen per functionaliteit. ISPnext behandelt een hoog of kritisch restrisico volgens het risicoproces.
6. Wijzigingen na productierelease
Wanneer een bestaande nextAI-functionaliteit materieel wordt gewijzigd - bijvoorbeeld door een nieuw model, een nieuwe databron, een nieuwe doelgroep of een wezenlijk ander risicoprofiel - wordt het volledige beoordelingsproces opnieuw doorlopen vóór de wijziging in productie wordt genomen. ISPnext publiceert materiële wijzigingen in de release notes. Als een wijziging gevolgen heeft voor het gebruik of de verantwoordelijkheden van klanten, informeert ISPnext de betrokken klanten via de gebruikelijke klantcommunicatie.