Inovai / Pro koho
Auditor se zeptá na vaši AI.
Balík důkazů: co provozujete, jak jste to otestovali a co jste opravili.
Zablokované útoky po bězích
oprava promptu, 3 → 0 nálezůnový model od dodavatele, regrese P1retest, 0 nálezů
Důkaz k běhu 9
Vstupútok CZ-114
Modelv2.3, prompt #41
Výsledekzablokováno 40/40
Předpisvyhl. 409, AI Act čl. 50
Potvrdiltester, 12:40
Problém
AI chybí v evidenci aktiv a o testech nejsou záznamy.
Co uděláme
Inventura, testy s evidencí a mapování na předpisy.
Výsledek
Balík pro auditora a čtvrtletní report.
Co se obvykle stane bez přípravy
Tři otázky auditora ISO, kontroly NÚKIB nebo dohledu ČNB, na které bez přípravy chybí odpověď.
AI v evidenci aktiv chybíChatbot a Copilot nikdo nezapsal jako technické aktivum. Auditor se ptá na hodnocení rizik a není na co odkázat.
Test byl, důkaz neníNěkdo chatbot zkoušel, ale bez zápisu: kdy, kdo, co se našlo. Pro kontrolu je to, jako by test nebyl.
Dodavatel bez hodnoceníVyhlášky 409 a 410 chtějí hodnotit dodavatele a jejich produkty. U dodavatele chatbota je ve složce jen faktura.
Jak postupujeme
Od registru po čtvrtletní report.
Chatbot na webutest prvníCopilotauditAsistent nad fakturamiok
Krok 1Inventura a registrAI systémy a dodavatelé s vlastníkem, daty a účelem v evidenci aktiv.Nález potvrzen člověkemReprodukce přiložena1 sporný čeká na testera
Krok 2Test s evidencíTermín, odpovědné osoby, verze modelu, každý nález s reprodukcí. Vážné nálezy potvrdí tester.Ověřil člověkReport, běh 9P1Únik promptuP2Označení AIokInjekce v PDF
nový model: regrese P1, po opravě 0
Krok 4Dohled a čtvrtletní reportNový běh po každé změně. Čtvrtletní shrnutí pro vedení a auditora.Balík pro auditora: registr, logy testů s reprodukcí, záznam o retestu a o seznámení vedení.
Časté otázky
Zaručíte, že kontrola dopadne dobře?
Ne, o souladu rozhoduje auditor nebo kontrolní orgán. My dodáme důkazy, které jeho otázky zodpoví, a pomůžeme odstranit důvody k výtkám, které se odstranit dají.
Hodí se podklady i pro ČNB podle DORA?
Ano, DORA chce testování odolnosti ICT a řízení rizik třetích stran. Report s reprodukcí a registr dodavatelů jsou podklad, posouzení je na dohledu.
Audit je blízko. Kde začít?
Registrem a testem systémů, které auditora zajímají nejvíc: těch, které mluví s klienty nebo mají přístup k citlivým datům. Zbytek doplníme podle plánu auditu.