Артефакты доказательств во фреймворке India AI Governance представлены как список типов артефактов. Каждый тип артефакта связан с контролями, а контроли, в свою очередь, привязаны к процессам. Таким образом, каждый артефакт всегда «сидит» внутри работающего контроля и процесса, что делает подотчётность проверяемой: можно проследить путь «требование → контроль → процесс → артефакт» доказательства, такие как конкретные документы или журналы (логи), в совокупности формирующий доказательную цепочку.
Матрица соответствия (Compliance matrix)
- Назначение: Консолидированная таблица, сопоставляющая применимые законы и регуляторные обязательства с внутренними контролями и конкретными артефактами доказательств, чтобы показать, что правовые требования покрыты и проверяемы.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — внедрение необязательных кодексов, стандартов и само‑сертификаций с отслеживанием генерации доказательств для регуляторов и пользователей.
- Связанные контроли:
- Карта правового соответствия (Legal compliance mapping) — ведение устойчивой карты «норма → обязательство → контроль → доказательство» для разработки и внедрения ИИ.
Процесс правового хранения и ответов регулятору (Legal hold & regulatory request process)
- Назначение: Описывает, как организация реагирует на запросы регуляторов и обеспечивает сохранность относящихся к делу данных и логов, предотвращая их утрату или изменение до завершения разбирательств.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — включает выстраивание процедур ответов регулятору как части портфеля добровольных мер.
- Связанные контроли:
- Карта правового соответствия (Legal compliance mapping) — дополняет матрицу соответствия операционной процедурой ответов и обеспечения сохранности доказательств.
Отчёт о прозрачности (Transparency report)
- Назначение: Публикуемый отчёт, который описывает риски вреда, меры по их снижению и ключевые результаты оценок, с возможностью конфиденциального раскрытия чувствительных деталей только регуляторам.
- Связанные процессы:
- Прозрачность отчётности (Transparency reporting) — подготовка, компиляция и публикация/конфиденциальное раскрытие отчётов о рисках и мерах.
- Связанные контроли:
- Контроль отчёта о прозрачности (Transparency report control) — управляет жизненным циклом подготовки и выпуска отчётов.
Резюме оценки рисков (Risk assessment summary)
- Назначение: Сжатое описание выявленных рисков, их уровней (tiers) и выбранных мер по смягчению с учётом локального контекста и специфики применения ИИ.
- Связанные процессы:
- Прозрачность отчётности (Transparency reporting) — собирает и агрегирует результаты риск‑оценок для включения в публичные или конфиденциальные отчёты.
- Связанные контроли:
- Контроль отчёта о прозрачности (Transparency report control) — требует документировать обоснование уровней риска и выбранных мер.
Резюме моделирования атак и злоупотреблений (Red teaming summary)
- Назначение: Неконфиденциальное резюме результатов моделирования атак и злоупотреблений (red teaming), фиксирующее сценарии, уязвимости, уроки и улучшения без раскрытия чувствительных деталей.
- Связанные процессы:
- Прозрачность отчётности (Transparency reporting) — включает результаты наступательного тестирования в общий профиль рисков и мер.
- Связанные контроли:
- Контроль отчёта о прозрачности (Transparency report control) — закрепляет ред‑тиминг как один из источников evidence по рискам.
Политика разрешения жалоб (Grievance policy)
- Назначение: Формализует правила приёма жалоб, сроки обработки, языковую доступность, конфиденциальность и эскалации, обеспечивая предсказуемость взаимодействия для пострадавших.
- Связанные процессы:
- Разрешение жалоб (Grievance redressal) — операционализирует intake, обработку, эскалации и закрытие жалоб.
- Связанные контроли:
- Механизм разрешения жалоб (Grievance redressal mechanism) — задаёт требования к доступности, SLA и обратной связи.
Журнал жалоб (Grievance ticket log)
- Назначение: Структурированный реестр жалоб, предпринятых действий и временных меток решений с встроенными защитами приватности, позволяющий анализировать паттерны вреда и качество реакции.
- Связанные процессы:
- Разрешение жалоб (Grievance redressal) — фиксирует каждую стадию прохождения жалобы от приёма до закрытия.
- Связанные контроли:
- Механизм разрешения жалоб (Grievance redressal mechanism) — использует журнал как ключевой источник evidence о фактической работе механизма.
Журнал корректирующих действий (Remediation actions log)
- Назначение: Отслеживает, какие корректирующие меры были приняты по итогам жалоб, как они встроены в продукт/систему и когда завершены, замыкая петлю «жалоба → улучшение».
- Связанные процессы:
- Разрешение жалоб (Grievance redressal) — отражает стадию learn and improve и интеграцию описания извлеченных уроков в систему.
- Связанные контроли:
- Механизм разрешения жалоб (Grievance redressal mechanism) — демонстрирует, что процесс жалоб ведёт к реальным изменениям.
Панель SLA-метрик (SLA metrics dashboard)
- Назначение: Набор метрик, показывающих соблюдение целевых сроков обработки жалоб и обращений, включая задержки, бэклоги и долю дел, решённых в «разумные сроки».
- Связанные процессы:
- Разрешение жалоб (Grievance redressal) — даёт количественную оценку скорости и предсказуемости обработки жалоб.
- Связанные контроли:
- Механизм разрешения жалоб (Grievance redressal mechanism) — опирается на SLA‑метрики для проверки эффективности и настройки ресурсов.
Отчёт об инциденте (Incident report record)
- Назначение: Стандартизированная запись о конкретном инциденте ИИ, поданном через определённый протокол, включающая ключевые поля для последующего анализа и агрегации.
- Связанные процессы:
- Отчётность об инцидентах ИИ (AI incident reporting) — стартовая точка контура фиксации и анализа вреда.
- Связанные контроли:
- Участие в отчётности об инцидентах ИИ (AI incident reporting participation) — требует формализованных записей для тренд‑аналитики.
Таксономия инцидентов (Incident taxonomy mapping)
- Назначение: Связывает каждый инцидент с категориями риска и отраслевым контекстом, позволяя проводить перекрёстный анализ и увязывать инциденты с тематическими направлениями политики.
- Связанные процессы:
- Отчётность об инцидентах ИИ (AI incident reporting) — обогащает инцидент структурированной классификацией.
- Связанные контроли:
- Участие в отчётности об инцидентах ИИ (AI incident reporting participation) — обеспечивает совместимость локальных записей с национальной системой.
Обзор инцидента (Post-incident review)
- Назначение: Документ послесобытийного анализа с корневой причиной, оценкой влияния и перечнем обновлённых контролей, необходимых для предотвращения повторной реализации сценария.
- Связанные процессы:
- Отчётность об инцидентах ИИ (AI incident reporting) — реализует стадию доведения обратной связи до контролей (feedback to controls) и обучение на инцидентах.
- Связанные контроли:
- Участие в отчётности об инцидентах ИИ (AI incident reporting participation) — делает механизм инцидентов циклом непрерывного улучшения.
Обоснование добровольного выбора (Voluntary framework selection rationale)
- Назначение: Фиксирует, почему выбраны конкретные кодексы, стандарты или обязательства и как они соотносятся с уровнями риска и контекстами использования.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — отражает стадию выбранного фреймворка и критерии выбора.
- Связанные контроли:
- Контроль добровольных фреймворков (Voluntary framework adoption) — гарантирует осмысленный, а не формальный выбор фреймворков.
Отчёт о самооценке (Self-assessment report)
- Назначение: Внутренний отчёт, оценивающий соответствие выбранным добровольным фреймворкам и фиксирующий пробелы, планы действий и уровень зрелости практик.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — стадия самостоятельный доступ или аудит (self assess or audit) с последующей корректировкой мер.
- Связанные контроли:
- Контроль добровольных фреймворков (Voluntary framework adoption) — использует самооценку как базу для улучшений и аудитов.
Отчёт независимого аудита (Third-party audit report)
- Назначение: Результаты внешнего аудита или сертификации, подтверждающие исполнение обязательств и эффективность выбранных мер, повышающие доверие регуляторов и пользователей.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — опциональная стадия внешнего аудита.
- Связанные контроли:
- Контроль добровольных фреймворков (Voluntary framework adoption) — формирует внешний слой доверия сверх самооценки.
Архитектурное решение (Architecture decision record, ADR)
- Назначение: Документирует ключевые архитектурные решения, обосновывая, как и почему встраивались контролируемые меры соответствия и защиты (compliance‑by‑design).
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — стадия архитектурного контроля (architect controls) и фиксация решений.
- Связанные контроли:
- Техно‑правовые меры (Techno-legal measures) — используют ADR как основной след принятия инженерных решений.
Результаты соответствия (Protocol/standard conformance results)
- Назначение: Результаты тестов, подтверждающие, что реализации действительно соответствуют выбранным техническим протоколам и стандартам, а не только декларируют это.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — стадия валидации, верификация реализации.
- Связанные контроли:
- Техно‑правовые меры (Techno-legal measures) — превращают стандарты в проверяемые требования через тесты.
Спецификация следов аудита (Audit trail specification)
- Назначение: Описывает, какие события логируются, как защищаются логи и кто имеет доступ, чтобы обеспечить прослеживаемость и соответствие требованиям надзора.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — задаёт требования к журналированию ещё на этапе дизайна.
- Связанные контроли:
- Техно‑правовые меры (Techno-legal measures) — делают аудиторские следы частью compliance‑by‑design.
Политика происхождения контента (Provenance policy)
- Назначение: Определяет подходы к аутентификации, маркировке и трассировке контента, балансируя требования к прозрачности и защите приватности пользователей.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — интегрирует требования по provenance в архитектуру и протоколы.
- Связанные контроли:
- Аутентификация и происхождение контента (Content authentication & provenance) — задаёт рамки политик и их реализацию.
Спецификация водяных знаков/идентификаторов (Watermarking/identifier design document)
- Назначение: Описывает выбранные механизмы водяных знаков и уникальных идентификаторов, их устойчивость, ограничения и предполагаемые сценарии применения.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — конкретизация технических решений для маркировки контента.
- Связанные контроли:
- Аутентификация и происхождение контента (Content authentication & provenance) — использует дизайн как базу для реализации.
Заявление о соответствии C2PA (C2PA alignment statement)
- Назначение: Фиксирует степень принятия и соответствия стандартам C2PA или аналогичным подходам к provenance, что важно для межплатформенной интероперабельности.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — выравнивает архитектуру под внешние стандарты provenance.
- Связанные контроли:
- Аутентификация и происхождение контента (Content authentication & provenance) — подтверждает выбор и реализацию стандартов.
Руководство по форензике (Forensic attribution runbook)
- Назначение: Пошаговое руководство по расследованию подозреваемых в создании дипфейков (deepfakes) и атрибуции источника контента с использованием доступных сигналов и инструментов.
- Связанные процессы:
- Техно‑правовое проектирование (Techno-legal design) — задаёт готовность к форензике ещё при построении систем.
- Связанные контроли:
- Аутентификация и происхождение контента (Content authentication & provenance) — делает расследование дипфейков (deepfakes) операционализируемым.
Спецификация человеческого надзора (Human oversight design specification)
- Назначение: Спецификация точек «человек посередине» (human‑in‑the‑loop, HITL), механизмов переопределения (override‑механизмов), эскалаций и распределения ролей, чтобы критические решения не оставались полностью автономными и сохранялась управляемость. Определяет HITL-точки, права на механизмы переопределения, пути эскалации и роли, обеспечивая управляемое вмешательство человека в критических сценариях.
- Связанные процессы:
- Меры против потери контроля (Loss-of-control safeguards) — стадия oversight design.
- Связанные контроли:
- Меры против потери контроля (Loss-of-control safeguards) — гарантируют наличие осмысленного человеческого контроля.
Спецификация ограничителей (Circuit breaker specification)
- Назначение: Описывает автоматические ограничения и остановы в высокоскоростных контекстах, где человеческий надзор неэффективен, включая условия срабатывания, fallback‑сценарии и ответственность за перезапуск
- Связанные процессы:
- Меры против потери контроля (Loss-of-control safeguards) — стадия создания «аварийных выключателей» (circuit breakers) и их внедрение.
- Связанные контроли:
- Меры против потери контроля (Loss-of-control safeguards) — материализуют «аварийные выключатели» в системе.
План мониторинга и тестирования (Monitoring and testing plan)
- Назначение: План регулярного мониторинга тестирования, обнаружения аномалий и раннего предупреждения, включая частоту, метрики, пороги и процедуры реагирования на деградацию или опасные паттерны.
- Связанные процессы:
- Loss-of-control safeguards — мониторинг/тестирование и отчётность для снижения рисков потери управляемости (loss of control).
- Связанные контроли:
- Loss-of-control safeguards — закрепляет мониторинг/тестирование как обязательную часть процедур реагирования (safeguards).
Журналы аудиторских следов (Audit trails logs)
- Назначение: Операционные журналы, обеспечивающие трассируемость действий системы и операторов для целей расследований, аудита и демонстрации подотчётности при возникновении инцидентов или запросах надзора.
- Связанные процессы:
- Loss-of-control safeguards — аудит и отчётность по процедурам реагирования (safeguards) и эффектам мониторинга/тестирования.
- Связанные контроли:
- Loss-of-control safeguards — использует логи как ключевое доказательство работоспособности процедур реагирования (safeguards).
Учебная программа (Training curriculum)
- Назначение: Содержимое программ по цифровой и ИИ‑грамотности, безопасности и управлению рисками для граждан, МСП, регуляторов, госслужащих и правоохранительных органов.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — как часть контроля за развитием компетенций.
- Связанные контроли:
- Программа развития компетенций (Capacity building program) — задаёт объём и фокус обучения.
Записи участия в обучении (Training attendance records)
- Назначение: Фиксируют участие и охват целевых групп обучением, позволяя показать масштаб и системность программ развития компетенций.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — подтверждает реализацию обучающих мероприятий.
- Связанные контроли:
- Программа развития компетенций (Capacity building program) — использует записи для оценки покрытия.
Результаты оценки компетенций (Competency assessment results)
- Назначение: Показывают, как обучение изменило уровень знаний и навыков операторов, регуляторов и LEAs, связывая программы обучения с измеримыми результатами.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — этап оценки эффектов ресурсообеспеченности (capacity building).
- Связанные контроли:
- Программа развития компетенций (Capacity building program) — превращает обучение в управляемый и измеримый процесс.
Реестр оценочных датасетов (Evaluation dataset register)
- Назначение: Список репрезентативных наборов данных, используемых для оценки справедливости и безопасности, с метаданными о происхождении, охвате и ограничениях.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — обеспечивает основу для формализованных оценок справедливости/безопасности.
- Связанные контроли:
- Доступ к данным и вычислениям для оценки (Access to data & compute for evaluation) — управляет наличием и качеством таких датасетов.
Политика выделения вычислительных ресурсов (Compute allocation policy)
- Назначение: Определяет, сколько и какие вычислительные ресурсы резервируются под тестирование безопасности, проверку ограждений (guardrails) и оценок справедливости (fairness‑оценки), чтобы эти активности были устойчиво обеспечены ресурсами.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — вводит ресурсное обеспечение как часть портфеля мер.
- Связанные контроли:
- Доступ к данным и вычислениям для оценки (Access to data & compute for evaluation) — гарантирует, что ресурсы для безопасности и справедливости (safety/fairness) действительно выделены.
Результаты оценки безопасности (Safety evaluation results)
- Назначение: Итоги масштабных тестов безопасности и проверки guardrails, показывающие, как система ведёт себя под нагрузкой, в стресс‑сценариях и при попытках злоупотреблений.
- Связанные процессы:
- Добровольное принятие фреймворков (Voluntary framework adoption) — связывает добровольные меры с фактическими результатами оценки безопасности.
- Связанные контроли:
- Доступ к данным и вычислениям для оценки (Access to data & compute for evaluation) — использует результаты для калибровки дальнейших тестов и ресурсов.