ترخيص بيانات سلسلة توريد البرامج للتدريب على الذكاء الاصطناعي: إطار حوكمة لشفرة المصدر والتذاكر والمستندات والقياس عن بعد

لماذا أصبحت حقوق التدريب على الذكاء الاصطناعي مشكلة في سلسلة توريد البرمجيات

تشير التقارير الواردة من 9to5Google و404 Media إلى أن Google تواصلت مع بعض مطوري Android بشأن الوصول المدفوع إلى التعليمات البرمجية المصدرية للتطبيق لتحسين المنتجات المتعلقة بالذكاء الاصطناعي. تصف جوجل أيضًا الشراكات لتحسين منتجات الذكاء الاصطناعي، بينما تحدد سياسات مطوري جوجل بلاي وشروط التوزيع سياق النظام الأساسي حول تطبيقات أندرويد.

درس المشغل أكبر من شركة واحدة. تنتقل مفاوضات بيانات تدريب الذكاء الاصطناعي من صفحات الويب العامة إلى مادة عمل فرق البرمجيات. لم تعد التعليمات البرمجية المصدر، وأدوات تتبع المشكلات، وسجلات التشغيل، وتقارير الأعطال، وتذاكر الدعم، وبيانات تعريف CI/CD، والسجلات، وقياس المنتج عن بعد مجرد منتجات ثانوية لبناء البرامج. يمكن أن تصبح بيانات تدريب، أو مجموعات تقييم، أو محتوى استرجاع، أو مدخلات بيانات تركيبية، أو مدخلات لبرنامج تحسين نموذج البائع.

هذا التحول يغير المخاطر. يمكن أن تحمل عناصر البرامج أسرارًا ومعرفات العملاء وتعليقات الموظفين وتفاصيل الثغرات الأمنية والبنية الخاصة ورمز الطرف الثالث والتعرض للتبعية والبيانات السلوكية. قد يبدو المستودع وكأنه أحد أصول الشركة، ولكن الحقوق المتعلقة به غالبًا ما يتم تقسيمها عبر اتفاقيات الموظفين وعقود المقاولين والتراخيص مفتوحة المصدر وشروط العملاء وإشعارات الخصوصية وقواعد النظام الأساسي واتفاقيات معالجة بيانات البائعين.

وجهة نظري بسيطة: لا ينبغي التعامل مع بيانات البرامج باعتبارها أصلًا احتياطيًا لتحقيق الدخل لأن بائع الذكاء الاصطناعي طلبها. يجب أن يتم إدارتها كجزء من سلسلة توريد البرامج. قبل أن تدخل التعليمات البرمجية أو التذاكر أو المستندات أو القياس عن بعد إلى مسار الذكاء الاصطناعي، يجب أن يكون القادة قادرين على إظهار الإذن والضوابط والسبب الذي يجعل استخدام النموذج يستحق المخاطرة المتبقية.

ما الذي يمكن اعتباره بيانات سلسلة توريد البرامج للتدريب على الذكاء الاصطناعي؟

بيانات سلسلة توريد البرامج هي المعلومات التي يتم إنشاؤها أثناء قيام الفرق بتصميم البرامج وإنشائها وشحنها وتأمينها وتشغيلها. كود المصدر هو الجزء المرئي فقط.

كود المصدر وبناء القطع الأثرية

تتضمن هذه الفئة رمز التطبيق، والاختبارات، وبيانات الحزمة، وتكوين CI/CD، وملفات Dockerfiles، والبنية التحتية كرمز، وملاحظات الإصدار، ومخرجات البناء التي تم إنشاؤها، والرسوم البيانية التبعية، وSBOMs. يمكن أن تساعد هذه العناصر في المساعدة البرمجية وتخطيط الترحيل وتحليل الثغرات الأمنية ودعم المطورين الداخليين. يمكنهم أيضًا الكشف عن منطق الملكية ونقاط الضعف الأمنية والتبعيات الخاصة والتزامات ترخيص الطرف الثالث.

التذاكر وسجلات الدعم والجداول الزمنية للحوادث

تُظهر أدوات تعقب المشكلات وتقارير الأخطاء ونصوص الدعم وتقارير ما بعد الحادث ومتطلبات المنتج وملاحظات التصعيد كيفية تصرف الأنظمة بعد مقابلة المستخدمين. وهذا يجعلها مفيدة. كما أنها تجعلهم محفوفين بالمخاطر. وقد تحتوي على أسماء ولقطات شاشة وسجلات وسياق العملاء وتعليقات الموظفين وتفاصيل نقاط الضعف والمعلومات التجارية التي لم يكن من المفترض أبدًا أن تصبح مواد تدريب نموذجية.

التوثيق الداخلي وملاحظات الهندسة المعمارية

غالبًا ما تكون دفاتر التشغيل ومستندات التصميم ومخططات الهندسة المعمارية ومواقع الويكي الداخلية ومعايير الترميز وأدلة الإعداد أكثر ملاءمة للاسترجاع من الضبط الدقيق. إنهم يتغيرون، ويحتاجون إلى التحكم في الوصول، وأحيانًا يكونون مخطئين. بالنسبة لمساعدي الذكاء الاصطناعي الداخليين، هذا هو المكان الذي يهم فيه اختيارات الهندسة المعمارية. غطت Optijara نمطًا تشغيليًا ذا صلة في بناء عقل الشركة لوكلاء الذكاء الاصطناعي في المؤسسات.

القياس عن بعد للمنتج، والسجلات، وبيانات سلوك المستخدميمكن أن يُظهر القياس عن بعد أماكن فشل المنتجات، وما هي مسارات العمل التي تسبب الاحتكاك، وكيفية استخدام الميزات. ويمكن أن تتضمن أيضًا المعرفات والأحداث النادرة وإشارات الموقع والنص الحر الحساس وحمولات واجهة برمجة التطبيقات (API) والتتبعات ذات الصلة بالأمان. إذا كان الأمر يتعلق بالبيانات الشخصية، فإن الأساس القانوني وحدود الغرض تصبح مسائل مركزية بموجب أنظمة الخصوصية مثل المادة 6 من اللائحة العامة لحماية البيانات.

تبعية الطرف الثالث والبيانات الوصفية للمورد

تُظهر تقارير SBOM وتقارير الثغرات الأمنية وبيانات تعريف الحزمة وسجلات البائعين وسجلات المشتريات كيفية تجميع البرامج وتشغيلها. تشير مواد CISA الخاصة بتصديق البرامج الآمنة والحد الأدنى من عناصر AI SBOM إلى فكرة الحوكمة نفسها: المصدر مهم على مستوى القطع الأثرية. تحتاج بيانات تدريب الذكاء الاصطناعي إلى نفس إمكانية التتبع.

أوبتيجارا R.I.G.H.T.S. إطار عمل لقرارات بيانات تدريب الذكاء الاصطناعي

أوبتيجارا R.I.G.H.T.S. يوفر الإطار للمشغلين اختبارًا قابلاً للتكرار لتحديد ما إذا كان يمكن استخدام قطعة برمجية في تدريب الذكاء الاصطناعي أو تقييمه أو استرجاعه أو الترخيص الخارجي.

رد: الحقوق، من يمكنه منح الإذن؟

ابدأ بالملكية، ثم استمر. تحقق من ملكية حقوق الطبع والنشر، والأعمال التي أنشأها الموظفون، ومساهمات المقاولين، واتفاقيات ترخيص المساهمين، والمحتوى المقدم من العملاء، والتراخيص مفتوحة المصدر، وشروط السوق، وقواعد النظام الأساسي، وعقود البائعين. الوصول إلى المستودع ليس إذن تدريب.

الأول: إمكانية تحديد الهوية، هل تشمل البيانات الأشخاص أو العملاء أو الأسرار أو السياق الحساس؟

قم بالمسح بحثًا عن البيانات الشخصية وتعليقات الموظفين وأسماء العملاء وبيانات الاعتماد ومفاتيح واجهة برمجة التطبيقات والرموز المميزة وعناوين URL الخاصة ونصوص الدعم وسجلات الأحداث النادرة والمعرفات الخاصة بالمؤسسة. يساعد إخفاء الهوية، ولكن يمكن التعرف على السجلات والتذاكر عند دمج التفاصيل.

ز: الحوكمة، ما هي الضوابط ومسارات التدقيق الموجودة؟

تحتاج العملية إلى مالكي البيانات المحددين، وسلطة الموافقة، ومراجعة سير العمل، وقواعد الاحتفاظ، وسجلات التدقيق، وتقييمات المخاطر، وسجلات استخدام النموذج، ومسارات التصعيد. في مؤسسة كبيرة، يجب أن يبدو هذا بمثابة لوحة مراجعة بيانات تدريب الذكاء الاصطناعي خفيفة الوزن، وليس موافقة سريعة في الدردشة.

ح: الضرر، ما الذي يمكن كشفه أو الاستدلال عليه أو إساءة استخدامه؟

تقييم التعرض الأمني، وحفظ كود المصدر، والكشف عن التبعية، وتسرب الثغرات الأمنية، والاستخبارات التنافسية، والإضرار بثقة العملاء، وإساءة استخدام المخرجات الناتجة. والسؤال ليس فقط ما إذا كانت المشاركة قانونية أم لا. والسؤال الأصعب هو ما إذا كانت المنظمة قادرة على استيعاب التكلفة التشغيلية وتكاليف السمعة إذا ظهرت البيانات في مكان لا ينبغي لها أن تظهر فيه.### ت: الشروط، ما هي الالتزامات التعاقدية والتزامات النظام الأساسي والخصوصية والترخيص المطبقة؟

قم بمراجعة إشعارات الخصوصية، واتفاقيات معالجة البيانات، وشروط توزيع المطورين، وشروط التدريب النموذجي، والمعالجين الفرعيين، والتزامات المصادر المفتوحة، وشروط سرية العميل، والأساس القانوني في حالة وجود بيانات شخصية. إذا كان البائع يريد بيانات برمجية لتحسين منتج الذكاء الاصطناعي، فيجب كتابة الغرض المسموح به بوضوح.

S: النطاق، ما هو استخدام النموذج المحدد المسموح به؟

حدد ما إذا كان يمكن استخدام القطعة الأثرية للاسترجاع الداخلي، أو الضبط الداخلي الدقيق، أو مجموعات بيانات التقييم، أو قياس الأداء، أو إنشاء البيانات الاصطناعية، أو تحسين منتج البائع، أو التدريب على النموذج الأساسي، أو إعادة البيع التجاري. يجب أن يشمل النطاق أيضًا الاحتفاظ والحذف وضوابط الإخراج وحقوق التدقيق وحدود الترخيص من الباطن.

حورية البحر مخطط انسيابي TD A[قطعة أثرية لبرنامج الإدخال] --> B[تصنيف نوع القطعة الأثرية] B --> C[مراجعة الحقوق والتراخيص] C --> D[مسح الأسرار والبيانات الشخصية والحساسية] D --> E[التحقق من العقود وشروط النظام الأساسي والأساس القانوني] E --> F [تعيين نطاق استخدام النموذج المسموح به] F --> G {القرار}

H --> K[تسجيل القرار والاحتفاظ والمالك وتاريخ المراجعة] أنا --> ك ي --> ك

json { "framework": "Optijara R.I.G.H.T.S.", "decision": "الموافقة أو التقييد أو الحجر الصحي أو الرفض"، "الدليل المطلوب": ["الحقوق"، "إمكانية تحديد الهوية"، "الحوكمة"، "الضرر"، "المصطلحات"، "النطاق"]، "defaultPreference": "أضيق استخدام للنموذج المفيد" }

مصفوفة القرار: ما الذي يجب ترخيصه، وما الذي يجب التدريب عليه، وما الذي يجب الحجر عليه

يفصل نموذج الإدارة المفيد مجموعات البيانات الداخلية منخفضة المخاطر عن مجموعات البيانات المشروطة والبيانات المحظورة.

الترخيص الخارجي يستحق مساره الخاص. يجب أن يحدد العقد فئات النماذج المسموح بها، وما إذا كان التدريب على النموذج الأساسي مسموحًا به، وفترة الاحتفاظ، وعملية الحذف، وضوابط الأمان، واختبار إعادة إنتاج المخرجات، وحقوق التدقيق، والإخطار بالحوادث، والتعويض، وقيود الترخيص من الباطن. إن ترخيص التقييم الداخلي الضيق لا يماثل الإذن الواسع النطاق للتدريب النموذجي.إن التوازي مع أمن سلسلة توريد البرمجيات هو أمر مباشر. يركز SLSA على المصدر والنزاهة في بناء خطوط الأنابيب. تؤكد مواد شهادة CISA على المساءلة عن ممارسات التنمية الآمنة. تحتاج إدارة بيانات تدريب الذكاء الاصطناعي إلى نظام مماثل: ما هي البيانات التي دخلت النظام، ومن وافق عليها، وما هي الحقوق المطبقة، وما هي الضوابط المستخدمة، وماذا يحدث إذا تغير النطاق.

قائمة التحقق من حقوق البيانات قبل استخدام أي قطعة برمجية للتدريب النموذجي

استخدم قائمة التحقق هذه قبل المفاوضات، أو تحميلات البائعين، أو الضبط الداخلي الدقيق، أو إعادة استخدام القياس عن بعد للمنتج.

يجب أن يكون أضيق نمط مفيد لاستخدام النموذج هو النمط الافتراضي. عادةً ما يكون الاسترجاع ناجحًا عندما تتغير المعلومات كثيرًا، أو يكون الحذف مهمًا، أو عندما يكون التحكم في الوصول مهمًا. مجموعات بيانات التقييم تناسب مشاكل القياس. يمكن أن تنجح الأمثلة الاصطناعية عندما تكون قيمة التدريب متواضعة ولكن مخاطر الخصوصية مرتفعة. يجب أن يقتصر الضبط الدقيق على الحالات التي يكون فيها التكيف المستمر مع النموذج مبررًا وتكون حقوق البيانات واضحة.

يمنع هذا الانضباط أيضًا الإفراط في البناء. ليست كل مشكلة معرفية داخلية تحتاج إلى تدريب نموذجي. قد يؤدي البحث أو RAG أو القواعد أو أتمتة سير العمل أو مستوى التحكم في الوكيل المحكوم إلى حل المشكلة بتعريض أقل. ويظهر المبدأ نفسه في حوكمة نظام الذكاء الاصطناعي في المؤسسات: مطابقة البنية مع المخاطر التشغيلية، وليس مع الأداة الأكثر عصرية.

الأخطاء التي ترتكبها الفرق عندما يلتقي الذكاء الاصطناعي ببيانات سلسلة توريد البرامج

الخطأ الأول: اعتبار الوصول إلى المستودع بمثابة إذن تدريب

قد يكون لدى البائع أو المقاول أو فريق الذكاء الاصطناعي الداخلي إمكانية الوصول إلى التعليمات البرمجية للحصول على الدعم أو التطوير. وهذا لا يمنح الإذن تلقائيًا لتدريب النموذج على المحتويات.

الخطأ الثاني: افتراض أن إخفاء الهوية يحل كل شيء

يمكن أن يؤدي إخفاء الهوية إلى تقليل المخاطر، ولكن يمكن أن تظل التذاكر وتتبعات الأعطال والسجلات وأحداث المنتج النادرة قابلة للتعريف عند دمجها مع الطوابع الزمنية أو تتبعات المكدس أو سير العمل الخاص بالعميل أو التعليقات النصية الحرة.

الخطأ 3: تجاهل تلوث تراخيص المصادر المفتوحة والجهات الخارجية

نادرًا ما تكون شفرة المصدر أصلًا نظيفًا واحدًا. يمكن أن تتضمن التبعيات والمقتطفات والملفات التي تم إنشاؤها والقوالب ومواد البائع مع التزامات منفصلة.

الخطأ الرابع: استخدام القياس عن بعد للإنتاج قبل إثبات الضرورة

يمكن أن يكون القياس عن بعد مفيدًا، ولكنه غالبًا ما يحمل مشكلات تتعلق بالخصوصية والموافقة والأمان والتمثيل. لا ينبغي أن يكون مصدر التدريب الافتراضي.

الخطأ الخامس: التفاوض على السعر قبل تحديد النطاقإذا قامت الشركة بترخيص رمز التطبيق أو العناصر الداخلية خارجيًا، فيجب أن يأتي السعر بعد النطاق. يجب أن تشمل المفاوضات الأولى الاستخدام المسموح به والاستخدام المحظور والاحتفاظ والحذف ومخاطر المخرجات وحقوق التدقيق وضوابط الأمان.

الخطأ السادس: تخطي بنود الحذف ومخاطر مخرجات النموذج

من السهل الوعد بالحذف أثناء وجود البيانات في حاوية تخزين. يصبح الأمر أكثر صعوبة بعد دخول البيانات إلى مسارات التدريب، أو مجموعات البيانات المشتقة، أو نقاط التفتيش النموذجية، أو أنظمة التقييم. يجب أن تعكس العقود والهندسة الفنية ذلك قبل بدء المشاركة.

التحذيرات وخطة القياس ونموذج التشغيل

التحذيرات: لا يتم حل الشرعية والخصوصية والأمان والسلوك النموذجي بموافقة واحدة

لا تحل الموافقة لمرة واحدة تكلفة التنفيذ، أو تباين الموفر، أو التزامات الخصوصية، أو حدود التنقيح، أو ركود ذاكرة التخزين المؤقت، أو تعقيد الاحتفاظ، أو سلوك مخرجات النموذج. الضوابط تخلق مقايضات أيضًا. قد يؤدي التنقيح الثقيل إلى تقليل الفائدة. قد يؤدي الاحتفاظ الصارم إلى الحد من إمكانية تكرار نتائج. وقد يؤدي الوصول الواسع النطاق إلى تحسين الراحة مع إضعاف الحوكمة.

القياس: إثبات قيمة التدريب قبل توسيع نطاق الوصول

ابدأ بخط الأساس. تحديد المهام المستهدفة. استخدم مجموعات التقييم المعلقة. اختبار الحفظ والإخراج الحساس. مراقبة انتهاكات السياسة والنتائج الأمنية. راجع ما إذا كان يجب توسيع الوصول أو تضييقه أو إبطاله. تجنب وعود الأداء التي لم تكتسبها البيانات. الهدف ليس الادعاء بأن التدريب سينتج عنه رفعة محددة. الهدف هو إثبات ما إذا كانت مجموعة البيانات تعمل على تحسين سير العمل بما يكفي لتبرير المخاطرة.

النموذج التشغيلي: من يملك القرار؟

يجب أن يتضمن القرار الجوانب الهندسية والأمنية والقانونية والخصوصية والمنتج وإدارة البيانات والمشتريات والراعي التنفيذي عندما يكون التعرض جوهريًا. تحتاج كل فئة قطعة أثرية إلى مالك بيانات محدد. يجب على المؤسسات الأكبر حجمًا استخدام مجلس مراجعة بيانات تدريب الذكاء الاصطناعي خفيف الوزن أو سير عمل مكافئ مع حدود واضحة للموافقة والقيود والرفض.

إذا كان فريقك يقرر ما إذا كانت التعليمات البرمجية أو التذاكر أو المستندات أو القياس عن بعد يمكنها تشغيل أنظمة الذكاء الاصطناعي بأمان، فيمكن لـ Optijara المساعدة في تحويل هذا السؤال إلى سير عمل عملي للحوكمة: المخزون، ونموذج المخاطر، وقائمة مراجعة البائعين، وخطة التقييم، وإيقاع التشغيل.