人工智能（AI）常见问题解答

所有机构，包括行政部门、高等教育和独立机构，均应参阅客户经理（CAM）和其他VITA联系人 名单以寻求帮助。

如有其他问题，请发送至：vccc@vita.virginia.gov。 

如有关于特定人工智能技术的技术问题，请联系分配给您的企业架构师（EA）。

根据《弗吉尼亚州人工智能使用政策标准》，所有行政部门机构（按照该术语在第30号行政命令中的定义）应注册其内部和外部人工智能系统的使用，以便进行监督和批准，确保这些系统的可信、安全和可靠使用。

人工智能注册和审批是一个多步骤的过程，需要在Archer中注册，并且需要VITA、您的机构负责人和秘书（仅限外部人工智能）在Planview中进行审批。如果您对如何在Archer中注册您的人工智能技术有任何疑问，请联系分配给您的企业架构师（EA）。如果您对Planview有任何疑问，请联系分配给您的ITIMD分析师。

虽然第30号行政命令中没有对现有的人工智能用途给予豁免，但并非所有用途都需要在注册表中记录。如有疑问，请询问分配给您的企业架构师（EA）。

• 如果AI解决方案满足以下所有三个标准，则无需注册：

• 面向内部
• 不使用人员数据
• 未纳入生产系统（非生产系统的例子是沙盒、仅使用合成或公开数据的开发和测试系统）

• 如果人工智能解决方案满足以下任何条件，则必须注册：

• 面向外部
• 使用人员数据
• 用于生产系统中
• 支持机构任务关键型或业务关键型流程
• 包含在SEC-530 信息安全标准中定义的敏感数据
• 需要COV Ramp审查以评估云服务

任何对人工智能的使用，包括涉及免费和广泛使用的产品，都必须按照标准中概述的流程获得批准。在没有官方批准的情况下，任何弗吉尼亚州机构官员不得采用人工智能产品，包括将免费产品下载到弗吉尼亚州信息技术设备或以其他方式将这些产品用于公务。

正如第30号行政命令和《人工智能标准》所规定的那样，审批流程旨在确保弗吉尼亚州机构以一种保护公民数据、防止偏见应用，并从业务角度合理的方式使用人工智能。免费提供的产品与机构购买的人工智能产品一样，存在不当使用的风险。例如：最近的新闻报道指出，某些免费的人工智能产品有时会产生偏见结果，可能与第30号行政命令中规定的标准相冲突。

人工智能政策和标准（包括人工智能注册表）不适用于： 

• 用于国防或 COV 安全系统的人工智能（例如：网络安全、HVAC 或 SCADA 系统）
• 嵌入在常见商业产品中的人工智能（例如：iWatch、iPhone、Adobe Photoshop 等商业桌面软件，或托管软件即服务应用程序，其中联邦不拥有软件应用程序和所使用的数据）
• 公立高等教育机构的人工智能研究与开发（R&D）活动或教学项目 

公立高等教育机构的人工智能研究与开发（R&D）活动或教学项目不受人工智能政策和标准的约束，无需在人工智能注册中心进行管理。例如：

• 用于研究项目的一部分的人工智能，其可能协助人类参与者完成任务
• 人工智能辅助的知识领域研究
• 人工智能辅助研究数据的分析
• 人工智能方法、算法和技术研究
• 在课堂上使用的人工智能，学生在作业中使用生成式人工智能
• 在课堂上使用的人工智能，教师用来评估和评价学生作业

VITA建议，出于研究目的使用人工智能应由机构的机构审查委员会（IRB）计划进行监督，以确保人类受试者得到符合伦理和负责任的对待，并采取措施保护受试者的福利和隐私（包括受试者的数据）。

VITA建议在教学计划中使用人工智能应由弗吉尼亚州教育部（负责K-12机构）和州高等教育委员会（负责高等教育机构）进行监管。

尽管公立高等教育机构的人工智能研究与开发（R&D）活动或教学项目免于遵循人工智能政策和标准，但涉及弗吉尼亚州数据（包括学生和财务数据）的机构管理活动不在豁免之列。例如：

• 人工智能在学生录取过程中的应用
• 用于颁发奖学金、助学金和其他形式资助的人工智能
• 人工智能用于招聘和选拔人员并管理员工绩效
• 人工智能用于管理机构业务职能，包括财务、采购、房地产、设施和信息技术流程
• 人工智能用于访问敏感的机构数据，包括受 HIPAA、FERPA 和 IRS 监管的数据

COV Ramp和人工智能注册与审批流程满足相关但独立的需求。

• 人工智能注册和批准旨在利用特定用途的特定人工智能技术，并展示符合使用政策所提出的关注点
• COV Ramp确定供应商的运营可行性以及弗吉尼亚州与其开展业务的能力

此外，提交至COV Ramp会导致对机构收费。首先提交人工智能注册和审批，可以避免在拟议用途被VITA或秘书处拒绝时产生不必要的费用。 

人工智能注册的目的是确保人工智能使用的完全透明。这是《弗吉尼亚州人工智能使用政策标准》（第四节 - 强制性免责声明）的要求，该标准确定了需要遵守的若干标准。

人工智能登记册受《信息自由法（FOIA）》约束。然而，现有的网络安全豁免将根据需要适用。见 Va. 法规 § 2.2-3705.2（2）&（14）FOIA 的一般条款设想了一些需要从数据库中编辑和/或提取信息的情况。参见，例如：弗吉尼亚州法规§§ 2.2-3704（G）和2.2-3704.01。

如果机构正在将他们认为敏感/机密的信息输入登记册，则机构应该清楚地识别此类信息，以便于以后审查哪些信息应该公开披露。

弗吉尼亚州人工智能技术路线图的目的是识别已审核可用的人工智能解决方案，以及机构可能希望研究的领域。如果某个特定的人工智能解决方案未在路线图中列出，则机构可以将该解决方案提交至人工智能注册和监督审批流程。

根据上述指南，所有拟议的人工智能技术用途都需要考虑注册，无论它们是否出现在人工智能技术路线图上。

生成式人工智能工具的使用

• 内部面临
• 不制定决策或政策
• 不使用弗吉尼亚州数据或个人数据
• 不用于机构核心业务流程
• 未纳入生产系统

不需要人工智能注册。

在任何人工智能解决方案中利用人员数据的机构都必须能够描述如何使用和保护这些数据。

• 详细说明将包含的具体数据元素、使用它们的理由以及所产生内容的价值陈述
• 解释如何保护数据集的安全，并识别有权访问数据的个人或角色。
• 解释人工智能算法在数据集上的操作以及如何生成输出结果
• 确定如何适当地匿名化任何输出

联邦数据 不得用于人工智能模型的开发和/或训练。

当公民携带人工智能录音设备参加公共或私人会议时，只要不造成干扰，他们就被允许录音。弗吉尼亚州是单方同意的司法管辖区（弗吉尼亚州法规§ 19.2-62），这意味着只要对话中的一名参与者同意录音，录制对话就不违法。此外，FOIA或其他法律可能赋予公众录制公开会议的权利。如果您对这些问题有疑问，请咨询您的法律顾问。

您应该预期，整个信息技术领域的产品将以某种形式整合人工智能功能，这很可能包括您机构当前使用的软件解决方案。

• 机构应关注其产品组合中引入人工智能组件或功能的产品变化
• 代理机构应谨慎对待供应商关于产品或服务使用人工智能以吸引客户的夸大或误导性声明，这种做法被称为“人工智能洗白”

关于嵌入在常见商业产品中的人工智能，我们对注册该技术的关注应集中在人工智能是否 a) 对输入数据进行更改，或 b) 做出外部决策。

仅仅在产品中存在人工智能是不够的；只有当人工智能组件用于生产最终产品时，我们才对注册感兴趣。例如，Archer有一个人工智能模块，但弗吉尼亚州不使用该模块，且终端用户无法单独调用它。

任何弗吉尼亚州开发的人工智能解决方案都必须能够证明其使用相关数据集的权限，包括来自公开来源的数据集，并且必须能够列举这些来源以解释该解决方案的运作。所有用于人工智能解决方案的数据集都必须记录在弗吉尼亚州企业架构工具中。请咨询您的法律顾问或司法部长办公室，了解有关知识产权问题或其他使用许可要求。

用于生成代码的人工智能必须对所生成内容的实施进行人工监督。 在将生成的产品插入分支之前，必须由人工检查，并且必须在生产发布之前对解决方案进行测试。