人工智能常见问题解答

所有机构，包括行政部门、高等教育和独立机构，都可以从您当前正在访问的 VITA 人工智能网页开始；以及 VITA 人工智能政策与技术标准、其机构人工智能组合所有者和/或 VITA Commonwealth 企业架构 (EA) 团队。

对于此 FAQ 之外的问题，请联系您的 VITA Commonwealth 技术战略合作伙伴 (CTSP)，或 VITA EA 团队。

如有其他问题，也可发送至：vccc@vita.virginia.gov。 

如有关于特定人工智能技术的技术问题，请联系分配给您的VITA 企业架构师。

人工智能功能正迅速成为整个IT领域软件和服务的标准特性，包括许多您机构已经在使用的产品。随着供应商扩展或更新其产品，各机构应保持警惕，注意现有工具中引入的新人工智能组件或功能。

如有疑问，请询问您的解决方案负责人或供应商。

根据《人工智能 (AI) 利用政策》，所有 Executive Branch agencies 应注册其内部和外部人工智能系统的使用，以便进行监督和批准，确保这些系统的可信、安全和可靠使用。

人工智能注册与审批目前是一个多步骤的过程，需要在 Archer 应用程序中进行用例注册，一旦获得批准，还需要输入到 VITA 的 Planview CTP 应用程序中以进行必要的审批（例如，您的机构负责人和您的秘书（仅限外部人工智能））。

如果您对如何在Archer应用程序中注册您的人工智能技术有任何疑问，请联系分配给您的机构企业架构师（EA），他们将很乐意为您提供帮助。如果您对CTP/Planview有任何疑问，请联系分配给您的机构ITIMD分析师。

虽然对于人工智能的现有用途没有豁免，但并非所有用途都需要在注册表中记录。如有疑问，请询问您的机构分配的EA。

• 如果AI解决方案满足以下所有三个标准，则无需注册：

• 面向内部
• 不使用人员数据
• 未纳入生产系统（非生产系统的例子是沙盒、仅使用合成或公开数据的开发和测试系统）

• 如果人工智能解决方案满足以下任何条件，则必须注册：

• 面向外部
• 使用人员数据
• 用于生产系统中
• 支持机构任务关键型或业务关键型流程
• 包含SEC530信息安全标准定义的敏感数据
• 需要审查以评估云服务

人工智能注册与审批流程和COV RAMP服务于相关但不同的目的，且它们按特定顺序进行，以保护各机构免受不必要的成本和工作负担。

视情况而定。

不。

视情况而定。

供应商如何使用人工智能，以及该使用方式是否会影响弗吉尼亚州政府？

如果供应商仅将人工智能用于内部、非弗吉尼亚州政府的目的（例如，员工使用 Claude 等人工智能工具分析不涉及弗吉尼亚州数据或服务的电子邮件），则无需进行披露或注册。

然而，当供应商的人工智能使用直接支持 Commonwealth 业务流程、影响机构使命或具有面向公众的影响时，则需要进行注册。这包括任何影响决策、流程、数据处理或向弗吉尼亚州及其公民提供的服务的人工智能功能。

注册责任还取决于人工智能的使用来源：

如果 VITA 请求或要求供应商使用特定的 AI 功能，则 VITA 负责确保将该 AI 用例录入注册表。如果供应商提议在向 VITA 或任何机构提供服务时使用 AI，则供应商必须启动注册流程并与 VITA 合作完成该流程。

简而言之，任何涉及弗吉尼亚州数据、系统或业务功能的供应商人工智能使用都必须进行注册，无论是由供应商发起还是由 VITA 指导。

任何由行政部门机构使用或采购的人工智能系统，包括独立式、嵌入式或生成式人工智能，都必须在两者中进行注册。

Ardoq 中的文档记录应在规划阶段、ITIM 提交之前开始。尽早记录可确保：

• 与企业架构标准保持一致
• 纳入风险审查流程
• 对 VITA 和指定的企业架构师可见

随后，必须在从采购到部署及退役的整个生命周期内进行更新。

机构应包括：

所有必填字段中均需提供充分信息，以完整定义提交审批的用例。

任何字段均不得留空。

各机构必须在部署前将新的人工智能系统注册到 COV 人工智能注册表中，并通过 Ardoq 提交详细信息。

每年都会进行更新，以记录任何变更并确保与COV政策和标准持续保持一致。

机构IT代表 (AITR) 和信息安全官 (ISO) 负责：

• 确保条目完整且为最新，
• 跟踪和报告使用指标，
• 与 VITA 和 CIO 协调任何更新或变更。

各机构还必须任命一名人工智能数据治理官员，以监督文档记录并维护年度审计。

各机构必须对高风险人工智能系统进行年度审计，以确认：

• 数据最小化实践
• 同意管理
• 日志与访问跟踪
• 符合去标识化、偏见缓解和安全协议

审计结果必须提交给 VITA 和行政管理部长。

1. 在预规划、采购和上线等里程碑节点

2. 每当关键属性发生变更时：所有者、数据分类、生命周期状态

3. 在 ITIM 季度更新期间，以确保架构和合规性的准确性

仅使用合成/公共数据的沙盒、测试或人工智能免于正式注册/记录。 但如果系统：

• 计划用于生产环境，或
• 支持关键任务流程，或
• 需要进行云服务审查

然后需要在 CTP/Archer 中进行注册，并在 Ardoq 中进行记录。

并非完全独立进行。根据政策，人工智能系统还必须：

1. 已在 CTP/Planview 中注册
2. 已在 Archer 中记录以进行风险清单盘点
3. 经机构负责人（如果是外部人工智能，还需经秘书）批准，并同时在 CTP 和 Archer 中体现
4. 在 Ardoq 中记录，作为企业级架构治理的一部分

Ardoq 文档是对这些步骤的补充，而非替代。

如果您的人工智能解决方案涉及任何形式的人员数据，例如个人、敏感或可识别信息，您的机构必须能够清楚地解释这些数据是如何收集、使用、保护和管理的。您的文档和批准请求至少应包括：

任何由弗吉尼亚州机构开发的人工智能解决方案都必须明确证明其拥有使用训练中所涉及的每一个数据集的权限，包括来自公开来源的数据。各机构必须能够识别并记录所使用的所有数据集，解释每个数据集的适用性，并描述这些数据如何为人工智能系统的运作和输出结果提供支持。

是的。

可以使用人工智能生成的代码，但必须在严格的人工监督下进行。任何由人工智能工具生成的代码在集成到机构系统之前，都必须经过彻底的审查、验证和测试。

注册表时效性意味着 Commonwealth 的人工智能注册表必须始终反映机构所使用的每一种人工智能系统的准确、最新的清单，包括新部署的解决方案、长期存在的遗留系统、嵌入式功能和生成式工具。这是一份动态记录，始终反映机构真实的 IT 组合。

原因：
因为《人工智能使用政策》要求提供关于各机构如何使用人工智能的完整文档，以确保透明度、监督、人工验证和合乎道德的部署。当前的登记册是履行这些义务的基础。 

不。

任何支持关键任务或业务关键功能、处理公民/企业数据或需要云审查的现有人工智能系统都必须进行注册，即使是多年前部署的系统也不例外。

原因：
审批流程适用于任何内部或外部人工智能系统，且政策明确规定，各机构必须记录其 IT 产品组合中人工智能的使用地点和方式，旧技术也不例外。 

每当识别、修改、替换或新使用人工智能系统时，必须持续进行更新。

原因：
机构治理要求规定注册条目必须保持完整和最新，且年度审计依赖于准确的文档记录。持续的维护可防止可能削弱监管的漏洞。 

将注册限制为纯新增系统，会导致嵌入式、继承式或遗留人工智能无法被追踪。这会在合规性、人工监督审查、风险管理和公民透明度方面造成盲点。

原因：
该政策强调记录所有人工智能的使用，确保无论系统何时产生，都能实现负责任且合乎道德的部署。人工智能责任同样适用于独立式、嵌入式或生成式人工智能。 

及时在人工智能注册表中进行注册，完成所需的审批，并更新相关的治理文档。

原因：
所有人工智能系统都必须经过审批工作流程并进行记录，以便 VITA 和秘书处审查员能够评估公平性、人工监督、数据管理和风险。 

机构信息技术代表 (AITR)、信息安全官 (ISO)、指定的机构治理人员以及 VITA 的企业架构部门在发现、记录、审查和维护人工智能条目方面均发挥着共同作用。

原因：
该政策赋予各机构记录人工智能使用情况、完成审批以及保持注册表条目更新的责任，而 VITA 则负责维护记录并提供监督。 

审计旨在验证登记条目是否准确、完整，并与实际系统使用情况一致。调查结果有助于识别差距并确保治理材料是最新的。

原因：
高风险系统的年度审计和持续的机构治理审查依赖于完整的登记条目，且结果必须提交给 VITA 和行政管理部长。 

是的，但仅限于系统严格处于非生产环境（沙盒、开发或测试）且使用合成数据或公开数据时。

原因：
针对“嵌入在标准商业产品中的人工智能”的批准豁免不适用于在生产中主动使用的系统。即使在无需注册的情况下，治理要求仍然强制要求进行清单知情。 

1. 对系统和应用程序进行全面扫描，以识别嵌入式或遗留人工智能。
2. 区分生产与非生产用途。
3. 注册所有生产环境中的人工智能系统。
4. 完成 Planview CTP 审批。
5. 进行定期内部审查和年度审计。
6. 维护机构治理所要求的文档。

原因：
这些行动与关于文档、审批工作流、审计和治理要求的政策部分保持一致。 

它确保了全州范围内的一致性、合规使用、面向公民系统的透明度，以及对《人工智能应用政策》的统一遵守。

原因：
该政策要求各机构记录 AI 的使用地点和方式，并向 VITA 提供治理材料。当前的注册表条目支持负责任且一致的全州范围监督。 

各机构无需为嵌入在标准商业产品中的人工智能提交注册审批。然而，各机构仍必须通过库存管理实践保持对嵌入式人工智能的了解。

原因：
审批流程明确豁免了标准商业软件中嵌入的人工智能，但仍需对第三方资源进行清单管理。 

当前的注册表有助于各机构跟踪第三方人工智能的使用位置，以便评估供应商的测试、文档、保修、数据使用限制和安全保障措施。

原因：
该政策要求进行供应商审查、测试评估、合同要求和库存管理，以降低第三方风险。 

它帮助各机构识别所有处理 Commonwealth of Virginia 数据的人工智能系统，从而实现对《政府数据收集与传播实践法案》的合规，并落实数据最小化、保留期限和安全指标。

原因：
该政策要求采取严格的隐私和数据保护措施，并对高风险系统进行年度审计，这两者都取决于准确了解哪些人工智能系统存在。 

它通过明确识别哪些系统会生成决策、面向公众的内容或影响公民的自动化输出，使各机构能够满足披露要求。

原因：
该政策要求对影响公民的外部人工智能系统进行公开披露、内容标注、使用前通知和透明化处理。准确的登记条目支持这些义务。 

是的。各机构必须了解哪些系统使用了人工智能，以便能够将正确的强制性免责声明语言应用于输出结果、决策和内容。

原因：
该政策规定，每当使用人工智能生成或辅助输出时，必须使用特定的免责声明语言和透明度规则。准确的注册知情至关重要。

最新的注册条目使各机构和审查人员能够评估每项人工智能系统的人工验证、监督和可解释性，从而防止无人监控的“黑箱”决策。

原因：
该政策禁止无法解释的决策逻辑，并要求进行人工监督以验证结果并解决意外后果。 

它确保每一个人工智能系统，包括旧系统，都具有明确的目标、公共利益和支持性文档（包括 RIA 审查），并与现代标准保持一致。

原因：
该政策要求每个 AI 系统必须证明其对公民的价值，并记录在业务案例流程中评估过的替代方案。 

维护完整的注册表条目通过创建跨机构的人工智能系统统一权威数据集，减少了协调差距。

原因：
机构治理要求强调清晰的文档记录、最新的跟踪以及向 VITA 提供记录的可用性，所有这些都有助于减少碎片化。 

完整的注册表可确保各机构能够满足审计要求，证明其符合政策标准，并向 VITA 和政策领导层提供准确的治理材料。

原因：
各机构必须对高风险系统进行年度审计、跟踪人工智能使用情况、维护文档，并将结果提交给 VITA 和行政秘书，所有这些工作都依赖于注册信息的准确性。