Firemní pravidla pro AI na dvě strany: začněte daty, ne seznamem zákazů

Firemní pravidla pro AI napište jako pracovní rozhodovací postup: který nástroj je schválený, jaká data do něj smějí vstoupit a kdo odpovídá za výstup. Dvě strany A4 jako výchozí rozsah a rozdělení dat do kategorií doporučuje český návod Praxio; v krátkém dokumentu však musí zůstat místo pro příklady z vlastní firmy a kontakty na odpovědné lidi.

Začněte hranicí mezi veřejným, interním a omezeným obsahem. Zaměstnanec pak snáze rozhodne, zda smí zadat zveřejněný popis služby, pracovní nabídku pro zákazníka nebo životopis uchazeče. Seznam povolených nástrojů má smysl teprve ve spojení s tím, pro jaký vstup a úkol byly schváleny.

První strana: rozsah a pravidla pro vstupy

Do úvodu doplňte jedinou větu: „Schválené nástroje AI lze použít pro [konkrétní úkoly] za podmínek uvedených níže.“ Hned určete, zda pravidla platí také pro externisty, pracovní použití osobních účtů a funkce AI zabudované do běžných firemních aplikací. Zapište skutečně používané nástroje a typy účtů; pravidla pro aplikaci, o níž vedení neví, budou obtížně vymahatelná.

Jádro stránky tvoří vyplnitelná matice. Ke každé kategorii napište povolený nástroj nebo typ účtu, příklad z firmy a roli, která řeší pochybnosti. Následující formulace lze převzít a doplnit:

• Veřejná data: zveřejněný popis služby, vlastní marketingový text nebo obecný dotaz. Povolený vstup do [nástroj]; rozhoduje [role]. U cizích materiálů ověřte oprávnění k použití.
• Interní data: pracovní postup, nezveřejněná prezentace nebo návrh nabídky bez osobních a smluvně chráněných údajů. Povolený vstup jen do [schválený firemní účet] pro [účel], pokud firma prověřila podmínky nakládání s daty; rozhoduje [role].
• Omezená data: životopisy, mzdy, zákaznické záznamy, přístupové údaje, obchodní tajemství nebo obsah pod smluvní mlčenlivostí. Nevkládat, dokud [role] neposoudí konkrétní účel, nezbytnost údajů, zabezpečení a právní i smluvní podmínky.

Tato matice je interní rozhodovací pomůcka, nikoli právní kategorie platná pro každou firmu. Jediný soubor může kombinovat více režimů: nabídka pro zákazníka obsahuje běžný popis služby, ale také jeho kontaktní údaje a neveřejnou cenu. Napište proto pravidlo „Při pochybnostech použijte přísnější kategorii a obraťte se na [kontakt].“ Odstranění jména nemusí stačit, pokud lze člověka poznat podle dalších údajů.

Pod matici přidejte seznam [název nástroje – typ účtu – povolený účel – povolená kategorie vstupů]. Nástroj schválený pro jazykovou úpravu veřejného textu tím nezískává souhlas pro zpracování interních podkladů. Pokud zatím žádný nástroj nesplňuje podmínky pro interní údaje, nechte u této kategorie „nepovoleno“ a uveďte schvalovatele výjimky.

Druhá strana: role a kontrola před odesláním

Rozlišujte vlastníka pravidel [jméno nebo role], schvalovatele nástroje a konkrétního použití [role] a autora výstupu [role]. První udržuje seznam a odpovídá na dotazy; druhý posuzuje účel a vstupní data; třetí kontroluje obsah, který odešle zákazníkovi nebo zveřejní. V malém týmu mohou některé role připadnout téže osobě, ale v dokumentu musí být jasné, v jaké věci rozhoduje.

U zákaznických výstupů nahraďte neurčité „zkontrolovat správnost“ otázkami: Odpovídají jména, ceny, termíny a závazky schváleným podkladům? Lze odborná a právně významná tvrzení ověřit v původních zdrojích? Neunikají v textu osobní nebo důvěrné údaje? Kdo schválil finální podobu? Pokud odpověď chybí, výstup zatím neodesílejte; autor jej upraví nebo předá k odborné kontrole.

Pro použití, které ovlivňuje konkrétní lidi, určete zvláštní schválení. Úprava formulace náborového e-mailu je jiný úkol než automatické třídění uchazečů; běžné povolení textového asistenta proto nerozšiřujte na výběr lidí. Doplňte pole „Použití vyžadující samostatné posouzení: [proces]“ a „Rozhoduje: [role]“.

Jak schválit nástroj a nahlásit chybu

Žádost o nový nástroj omezte na název, pracovní účel, kategorii vstupů, skupinu uživatelů a důvod, proč nestačí stávající řešení. Schvalovatel pak prověří, kdo má přístup k účtu a vloženým údajům, zda se vstupy ukládají nebo používají k dalším účelům, jaké platí smluvní podmínky a zda lze výsledky lidsky kontrolovat. Souhlas zapište jako dvojici nástroj a povolené použití, aby oprávnění pro jeden úkol nepůsobilo jako všeobecná licence.

Vedle schvalování patří do pravidel jedna krátká věta pro chybné vložení dat nebo odeslání vadného výstupu: „Přerušte další sdílení a neprodleně oznamte [kontakt] nástroj, čas, druh údajů či chyby a příjemce.“ Odpovědná osoba vyhodnotí rozsah, zajistí nápravu a posoudí případné povinnosti podle dotčených údajů a smluv. Zaměstnanec má vědět, kam se obrátit, i když si není jistý, zda už jde o incident.

Vyzkoušejte pravidla a vysvětlete je lidem

Vyberte běžný pracovní úkol s veřejným vstupem a projděte podle osnovy jeho povolený nástroj, schvalovatele a kontrolu výsledku. Pak zkuste hraniční situaci s kombinací interních a osobních údajů; nejasné rozhodnutí proměňte v konkrétní příklad v matici. Vládní průvodce pro veřejnou správu popisuje cyklus od stanovení cíle a pilotního ověření po kontrolu právních a etických dopadů a úpravu praxe; pro firmu je to použitelný postup zavádění, nikoli hotová podniková směrnice.

Seznámení s pravidly přizpůsobte práci jednotlivých skupin: obchod potřebuje projít zákaznickou nabídku, HR práci s údaji uchazečů a IT schvalování nástroje. Podle výkladu Evropské komise článek 4 AI Actu ukládá poskytovatelům a zavádějícím subjektům podporovat AI gramotnost lidí pracujících s AI jejich jménem s ohledem na jejich znalosti a kontext použití; jednotný formát školení ani konkrétní úroveň každého člověka nepředepisuje. Zaznamenejte, komu byla pravidla vysvětlena a na jakých úkolech, a při změně nástroje nebo procesu příklady upravte.

Přečtěte si také:

• RAG, nebo fine-tuning: častá záměna prodraží firemní AI
• NVIDIA staví AI agentům hardwarovou klec, pravidla ale píše člověk