Settu AI-reglur áður en trúnaðargögn fara í spjallgluggann

Settu stuttar reglur um myndandi gervigreind áður en starfsfólk notar spjallforrit við vinnu. Nefndu samþykkt verkfæri og verkefni, flokkaðu gögn eftir því hvað má setja inn, tilgreindu hver yfirfer niðurstöður og hvert tilkynna á mistök. Starfsmaður á að geta svarað einni spurningu áður en hann límir texta inn: Má þetta efni fara í þetta verkfæri í þessum tilgangi?

Einnar síðu stefna getur svarað því ef hún greinir skýrt á milli heimillar notkunar, notkunar sem þarf samþykki og efnis sem ekki má setja í almennt spjallforrit. Hún þarf líka nafngreindan eiganda sem heldur verkfæralistanum við og tekur við spurningum og tilkynningum. Hér er sniðmát að innri vinnureglu; heimild samkvæmt henni kemur ekki í stað mats á lögum, samningum og trúnaðarskyldum sem eiga við um gögnin.

Flokkaðu gögnin áður en þú velur verkfæri

Byrjaðu á því sem starfsfólk hefur undir höndum: opinberu efni, innri vinnugögnum, upplýsingum um starfsfólk og viðskiptavini, óbirtum samningum og viðskiptaleyndarmálum. Flokkunin þarf að ná til fyrirmæla, viðhengja og svara sem eru síðan vistuð eða send áfram. Blandist opinbert efni og trúnaðarefni í sömu beiðni ræður viðkvæmari hlutinn því hvaða heimild þarf.

Leiðbeiningar Evrópska persónuverndarráðsins fyrir smærri fyrirtæki krefjast þess að vinnsla persónuupplýsinga hafi viðeigandi heimild, takmarkist við nauðsynleg gögn og þjóni skilgreindum tilgangi. Nafn sem hefur verið fjarlægt úr texta dugir ekki alltaf til að gera hann ópersónugreinanlegan; samsetning starfsheitis, dagsetningar og lýsingar á einstöku máli getur enn bent á manneskju. Láttu því þann sem þekkir gögnin meta hvort þau megi fara í verkfærið, í stað þess að gera ráð fyrir að einföld afmáun leysi málið.

Samþykktu verkfæri fyrir tiltekin verkefni

Verkfæralistinn þarf að tilgreina heiti þjónustu, hvaða aðgangsleið starfsfólk á að nota, leyfð verkefni og leyfða gagnaflokka. Samþykki fyrir því að semja texta úr opinberu kynningarefni heimilar ekki sjálfkrafa upphleðslu á viðskiptamannaskrá. Ef starfsmaður notar persónulegan aðgang í stað samningsbundins aðgangs vinnustaðarins geta aðrir skilmálar og stillingar gilt; skráðu því aðgangsleiðina, ekki aðeins vörumerkið.

Leiðbeiningar dómsmálaráðuneytis Singapúr fyrir lögfræðigeirann ráðleggja að kanna varðveislu inntaks og úttaks, notkun gagna við líkanaþjálfun og trúnaðarvernd þjónustunnar; fyrir ókeypis verkfæri ráðleggja þær að slökkva á varðveislu og líkanaþjálfun þar sem hægt er og forðast að setja inn trúnaðar- eða viðskiptaviðkvæm gögn. Þar kemur jafnframt fram að gögn kunni að vera varðveitt tímabundið þótt persónuverndarstillingar séu virkar. Þetta eru viðmið við val og stillingu þjónustu, ekki sérreglur sem gilda sjálfkrafa um íslenska vinnustaði.

Eigandi stefnunnar ætti að kanna skilmála, eyðingarmöguleika, aðgangsstýringu og hvort þjónustuveitandi megi miðla gögnum áfram áður en ný þjónusta fer á listann. Ef breyta á leyfðum gagnaflokki þarf nýtt mat á þeirri notkun. Stilling sem hefur verið virkjuð einu sinni er ekki varanlegt samþykki ef skilmálar eða þjónusta breytast.

Einnar síðu sniðmát með skýrum heimildum

Fylltu inn raunverulegum heitum og samskiptaleiðum í eftirfarandi reiti. Í leiðbeiningum breska persónuverndareftirlitsins um stefnur og verklag er lögð áhersla á að reglur skýri tilgang sinn, hverjum þær nái og hver beri ábyrgð á þeim. Sniðmátið aðgreinir jafnframt heimild til að nota gögn frá skyldu til að yfirfara afraksturinn.

• Gildissvið og eigandi: Reglurnar gilda um starfsfólk og verktaka sem nota myndandi gervigreind fyrir [vinnustaður]. [Starfsheiti] á stefnuna, samþykkir breytingar á verkfæralistanum og svarar spurningum á [samskiptaleið].
• Samþykkt verkfæri: Nota má [heiti þjónustu og aðgangsleið] fyrir [verkefni] með [gagnaflokki]. Önnur verkfæri eða önnur verkefni fara fyrst til eiganda stefnunnar til mats.
• Grænt — heimilt: Nota má samþykkt verkfæri til að móta hugmyndir, bæta málfar eða draga saman efni sem þegar er opinbert, svo framarlega sem fyrirmæli og viðhengi innihalda ekki innri eða persónugreinanlegar upplýsingar.
• Gult — aðeins með samþykki: Innri gögn eða upplýsingar sem hafa verið afmáðar má aðeins nota þegar eigandi stefnunnar hefur samþykkt tiltekið verkefni, gagnaflokk og verkfæri. Samþykkið skal skrá ásamt því hver yfirfer niðurstöðuna.
• Rautt — ekki í almennt spjallforrit: Aðgangsupplýsingar, persónuupplýsingar um starfsfólk eða viðskiptavini, óbirtir samningar og viðskiptaleyndarmál fara ekki inn. Ef þörf er á vinnslu slíkra gagna þarf sérstakt fyrirfram mat á þjónustu, heimildum og verndarráðstöfunum.
• Yfirferð og atvik: [Hlutverk] ber saman staðreyndir, tölur og heimildir við frumgögn áður en niðurstaða er birt eða notuð í ákvörðun. Mistök eða grunur um upplýsingaleka eru tilkynnt strax á [samskiptaleið].

Litirnir lýsa heimild fyrir ákveðið verkefni og ákveðin gögn; þeir eru ekki almenn öryggiseinkunn fyrir verkfæri. Hafðu leiðina fyrir vafatilvik á sömu síðu: ef starfsmaður getur ekki ákvarðað flokkinn án þess að giska, á hann að spyrja eiganda stefnunnar áður en efnið er sent.

Skilgreindu yfirferð og skráðu það sem þarf

„Yfirfarið af manni“ þarf að merkja ákveðið verk. Við birtingu eða sendingu til viðskiptavinar yfirfer tilgreindur starfsmaður staðreyndir, tölur, tilvísanir og hvort textinn afhjúpi upplýsingar sem áttu ekki að fara út. Ef niðurstaðan hefur áhrif á ráðningu, greiðslu, réttindi eða skuldbindingu þarf sá sem ber ábyrgð á ákvörðuninni að bera hana saman við frumgögn og taka sjálfur lokaákvörðun.

Gátlisti Future of Privacy Forum mælir með samþykktum verkfærum, skýrum reglum um skráningu notkunar og upplýsingagjöf um gervigreindaraðstoð, auk sjálfstæðrar yfirferðar á niðurstöðum. Fyrir lítinn vinnustað getur skrá með verkefni, verkfæri, gagnaflokki, samþykkjanda og yfirferðaraðila verið nægileg innri yfirsýn. Ákveðið sérstaklega hvort varðveita þurfi fyrirmæli eða svör, hver hafi aðgang að þeim og hvenær þeim sé eytt; afrit af viðkvæmu efni á ekki að safnast sjálfkrafa í almenna notkunarskrá.

Gerðu auðvelt að tilkynna rangan innslátt

Stefnan þarf skýra leið þegar efni hefur þegar farið í rangt verkfæri. Starfsmaður hættir frekari notkun sömu gagna og tilkynnir atvikið tafarlaust til tilgreinds aðila. Í fyrstu tilkynningu dugar að greina frá þjónustunni, tímasetningu, tegund gagna, því hvort viðhengi fylgdu og hvort efnið hafi verið sent áfram; óþarft er að afrita trúnaðarefnið í fleiri skilaboð.

Ábyrgðaraðili kannar aðgang að gögnunum, mögulega varðveislu og eyðingu og kallar eftir þörfum til persónuverndarfulltrúa eða öryggisábyrgðaraðila. Samkvæmt yfirliti Evrópska persónuverndarráðsins um öryggisbrot skal skrá brot á öryggi persónuupplýsinga; ef líklegt er að brot hafi í för með sér áhættu fyrir réttindi og frelsi einstaklinga ber að tilkynna eftirlitsaðila innan 72 klukkustunda frá því ábyrgðaraðili varð brotsins var. Rangur innsláttur er ekki í öllum tilvikum tilkynningarskylt öryggisbrot, en skjót innri tilkynning gerir vinnustaðnum kleift að meta það og takmarka frekari miðlun.

Lestu einnig:

• Bretland samþykkir 44 AI-reglur — eftirlit á að fylgja öllu lífshlaupi
• Settu vefþjónustu á netið án opins ports — göngin fela upprunann
• Færri uppfærslubeiðnir — flokkaðu háða pakka áður en vélmennið ræsir