Settu reglur um gervigreind áður en starfsfólk setur gögnin í rangt kerfi

Settu reglur um gervigreind fram sem svör við ákvörðunum sem starfsfólk tekur áður en það hleður upp gögnum: Hvaða verkfæri má nota í þetta verkefni, hvaða upplýsingar mega fara inn og hver ber ábyrgð á niðurstöðunni? Skrá yfir samþykkt verkfæri þarf að tilgreina leyfð verkefni og gagnaflokka. Aðgangur að verkfæri eða greidd áskrift veitir ekki sjálfkrafa heimild til að setja vinnugögn í það.

Reglurnar þurfa einnig að ná til verktaka, skilgreina mannlega yfirferð og segja hvert mistök eru tilkynnt. Í öryggisstefnu bresku DWP gilda kröfur fyrir starfsfólk og verktaka sem nota búnað eða hugbúnað stofnunarinnar; þar þarf sérstakt samþykki áður en persónuupplýsingar eða óopinber forritskóði fara í gervigreindarverkfæri, notendur eiga að kanna úttak og tilkynna möguleg öryggisatvik. Fyrir íslenskan vinnustað er þetta fordæmi um skýrar ábyrgðarreglur, en lokatextinn þarf að taka mið af eigin starfsemi og skyldum.

Flokkaðu gögn og verkefni hvort í sínu lagi

Sama verkfæri getur hentað fyrir birtan kynningartexta en verið óviðeigandi fyrir óbirt tilboð. Verkefnið skiptir líka máli: þótt inntakið sé opinbert getur úttak sem styður ákvörðun um einstakling kallað á meiri yfirferð. Prófíll NIST fyrir myndandi gervigreind byggir á valfrjálsum áhætturamma sem metur notkun kerfa í samhengi og leggur til aðgerðir gegn áhættu sem tengist þessari tækni. Eftirfarandi flokkun er tillaga að vinnureglu, ekki lagaleg skilgreining.

• Grænt: Efni sem þegar er opinbert og verkefni með litlar afleiðingar, svo sem hugmyndir að fyrirsögnum. Nota má verkfæri sem er samþykkt fyrir verkefnið. Starfsmaður yfirfer úttakið áður en það fer áfram.
• Gult: Innri upplýsingar sem eru ekki ætlaðar almenningi, svo sem óbirt áætlun eða drög að tilboði. Notkun er aðeins heimil ef eigandi gagnanna hefur samþykkt hana og verkfærið er skráð sem samþykkt fyrir þennan gagnaflokk og tilgang.
• Rautt: Persónuupplýsingar, trúnaðargögn viðskiptavina, aðgangslyklar og óopinber forritskóði. Þessi gögn fara ekki í almenn opin verkfæri. Sérstök notkun krefst fyrirfram ákvörðunar um tilgang, heimildir og verndarráðstafanir.

Persónuupplýsingar þurfa sérstaka athugun jafnvel þegar verkfærið hefur verið samþykkt. Leiðbeiningar Persónuverndar um mat á áhrifum nefna meðal annars mat á frammistöðu einstaklinga, viðkvæmar upplýsingar og nýjar vinnsluaðferðir sem atriði við mat á því hvort vinnsla geti haft mikla áhættu í för með sér. Áður en gervigreind er notuð með starfsmannagögnum eða niðurstöður hennar hafa áhrif á fólk þarf ábyrgðaraðili að meta hvort slíkt áhrifamat sé nauðsynlegt.

Skrifaðu reglurnar á eina aðgengilega síðu

Settu eftirfarandi snið á stað sem starfsfólk notar við vinnuna. Fylltu út hornklofana áður en reglurnar taka gildi. Tengill á verkfæralista þarf að leiða að skrá sem sýnir heimildir fyrir tiltekna notkun, ekki aðeins nöfn þjónustna.

• Gildissvið: Reglurnar gilda um starfsfólk og verktaka sem nota gervigreind við verkefni [vinnustaðar], líka þegar þau nota eigin aðgang. Innbyggðir aðstoðarmenn í öðrum forritum falla einnig undir reglurnar.
• Samþykkt verkfæri: Aðeins verkfæri á [verkfæralista] má nota. Við hvert verkfæri eru skráð leyfð verkefni, gagnaflokkar, eigandi samþykkis og dagsetning næstu yfirferðar.
• Inntak: Græn gögn má nota samkvæmt verkfæralistanum. Gul gögn þurfa skráða heimild frá [hlutverki]. Rauð gögn fara ekki í almenn opin verkfæri; beiðnir um sérstaka notkun fara til [hlutverks] áður en nokkru er hlaðið upp.
• Úttak og tilvísanir: Sá sem notar verkfærið kannar staðreyndir, opnar tilvísanir og staðfestir að þær styðji fullyrðingarnar. Í endanlegu efni eru raunverulegar heimildir upplýsinga tilgreindar; tilvísun sem verkfærið býr til nægir ekki.
• Ábyrgð og gagnsæi: [Hlutverk] ákveður hvenær skrá skal notkun gervigreindar við efni sem birt er út á við eða við ákvörðun um einstakling. Nafngreindur starfsmaður ber ábyrgð á yfirferð og endanlegri ákvörðun.
• Frávik: Rangri upphleðslu, óheimilli notkun og grun um leka er tilkynnt tafarlaust til [öryggis- eða persónuverndartengiliðar] eftir [tilkynningarleið]. Tilkynningin segir hvaða verkfæri var notað, hvaða tegund gagna fór inn og hvenær.

Tilgreindu eiganda stefnunnar og hvenær hún verður næst yfirfarin. Samræmdu lokatextann við persónuverndarreglur, ráðningarsamband, samninga við viðskiptavini og það atvikaferli sem þegar er í gildi á vinnustaðnum.

Samþykktu nýtt verkfæri fyrir ákveðna notkun

Beiðni um verkfæri á að lýsa verkefninu áður en aðgangur er keyptur eða gögnum hlaðið upp. Samþykkið á að ná til samsetningar verkfæris, gagna og tilgangs. Ef notkun breytist síðar, til dæmis úr vinnu með birtan texta í vinnu með starfsmannagögn, þarf nýja ákvörðun.

1. Verkefniseigandi skráir tilgang, gagnaflokk, þá sem fá aðgang og hvort úttakið verði birt eða notað við ákvörðun um fólk.
2. Öryggis- og persónuverndarábyrgðaraðilar fá skýr svör um aðgangsstýringu, varðveislu og eyðingu gagna, undirvinnsluaðila og hvort þjónustuveitandi notar inntak til þjálfunar. Ósvöruð atriði þarf að leysa áður en viðkomandi gagnaflokkur er heimilaður.
3. Ábyrgur stjórnandi samþykkir eða hafnar beiðninni. Niðurstaðan fer á verkfæralistann með leyfðum verkefnum, gagnaflokkum, eiganda og tíma fyrir endurskoðun.

Starfsfólk þarf að geta séð niðurstöðuna án þess að leita að þeim sem afgreiddi beiðnina. Ósk um undanþágu fer sömu leið og nýtt samþykki, svo ákvörðunin og forsendur hennar verði skráðar.

Gerðu mannlega yfirferð að skilgreindu verki

Áður en efni er sent áfram kannar ábyrgur starfsmaður staðreyndir hjá frumheimildum, opnar tengla sem verkfærið leggur til og athugar að úttakið birti ekki persónuupplýsingar eða trúnaðarefni. Hann lagar rangfærslur og ákveður hvort efnið sé yfirhöfuð hæft til notkunar. Það að lesa textann hratt yfir er ekki staðfesting á tilvísunum hans.

Þegar niðurstaðan snertir ráðningu, frammistöðu, þjónustu eða réttindi einstaklings skoðar ábyrgur sérfræðingur forsendurnar sjálfur og tekur ákvörðunina. Skráning þarf að gera kleift að rekja hvaða verkfæri var notað, hver fór yfir niðurstöðuna og hvaða heimildir studdu endanlegt efni. Umfang og varðveisla þeirrar skráningar ráðast af verkefninu og reglum vinnustaðarins.

Tilkynntu rangri upphleðslu strax

Ef gögn fara í rangt kerfi stöðvar starfsmaður frekari notkun þess fyrir verkefnið og tilkynnir atvikið eftir skráðu leiðinni. Hann greinir frá verkfærinu, tegund gagna og því sem vitað er um tímasetningu og viðtakendur. Hann á ekki að gera ráð fyrir að eyðing spjalls fjarlægi allar upplýsingar hjá þjónustuveitanda eða afmá gögn sem þarf til að rannsaka atvikið.

Tengiliðurinn metur hvort hægt sé að takmarka aðgang eða óska eftir eyðingu og hvort virkja þurfi formlegt öryggis- eða persónuverndarferli. Prófaðu síðan hvort starfsfólk finni á reglublaðinu svör við þremur raunhæfum spurningum: Má nota birtan texta í samþykktu verkfæri, hver heimilar notkun óbirtra gagna og hvert er tilkynnt ef starfsmannagögn fara í rangt kerfi? Ef svarið er óljóst þarf að laga heimildina, verkfæralistann eða tilkynningarleiðina. Endurskoðaðu reglurnar einnig þegar nýtt verkfæri, nýr gagnaflokkur eða atvik breytir forsendunum.

Lestu einnig:

• Settu AI-reglur áður en trúnaðargögn fara í spjallgluggann
• 48% starfsmanna ýkja gervigreindarkunnáttu sína undir þrýstingi
• Auglýsendur sía gervigreindarsull — mannlegir YouTube-höfundar fá forskot