MI noteikumi darbavietā: tikai 8% ir gatavi, pārējiem vajag datu robežas

Helmes Latvia un Norstat aptaujas rezultāti rāda, ka Latvijā tikai 8 % darbavietu bija gan skaidri MI lietošanas noteikumi, gan darbinieku apmācības, savukārt 28 % organizāciju darbinieki paši izvēlējās rīkus un to lietošanas mērķus. Šis rādītājs raksturo noteikumu un apmācību pieejamību aptaujā, nevis visu uzņēmumu gatavības auditu.

Uzņēmuma MI lietošanas kārtībai jāpasaka, kuru rīku un kontu drīkst izmantot konkrētam uzdevumam, kādu informāciju tajā drīkst ievadīt un kurš pārbauda un apstiprina rezultātu. VARAM praktiskās vadlīnijas šādu pieeju paredz publiskās pārvaldes iestādēm; privāts uzņēmums var to pielāgot saviem procesiem un datiem.

Vienas lapas MI lietošanas kārtības paraugs

Kārtības tekstā vajadzīgas darbības, ko darbinieks var izpildīt pirms jautājuma ievades vai faila augšupielādes. Kvadrātiekavās atstātās vietas uzņēmums aizpilda ar saviem rīkiem, lomām un iekšējiem kanāliem. Rīku reģistrs un datu matrica var būt šīs lapas pielikumi.

• Tvērums. Kārtība attiecas uz [darbiniekiem un ārpakalpojumu sniedzējiem], kuri darba uzdevumos izmanto MI teksta, tulkošanas, attēlu, audio vai citus rīkus. Darba informācijai to piemēro arī tad, ja darbinieks vēlas lietot personīgu kontu.
• Atļautie rīki. Lieto tikai [rīku reģistrā] norādīto rīku un konta veidu, ievērojot pie tā noteikto uzdevumu un datu kategoriju. Ja rīks nav reģistrā, pirms izmantošanas piesaki to [rīka īpašniekam].
• Datu ievade. Pirms ievades nosaki informācijas kategoriju pēc uzņēmuma matricas. Ja rīkam šī kategorija nav atļauta vai kategoriju nevar noteikt, informāciju neievadi un jautā [procesa vadītājam vai datu aizsardzības kontaktpersonai].
• Rezultāta izmantošana. MI sagatavoto saturu uzskati par uzmetumu. Pārbaudi faktus, skaitļus, atsauces, valodu un atbilstību uzdevumam; ārējai saziņai paredzēto rezultātu apstiprina [norādītā loma].
• Ziņošana un uzturēšana. Par neatļautu datu ievadi, iespējamu izpaušanu vai būtisku kļūdu ziņo [iekšējais kanāls]. [Rīka īpašnieks] pārskata atļaujas [noteiktajā intervālā] un pēc izmaiņām rīka nosacījumos vai darba procesā.

Rīku reģistrā katram ierakstam norādi pakalpojumu, atļauto konta veidu, lietošanas mērķi, pieļaujamās datu kategorijas un atbildīgo. Viena pakalpojuma nosaukums vēl nenosaka, kā tiek apstrādāta ievadītā informācija: to var ietekmēt konta veids, līgums un iestatījumi. Tāpēc atļauja lietot rīku nav vispārēja atļauja tajā ievadīt uzņēmuma datus.

Datu matrica: ko drīkst ievadīt

Datu valsts inspekcijas skaidrojums par datu ievadi MI rīkos aicina organizācijas noteikt atļautos uzdevumus un informācijas robežas, izvērtēt pakalpojuma datu apstrādes nosacījumus un ievadīt tikai nepieciešamo. Tālākā matrica ir uzņēmuma politikas paraugs; katras kategorijas faktiskā atļauja jānorāda pie konkrētā rīka.

• Publiska informācija — atļauta apstiprinātam uzdevumam. Uzņēmuma jau publicētu pakalpojuma aprakstu var izmantot kopsavilkuma vai teksta uzmetuma sagatavošanai, ja rīks ir apstiprināts. Pirms rezultāta publicēšanas pārbauda tā precizitāti un izmantotā satura tiesības.
• Iekšēja informācija — tikai īpaši atļautā rīkā. Nepublicēti plāni, instrukcijas un darba sarakste nav publiski dati arī tad, ja tajos nav cilvēku vārdu. Ja rīka ieraksts šādu ievadi neparedz, uzdevumu formulē vispārīgi, neatklājot uzņēmuma informāciju.
• Personas dati — pēc atsevišķa izvērtējuma. Klientu ziņas, darbinieku informāciju un pretendentu CV izmanto tikai konkrētam nolūkam, nepieciešamajā apjomā un uzņēmuma tam apstiprinātā risinājumā. Vārda dzēšana pati par sevi nenozīmē anonimizāciju, ja cilvēku joprojām var atpazīt pēc pārējām detaļām.
• Īpaši aizsargājama vai konfidenciāla informācija — bez atsevišķas atļaujas neievadīt. Veselības datus, piekļuves datus, komercnoslēpumus un sensitīvu līgumu saturu neaptver vispārīga MI lietošanas atļauja. Ja konkrētam procesam šāda informācija vajadzīga, vispirms izvērtē un apstiprina risinājumu un tā aizsardzības nosacījumus.

Robeža attiecas arī uz īsiem fragmentiem. Piemēram, daži teikumi no klienta sūdzības var atklāt gan cilvēku, gan darījumu, pat ja vārds ir izņemts. Ja vajadzīgs tikai atbildes tonis vai struktūra, uzdevumu var uzrakstīt ar vispārīgu situācijas aprakstu, saglabājot konkrētos faktus ārpus rīka.

Atbildība par rīku un tā rezultātu

Vadība apstiprina kārtību un nosaka procesus, kuros MI drīkst lietot. Rīka īpašnieks kopā ar IT vai drošības atbildīgo izvērtē piegādātāja nosacījumus, piekļuvi un datu apstrādi, pirms rīku pievieno reģistram. Ja paredzēti personas dati, izvērtējumā iesaista par datu aizsardzību atbildīgo personu.

Procesa vadītājs nosaka, kādam nolūkam MI rezultātu drīkst izmantot un kuram tas jāsaskaņo. Darbinieks atbild par ievadīto informāciju un pārbauda sagatavoto uzmetumu; gala apstiprinātājs pieņem lēmumu par tā izmantošanu. Piemēram, reklāmas teksta variantu var rediģēt pirms publicēšanas, bet atbildi klientam par konkrētu strīdu nosūta tikai pēc tam, kad cilvēks pārbaudījis faktus un uzņēmuma nostāju.

Pārbaudes dziļumu nosaka iespējamās kļūdas sekas. Prezentācijas virsrakstam pietiek ar redakcionālu pārskatīšanu, turpretī skaitļi, atsauces uz tiesību normām un klientam sniegti solījumi jāsalīdzina ar uzticamu pamatinformāciju. Ja šādu pārbaudi uzdevumā nevar veikt, MI atbilde nedrīkst kļūt par patstāvīgu lēmuma pamatu.

Atļautie uzdevumi un ieviešanas kontrolsaraksts

Sākotnējā atļauja var aptvert uzdevumus ar publisku vai vispārīgu informāciju: publicēta teksta saīsināšanu, prezentācijas struktūras veidošanu un valodas labojumu priekšlikumus. Tie ir politikas piemēri, nevis apstiprinājums jebkuram tirgū pieejamam rīkam. Pretendentu vērtēšanai, klientu lietu analīzei un automatizētiem lēmumiem vajadzīgs atsevišķs procesa, datu un iespējamo seku izvērtējums.

Pirms kārtības izsūtīšanas darbiniekiem pabeidz šīs darbības:

1. Nosauc atļautos darba uzdevumus un katram piešķir procesa vadītāju.
2. Izveido rīku reģistru ar konkrētiem kontu veidiem, atļautajiem datiem un piegādātāja nosacījumu izvērtējumu.
3. Pārbaudi matricu ar uzņēmumam raksturīgiem piemēriem, piemēram, publisku aprakstu, iekšēju plānu un klienta pieprasījumu.
4. Norādi, kurš pārbauda un apstiprina rezultātu un kur jāziņo par kļūdām vai datu izpaušanas aizdomām.
5. Apmāci darbiniekus ar atļautas un neatļautas ievades piemēriem un padari aktuālo kārtības versiju viegli pieejamu.

Ja uzņēmums vēlāk pievieno jaunu rīku, konta veidu vai darba procesu, reģistrā vienlaikus jānorāda arī tā datu robeža un atbildīgais. Citādi darbiniekam paliek atļauja lietot MI, bet nav skaidras atbildes par konkrētās informācijas ievadi.

Lasiet arī:

• SolarWinds Avior rīkojas pats — bīstamām darbībām vajag cilvēka atļauju
• OpenAI aģentu spieti skāra ārējas datubāzes — robežas vēl nav skaidras
• Attālinātā darba kompensācija: 40 eiro robeža nav visa atbilde