AI-политика за мал тим: пет правила пред да внесете податоци

Петте правила што му требаат на мал тим пред вработените да внесат податоци во генеративна AI се: одобрени алатки, ограничен внес, човечка проверка, означување содржина и пријавување инциденти. Овој краток образец е практична адаптација на внатрешната политика на ICO, која ги опфаќа тие контроли. За секое правило, запишете кој одлучува, што смее да направи вработениот и кога мора да побара одобрение.

Назначете раководител или друго одговорно лице што ќе ја одржува листата на алатки и ќе решава за исклучоци. Рамката AI RMF на NIST е доброволна рамка за управување со ризиците при развој, употреба и оценување AI-системи; NIST има и посебен профил за генеративна AI. За секојдневната работа на мал тим, правилата подолу ги претвораат таквите ризици во конкретни одлуки пред внесување податоци и пред користење резултат.

Одобрете ги алатките и нивната намена

Текст за политиката: „За службени задачи користиме само AI-алатки одобрени од [одговорно лице], преку службена сметка и за намените наведени во списокот. Нова алатка, додаток во прелистувач или вградена AI-функција се предлага пред употреба, со опис на задачата и податоците што би се обработувале.“

Во списокот запишете го името на алатката, дозволената намена, кој управува со службената сметка и какви податоци смеат да се внесат. Одобрение за изработка на нацрт за јавна објава не е и одобрение за прикачување клиентски договор. И вградена функција во веќе користена програма може да испрати содржина за AI-обработка, па проверете ја нејзината намена пред да ја вклучите. Ако алатката или задачата ја нема во списокот, вработениот бара одлука; користењето лична сметка не ја менува дозволата.

Одредете што смее да влезе во алатката

Текст за политиката: „Пред внесување ја сведуваме содржината на она што е потребно за задачата. Не внесуваме лични, клиентски или доверливи податоци без посебно одобрение за конкретната алатка и намена. Лозинки, пристапни клучеви и други тајни за пристап не внесуваме.“

Проверете ја содржината што навистина ќе ја испратите, а не само името на датотеката. Во условен пример со CV, бришењето на името не е доволно ако остануваат телефон, фотографија или ретка комбинација на работни места што го открива кандидатот. Кај документ извезен како PDF, видливата страница исто така не е целата датотека: пред прикачување проверете дали останале скриени лични податоци во PDF.

Матрица за одлука пред внесување

• Дозволено: јавен опис на производ, измислен пример за одговор до клиент или општ примерок од код без лозинки, клучеви и внатрешна логика. И овие содржини се внесуваат само во алатка одобрена за соодветната задача.
• Условно: извадок од CV со отстранети идентификатори, анонимизирано клиентско прашање или ограничен дел од код. Одговорното лице ја одобрува задачата откако ќе провери дали преостанатиот контекст може да открие лице, клиент или деловна тајна.
• Забрането без изречно одобрение: целосно CV, клиентски список, цел договор со доверливи услови или необјавен деловен план. Лозинка или API-клуч не се внесува ни кога задачата изгледа безопасна; за работа што бара пристап се користи друг одобрен начин.

Кај клиентска порака, бришењето на името може да остави број на нарачка или опис на проблем што го идентификува клиентот. Кај деловен документ, дури и краток извадок може да открие цена или услов од преговори. Затоа „условно“ бара проверка на конечниот внес и конкретно одобрение, а не автоматско дозволување штом ќе се избришат очигледните лични полиња.

Задолжете човек да го провери резултатот

Текст за политиката: „AI-излезот го третираме како нацрт. Вработениот ја проверува точноста, изворите, пресметките и соодветноста за задачата пред испраќање, објавување или внесување во работен систем. Одлука што влијае врз клиент, кандидат или вработен ја носи и образложува одговорен човек.“

Проверката зависи од видот на резултатот. За текст, споредете ги тврдењата и бројките со оригиналните записи; за код, направете преглед и тестирање во соодветна околина; за слика, споредете ги деталите со вистинскиот производ. Во условен пример, генерирана фотографија со дополнителен отвор за врвка на чевел не треба да стане фотографија за продажба само затоа што изгледа уверливо. Ако тврдење не може да се потврди, изоставете го или побарајте проверлив податок.

Зачувајте јасна одговорност и кога AI само го преработува текстот. Лицето што ја испраќа понудата треба да ги провери цената и условите во неа; лицето што одговара на кандидат треба да провери дали пораката точно ја пренесува донесената одлука. Уреден стил не е доказ дека содржината е точна.

Означете ја значајно генерираната содржина

Текст за политиката: „Во работната верзија бележиме кога AI создала значаен дел од текст, слика, звук или видео. Јавна содржина што е целосно или претежно генерирана јасно ја означуваме како AI-содржина пред објавување; одговорното лице ја проверува ознаката заедно со содржината.“

Внатрешната белешка му кажува на следниот уредник што треба да провери. Видливата ознака ѝ кажува на публиката што гледа или слуша, особено кога синтетичка слика или глас може да се помеша со вистински приказ. Во условен пример со јавна објава што прикажува измислен лик, поставете ја ознаката до самата содржина. Ако AI помогнала само при структурата на текст што потоа е темелно преработен и проверен, одговорното лице може да одлучи дали е потребна јавна ознака според конечниот резултат.

Пријавете погрешен внес и сомнителен излез

Текст за политиката: „Ако по грешка внесам лични, клиентски или доверливи податоци, или забележам дека AI-излез открива такви информации, веднаш ја прекинувам употребата и го известувам [одговорно лице] преку [канал]. Наведувам која алатка е користена, кога се случило тоа и кои категории податоци биле опфатени; спорниот материјал не го препраќам на други лица.“

Одговорното лице утврдува што било внесено, кому можело да му биде достапно и кои мерки се потребни. Внатрешната пријава му дава време на тимот да ги зачува фактите и да процени дали станува збор за нарушување на безбедноста на личните податоци. Според насоките на АЗЛП, контролорот ја известува Агенцијата веднаш, најдоцна во 72 часа од дознавањето за такво нарушување, освен ако може да покаже дека не постои веројатност за ризик по правата и слободите на физичките лица. Затоа во политиката наведете кој ја прави таа проценка и кој го испраќа известувањето.

Прочитајте и:

• PDF може да изгледа чист, а сепак да носи скриени лични податоци
• Claude ќе прикажува изборни податоци — политиката е 5,75% од разговорите
• Strands Box ги затвора AI-агентите, а политиката одлучува што смеат