AI хэрэглэх дүрэмд нэг мөр дутвал нууц мэдээлэл prompt-д орно

Ажилтны AI хэрэглээний дүрэмд ямар хэрэгсэлд ямар өгөгдөл оруулж болохыг тодорхой бич. Энэ заалт дутвал ажилтан хувийн бүртгэлтэй чатботод нууц мэдээлэлтэй хүсэлт оруулах эсэхээ өөрөө таамаглаж шийднэ. ComplianceAnvil-ийн хэрэглээний бодлогын загвар зөвхөн баталсан AI хэрэгсэл ашиглах, батлаагүй хэрэгсэлд нууц мэдээлэл оруулахгүй байхыг шууд заадаг.

Хэрэгжихүйц дүрэмд хэрэгсэл ба өгөгдлийн зөвшөөрлөөс гадна гаралтыг хэн шалгах, алдааг хаана мэдээлэх, шинэ хувилбарыг хэн батлахыг нэрлэнэ. Доорх бөглөж ашиглах загвар нь NIST AI RMF Playbook-ийн Govern, Map, Measure, Manage чиглэлийг ажилтны өдөр тутмын шийдвэрт хөрвүүлсэн редакцын санал юм; байгууллага өөрийн бүртгэл, албан тушаал, өгөгдлийн ангиллаар тохируулна.

Зөвшөөрөл нь хэрэгслийн нэрээр дуусахгүй

«Баталсан AI ашиглана» гэсэн заалтын ард ажилтан үзэж болох бүртгэл байх хэрэгтэй. Түүнд хэрэгслийн нэр, байгууллагын ашиглах бүртгэл эсвэл орчин, зөвшөөрсөн ажил, оруулж болох өгөгдлийн ангилал, зөвшөөрөл олгосон эзэмшигчийг тэмдэглэ. Нэг үйлчилгээний хувийн бүртгэлээр нэвтрэхийг байгууллагын зөвшөөрөлтэй орчинд нэвтрэхтэй адилтгаж болохгүй.

Зөвшөөрөлгүй хэрэгсэл ашиглах хүсэлтийг шийдэх хүнийг мөн заа. Хэрэгсэл ажлыг түргэсгэх эсэхээс өмнө ямар мэдээлэл хүлээн авах, түүнд хэн хандах, өгөгдөл хадгалах болон холбогдсон нэмэлт үйлчилгээний нөхцөл нь тухайн ажилд тохирох эсэхийг үнэлэх шаардлагатай. Бүртгэлд байхгүй хэрэгсэл, шинэ холболт эсвэл хувийн бүртгэл ажилтанд хэрэгтэй санагдсан ч хүсэлт шийдэгдэхээс өмнө ажлын өгөгдөл оруулах зөвшөөрөл үүсэхгүй.

Өгөгдлийн ангиллыг оруулах үйлдэлтэй холбо

«Нууц мэдээлэл бүү оруул» гэдэг өгүүлбэр дангаараа өдөр тутмын файлыг ялгахад хүрэлцэхгүй. NIST-ийн generative AI профайл хувийн болон эмзэг мэдээлэл задрах эрсдэлийг нэрлэж, чатбот ба шийдвэрийн даалгаварт зөвшөөрөгдөх хэрэглээ, татгалзах хүсэлтийн шалгуур тогтоохыг санал болгодог. Байгууллагын дүрэм энэ зарчмыг ажилтан оруулах гэж буй бичвэр, файл, зураг, холбосон сан бүрт хэрэглэхээр тодорхойлох ёстой.

Одоо мөрдөж буй ангиллаа ашиглан нийтэд ил, дотоод хэрэглээний, хязгаарласан мэдээлэлд өөр өөр шийдвэр оноо. Жишээ нь нийтлэгдсэн бүтээгдэхүүний тайлбарыг зөвшөөрсөн хэрэгслээр товчлуулж болно. Харин хэрэглэгчийн нэр, утасны дугаартай захидал нь дотоод ажилд ирсэн байсан ч хувийн мэдээлэл агуулна; тухайн хэрэгсэл, зорилго, орчинд энэ ангиллыг тусгайлан зөвшөөрөөгүй бол оруулахгүй. Цалин, гэрээний нууц нөхцөл, нэвтрэх мэдээллийг хориглох жишээнд нэрлэж өгөх нь ажилтанд заагийг танихад тусална.

Зөвшөөрсөн хэрэгсэл бүх ангиллын өгөгдөлд автоматаар зөвшөөрөгдсөн гэсэн үг биш. Өгөгдлийн ангилал тодорхойгүй, эсвэл зөвшөөрлийн бүртгэлд тухайн ангилал байхгүй бол мэдээлэл эзэмшигчээс шийдвэр автал оруулалтыг хойшлуулах заалт нэм. Мэдээллээс нэрийг арилгасан ч гэрээний өвөрмөц нөхцөл, ажлын байр, үйл явдлын дэлгэрэнгүйгээр хүнийг таних боломжтой байж болох тул ийм өөрчлөлтийг дангаар нь зөвшөөрөл гэж үзэхгүй.

Бөглөж батлах нэг хуудасны дүрэм

Дараах заалтууд дахь дөрвөлжин хаалтыг бодит нэр, бүртгэлийн байршил, холбоо барих сувгаар солино. Эдгээр нь байгууллагын мэдээлэл хамгаалах болон инцидент мэдээлэх журмыг орлохгүй; ажилтан AI хэрэглэхдээ тэдгээр журмын аль шийдвэрийг хэнээс авахыг нэг дор харах зориулалттай.

• Хамрах хүрээ, эзэмшигч — Govern. «Энэ дүрэм [байгууллага]-ын ажилтан, гэрээт ажилтны ажлын зорилгоор ашиглах generative AI хэрэгсэлд хамаарна. Дүрмийг [албан тушаал] эзэмшиж, зөвшөөрсөн хэрэгслийн бүртгэлийг [ажилтанд нээлттэй байршил]-д хөтөлнө» гэж бөглө.
• Хэрэгсэл, ажил — Map. «[Хэрэгслийн нэр ба байгууллагын орчин]-ыг [зөвшөөрсөн даалгавар]-т ашиглаж болно. Бүртгэлд байхгүй хэрэгсэл, хувийн бүртгэл, нэмэлт холболтоор ажил хийхийн өмнө [зөвшөөрөл олгох албан тушаал]-д хүсэлт гаргана» гэж заа.
• Оролтын мэдээлэл — Map. «Нийтэд ил мэдээлэл болон [зөвшөөрсөн дотоод ангилал]-ыг [нэрлэсэн хэрэгсэл, орчин]-д оруулж болно. Хэрэглэгч, ажилтны таних мэдээлэл, гэрээний нууц нөхцөл, нэвтрэх мэдээлэл болон [бусад хязгаарласан ангилал]-ыг [тусгай зөвшөөрлийн нөхцөл] хангаагүй бол оруулахгүй» гэж бич.
• Гаралтын хяналт — Measure. «AI-аас гарсан баримт, тооцоо, ишлэл, код, зөвлөмжийг тухайн ажлыг хариуцсан [албан тушаал] эх мэдээлэл болон хүчинтэй журамтай тулган шалгана. [Батлах эрхтэй албан тушаал]-ын зөвшөөрөлгүй гаралтыг нийтлэх, хэрэглэгчид илгээх, хүнд нөлөөлөх шийдвэрт хэрэглэхгүй» гэж тогтоо.
• Зөрчил, өөрчлөлт — Manage. «Зөвшөөрөөгүй мэдээлэл оруулсан эсвэл буруу гаралт түгээсэн байж болзошгүйг мэдмэгц [мэдээлэх суваг]-аар [хариуцсан баг]-т мэдэгдэнэ. Шинэ хувилбар, тохиргоо, холболтыг [батлах албан тушаал] үнэлж, бүртгэлд оруулсны дараа ашиглана» гэж заа.

Загварыг батлахдаа ажилтан хэрэгслийн бүртгэл болон мэдээлэх сувгийг үнэхээр нээж чадах эсэхийг шалга. Хаалт дотор «хариуцсан баг» гэж үлдээсэн эсвэл хандах боломжгүй дотоод хаяг бичсэн бол зөрчил мэдээлэх зам тодорхой болсон гэсэн үг биш. Дүрмийн хувилбар, баталсан хүн, хүчинтэй болсон өдрийг тэмдэглэж, ажилтнуудад аль хувилбар үйлчилж байгааг мэдэгд.

Гаралтыг хэн, юутай тулгах вэ

«Хүн хянана» гэсэн ерөнхий үгийн оронд ажлын бүтээгдэхүүнийг батлах эрхтэй хүнийг нэрлэ. Харилцагчид очих захидлыг илгээгч, хүний нөөцийн дүгнэлтийг эрх бүхий HR ажилтан, санхүүгийн тооцоог тухайн тооцоог батлах хүн хариуцаж болно. Эдгээр нь нөхцөлт жишээ; байгууллага өөрийн үүрэг, батлах шатлалд тааруулан эзнийг тогтооно.

Шалгалтын зүйл ч мөн ялгаатай. Баримт ба ишлэлийг анхны эхтэй нь тулгана, тооцоог дахин бодно, кодыг байгууллагын шалгах журмаар үнэлнэ. Гаралт дотор хувийн мэдээлэл санаандгүй орсон эсэхийг үзэх нь оролтын хоригтой адил чухал. Эх сурвалжийг тогтоож чадахгүй өгүүлбэрийг баталгаатай баримт мэт дамжуулахын оронд хариуцагч өөр эхээр шалгана эсвэл ашиглахгүй орхино.

Ажилтны сонголтод нөлөөлөх дүгнэлт гарвал хяналтын тэмдэглэлд юуг AI-аар бэлтгэсэн, ямар эхээр шалгасан, хэн эцэслэн баталсныг үлдээ. Ингэснээр дараа нь гарсан асуултад аль хувилбар, аль эх мэдээлэлд тулгуурласныг тогтоох боломжтой. Шалгах хүн нь зөвхөн бичгийн алдаа засагч бус, гаралтыг ашиглах эсэхийг шийдэх эрх бүхий эзэн байна.

Зөрчлийг мэдээлэх, өөрчлөлтийг дахин батлах

Нууц мэдээлэл буруу хэрэгсэлд орсон байж болзошгүйг анзаарсан ажилтан өөрөө арилгасан гэж үзээд мэдээлэлгүй өнгөрөөх ёсгүй. Дүрэмд мэдэгдэх сувгийг нэрлэж, хэрэгсэл ба ашигласан орчин, өгөгдлийн ангилал, болсон цагийн ойролцоо мэдээлэл, хийсэн үйлдлийг дамжуулахыг заа. Инцидентийн мэдэгдэлд нууц агуулгыг дахин хуулж илгээх шаардлагагүй; хүлээн авах баг шаардлагатай мэдээллийг байгууллагын хамгаалалттай журмаар авна.

Хариуцсан баг цаашдын ашиглалтыг түр зогсоох, үйлчилгээ үзүүлэгчтэй холбогдох, мэдээлэл хамгаалах болон инцидент хариу арга хэмжээний журмыг эхлүүлэх эсэхийг шийднэ. Ажилтанд энэ шийдвэрийг өөрөө гаргах үүрэг өгөхийн оронд мэдэгдэх хамгийн эхний сувгийг ойлгомжтой болго. Мэдэгдэл хүлээн авсан хүн, шийдвэр гаргасан эзэн хоёрыг бүртгэлд ялгаж тэмдэглэх нь хариуцлагыг тодорхой болгоно.

Хэрэгслийн нэр хэвээр байсан ч шинэ хувилбар, нэмэлт холболт, өгөгдөл хадгалах тохиргоо өөрчлөгдвөл өмнөх зөвшөөрлийн хамрах хүрээг дахин үз. Бүртгэлд ашиглах орчин, зөвшөөрсөн өгөгдлийн ангилал, шийдвэр гаргасан хүн, баталсан хувилбарыг тэмдэглэ. Хагас жил тутам хянах давтамжийг байгууллага дотооддоо тогтоож болно; харин зөвшөөрөлд нөлөөлөх өөрчлөлт гарвал ээлжит хяналтыг хүлээлгүй шинэчилнэ.

Мөн уншаарай:

• AI сургалтыг prompt-оор бүү хязгаарла: чадварыг ажлын үр дүнгээр шалга
• Prompt бичихээс илүүг шаардана: хэрэглээний AI ур чадвар 51% өсжээ
• Dockerfile-д ENV-ээр secret бүү хий: image дотор мөр нь үлдэнэ