Политика употребе AI-ја на послу: три питања затварају највеће рупе

Малој фирми је потребна политика која запосленом даје три јасна одговора: који AI алат сме да користи, које податке не сме да унесе и каква је људска провера обавезна пре употребе резултата. Када су та правила записана за конкретан тим, запослени не морају сами да одлучују смеју ли да унесу податке о клијенту или пошаљу непроверен нацрт.

Образац испод повезује та правила са особом која одржава списак алата, каналом за пријаву инцидента и роком за ревизију. Пре усвајања треба уписати стварне алате, дозвољене послове и одговорне улоге. Празно поље није дозвола да запослени сам одобри нови алат или изузетак за осетљиве податке.

Ко је власник политике и на кога се она односи?

Власник политике води важећи списак одобрених алата, одлучује о новим наменама и покреће ревизију правила. У малом тиму то може бити власник фирме или руководилац коме је задатак изричито додељен. Запослени треба да знају име или улогу те особе, место на ком је списак доступан и коме се обраћају када планирана употреба није обухваћена правилима.

Политика треба да важи за запослене и сараднике кад раде за фирму, укључујући употребу пословног алата преко приватног налога. Потребно је обухватити и AI могућности уграђене у други софтвер: одобрење за основни програм не мора да значи одобрење за сваку његову додатну функцију. NIST-ов оквир за управљање ризицима AI-ја намењен је добровољној употреби при развоју, коришћењу и процени AI система и има посебан профил за генеративни AI. Он даје оквир за одлуке, док фирма сама мора да одреди своје алате, улоге и границе употребе.

Који су алати заиста одобрени?

У списак треба унети назив алата, дозвољену врсту налога, конкретну пословну сврху и категорије података које се смеју користити. Одобрење назива производа без тих ограничења оставља отворено питање да ли запослени сме да повеже алат са поштом, дода нови додатак или га употреби за анализу преписке с клијентом. Сваку нову интеграцију и намену зато треба посебно одобрити.

Пре уписивања алата власник политике треба да провери услове добављача: ко може да приступи унетом садржају, колико се он чува, да ли се користи за развој услуге и које контроле нуди пословни налог. Те одговоре треба забележити уз одобрену намену. Ако услови нису довољно јасни за податке које тим планира да користи, намена остаје неодобрена док се то питање не разјасни.

Који подаци остају ван AI алата?

Почетно правило може да забрани унос личних података клијената, запослених и кандидата, лозинки и приступних података, пословних тајни и поверљивих делова уговора. Изузетак треба везати за тачно одређен алат, налог, сврху и писану одлуку одговорне особе. Уклањање имена из документа није довољно ако се особа може препознати по осталим детаљима; за пробни задатак могу да послуже измишљени или заиста анонимизовани подаци.

За фирму у Србији, одобрење алата не решава само по себи питање законите обраде личних података. У објашњењу процене неопходности код легитимног интереса, Повереник за заштиту података о личности указује да треба проверити може ли се циљ постићи без личних података, са мање података или мање инвазивном обрадом. Зато и за одобрен алат остаје питање да ли су подаци потребни за тај задатак и по ком основу се обрађују.

Ко одобрава резултат пре спољне употребе?

Особа која припрема садржај проверава чињенице, бројеве и наведене изворе, као и да ли резултат открива поверљиве информације. Политика затим именује ко одобрава коначну верзију пре слања клијенту или објављивања. За рутинску поруку то може бити надређени, а за правну, финансијску или кадровску процену особа надлежна за ту област.

Одобравалац мора моћи да исправи или одбије нацрт, а не само да потврди да га је видео. Условни пример је AI нацрт одговора на жалбу купца: запослени проверава чињенице у пословној евиденцији, а особа задужена за комуникацију одобрава коначну поруку. Тврдња коју нико не може да потврди уклања се пре слања. Ако резултат служи као основ за одлуку која утиче на појединца, надлежна особа треба самостално да провери основу те одлуке.

Кратак образац политике

Текст у угластим заградама треба заменити стварним подацима фирме. Списак алата може бити засебан прилог који власник ажурира, али запосленима мора бити доступна његова важећа верзија.

• Власник и примена: „За политику одговара [име или улога]. Важи за [запослене и сараднике] када користе AI за послове [назив фирме], укључујући употребу преко приватног налога.“
• Одобрени алати: „Дозвољени су само алати наведени у [место списка], за уписану сврху, врсту налога и категорију података. Нови алат, додатак, повезивање са пословним системом или нову намену претходно одобрава [улога].“
• Забрањени уноси: „Без посебног писаног одобрења не уносе се лични подаци клијената, запослених и кандидата, лозинке, приступни подаци, пословне тајне и поверљиви уговорни или финансијски подаци. И при одобреној употреби користи се само количина података потребна за задатак.“
• Провера резултата: „Корисник проверава чињенице, изворе и прикладност резултата. Пре слања клијенту или објављивања коначну верзију одобрава [улога]. За одлуке које утичу на појединца надлежна особа самостално проверава основу одлуке.“
• Пријава инцидента: „Погрешан унос забрањених података, неовлашћен приступ или штетан резултат одмах се пријављује на [канал]. Пријава садржи назив алата и налога, опис догађаја и време када је уочен, без поновног слања осетљивог садржаја кроз исти алат.“
• Ревизија: „Власник прегледа политику до [датум или период], као и после значајног инцидента или промене алата, услова добављача или начина обраде података. Изузетак се бележи писано, уз сврху, одговорну особу и рок важења.“

По пријави инцидента власник политике треба да сачува податке потребне за утврђивање шта се догодило и да укључи особе надлежне за безбедност и заштиту података. Оне могу да процене даље обавезе према погођеним лицима или надлежним органима. За осетљиву обраду и регулисане делатности образац треба ускладити с конкретним правним и уговорним обавезама; он не замењује правни савет.

Прочитајте и:

• Roundcube се активно напада — закрпа затвара SQL улаз без пријаве
• Cloudflare Turnstile није готов после widget-а — Siteverify затвара рупу
• Firefox 157 затвара више бекстава из sandbox-а — старе верзије остају изложене