Политика использования ИИ в компании: что прописать для сотрудников

Сотрудники уже пользуются нейросетями, с документом или без него. Без правил каждый решает сам, что можно отправить в открытый чат, и договор с ценами контрагента оказывается на чужом сервере.

Политика переводит это из личного решения в правило компании. Она дает три вещи: список разрешенных инструментов, границу по сведениям и ответственного за каждый вопрос.

Документ нужен и для закона. Компания как оператор отвечает по 152-ФЗ за персональные данные клиентов, даже если в чужой сервис их отправил сотрудник. Политика фиксирует, какие правила компания задала и как обучила людей.

Пишите коротко: сотрудник должен прочитать документ за десять минут и запомнить главное. Структура из шести разделов:

1. Цель и область: на кого распространяется документ и какие задачи он покрывает.

2. Разрешенные сервисы и порядок добавления новых.

3. Сведения, которые нельзя отправлять в ИИ, и правило обезличиванияобезличивание данных Обезличивание данных это обработка сведений о людях, после которой без дополнительной информации нельзя понять, к какому человеку они относятся. Подробнее в словаре.

4. Проверка результата: что можно использовать сразу, что проверяет человек.

5. Ответственность: кто утверждает, кто контролирует, кому сообщать о нарушении.

6. Обучение и пересмотр: как знакомят новых сотрудников и когда документ обновляют.

В разделе перечислены сервисы, которыми сотрудник может пользоваться в работе, и задачи, для которых они разрешены. Для каждого указывают, где обрабатываются запросы, есть ли договор с поставщиком и какие сведения туда можно отправлять.

Сервисы удобно разделить на три группы:

1. Разрешены для рабочих задач: корпоративные инструменты с договором об обработке по поручению или модели на серверах в России.

2. Разрешены только для общих задач без сведений о клиентах и деньгах: открытые сервисы для черновиков, переводов и поиска.

3. Запрещены: сервисы без договора, личные аккаунты для рабочих задач, расширения браузера, которые читают страницы CRM.

Отдельно пропишите, как добавить новый сервис: кто проверяет условия поставщика, место обработки и договор и в какой срок отвечает сотруднику.

Если сотрудники работают с персональными данными клиентов, разрешенный инструмент должен обрабатывать их в России. В наших внедрениях персональные данные клиентов обрабатываются на серверах в России по 152-ФЗ, данные и доступы остаются у клиента.

Раздел задает границу примерами, а не общими словами. Формулировка «конфиденциальная информация» сотруднику ничего не говорит, а список «паспорт, телефон клиента, цена из договора» понятен сразу.

Что входит в запрещенный список:

1. Персональные данные клиентов и сотрудников.

2. Условия договоров, цены для отдельных клиентов, маржа и планы продаж.

3. Финансовая отчетность до публикации, зарплаты, банковские выписки.

4. Пароли, ключи доступаAPI-ключ API-ключ это секретная строка, по которой сервис нейросети узнает, какая программа к нему обращается и с чьего счета списать оплату за запросы. Подробнее в словаре, адреса внутренних систем.

5. Исходный код и документация внутренних систем.

Рядом поставьте правило обезличивания: какие поля сотрудник убирает или заменяет до отправки, если задачу нельзя решить иначе. Подробно о том, что сотрудники отправляют в нейросети и чем это грозит компании, на отдельной странице.

ИИ ошибается правдоподобно: уверенный текст с выдуманной цифрой выглядит так же, как верный. Поэтому раздел говорит, какой результат можно использовать сразу, а какой проверяет человек.

Задачи удобно разделить по цене ошибки:

1. Черновики для себя: проверка не нужна, сотрудник все равно правит текст.

2. Тексты для клиентов и партнеров: перед отправкой текст читает автор, цифры и обещания сверяет с источником.

3. Договоры, расчеты, юридические и финансовые выводы: проверяет профильный специалист, ИИ дает только черновик.

Для ИИ-агентовИИ-агент ИИ-агент это нейросеть, которая не просто отвечает, а сама выполняет задачу по шагам: ищет данные, пользуется программами и проверяет результат. Подробнее в словаре, которые отвечают клиентам сами, в политике указывают, где лежат их правила, кто их утверждает и что агент передает человеку.

Отдельной строкой: результат ИИ подписывает человек. Если письмо ушло клиенту, за него отвечает сотрудник, а не нейросеть.

В разделе называют роли и конкретных людей, а не отделы целиком. Документ без имен никто не исполняет.

1. Владелец политики утверждает документ и решает спорные случаи. Часто это ИИ-директорИИ-директор ИИ-директор это руководитель, который отвечает за искусственный интеллект во всей компании: выбирает, что внедрять, контролирует подрядчиков, бюджет и риски. Подробнее в словаре или первое лицо.

2. Юрист и безопасность проверяют сервисы, договоры с поставщиками и соответствие 152-ФЗ.

3. ИТ-отдел подключает разрешенные сервисы, выдает и отзывает доступы.

4. Руководители отделов следят за правилами в своих процессах и собирают вопросы сотрудников.

5. Каждый сотрудник отвечает за то, что отправил в ИИ и что отдал клиенту.

Пропишите, кому сообщать, если сведения уже ушли в запрещенный сервис, и в какой срок. Быстрое сообщение важнее наказания: тогда утечку успевают остановить.

Как распределить эти роли в ИИ-департаментеИИ-департамент ИИ-департамент это люди и правила внутри компании, которые отвечают за искусственный интеллект: кто выбирает решения, кто следит за данными и рисками, кто считает эффект. Подробнее в словаре, описано на странице о структуре и ролях.

Полный запрет не останавливает сотрудников: они продолжают пользоваться ИИ с личного телефона, и компания теряет контроль. Порядок обратный: сначала дать разрешенный инструмент, потом ограничить остальное.

1. Соберите список сервисов, которыми сотрудники уже пользуются, и задач, для которых они это делают.

2. Выберите разрешенные инструменты под эти задачи и подключите их до запрета.

3. Напишите короткую политику по шести разделам выше и отдайте юристу на адаптацию.

4. Проведите обучение на примерах из работы отделов: что можно отправить, что нельзя, как обезличить текст.

5. Через месяц соберите вопросы сотрудников и исправьте документ.

Подписки для сотрудников сами по себе не дают эффекта, если процессы остались прежними. Почему так выходит, разобрано на странице про подписки вместо процессов.

На разборе за 30 минут посмотрим, какими сервисами уже пользуются ваши сотрудники, и скажем, с какого раздела начать документ.