Polityka użycia AI dla pracowników: co musi znaleźć się w dokumencie

Od czego zacząć

W firmowej polityce AI nie chodzi o opis samej technologii, tylko o to, kto może korzystać z narzędzi, jakich danych nie wolno do nich wpisywać i kiedy wynik musi sprawdzić człowiek. Według AI TrustCERT taki dokument porządkuje użycie AI między działami i ogranicza rozjazd między praktyką pracowników a wymaganiami organizacji.

Minimum, które powinno znaleźć się w dokumencie

Według dokumentacji Acronis oraz wzorów polityk publikowanych przez GC AI i 30Elevate, skuteczna polityka powinna objąć kilka stałych elementów: zakres, zatwierdzone narzędzia, dane zakazane, nadzór człowieka, zgłaszanie błędów i egzekwowanie zasad.

• Zakres stosowania - dokument musi wskazać, czy dotyczy tylko pracowników etatowych, czy także kontraktorów, stażystów i innych osób wykonujących pracę na rzecz firmy, jak opisuje Acronis.

• Dozwolone narzędzia i konta - warto wskazać konkretne aplikacje lub typy rozwiązań oraz to, czy wolno używać wyłącznie kont firmowych. IFeelTech podkreśla, że polityka może obejmować zarówno narzędzia samodzielne, jak i funkcje AI w już używanym oprogramowaniu.

• Dane zakazane i dane wrażliwe - dokument powinien jasno powiedzieć, jakich informacji nie wolno wklejać do promptów. Według AI TrustCERT i Acronis chodzi zwłaszcza o dane poufne, chronione i takie, które mogą ujawnić tajemnice przedsiębiorstwa.

• Weryfikacja człowieka - polityka powinna określać, które wyniki AI wymagają kontroli przed użyciem, publikacją lub wysłaniem do klienta. GC AI ujmuje to jako osobny blok "human review and verification".

Jak opisać zasady bez tworzenia zbyt długiego dokumentu

Praktyka opisana przez Promise Legal i Brainstorm Inc. pokazuje, że najlepsze polityki są krótkie, ale konkretne: zamiast ogólników wskazują klasy danych, listę zatwierdzonych narzędzi, ścieżkę eskalacji i konsekwencje naruszeń. W polskich warunkach szczególnie ważne jest też opisanie, kto podejmuje decyzję, gdy pracownik chce użyć nowego narzędzia lub podłączyć je do danych firmowych.

Warto dopisać trzy rzeczy, które odróżniają dokument użyteczny od dekoracyjnego:

• Kiedy trzeba zgłosić przypadek użycia AI przed wdrożeniem.
• Jak zgłosić błąd, incydent lub podejrzenie nieprawidłowego działania.
• Kiedy rozwiązanie podlega ponownej ocenie, na przykład po zmianie zakresu danych lub integracji z systemem firmowym.

Co daje taki układ w praktyce

Najbardziej użyteczna polityka nie próbuje regulować wszystkiego naraz. Zamiast tego rozdziela zasady dla typowych zadań, jak tworzenie szkiców tekstów czy podsumowań, od zadań ryzykownych, takich jak komunikacja do klienta, oferty handlowe, dokumenty z liczbami albo integracje z pocztą, dyskiem czy CRM, które podnoszą poziom ryzyka przetwarzania danych.

Jeśli dokument ma działać w biznesie, powinien być napisany tak, by pracownik umiał odpowiedzieć sobie na cztery pytania: czy to narzędzie jest dozwolone, czy te dane są wolne do użycia, czy wynik wymaga weryfikacji, i do kogo zgłosić wątpliwość. To właśnie te decyzje powinny znaleźć się w treści polityki, a nie tylko ogólne deklaracje o „odpowiedzialnym użyciu AI”.

Lub System pomaga firmom B2B wdrażać AI, automatyzację i rozwiązania IT kompleksowo - od strategii po wdrożenie. Zobacz nasze usługi lub skontaktuj się z nami, aby omówić Twój przypadek.