Polityka korzystania z AI w firmie, którą pracownicy przeczytają
Pracownicy pytają, czy mogą użyć AI do maila, oferty albo tłumaczenia umowy, a odpowiedź zależy od tego, kogo zapytają. Krótka polityka daje jedną odpowiedź dla wszystkich i mieści się na dwóch stronach.
Autor: Szymon Łakomy. Aktualizacja:
Dlaczego dwie strony, a nie dwadzieścia
Długi regulamin podpisuje się raz i nikt do niego nie wraca. Dwie strony pracownik przeczyta w kilka minut i znajdzie w nich odpowiedź, kiedy ma wątpliwość przy konkretnym zadaniu. Ustawienia kont i inne szczegóły techniczne trzymam w osobnej notatce dla administratora.
Dozwolone narzędzia i konta
| Narzędzie | Status | Warunek |
|---|---|---|
| Asystent AI w planie firmowym, na przykład ChatGPT w przestrzeni firmy | dozwolony | tylko konto firmowe z logowaniem służbowym |
| Copilot w Microsoft 365 | dozwolony, jeśli firma go wdrożyła | praca na plikach zgodnie z uprawnieniami |
| Prywatne konta w darmowych narzędziach | niedozwolone do spraw firmy | wolno używać do nauki, bez danych firmy i klientów |
| Nowe narzędzia, wtyczki do przeglądarki, nagrywanie spotkań przez AI | po zgłoszeniu | zgodę daje osoba odpowiedzialna za politykę |
Konfigurację kont opisuję na stronach wdrożenie ChatGPT w firmie oraz Microsoft 365 Copilot w firmie.
Trzy klasy danych
Jawne
Treści publiczne albo takie, które nic nie zdradzają: tekst ze strony firmy, ogólne pytania, szkic posta bez danych klientów. Wolno je wpisywać w każdym dozwolonym narzędziu.
Wewnętrzne
Procedury, oferty, notatki ze spotkań, korespondencja z kontrahentami. Tylko w narzędziach na koncie firmowym.
Chronione
Dane osobowe klientów i pracowników, dane o zdrowiu, hasła, wyniki finansowe przed publikacją, treści objęte umową o poufności. Nie wpisujemy ich wcale albo tylko w narzędziu wskazanym w polityce z nazwy, po anonimizacji.
Przy każdej klasie podaję dwa, trzy przykłady z pracy tej konkretnej firmy, bo „dane wrażliwe” bez przykładu każdy rozumie inaczej. Ocenę, co i gdzie wpisywać, rozwijam w tekście czy można wklejać dane firmy do ChatGPT.
Człowiek sprawdza, zanim wynik wyjdzie z firmy
Za treść odpowiada osoba, która ją wysyła, a nie narzędzie. Polityka wymienia, co sprawdzać szczególnie: liczby i daty, nazwiska i nazwy firm, cytowane przepisy, warunki z umów oraz kod, który trafi do systemu. Model potrafi napisać przekonujący akapit z wymyśloną podstawą prawną. Notatkę dla siebie można przejrzeć pobieżnie, ale mail do klienta, ofertę i odpowiedź na reklamację człowiek czyta w całości.
Klienci, oznaczanie treści i prawa do tekstów
Polityka ustala, kiedy klient dowiaduje się o udziale AI. Przy chatbocie, voicebocie oraz grafikach, nagraniach i wideo z AI obowiązki wynikają z przepisów, które opisuję na stronie AI Act: obowiązki dla firm. Przy zwykłych tekstach to decyzja firmy, którą warto zapisać, żeby wszyscy postępowali tak samo.
Ostrożnie z prawami do wygenerowanych treści. Ochrona takich materiałów prawem autorskim budzi wątpliwości, więc w polityce zapisuję, żeby nie obiecywać klientom wyłącznych praw do grafik czy tekstów z AI bez konsultacji z prawnikiem.
Zgłoszenia, odpowiedzialność i przegląd
- Jedna osoba odpowiedzialna. Zatwierdza nowe narzędzia, odpowiada na pytania i prowadzi listę zgłoszeń.
- Zgłoszenie bez szukania winnych. Kto wpisał dane chronione w złe miejsce albo wysłał błędną treść z AI, mówi o tym od razu. Szybkie zgłoszenie daje czas na reakcję, także gdy trzeba ocenić naruszenie ochrony danych.
- Przegląd co pół roku. Narzędzia, plany i przepisy się zmieniają, więc sprawdzam listę dozwolonych narzędzi, klasy danych i zgłoszenia z ostatnich miesięcy.
- Omówienie z zespołem. Politykę przechodzę z pracownikami na przykładach z ich pracy, najlepiej podczas szkolenia z AI i automatyzacji.
Najczęstsze pytania
Czy mała firma potrzebuje spisanej polityki AI?
Jeśli choć jedna osoba używa AI do spraw firmy, tak. Przy pięciu osobach wystarczy jedna strona. Bez niej każdy sam decyduje, co wkleja i gdzie, a firma dowiaduje się o problemie dopiero od klienta.
Kto powinien zatwierdzić politykę?
Właściciel albo zarząd, bo dokument dotyczy danych klientów i odpowiedzialności firmy. Sposób wprowadzenia go wobec pracowników, na przykład jako części regulaminu pracy, warto ustalić z prawnikiem.
Co zrobić, gdy pracownik wklei dane klienta do prywatnego konta?
Zgłosić to od razu osobie odpowiedzialnej za politykę. Razem z inspektorem ochrony danych albo prawnikiem firma ocenia, czy doszło do naruszenia i czy trzeba je zgłosić. Ja pomagam w części technicznej, na przykład ustalić, co i gdzie trafiło.
Ile kosztuje przygotowanie polityki korzystania z AI?
Wycena po rozmowie. Zależy od liczby narzędzi, rodzaju danych i tego, czy przy okazji trzeba ustawić konta firmowe.
Powiązane strony
Chcesz spisać zasady AI dla swojego zespołu?
Napisz, z jakich narzędzi korzystają pracownicy i jakie dane przetwarzacie. Przygotujemy razem dwie strony zasad.