Polityka AI ma czterdzieści stron i jeden skutek: nikt nie wie, czy wolno wkleić ofertę klienta do czatu. Dokument wygląda profesjonalnie, ale nie odpowiada na pytanie w momencie pracy. Firma nie potrzebuje teczki compliance dla samej teczki. Potrzebuje krótkich zasad, właściciela i ćwiczenia.
Poniższy układ tworzy politykę używalną. Jest materiałem informacyjnym, nie oceną prawną konkretnej organizacji. Przy wysokim ryzyku trzeba dołączyć właściwe obowiązki i konsultację specjalisty.
Zacznij od rzeczywistych zastosowań
Wypisz, jak zespół używa AI dzisiaj: pisanie, tłumaczenie, podsumowania, dokumenty, obsługa, analiza, kod, rekrutacja i agenci. Dodaj dane, odbiorców i skutki. Nie zaczynaj od listy narzędzi, bo ta zmieni się szybciej niż proces.
Zaznacz, co jest dozwolone, warunkowe i zabronione. Przy każdej grupie podaj przykład. „Używaj odpowiedzialnie” nie pomaga. „Możesz streścić publiczny dokument; nie wklejaj danych klienta do prywatnego konta” już tak.
Dokument powinien pokazywać decyzję przed użyciem, nie tylko zakazy po fakcie. Jeżeli zasada nie zmienia zachowania, jest komentarzem, nie polityką.
Dane dzielisz według skutku
Przygotuj klasy: publiczne, wewnętrzne, poufne i zabronione. Opisz przykłady z firmy. Publiczna oferta różni się od historii klienta, kodu produkcyjnego, umowy, CV i danych zdrowotnych. Nie każda informacja wymaga tego samego procesu.
Wskaż, co można anonimizować i kiedy pseudonimizacja nadal nie wystarcza. Usunięcie nazwiska nie usuwa rozpoznawalnego projektu. Przy wątpliwości pracownik nie wysyła danych i pyta właściciela. To powinno być zapisane w jednym prostym zdaniu.
Dodaj zasady logów, eksportów i kopii. Nie wystarczy kontrolować wejście do modelu, jeżeli odpowiedź trafia na wspólny kanał. Pełna mapa przepływu jest opisana w przewodniku o RODO w pracy z AI.
Narzędzia mają właściciela i zakres
Zapisz zatwierdzone produkty, wersje planów, konta i dozwolone zastosowania. Nie zakładaj, że prywatne konto ma te same zasady co firmowe. Data przeglądu warunków powinna być widoczna przy każdym dostawcy.
Wskaż ustawienia trenowania, retencji, regionu, dostępu i integracji. Nie przepisuj całej polityki dostawcy. Zapisz, co firma sprawdziła i co z tego wynika dla pracownika. Zmiana warunków uruchamia nowy przegląd.
Zabroń omijania procesu przez prywatne konta. Nie zostawiaj jednak pustej drogi dla pilnej pracy. Jeżeli zatwierdzenie trwa miesiąc, ludzie znajdą obejście. Proces powinien mieć krótki sposób oceny nowego narzędzia.
Odbiór zależy od skutku odpowiedzi
Przy notatce wewnętrznej wystarczy przegląd autora. Przy mailu do klienta sprawdź źródło, ton i obietnice. Przy publikacji prawnej, finansowej lub decyzji o człowieku wymagaj właściwej roli i pełnej akceptacji.
Zapisz, że człowiek odpowiada za wynik, ale pokaż, jak go odebrać: otworzyć źródło, sprawdzić liczby, porównać wersję, przetestować działanie. Samo „zweryfikuj” jest równie użyteczne jak „bądź mądry”.
Nie wymagaj zbędnej akceptacji każdej drobnej czynności. Proces ma być proporcjonalny, inaczej zespół zacznie klikać bez czytania. Wysokie ryzyko wymaga więcej, niskie mniej. To jest zdrowy minimalizm.
Role i odpowiedzialność
Wskaż właściciela polityki, właścicieli narzędzi, osoby zatwierdzające nowe zastosowania i kontakt incydentowy. Nie przypisuj wszystkiego do IT. Właściciel procesu zna skutek i powinien decydować o danych oraz odbiorze.
Opisz rolę pracownika, administratora i osoby akceptującej. Administrator włącza funkcję, ale nie zawsze rozumie konsekwencje biznesowe. Osoba akceptująca potrzebuje czasu i prawa odmowy, nie tylko przycisku.
Przy małym zespole jedna osoba może mieć kilka ról. Zapisz je osobno, żeby było jasne, kiedy następuje konflikt. Przy dużych skutkach dodaj drugą osobę lub zewnętrzną ocenę.
Incydent ma krótką instrukcję
Opisz, co zrobić po wysłaniu danych do złego narzędzia, publikacji błędnej odpowiedzi lub podejrzeniu nadużycia. Zatrzymaj proces, ogranicz dostęp, zachowaj dowody i zgłoś właścicielowi. Nie kasuj historii w panice.
Podaj kontakt i czas odpowiedzi. Pracownik nie powinien szukać właściwej osoby po liście kanałów. Komunikat zawiera identyfikator zadania, źródło, czas i podejrzany skutek, bez rozpowszechniania pełnych danych.
Pełną oś reakcji znajdziesz w planie incydentu AI. Polityka powinna prowadzić do niej, nie powtarzać całego podręcznika.
Szkolenie na jednym przypadku
Komisja wskazuje na dopasowanie AI literacy do roli, doświadczenia i ryzyka. Zamiast samego odczytu polityki wykonaj scenariusz: pracownik chce wysłać ofertę, dokument zawiera dane i starą cenę, model proponuje odpowiedź. Zespół wybiera działanie.
Sprawdź, czy osoba potrafi wskazać klasę danych, właściwe konto, źródło, odbiór i moment zatrzymania. Nie oceniaj znajomości strony dokumentu. Liczy się zachowanie.
Zapisz datę i wynik ćwiczenia bez tworzenia nowej bazy prywatnych odpowiedzi. Powtórz po zmianie narzędzia lub procesu. Certyfikat nie jest wymagany przez samą AI literacy, ale praktyka jest niezbędna.
Jedna strona zasad przed pełną dokumentacją
Na górze zapisz cel i zastosowania. Niżej dane, narzędzia, odbiór, role i incydent. Dodaj właściciela, datę i link do źródeł. Całość powinna pomieścić najczęstsze decyzje na jednej stronie lub w krótkim interfejsie.
Pełniejsze procedury żyją obok: RODO, uprawnienia, incydenty, dostawcy, testy. Polityka jest mapą, nie zbiorem każdej możliwej reguły. Linki powinny prowadzić do aktualnych źródeł, nie kopii w załącznikach.
Jeżeli nowa osoba potrafi wykonać właściwą decyzję po przeczytaniu, dokument działa. Jeżeli wymaga tłumaczenia przez prawnika przy każdym PDF-ie, jest za mało użyteczny.
Przykład decyzji przed wysłaniem oferty
Pracownik chce przygotować odpowiedź do klienta. Najpierw sprawdza, czy dokument zawiera dane poufne i starą cenę. Wybiera firmowe konto zatwierdzone dla tej klasy, ogranicza kontekst do aktualnej sekcji i nie przesyła całej historii.
Model przygotowuje szkic. Pracownik porównuje cenę i warunki z oryginałem, usuwa nieuzasadnioną obietnicę i dopiero wtedy otwiera wiadomość. Jeżeli źródło jest nieaktualne, zatrzymuje się i kontaktuje z właścicielem oferty.
Ten scenariusz pokazuje politykę w czterech decyzjach: dane, konto, źródło i odbiór. Nie wymaga zapamiętania czterdziestu stron. Można go użyć podczas szkolenia i sprawdzić zachowanie przy kolejnym dokumencie.
Kiedy nowa funkcja wymaga zmiany polityki
Dodanie obrazów, pamięci, agenta lub automatycznej wysyłki zmienia ryzyko. Nie wystarczy dopisać nazwy funkcji do listy zatwierdzonej. Właściciel ocenia nowe dane, odbiorców, skutek i sposób zatrzymania.
Przy pamięci sprawdź profil, historię i usuwanie. Przy agencie sprawdź narzędzia, limity i akceptację. Przy wysyłce oceń rzeczywistego adresata i możliwość odwrócenia skutku. Każda funkcja ma inne testy zależne.
Zapisz wersję polityki i datę wejścia. Pracownik powinien wiedzieć, od kiedy nowe zasady obowiązują i gdzie znaleźć poprzedni proces. Nie zmieniaj reguł bez komunikatu przy zadaniu.
Odbiór polityki przez osobę spoza zespołu
Poproś kogoś, kto nie pisał dokumentu, o rozstrzygnięcie trzech przypadków: publiczny przewodnik, dokument klienta i próba wysyłki przez agenta. Nie pomagaj w trakcie. Sprawdź, czy potrafi znaleźć odpowiedź właściwą dla roli.
Jeżeli odpowiada „to zależy”, ale nie potrafi wskazać od czego, polityka jest za mało konkretna. Dodaj kryteria i przykłady. Jeżeli szuka odpowiedzi w kilku miejscach, popraw mapę i źródło.
Po poprawce powtórz tylko problematyczne przypadki. Nie organizuj kolejnego pełnego przeglądu dla zmiany jednej reguły. Dokument ma być łatwy do utrzymania i testowania.
Reguły dla pracy zdalnej i prywatnych urządzeń
Zapisz, czy dozwolone są prywatne urządzenia, jakie konta i jakie typy danych. Nie wysyłaj poufnych dokumentów na prywatny telefon tylko dlatego, że praca jest pilna. Jeżeli dostęp jest dozwolony, powinien mieć właściwe MFA, blokadę i ograniczenie kopii.
Opisz pracę poza siecią firmy: współdzielone ekrany, nagrania, zdjęcia i eksporty. Poufna treść nie powinna trafiać do osobistej galerii ani historii domowego asystenta. Reguły obejmują także osoby współlokacyjne i publiczne miejsce.
Przy wyjściu z biura lub zmianie urządzenia wykonaj odwołanie sesji i sprawdź kopie. Polityka ma opisywać rzeczywistą pracę, a nie tylko idealny komputer firmowy.
Jak zgłaszać wyjątek bez obchodzenia zasad
Przygotuj krótką ścieżkę: cel, dane, skutek, czas, narzędzie i właściciel. Wyjątek powinien mieć ograniczony zakres i termin, a nie ogólne „na wszelki wypadek”. Osoba zatwierdzająca musi wiedzieć, co akceptuje.
Jeżeli odpowiedź jest natychmiastowa, nie używaj przypadkowego kanału tylko dlatego, że jest szybciej. Zapisz bezpieczny wariant: usunięcie danych, praca na kopii albo przekazanie zadania właścicielowi. Proces powinien być prostszy niż obejście.
Po zakończeniu oceń, czy wyjątek pokazuje regułę do zmiany. Powtarzalne wyjątki oznaczają zły proces, a nie nową normę. Zaktualizuj politykę albo ogranicz ich liczbę.
Kiedy polityka powinna zostać uproszczona
Jeżeli pracownicy stale pytają o to samo, nie dodawaj kolejnego załącznika. Zbierz pytania i sprawdź, czy reguła jest niejasna, trudna do wykonania albo sprzeczna z narzędziem. Prosty przypadek zwykle naprawia więcej niż nowy rozdział.
Usuń powtórzenia i połącz zasady, które mają ten sam skutek. Zachowaj właściciela i kryteria decyzji. Skrócenie nie powinno usuwać granic bezpieczeństwa, tylko prace nad zrozumieniem.
Po zmianie powtórz jeden przypadek z nową osobą. Jeżeli potrafi wybrać właściwe konto i odbiór, dokument stał się lepszy. Jeżeli nadal wymaga tłumaczenia, uprość go ponownie zamiast dodawać objętość.
Przegląd po trzech miesiącach
Wybierz kilka rzeczywistych przypadków i porównaj z zasadami. Czy dało się je zastosować? Gdzie zespół zgadywał? Jakie nowe narzędzia lub odbiorcy pojawili się? Nie aktualizuj daty bez zmiany procesu.
Usuń reguły, które nie mają skutku lub powtarzają inne. Popraw przykłady. Dodaj nowe ryzyko tylko z właścicielem i sposobem odbioru. Polityka ma się zagęszczać klarownością, nie objętością.
NIST AI RMF jest dobrowolnym ramowaniem zarządzania ryzykiem i pomaga patrzeć na projekt, użycie i ocenę systemu. Nie jest gotową polityką do skopiowania. Twoja wersja powinna opisywać pracę zespołu.
Wdrożenie zamiast wysyłki PDF-a
Omów politykę przy jednym procesie, wykonaj ćwiczenie i udostępnij w miejscu pracy. Dodaj krótką decyzję przed wysłaniem dokumentu: jakie dane, jakie konto, jaki odbiór. Nowi pracownicy powinni przejść ją w onboardingu.
Sprawdź, czy narzędzia i uprawnienia odpowiadają zasadom. Jeżeli polityka zabrania wysyłki bez akceptacji, system nie powinien jej umożliwiać. Technologia powinna wspierać proces, nie wymagać wiary w pamięć.
Pomocny jest Aeneia Signal o polityce korzystania z AI, a przy mapie procesów Aeneia Audit pomaga przełożyć zasady na narzędzia i role.
Najlepsza polityka AI nie odpowiada na każde pytanie grubym dokumentem. Pomaga zrobić właściwą rzecz przed jednym kliknięciem. Krótko, konkretnie i z człowiekiem odpowiedzialnym za skutek.
Sprawdź nas. To zdrowe.
Temat zmienia się szybko. Linki prowadzą do źródeł pierwotnych i stron, na których możesz zweryfikować kontekst.
