Polityka dopuszczalnego użycia AI

czym jest polityka dopuszczalnego użycia AI

Polityka dopuszczalnego użycia AI to krótki, konkretny dokument, który mówi pracownikom trzy rzeczy: jakie narzędzia AI są dopuszczone do użytku w pracy, jakich kategorii danych nie wolno wprowadzać do żadnego zewnętrznego narzędzia AI oraz jak zgłosić nowe narzędzie AI do weryfikacji, zanim zacznie się go używać.

To wskazówka operacyjna, którą można przeczytać w pięć minut i od razu zastosować, napisana prostym językiem, nie prawniczym, i działa bez zakazywania technologii.

Działająca polityka AUP AI ma cztery elementy. Listę zatwierdzonych narzędzi, która nazywa konkretne narzędzia wraz z istotnymi warunkami (wymagany tryb enterprise, zakaz danych osobowych itd.). Sekcję klasyfikacji danych, która nazywa kategorie danych niedozwolonych w zewnętrznych narzędziach AI, z przykładami. Proces weryfikacji, który mówi pracownikom, co zrobić, gdy chcą użyć narzędzia spoza listy. I krótkie wyjaśnienie, dlaczego każda zasada istnieje, bo to właśnie sprawia, że ludzie jej przestrzegają.

dlaczego większość organizacji nie ma działającej polityki AI

Adopcja AI wyprzedziła procesy tworzenia polityk. Rok czy dwa lata temu wiele organizacji wciąż zastanawiało się, czy narzędzia AI mają znaczenie dla ich pracy. Zanim odpowiedziały sobie na to pytanie, adopcja była już na zaawansowanym poziomie.

Napisanie polityki po tym, jak adopcja już się rozpoczęła, jest trudniejsze niż napisanie jej wcześniej. Polityka musi uwzględniać narzędzia już w użyciu, unikać wstecznego zakazywania rzeczy, które ludzie uznają za wartościowe, i być na tyle konkretna, żeby była użyteczna, ale nie na tyle restrykcyjna, żeby ją ignorowano.

W efekcie wiele organizacji albo nie ma żadnej polityki, albo ma politykę zbyt ogólną, by zmienić zachowania. Żadne z tych rozwiązań nie wystarcza, biorąc pod uwagę konsekwencje związane z obsługą danych przy użyciu narzędzi AI na dużą skalę.

co się dzieje bez działającej polityki AI

Bez polityki pracownicy samodzielnie decydują, jakie dane wypada udostępniać narzędziom AI. Większość tych decyzji podejmowana jest w dobrej wierze, bez konkretnych wskazówek. Część z nich okaże się błędna, i to w sposób, który ma konsekwencje.

Regulacyjne. RODO wymaga podstawy prawnej dla przekazania danych osobowych stronie trzeciej. Pracownik używający konsumenckiego narzędzia AI do przetwarzania danych klientów lub pracowników może tworzyć lukę w compliance, której organizacja nie będzie łatwo w stanie wyjaśnić. Działająca polityka AI, połączona z listą zatwierdzonych narzędzi obejmującą tylko te z odpowiednimi DPA, zamyka tę lukę.

Umowne. Umowy z klientami i NDA często zawierają ograniczenia dotyczące obsługi danych. Polityka AI, która precyzyjnie określa, co stanowi informację objętą ochroną, wraz z przykładami, zmniejsza ryzyko niezamierzonego naruszenia.

Operacyjne. Bez polityki nie ma też ram do weryfikacji nowych narzędzi przed ich wdrożeniem. Każdy dział ocenia je po swojemu albo wcale. Z czasem organizacja gromadzi zobowiązania wobec narzędzi AI bez centralnego rejestru i bez spójnego standardu.

co działa

Polityki, których ludzie faktycznie przestrzegają, zaczynają się od inwentaryzacji tego, co już jest w użyciu. Polityka pisana na ślepo albo zakazuje narzędzi, na których ludzie polegają, albo pomija realne ryzyka. Ta oparta na liście grantów OAuth z katalogu i krótkiej ankiecie użycia odnosi się do narzędzi, które pracownicy rozpoznają z własnej codzienności. Stąd lista zatwierdzonych narzędzi działa najlepiej jako stwierdzenie pozytywne: narzędzia, których można używać, każde ze swoimi warunkami, wymagany tryb enterprise, zakaz danych osobowych, użytek tylko wewnętrzny. Lista tego, co dozwolone, jest czytana i stosowana w sposób, w jaki lista zakazów nigdy nie jest.

Klasyfikacja danych ma tu największe znaczenie i działa tylko w prostym języku. Kategorie, które większość organizacji chroni w pierwszej kolejności, to dane osobowe objęte RODO, materiały objęte NDA, dane finansowe przed publikacją i kod źródłowy, każda zilustrowana przykładami z realnej pracy ludzi. Zasada w stylu „nie udostępniaj poufnych informacji" niczego nie zmienia, bo nikt nie potrafi jej zastosować do konkretnej rzeczy, którą właśnie zamierza wkleić.

Praktyczna ścieżka weryfikacji utrzymuje listę przy życiu. Krótka checklista rozstrzyga większość przypadków: czy dostawca oferuje DPA, czy dane są wykorzystywane do trenowania modelu, czy istnieje tryb enterprise, czy dostępna jest rezydencja danych w UE i kto zatwierdza dodania do listy. Ostatni element to ton. Polityka podana jako wskazówka, ze zdaniem wyjaśniającym, dlaczego dana zasada istnieje, na przykład że narzędzia AI w wersji konsumenckiej mogą wykorzystywać dane wejściowe do trenowania, co rodzi pytanie o RODO, działa lepiej niż te same zasady podane suchym tekstem. Ludzie stosują się do wskazówek, które rozumieją.