Працівник вставляє в чат-бот фрагмент договору, щоб швидше скласти лист. Інший завантажує таблицю з даними клієнтів, щоб побудувати звіт. Ніхто не порушує правил, бо правил просто немає. Так у більшості компаній з’являється тіньовий ШІ: сервіси, про які керівництво не знає і за які ніхто не відповідає.
Чим це ризиковано
- Конфіденційні дані потрапляють до стороннього постачальника, і не завжди зрозуміло, чи використовуються вони для навчання моделей.
- Персональні дані клієнтів обробляються без підстави і без згоди.
- Результати роботи моделі йдуть клієнтам без перевірки людиною.
- Під час перевірки від великого замовника компанія не може показати, де і як використовує ШІ.
Що робити, не забороняючи все
Повна заборона рідко працює: люди просто перестають про це говорити. Краще визнати, що ШІ вже використовується, і дати йому рамки.
- Зібрати перелік сервісів, якими реально користуються команди.
- Розділити дані на ті, що можна передавати в зовнішні сервіси, і ті, що не можна.
- Обрати дозволені інструменти з корпоративними умовами, де дані не йдуть на навчання.
- Написати коротку політику на одну-дві сторінки і провести навчання.
- Призначити відповідального і переглядати перелік раз на квартал.
Де тут ISO/IEC 42001
Міжнародний стандарт ISO/IEC 42001 перетворює ці кроки на систему: оцінка ризиків ШІ, ролі, контроль постачальників, нагляд людини, внутрішній аудит. Компанія може обмежитись внутрішніми правилами або піти далі і отримати сертифікат, який показує замовникам, що використання ШІ під контролем. Як проходить сертифікація ISO/IEC 42001 і що для неї потрібно, пояснено окремо.
Що записати в політику
Перелік дозволених сервісів, заборонені типи даних (персональні дані клієнтів, договори, вихідний код), обов’язкова перевірка результату людиною перед відправкою клієнту і контакт відповідальної особи. Коротка політика, яку прочитали всі, працює краще за довгу, яку не відкривав ніхто.
Як перевірити, що правила працюють
Раз на квартал відповідальний оновлює перелік сервісів, переглядає нові запити від команд і перевіряє, чи не з’явились інструменти поза списком. Якщо компанія вже має ISO/IEC 27001, ці перевірки зручно вбудувати у внутрішній аудит.
Окреме питання: що робити з результатами генерації. Тексти, код і зображення від моделі варто перевіряти так само, як роботу нового працівника, особливо перед відправкою клієнту.
І не забувайте про нових працівників: коротке пояснення правил роботи з ШІ варто включити до першого дня адаптації, разом з паролями і доступами.
Головне: почати з переліку. Без нього будь-яка політика лишиться на папері.
