Sådan skriver du en Corporate AI-brugspolitik — AI Policy, KVKK og EU AI Law

Gevinster:

Generer et udkast ved hjælp af den otte-delte politikskabelon
Skriv brugsregler baseret på fire-niveau dataklassificering
Implementere politikken og følge håndhævelsestjeklisten

Når opgaven med at "udarbejde en AI-politik, der skal præsenteres for bestyrelsen næste fredag" lander på en compliance officers skrivebord, frygter mange det blanke tavle. En god AI-politik er imidlertid arkitektonisk standard: den har en forudsigelig ramme i otte dele. I denne enhed vil vi bygge skelettet sektion for sektion, dykke ned i den dataklassifikation, der er dens hjerte, og se trinene til at sætte udkastet i kraft. Målet er at få lavet et konkret dokument, der kan præsenteres på fredag.

Politikskrivningens gyldne regel

En sætningstesten af en god politik er: "Kan en medarbejder læse dette dokument på 10 minutter og klart svare på spørgsmålet "hvad kan jeg, og hvad kan jeg ikke?" Hvis dokumentet er på 30 sider, skrevet i juridisk sprog og ikke indeholder konkrete eksempler, mislykkes testen. Politikken skal være kort, eksemplarisk og handlingsorienteret.

Ottedelt skelet

Tabellen nedenfor er en gennemprøvet AI-politikramme. Hver institution tilpasser dette til sin egen kontekst.

Sektion

Hvilke svar?

Formål og omfang

Hvem og hvilke værktøjer dækker policen?

Definitioner

Hvad betyder udtryk som AI, shadow AI, personlige data?

Roller og ansvar

Hvem godkender, hvem inspicerer, hvem er ansvarlig?

Dataklassificering og brugsregler

Hvilke data kan indtastes i hvilket værktøj?

Godkendte køretøjer og godkendelsesproces

Hvilke køretøjer er gratis, hvordan godkendes et nyt køretøj?

Forbudte anvendelser

Hvad bør man under ingen omstændigheder gøre?

Menneskelig inspektion og verifikation

Hvordan styrer man outputtet, hvem er ansvarlig?

Overtrædelse, sanktion og håndhævelse

Hvad sker der, hvis reglen brydes, hvornår opdateres dokumentet?

Tip: Sigt efter at placere politikken på én side med disse otte overskrifter først. Post-link som tilføjer detaljer (godkendt køretøjsliste, klassifikationsvejledning). Jo kortere hovedteksten er, jo mere læsbar er den.

Hjerte: fire-niveau data klassificering

Den mest kritiske del af politikken er dataklassificering, som bestemmer, hvilken type data der kan indtastes i hvilket AI-værktøj. Fire niveauer er fælles og tilstrækkeligt:

Niveau

prøvedata

Brugsregel i AI

åben (offentlig)

Udgivet brochure, pressemeddelelse

Gratis; Ethvert godkendt køretøj kan tilmeldes

in-house

Intern procedure, mødenotat (personligt/ikke-fortroligt)

Kun på firmabiler (kontrakt).

Fortroligt

Kundeliste, kontrakt, økonomiske data

Kun godkendt virksomhedskøretøj + maskering; personlige køretøjer forbudt

Speciel/kritisk

Sundhed, race, religion, biometri, kriminelle data

Som regel indtastes det ikke; kun med særlig godkendelse og lovgrundlag

Særlige personoplysninger er den kategori af følsomme data, som KVKK yder ekstra beskyttelse for: sundhed, seksualliv, race, etnicitet, politisk overbevisning, filosofisk overbevisning, religion, sekt, påklædning, medlemskab af forening/fond/fagforening, straffedom og biometriske/genetiske data. Behandlingen af disse data er underlagt meget strengere betingelser; At bryde ind i et AI-værktøj kræver næsten altid særlige juridiske overvejelser.

Tre minisager: klassificeringsafgørelser

Tilfælde 1 — Løn. HR-specialisten ønsker at give 120 medarbejderes løn til en AI, så den kan "analysere og producere en lønulighedsrapport". Løn er både fortrolig og indeholder personoplysninger, da den indeholder navn og efternavn. Rigtig beslutning: anonymiser data (kodenavne som "Employee-001", bevar afdeling), indtast kun i godkendt virksomhedsværktøj. Anonymiserede 120 linjers analyse udføres med tillid; rå løn går aldrig ind i det personlige køretøj.

Case 2 — Patienthistorie. En sygeplejerske på et sundhedscenter ønsker at bruge kunstig intelligens til at opsummere en patienthistorie. Dette er data af særlig kvalitet. Ifølge politik er denne type data strengt forbudt i et personligt køretøj; Det kan dog kun behandles i et af institutionen godkendt system, som har et særligt kontraktligt og juridisk grundlag for helbredsdata. Klassifikationstabellen viser denne skelnen på et øjeblik.

Sag 3 — Pressemeddelelse. Marketing giver AI en offentliggjort pressemeddelelse for at "omdannes til 5 forskellige versioner til sociale medier." Fordi dataene er åbne, er der ingen begrænsninger; Medarbejderen arbejder i det godkendte køretøj uden tøven. En god klassificering eliminerer også unødvendig friktion: den siger ikke "nej" for åbne data, den siger klart "stop" for private data.

Bemærk: Når du klassificerer en data, "Er der overhovedet et enkelt stykke personlige data i det?" og "vil det skade institutionen?" Stil jeres spørgsmål sammen. Hvis et dokument er klart fra et forretningsmæssigt perspektiv, men har et kundenavn i sig, indeholder dokumentet nu personlige data og er opgraderet.

Afsnittet om forbudte anvendelser

Den mest læste del af politikken er normalt forbuddene. Det skal være konkret og eksemplarisk. Typiske forbud:

Indtastning af følsomme personoplysninger (sundhed, biometri osv.) i køretøjet uden godkendelse.
Indtastning af fortrolige data eller virksomhedshemmeligheder på individuelle/personlige AI-konti.
Brug af AI-output som juridiske, medicinske, økonomiske beslutninger uden at verificere det.
Overlader beslutninger, der påvirker mennesker, såsom rekruttering, forfremmelse og kredit, udelukkende til AI.
Brug af kunstig intelligens til at efterligne en person, producere falsk indhold eller vildledende information.
Produktion og udgivelse af ophavsretligt beskyttet indhold uden tilladelse.

Kopierbare skabeloner

SKABELON 1 — Formål og omfang sektionsoversigt: "Skriv afsnittet 'Formål og omfang' af en AI-politik for en [branche]virksomhed. Gør det klart: hvem politikken dækker (alle medarbejdere, konsulenter) og hvilke værktøjer (generativ AI, kodeassistenter); angiv formålet som 'muliggør ansvarlig og kompatibel brug.' 150 ord eller mindre, almindeligt sprog."

SKABELON 2 — Generer en dataklassifikationstabel: "Klassificer følgende datatyper som offentlige / lokale / fortrolige / proprietære og foreslå AI-brugsregler for hver: [liste datatyper]. Gør outputtet til en 3-kolonne tabel: datatype, klasse, AI-regel. Sæt et '*juridisk bekræftelse'-mærke på den type, du ikke er sikker på."

SKABELON 3 — Liste over forbudte anvendelser: "Skriv afsnittet 'Forbudte anvendelser' punkt for punkt for en institution underlagt KVKK. Hver post skal indeholde et konkret eksempel ('For eksempel: ...'). Mindst 8 punkter. Tone: klar og tvingende, men begrundet."

SKABELON 4 — Medarbejderresumé (én side): "Reducer denne 20-siders AI-politik til en én-sides oversigt, der kan hænge på medarbejdernes skriveborde: "Du kan" og "Du kan ikke" kolonner + 5 gyldne regler + person til at stille spørgsmål. Enkel, visuel, mindeværdig."

Svag prompt / Stærk prompt

SVAG: “Skriv en AI-politik til min virksomhed, den skal dække alt.”-> Modellen producerer 15 sider generisk tekst, som ingen læser og ikke passer til organisationen; dataklasser og godkendelsesprocessen forbliver uklare. STÆRK: "Vi er en e-handelsvirksomhed på 80 personer, der behandler kundeadresse og ordredata. Lav en dataklassificeringstabel på 4 niveauer, 6 forbudte varer og en en-sides medarbejderresumé af AI-politikken. Inkluder maskeringsreglen for personlige data. Sæt kryds ved de juridiske punkter, du ikke er sikker på, lad mig bestemme." -> Modellen giver kortfattet, anvendeligt, kontekstuelt og verificerbart output.

Skridt til at gennemføre politikken

At skrive er halvdelen af det; Den egentlige opgave er at gøre politikken til en leveregel. Trin:

Udkast: Gennemfør otte kapitler, forbered bilag.
Interessenternes mening: Få skriftlig feedback fra juridiske, IT-, HR- og forretningsenheder.
Juridisk godkendelse: Lov/compliance signatur for KVKK og lovoverholdelse.
Seniorledelsens godkendelse: Underskrift, der gør dokumentet til en officiel virksomhedspolitik.
Annoncering og uddannelse: En kort session for alle; Distribuer et resumé på én side.
Godkendelsesjournal: Hold medarbejdernes "Jeg har læst, jeg forstår"-godkendelse i systemet.
Gennemgå tidsplan: Indstil en opdateringsdato mindst hver 6. måned.

Tip: Sæt en "version og dato"-boks på den sidste side af politikken. AI og lovgivning ændrer sig meget hurtigt; At vide, hvilken version der er gyldig, redder liv i en revision.

Almindelige fejl

At skrive politikken i meget langt og juridisk sprog og gøre den ulæselig.
Springer dataklassificering over og videregiver i vage sætninger som "vær forsigtig".
Forveksling af en særlig kategori af data med normale fortrolige data.
Skriveforbud uden oprettelse af en godkendt køretøjsliste og godkendelsesproces.
At skrive forbud abstrakt uden at give konkrete eksempler.
Springer medarbejderuddannelsen og godkendelsesregistreringstrinnet over og siger "Jeg annoncerede det via e-mail."
Ikke at sætte en gennemgangsplan og skrive politikken én gang og glemme det.

Sammenfattende

En god politik består af otte standarddele; Den skal være kort, eksemplarisk og handlingsorienteret.
Dens hjerte er dataklassifikationen på fire niveauer, der bestemmer, hvilke data der går ind i hvilket værktøj.
Særlige kategorier af personoplysninger (sundhed, biometri osv.) er underlagt den strengeste regel; AI er som udgangspunkt ikke inkluderet.
Forbudte anvendelser skal være konkrete og eksemplariske; Det bør defineres sammen med de godkendte værktøjer og godkendelsesprocessen.
Når først politikken er skrevet, holdes den i live gennem interessenternes mening, juridiske og ledelsesmæssige godkendelser, uddannelse og regelmæssig gennemgang.

Ansøgningsopgave

Udfyld konkret mindst tre sektioner af skelettet med otte sektioner (Formål og omfang, dataklassificering, forbudte anvendelser) for en institution efter eget valg. Opsæt en dataklassifikationstabel med fire niveauer og indsæt mindst otte faktiske datatyper, som din organisation behandler i den; Skriv en AI-regel for hver. Kog derefter disse tre sektioner ned til en én-sides "Du kan/du kan ikke"-resumé, der kan lægges op på medarbejdernes skriveborde. Bemærk endelig, hvilke to af de politiske implementeringstrin, du finder sværest for din organisation, og hvordan du vil overkomme dem.

tjekliste

[ ] Jeg tilpassede rammen i otte dele til min institution.
[ ] Jeg udfyldte dataklassifikationstabellen på fire niveauer.
[ ] Jeg har bundet særlige data til en særskilt og strengeste regel.
[ ] Jeg skrev de forbudte anvendelser med konkrete eksempler.
[ ] Jeg beskrev godkendte værktøjer og godkendelsesprocessen.
[ ] Jeg udarbejdede et medarbejderresumé på én side.
[ ] Jeg planlagde en tidsplan for juridisk godkendelse og gennemgang.