כיצד לכתוב מדיניות שימוש בבינה מלאכותית ארגונית

רווחים:

• צור טיוטה באמצעות תבנית המדיניות בת שמונה חלקים
• כתוב כללי שימוש המבוססים על סיווג נתונים בארבע רמות
• יישום המדיניות וביצוע צ'ק רשימת האכיפה

כאשר המשימה של "ניסוח מדיניות AI שתוצג לדירקטוריון ביום שישי הבא" נוחתת על שולחנו של קצין ציות, רבים חוששים מהלוח הריק. עם זאת, מדיניות AI טובה היא סטנדרטית מבחינה ארכיטקטונית: יש לה מסגרת בת שמונה חלקים צפויה. ביחידה זו, נבנה את השלד הזה קטע אחר קטע, נעמיק בסיווג הנתונים שהוא ליבו, ונראה את השלבים להפעלת הטיוטה. המטרה היא להפיק מסמך קונקרטי שניתן להציג ביום שישי.

כלל הזהב של כתיבת מדיניות

המבחן במשפט אחד של פוליסה טובה הוא: "האם עובד יכול לקרוא את המסמך הזה ב-10 דקות ולענות בצורה ברורה על השאלה 'מה אני יכול לעשות ומה לא?'" אם המסמך הוא בן 30 עמודים, כתוב בשפה משפטית ואינו מכיל דוגמאות קונקרטיות, המבחן נכשל. המדיניות צריכה להיות קצרה, למופת ומכוונת לפעולה.

שלד בן שמונה חלקים

הטבלה שלהלן היא מסגרת מדיניות AI מוכחת. כל מוסד מתאים זאת להקשר שלו.

#

מדור

איזה תשובות?

1

מטרה והיקף

מי ואיזה כלים מכסה הפוליסה?

2

הגדרות

מה המשמעות של מונחים כמו AI, Shadow AI, נתונים אישיים?

3

תפקידים ואחריות

מי מאשר, מי בודק, מי אחראי?

4

כללי סיווג נתונים וכללי שימוש

אילו נתונים ניתן להזין לאיזה כלי?

5

רכבים מאושרים ותהליך אישור

אילו רכבים חינמיים, איך מאשרים רכב חדש?

6

שימושים אסורים

מה אסור לעשות בשום פנים ואופן?

7

בדיקה ואימות אנושיים

איך לשלוט בתפוקה, מי אחראי?

8

הפרה, סנקציה ואכיפה

מה קורה אם הכלל נשבר, מתי המסמך מתעדכן?

טיפ: שאפו להתאים את המדיניות בעמוד אחד עם שמונה הכותרות האלה תחילה. Post-link as מוסיף פירוט (רשימת רכבים מאושרת, מדריך סיווג). ככל שהטקסט הראשי קצר יותר, כך הוא קריא יותר.

לב: סיווג נתונים בארבע רמות

החלק הקריטי ביותר במדיניות הוא סיווג נתונים, שקובע איזה סוג נתונים ניתן להזין לאיזה כלי AI. ארבע רמות נפוצות ומספיקות:

רמה

נתונים לדוגמה

כלל שימוש ב-AI

פתוח (ציבורי)

הוצאת חוברת, הודעה לעיתונות

חינם; ניתן להיכנס לכל רכב מאושר

בתוך הבית

נוהל פנימי, פגישה (אישית/לא סודית)

רק על רכבים ארגוניים (חוזה).

חסוי

רשימת לקוחות, חוזה, נתונים פיננסיים

רכב תאגידי מאושר + מיסוך בלבד; רכבים אישיים אסורים

מיוחד/קריטי

בריאות, גזע, דת, ביומטריה, נתונים פליליים

ככלל, זה לא מוזן; רק עם אישור מיוחד ובסיס משפטי

נתונים אישיים מיוחדים הם הקטגוריה של נתונים רגישים שעבורם KVKK מספקת הגנה נוספת: בריאות, חיי מין, גזע, מוצא אתני, דעה פוליטית, אמונה פילוסופית, דת, כת, לבוש, חברות באגודה/קרן/איגוד, הרשעה פלילית ונתונים ביומטריים/גנטיים. עיבוד הנתונים הללו כפוף לתנאים מחמירים בהרבה; פריצה לכלי AI כמעט תמיד דורשת שיקול משפטי מיוחד.

שלושה מיני תיקים: החלטות סיווג

מקרה 1 - שכר. מומחה משאבי אנוש רוצה לתת את שכר השכר של 120 עובדים לבינה מלאכותית כדי שהיא תוכל "לנתח ולהפיק דוח אי שוויון בשכר". השכר הוא גם סודי וגם מכיל נתונים אישיים מכיוון שהוא מכיל שם ושם משפחה. החלטה נכונה: אנונימיז את הנתונים (שמות קוד כמו "Employee-001", מחלקת שימור), הזן רק בכלי ארגוני מאושר. אנונימיים 120 שורות ניתוח נעשות בביטחון; שכר גולמי לעולם אינו נכנס לרכב האישי.

מקרה 2 - היסטוריה של המטופל. אחות במתקן בריאות רוצה להשתמש בבינה מלאכותית כדי לסכם את ההיסטוריה של המטופל. מדובר בנתונים איכותיים במיוחד. לפי המדיניות, סוג זה של נתונים אסור בהחלט ברכב אישי; עם זאת, ניתן לעבד אותו רק במערכת המאושרת על ידי המוסד, שיש לה בסיס חוזי וחוקי מיוחד לנתוני בריאות. טבלת הסיווג מציגה הבחנה זו במבט חטוף.

מקרה 3 - הודעה לעיתונות. שיווק נותן AI הודעה לעיתונות שפורסמה כדי "להפוך ל-5 גרסאות שונות עבור מדיה חברתית." מכיוון שהנתונים פתוחים, אין הגבלות; העובד עובד ברכב המאושר ללא היסוס. סיווג טוב גם מבטל חיכוכים מיותרים: הוא לא אומר "לא" עבור נתונים פתוחים, הוא אומר ברור "עצור" עבור נתונים פרטיים.

שימו לב: בעת סיווג נתונים, "האם יש בו אפילו נתון אישי אחד?" ו"האם זה יפגע במוסד?" שאלו את השאלות שלכם ביחד. אם מסמך ברור מנקודת מבט עסקית אך יש בו שם לקוח, המסמך הזה נושא כעת נתונים אישיים ומשודרג.

סעיף שימושים אסורים

החלק הנקרא ביותר בפוליסה הוא בדרך כלל האיסורים. זה צריך להיות קונקרטי ומופתי. איסורים אופייניים:

• הזנת נתונים אישיים רגישים (בריאות, ביומטריה וכו') לרכב ללא אישור.
• הזנת נתונים סודיים או סוד חברה לחשבונות בינה מלאכותית/אישית.
• שימוש בפלט AI כהחלטות משפטיות, רפואיות, פיננסיות מבלי לאמת זאת.
• השארת החלטות המשפיעות על אנשים, כגון גיוס, קידום וקרדיט, ל-AI בלבד.
• שימוש בבינה מלאכותית כדי להתחזות לאדם, לייצר תוכן שקרי או מידע מטעה.
• הפקה ופרסום תוכן המוגן בזכויות יוצרים ללא רשות.

תבניות הניתנות להעתקה

תבנית 1 - מתווה סעיף מטרה והיקף: "כתוב את הסעיף 'מטרה והיקף' של מדיניות בינה מלאכותית עבור חברה [תעשייתית]. הבהירו: מי הפוליסה מכסה (כל העובדים, היועצים) ואילו כלים (בינה מלאכותית, עוזרי קוד); ציינו את המטרה כ'אפשר שימוש אחראי ותואם'. 150 מילים או פחות, שפה פשוטה."

תבנית 2 — צור טבלת סיווג נתונים: "סווג את סוגי הנתונים הבאים כציבוריים / מקומיים / חסויים / קנייניים והצע כלל שימוש ב-AI עבור כל אחד מהם: [רשימת סוגי נתונים]. הפוך את הפלט לטבלה בת 3 עמודות: סוג נתונים, מחלקה, כלל AI. הצב סימן '*אישור משפטי' על הסוג שאינך בטוח לגביו."

תבנית 3 — רשימת שימושים אסורים: "כתוב את הסעיף 'שימושים אסורים' פריט אחר פריט עבור מוסד הכפוף ל-KVKK. כל פריט צריך לכלול דוגמה קונקרטית ('לדוגמה: ...'). לפחות 8 פריטים. טון: ברור וחיוני, אבל מנומק."

תבנית 4 - סיכום עובדים (עמוד אחד): "צמצם את מדיניות הבינה המלאכותית הזו בת 20 עמודים לסיכום של עמוד אחד שיתלוי על שולחנות העובדים: העמודות 'אתה יכול' ו'אתה לא יכול' + 5 כללי זהב + אדם לשאול שאלות. פשוט, ויזואלי, בלתי נשכח."

הנחיה חלשה / הנחיה חזקה

WEAK: "כתוב מדיניות AI עבור החברה שלי, היא צריכה לכסות הכל."-> המודל מייצר 15 עמודים של טקסט גנרי שאף אחד לא קורא ואינו מתאים לארגון; מחלקות הנתונים ותהליך האישור נותרו לא ברורים. STRONG: "אנחנו חברת מסחר אלקטרוני של 80 אנשים, מעבדת את נתוני כתובת הלקוחות וההזמנות. הפק טבלת סיווג נתונים ב-4 רמות, 6 פריטים אסורים וסיכום עובד בעמוד אחד של מדיניות הבינה המלאכותית. כלול את כלל המיסוך לנתונים אישיים. סמן את הנקודות המשפטיות שאינך בטוח בהן, תן לי להחליט". -> המודל נותן פלט תמציתי, ישים, הקשרי וניתן לאימות.

צעדים לחקיקת המדיניות

הכתיבה היא חצי מזה; התפקיד האמיתי הוא להפוך את הפוליסה לכלל חיים. שלבים:

1. טיוטה: השלימו שמונה פרקים, הכן נספחים.
2. חוות דעת של בעלי עניין: קבל משוב כתוב מיחידות משפטיות, IT, משאבי אנוש ועסקיות.
3. אישור משפטי: חתימה משפטית/תאימות עבור KVKK ועמידה בחקיקה.
4. אישור ההנהלה הבכירה: חתימה שהופכת את המסמך למדיניות ארגונית רשמית.
5. הכרזה וחינוך: מפגש קצר לכולם; חלקו תקציר של עמוד אחד.
6. רישום אישורים: שמור את אישור העובדים "קראתי, אני מבין" במערכת.
7. לוח זמנים לבדיקה: הגדר תאריך עדכון לפחות כל 6 חודשים.

טיפ: שים תיבת "גרסה ותאריך" בעמוד האחרון של הפוליסה. AI וחקיקה משתנים מהר מאוד; לדעת איזו גרסה תקפה מצילה חיים בביקורת.

טעויות נפוצות

• כתיבת הפוליסה בשפה מאוד ארוכה וחוקית והפיכתה לבלתי קריא.
• דילוג על סיווג נתונים והעברת ביטויים מעורפלים כמו "היזהר".
• בלבול קטגוריה מיוחדת של נתונים עם נתונים סודיים רגילים.
• איסור כתיבה ללא יצירת רשימת רכבים מאושרת ותהליך אישור.
• כתיבת איסורים בצורה מופשטת מבלי לתת דוגמאות קונקרטיות.
• דילוג על שלב ההכשרה והרישום לעובדים ואומר "הודעתי על כך במייל".
• לא לקבוע לוח זמנים לביקורת ולכתוב את הפוליסה פעם אחת ולשכוח מזה.

לסיכום

• פוליסה טובה מורכבת משמונה חלקים סטנדרטיים; זה צריך להיות קצר, מופתי ומוכוון לפעולה.
• הלב שלו הוא סיווג הנתונים בארבע רמות שקובע אילו נתונים נכנסים לאיזה כלי.
• קטגוריות מיוחדות של נתונים אישיים (בריאות, ביומטריה וכו') כפופות לכלל המחמיר ביותר; ככלל, AI אינו כלול.
• שימושים אסורים חייבים להיות קונקרטיים ומופתיים; יש להגדיר אותו יחד עם הכלים המאושרים ותהליך האישור.
• לאחר כתיבת הפוליסה, היא נשמרת בחיים באמצעות חוות דעת של בעלי עניין, אישור משפטי והנהלה, הדרכה ובדיקה שוטפת.

משימת יישום

מלא באופן קונקרטי לפחות שלושה חלקים מהשלד בן שמונה החלקים (מטרה והיקף, סיווג נתונים, שימושים אסורים) עבור מוסד לבחירתך. הגדר טבלת סיווג נתונים עם ארבע רמות והצב בתוכה לפחות שמונה סוגי נתונים בפועל. כתוב כלל AI עבור כל אחד מהם. לאחר מכן הרתיחו את שלושת הסעיפים האלה לסיכום "אתה יכול/אתה יכול" בן עמוד אחד שניתן לפרסם על שולחנות העובדים. לבסוף, שים לב אילו שניים משלבי יישום המדיניות הקשים ביותר עבור הארגון שלך וכיצד תתגבר עליהם.

רשימת בדיקה

• [ ] התאמתי את המסגרת בת שמונת החלקים למוסד שלי.
• [ ] מילאתי ​​את טבלת סיווג הנתונים בארבע רמות.
• [ ] קשרתי נתונים מיוחדים לכלל נפרד ומחמיר ביותר.
• [ ] כתבתי את השימושים האסורים עם דוגמאות קונקרטיות.
• [ ] תיארתי כלים מאושרים ואת תהליך האישור.
• [ ] הכנתי סיכום עובדים של עמוד אחד.
• [ ] תכננתי לוח זמנים לאישור וביקורת משפטיים.