Cara Menulis Kebijakan Penggunaan AI Perusahaan — Kebijakan AI, KVKK dan Hukum AI UE

Keuntungan:

Buat draf menggunakan templat kebijakan yang terdiri dari delapan bagian
Tulis aturan penggunaan berdasarkan klasifikasi data empat tingkat
Menerapkan kebijakan dan mengikuti daftar periksa penegakan hukum

Ketika tugas “merancang kebijakan AI untuk dipresentasikan kepada dewan pada hari Jumat depan” diserahkan kepada petugas kepatuhan, banyak yang takut akan tugas yang kosong. Namun, kebijakan AI yang baik bersifat standar: ia memiliki kerangka kerja delapan bagian yang dapat diprediksi. Dalam unit ini, kita akan membangun kerangka tersebut bagian demi bagian, mempelajari klasifikasi data yang menjadi intinya, dan melihat langkah-langkah untuk menerapkan rancangan tersebut. Tujuannya adalah menghasilkan dokumen konkrit yang bisa dipresentasikan pada hari Jumat.

Aturan emas penulisan kebijakan

Tes satu kalimat untuk kebijakan yang baik adalah: "Dapatkah seorang karyawan membaca dokumen ini dalam 10 menit dan menjawab dengan jelas pertanyaan 'apa yang bisa saya lakukan dan apa yang tidak bisa saya lakukan?'" Jika dokumen sepanjang 30 halaman, ditulis dalam bahasa hukum dan tidak memuat contoh konkrit, tes tersebut gagal. Kebijakan tersebut harus singkat, patut dicontoh, dan berorientasi pada tindakan.

Kerangka delapan bagian

Tabel di bawah ini merupakan kerangka kebijakan AI yang telah terbukti. Masing-masing institusi menyesuaikan hal ini dengan konteksnya masing-masing.

Bagian

Jawaban apa?

Tujuan dan ruang lingkup

Siapa dan perangkat apa saja yang tercakup dalam kebijakan ini?

Definisi

Apa arti istilah seperti AI, shadow AI, data pribadi?

Peran dan tanggung jawab

Siapa yang menyetujui, siapa yang memeriksa, siapa yang bertanggung jawab?

Klasifikasi data dan aturan penggunaan

Data apa yang bisa dimasukkan ke alat yang mana?

Kendaraan yang disetujui dan proses persetujuan

Kendaraan mana yang gratis, bagaimana kendaraan baru disetujui?

Penggunaan yang dilarang

Apa yang tidak boleh dilakukan dalam keadaan apapun?

Inspeksi dan verifikasi manusia

Bagaimana cara mengontrol outputnya, siapa yang bertanggung jawab?

Pelanggaran, sanksi dan penegakan hukum

Apa yang terjadi jika aturan dilanggar, kapan dokumen diperbarui?

Tip: Usahakan untuk memasukkan kebijakan pada satu halaman dengan delapan judul berikut terlebih dahulu. Post-link sebagai tambahan detail (daftar kendaraan yang disetujui, panduan klasifikasi). Semakin pendek teks utamanya, semakin mudah dibaca.

Jantung: klasifikasi data empat tingkat

Bagian terpenting dari kebijakan ini adalah klasifikasi data, yang menentukan jenis data apa yang dapat dimasukkan ke dalam alat AI tertentu. Empat tingkatan yang umum dan cukup:

Tingkat

data sampel

Aturan penggunaan di AI

terbuka (umum)

Brosur yang diterbitkan, siaran pers

Gratis; Kendaraan apa pun yang disetujui dapat dimasuki

di dalam rumah

Prosedur internal, catatan rapat (pribadi/tidak rahasia)

Hanya pada kendaraan korporasi (kontrak).

Rahasia

Daftar pelanggan, kontrak, data keuangan

Kendaraan perusahaan yang disetujui + hanya penutup wajah; kendaraan pribadi dilarang

Khusus/kritis

Kesehatan, ras, agama, biometrik, data kriminal

Biasanya, ini tidak dimasukkan; hanya dengan persetujuan khusus dan dasar hukum

Data pribadi khusus adalah kategori data sensitif yang KVKK memberikan perlindungan ekstra: kesehatan, kehidupan seksual, ras, etnis, pendapat politik, keyakinan filosofis, agama, sekte, pakaian, keanggotaan perkumpulan/yayasan/serikat buruh, hukuman pidana dan data biometrik/genetika. Pemrosesan data ini tunduk pada ketentuan yang lebih ketat; Membobol alat AI hampir selalu memerlukan pertimbangan hukum khusus.

Tiga kasus kecil: keputusan klasifikasi

Kasus 1 — Penggajian. Spesialis SDM ingin memberikan gaji 120 karyawan kepada AI sehingga dapat "menganalisis dan menghasilkan laporan ketidaksetaraan gaji". Penggajian bersifat rahasia dan berisi data pribadi karena berisi nama dan nama keluarga. Keputusan yang tepat: anonimkan data (nama kode seperti "Karyawan-001", pertahankan departemen), masukkan hanya di alat perusahaan yang disetujui. 120 baris analisis yang dianonimkan dilakukan dengan percaya diri; gaji mentah tidak pernah masuk ke kendaraan pribadi.

Kasus 2 — Riwayat pasien. Seorang perawat di fasilitas kesehatan ingin menggunakan AI untuk merangkum riwayat pasien. Ini adalah data berkualitas khusus. Berdasarkan kebijakan, jenis data ini dilarang keras di dalam kendaraan pribadi; Namun, hanya dapat diproses dalam sistem yang disetujui oleh lembaga yang memiliki dasar kontrak dan hukum khusus untuk data kesehatan. Tabel klasifikasi sekilas menunjukkan perbedaan ini.

Kasus 3 — Siaran pers. Pemasaran memberi AI siaran pers yang diterbitkan untuk “berubah menjadi 5 versi berbeda untuk media sosial.” Karena datanya terbuka, tidak ada batasan; Karyawan tersebut bekerja di kendaraan yang disetujui tanpa ragu-ragu. Klasifikasi yang baik juga menghilangkan gesekan yang tidak perlu: klasifikasi ini tidak mengatakan "tidak" untuk data terbuka, namun jelas mengatakan "berhenti" untuk data pribadi.

Perhatian: Saat mengklasifikasikan suatu data, "Apakah ada satu pun data pribadi di dalamnya?" dan “apakah hal ini akan merugikan institusi?” Ajukan pertanyaan Anda bersama-sama. Jika suatu dokumen jelas dari sudut pandang bisnis namun memiliki nama pelanggan di dalamnya, dokumen tersebut kini membawa data pribadi dan ditingkatkan.

Bagian penggunaan yang dilarang

Bagian kebijakan yang paling banyak dibaca biasanya adalah larangan. Itu harus konkrit dan patut dicontoh. Larangan umum:

Memasukkan data pribadi sensitif (kesehatan, biometrik, dll) ke dalam kendaraan tanpa persetujuan.
Memasukkan data rahasia atau rahasia perusahaan ke dalam akun AI individu/pribadi.
Menggunakan keluaran AI sebagai keputusan hukum, medis, dan keuangan tanpa memverifikasinya.
Menyerahkan keputusan yang memengaruhi manusia, seperti rekrutmen, promosi, dan kredit, semata-mata pada AI.
Menggunakan AI untuk menyamar sebagai seseorang, menghasilkan konten palsu atau informasi menyesatkan.
Memproduksi dan menerbitkan konten berhak cipta tanpa izin.

Templat yang dapat disalin

TEMPLATE 1 — Garis besar bagian Tujuan dan Cakupan: "Tuliskan bagian 'Tujuan dan Cakupan' dari kebijakan AI untuk perusahaan [industri]. Perjelas: siapa yang dicakup oleh kebijakan tersebut (semua karyawan, konsultan) dan alat apa (AI generatif, asisten kode); nyatakan tujuannya sebagai 'memungkinkan penggunaan yang bertanggung jawab dan patuh.' 150 kata atau kurang, bahasa sederhana."

TEMPLATE 2 — Buat tabel klasifikasi data: "Klasifikasi tipe data berikut sebagai publik / lokal / rahasia / kepemilikan dan sarankan aturan penggunaan AI untuk masing-masing tipe data: [daftarkan tipe data]. Buatlah output menjadi tabel 3 kolom: tipe data, kelas, aturan AI. Beri tanda '*konfirmasi hukum' pada tipe yang Anda tidak yakin."

TEMPLATE 3 — Daftar penggunaan yang dilarang: "Tuliskan bagian 'Penggunaan yang Dilarang' item demi item untuk institusi yang tunduk pada KVKK. Setiap item harus menyertakan contoh konkrit ('Misalnya: ...'). Minimal 8 item. Nada: jelas dan penting, tetapi beralasan."

TEMPLATE 4 — Ringkasan karyawan (satu halaman): "Kurangi kebijakan AI 20 halaman ini menjadi ringkasan satu halaman untuk digantung di meja karyawan: kolom 'Anda bisa' dan 'Anda tidak bisa' + 5 aturan emas + orang yang mengajukan pertanyaan. Sederhana, visual, mudah diingat."

Perintah lemah / Perintah kuat

LEMAH: “Tulis kebijakan AI untuk perusahaan saya, kebijakan tersebut harus mencakup semuanya.”-> Model ini menghasilkan 15 halaman teks umum yang tidak dibaca oleh siapa pun dan tidak sesuai dengan organisasi; kelas data dan proses persetujuan masih belum jelas. KUAT: "Kami adalah perusahaan e-commerce yang beranggotakan 80 orang, memproses alamat pelanggan dan data pesanan. Menghasilkan tabel klasifikasi data 4 tingkat, 6 item terlarang, dan ringkasan karyawan satu halaman tentang kebijakan AI. Sertakan aturan penyembunyian untuk data pribadi. Centang poin hukum yang Anda tidak yakin, biarkan saya yang memutuskan." -> Model memberikan keluaran yang ringkas, dapat diterapkan, kontekstual, dan dapat diverifikasi.

Langkah-langkah untuk memberlakukan kebijakan tersebut

Menulis adalah setengahnya; Tugas sebenarnya adalah mengubah kebijakan menjadi aturan yang hidup. Langkah-langkah:

Draf: Selesaikan delapan bab, siapkan lampiran.
Pendapat pemangku kepentingan: Dapatkan umpan balik tertulis dari unit hukum, TI, SDM, dan bisnis.
Persetujuan hukum: Tanda tangan hukum/kepatuhan untuk KVKK dan kepatuhan terhadap peraturan perundang-undangan.
Persetujuan manajemen senior: Tanda tangan yang menjadikan dokumen tersebut sebagai kebijakan resmi perusahaan.
Pengumuman dan edukasi: Sesi singkat untuk semua orang; Bagikan ringkasan satu halaman.
Catatan persetujuan: Simpan persetujuan "Saya telah membaca, saya mengerti" dari karyawan dalam sistem.
Jadwal peninjauan: Tetapkan tanggal pembaruan setidaknya setiap 6 bulan.

Tip: Cantumkan kotak "versi dan tanggal" di halaman terakhir kebijakan. AI dan peraturan berubah dengan sangat cepat; Mengetahui versi mana yang valid akan menyelamatkan nyawa dalam audit.

Kesalahan umum

Menulis kebijakan dalam bahasa yang sangat panjang dan legal sehingga tidak terbaca.
Melewatkan klasifikasi data dan menyampaikan frasa yang tidak jelas seperti “hati-hati”.
Membingungkan kategori data khusus dengan data rahasia normal.
Menulis larangan tanpa membuat daftar kendaraan yang disetujui dan proses persetujuan.
Menuliskan larangan secara abstrak tanpa memberikan contoh konkrit.
Melewatkan langkah pelatihan karyawan dan pendaftaran persetujuan dan mengatakan "Saya mengumumkannya melalui email."
Tidak menetapkan jadwal peninjauan dan menulis kebijakan satu kali lalu melupakannya.

Singkatnya

Kebijakan yang baik terdiri dari delapan bagian standar; Itu harus singkat, patut dicontoh dan berorientasi pada tindakan.
Intinya adalah klasifikasi data empat tingkat yang menentukan data mana yang masuk ke alat mana.
Kategori khusus data pribadi (kesehatan, biometrik, dll.) tunduk pada aturan yang paling ketat; Biasanya, AI tidak disertakan.
Penggunaan yang dilarang harus bersifat konkrit dan patut dicontoh; Hal ini harus didefinisikan bersama dengan alat yang disetujui dan proses persetujuan.
Setelah kebijakan ditulis, kebijakan tersebut tetap dipertahankan melalui opini pemangku kepentingan, persetujuan hukum dan manajemen, pelatihan dan tinjauan berkala.

Tugas aplikasi

Isilah secara konkrit setidaknya tiga bagian dari kerangka delapan bagian (Tujuan dan Ruang Lingkup, Klasifikasi Data, Penggunaan yang Dilarang) untuk institusi pilihan Anda. Siapkan tabel klasifikasi data dengan empat tingkat dan tempatkan setidaknya delapan tipe data aktual yang diproses organisasi Anda ke dalamnya; Tulis aturan AI untuk masing-masingnya. Kemudian ringkas ketiga bagian tersebut menjadi satu halaman ringkasan "Anda Bisa/Anda Tidak Bisa" yang dapat dipasang di meja karyawan. Terakhir, catatlah dua langkah penerapan kebijakan mana yang menurut Anda paling sulit bagi organisasi Anda dan bagaimana Anda dapat mengatasinya.

daftar periksa

[ ] Saya mengadaptasi kerangka delapan bagian ini ke institusi saya.
[ ] Saya mengisi tabel klasifikasi data empat tingkat.
[ ] Saya telah mengikat data khusus ke aturan yang terpisah dan paling ketat.
[ ] Penggunaan yang dilarang saya tulis dengan contoh nyata.
[ ] Saya menjelaskan alat yang disetujui dan proses persetujuan.
[ ] Saya menyiapkan ringkasan karyawan satu halaman.
[ ] Saya merencanakan persetujuan hukum dan jadwal peninjauan.