Ako napísať firemnú politiku používania AI — Politika AI, KVKK a právo EÚ o AI

zisky:

Vytvorte koncept pomocou osemdielnej šablóny politiky
Napíšte pravidlá používania založené na štvorúrovňovej klasifikácii údajov
Implementácia politiky a dodržiavanie kontrolného zoznamu presadzovania

Keď úloha „navrhnúť politiku AI, ktorá bude predstavená predstavenstvu budúci piatok“ pristane na stole kontrolóra súladu, mnohí sa obávajú prázdneho listu. Dobrá politika AI je však architektonicky štandardná: má predvídateľný osemdielny rámec. V tejto jednotke vytvoríme túto kostru sekciu po sekcii, ponoríme sa do klasifikácie údajov, ktorá je jej srdcom, a pozrieme si kroky na uvedenie návrhu do platnosti. Cieľom je vytvoriť konkrétny dokument, ktorý bude možné predložiť v piatok.

Zlaté pravidlo písania politiky

Jednovetový test dobrej politiky znie: „Dokáže zamestnanec prečítať tento dokument za 10 minút a jasne odpovedať na otázku ‚čo môžem a čo nesmiem?‘“ Ak má dokument 30 strán, je napísaný v právnom jazyku a neobsahuje konkrétne príklady, test neprejde. Politika by mala byť krátka, príkladná a orientovaná na činnosť.

Osemdielna kostra

Nižšie uvedená tabuľka predstavuje osvedčený rámec politiky AI. Každá inštitúcia to prispôsobuje svojmu kontextu.

oddiel

Aké odpovede?

Účel a rozsah

Koho a aké nástroje politika pokrýva?

Definície

Čo znamenajú pojmy ako AI, tieňová AI, osobné údaje?

Úlohy a zodpovednosti

Kto schvaľuje, kto kontroluje, kto je zodpovedný?

Klasifikácia údajov a pravidlá používania

Aké údaje je možné zadať do ktorého nástroja?

Schválené vozidlá a schvaľovací proces

Ktoré vozidlá sú zadarmo, ako sa schvaľuje nové vozidlo?

Zakázané použitie

Čo by sa za žiadnych okolností nemalo robiť?

Ľudská kontrola a overovanie

Ako kontrolovať výstup, kto je zodpovedný?

Porušenie, sankcie a presadzovanie

Čo sa stane, ak je pravidlo porušené, kedy sa dokument aktualizuje?

Tip: Zamerajte sa na to, aby sa pravidlá zmestili na jednu stranu najskôr s týmito ôsmimi nadpismi. Post-link as pridáva detail (zoznam schválených vozidiel, klasifikačný sprievodca). Čím kratší je hlavný text, tým je čitateľnejší.

Srdce: štvorstupňová klasifikácia údajov

Najkritickejšou časťou politiky je klasifikácia údajov, ktorá určuje, aký typ údajov možno zadať do ktorého nástroja AI. Štyri úrovne sú bežné a postačujúce:

úroveň

vzorové údaje

Pravidlo používania v AI

otvorené (verejné)

Vydaná brožúra, tlačová správa

Zadarmo; Je možné prihlásiť akékoľvek schválené vozidlo

in-house

Interný postup, poznámka zo stretnutia (osobné/nedôverné)

Len na firemných (zmluvných) vozidlách

Dôverné

Zoznam zákazníkov, zmluva, finančné údaje

Iba schválené firemné vozidlo + maskovanie; zákaz osobných vozidiel

Špeciálne/kritické

Zdravie, rasa, náboženstvo, biometria, kriminálne údaje

Spravidla sa nezadáva; len s osobitným súhlasom a právnym základom

Osobitné osobné údaje sú kategóriou citlivých údajov, pre ktoré KVKK poskytuje nadštandardnú ochranu: zdravie, sexuálny život, rasa, etnická príslušnosť, politické názory, filozofické presvedčenie, náboženstvo, sekta, oblečenie, združenie/nadácia/členstvo v odboroch, odsúdenie za trestný čin a biometrické/genetické údaje. Spracovanie týchto údajov podlieha oveľa prísnejším podmienkam; Preniknutie do nástroja AI si takmer vždy vyžaduje osobitné právne posúdenie.

Tri mini prípady: rozhodnutia o klasifikácii

Prípad 1 – Mzdy. Personalista chce dať výplatnú pásku 120 zamestnancom AI, aby mohla „analyzovať a vypracovať správu o mzdovej nerovnosti“. Mzdový list je dôverný a obsahuje osobné údaje, keďže obsahuje meno a priezvisko. Správne rozhodnutie: anonymizovať údaje (kódové názvy ako „Zamestnanec-001“, zachovať oddelenie), zadávať iba v schválenom firemnom nástroji. Anonymných 120 riadkov analýzy sa vykonáva s istotou; surové mzdy nikdy nejdú do osobného vozidla.

Prípad 2 – anamnéza pacienta. Sestra v zdravotníckom zariadení chce použiť AI na zhrnutie histórie pacienta. Ide o údaje špeciálnej kvality. Podľa zásad je tento typ údajov v osobnom vozidle prísne zakázaný; Spracovať ich však možno len v systéme schválenom inštitúciou, ktorá má osobitný zmluvný a právny základ pre zdravotné údaje. Klasifikačná tabuľka ukazuje tento rozdiel na prvý pohľad.

Prípad 3 – Tlačová správa. Marketing dáva AI zverejnenú tlačovú správu na „transformáciu do 5 rôznych verzií pre sociálne médiá“. Keďže údaje sú otvorené, neexistujú žiadne obmedzenia; Zamestnanec bez váhania pracuje v schválenom vozidle. Dobrá klasifikácia tiež odstraňuje zbytočné trenie: nehovorí „nie“ pre otvorené dáta, hovorí jasné „stop“ pre súkromné dáta.

Pozor: Pri klasifikácii údajov: "Je v nich čo i len jeden osobný údaj?" a "poškodí to inštitúciu?" Pýtajte sa spoločne. Ak je dokument jasný z obchodného hľadiska, ale obsahuje meno zákazníka, tento dokument teraz obsahuje osobné údaje a je aktualizovaný.

Sekcia zakázaného použitia

Najčítanejšou časťou politiky sú zvyčajne zákazy. Malo by byť konkrétne a príkladné. Typické zákazy:

Zadávanie citlivých osobných údajov (zdravie, biometria atď.) do vozidla bez schválenia.
Zadávanie dôverných údajov alebo firemného tajomstva do individuálnych/osobných účtov AI.
Používanie výstupu AI na právne, lekárske a finančné rozhodnutia bez toho, aby ste to overili.
Rozhodnutia ovplyvňujúce ľudí, ako je nábor, povýšenie a úver, ponechajte výlučne na AI.
Používanie AI na vydávanie sa za osobu, vytváranie falošného obsahu alebo zavádzajúcich informácií.
Vytváranie a publikovanie obsahu chráneného autorskými právami bez povolenia.

Kopírovateľné šablóny

ŠABLÓNA 1 – Náčrt časti Účel a rozsah: „Napíšte časť „Účel a rozsah“ politiky AI pre [odvetvovú] spoločnosť. Ujasnite si: na koho sa politika vzťahuje (všetkých zamestnancov, konzultantov) a ktoré nástroje (generatívna AI, asistenti kódu); uveďte účel ako „umožniť zodpovedné a vyhovujúce používanie“. 150 slov alebo menej, jednoduchý jazyk."

ŠABLÓNA 2 — Vytvorte tabuľku klasifikácie údajov: „Klasifikujte nasledujúce typy údajov ako verejné / lokálne / dôverné / proprietárne a pre každý z nich navrhnite pravidlo používania AI: [zoznam typov údajov]. Urobte z výstupu tabuľku s 3 stĺpcami: typ údajov, trieda, pravidlo AI. Typ, o ktorom si nie ste istí, označte značkou '*právne potvrdenie'."

ŠABLÓNA 3 — Zoznam zakázaných použití: "Napíšte sekciu 'Zakázané použitia' položku po položke pre inštitúciu podliehajúcu KVKK. Každá položka by mala obsahovať konkrétny príklad ('Napríklad: ...'). Aspoň 8 položiek. Tón: jasný a nevyhnutný, ale odôvodnený."

ŠABLÓNA 4 — Súhrn pre zamestnancov (jedna strana): „Zredukujte túto 20-stranovú politiku AI na jednostranové zhrnutie, ktoré bude visieť na stoloch zamestnancov: stĺpce „Môžete“ a „Nemôžete“ + 5 zlatých pravidiel + osoba na kladenie otázok. Jednoduché, vizuálne, zapamätateľné.“

Slabá výzva / Silná výzva

SLABÝ: „Napíšte politiku AI pre moju spoločnosť, mala by pokrývať všetko.“-> Model vytvára 15 strán všeobecného textu, ktorý nikto nečíta a nehodí sa do organizácie; dátové triedy a schvaľovací proces zostávajú nejasné. STRONG: "Sme 80-členná elektronická obchodná spoločnosť, ktorá spracováva zákaznícke adresy a údaje o objednávkach. Vytvorte 4-úrovňovú tabuľku klasifikácie údajov, 6 zakázaných položiek a jednostranové zhrnutie zásad AI pre zamestnancov. Zahrňte pravidlo maskovania osobných údajov. Zaškrtnite právne body, ktorými si nie ste istý, dovoľte mi rozhodnúť." -> Model poskytuje stručný, použiteľný, kontextový a overiteľný výstup.

Kroky na prijatie politiky

Písanie je polovica; Skutočnou úlohou je zmeniť politiku na živé pravidlo. Kroky:

Návrh: Dokončite osem kapitol, pripravte si prílohy.
Názor zainteresovaných strán: Získajte písomnú spätnú väzbu od právnych, IT, HR a obchodných jednotiek.
Právne schválenie: Podpis zákona/zhody pre KVKK a súlad s legislatívou.
Schválenie vrcholového manažmentu: Podpis, ktorý robí z dokumentu oficiálnu firemnú politiku.
Oznam a vzdelávanie: Krátka relácia pre všetkých; Rozošlite jednostranové zhrnutie.
Záznam o schválení: V systéme uchovávajte súhlas zamestnancov „Prečítal som si, rozumiem“.
Plán kontroly: Nastavte dátum aktualizácie aspoň každých 6 mesiacov.

Tip: Na poslednú stranu pravidiel vložte pole „verzia a dátum“. AI a legislatíva sa menia veľmi rýchlo; Vedieť, ktorá verzia je platná, zachraňuje životy pri audite.

Časté chyby

Písanie zásad vo veľmi dlhom a legálnom jazyku a robí ich nečitateľnými.
Preskakovanie klasifikácie údajov a odovzdávanie vágnych fráz ako „buďte opatrní“.
Zámena špeciálnej kategórie údajov s bežnými dôvernými údajmi.
Písanie zákazov bez vytvorenia schváleného zoznamu vozidiel a schvaľovacieho procesu.
Abstraktné písanie zákazov bez uvedenia konkrétnych príkladov.
Preskočíte krok školenia zamestnancov a schválenia registrácie a poviete: „Oznámil som to e-mailom.“
Nestanoviť si plán kontroly a napísať zásady raz a zabudnúť na to.

V súhrne

Dobrá politika pozostáva z ôsmich štandardných častí; Mal by byť krátky, príkladný a akčný.
Jeho srdcom je štvorúrovňová klasifikácia údajov, ktorá určuje, ktoré údaje idú do akého nástroja.
Špeciálne kategórie osobných údajov (zdravie, biometria atď.) podliehajú najprísnejšiemu pravidlu; Spravidla nie je zahrnutá AI.
Zakázané použitia musia byť konkrétne a príkladné; Mal by byť definovaný spolu so schválenými nástrojmi a schvaľovacím procesom.
Keď je politika napísaná, je udržiavaná pri živote prostredníctvom názoru zainteresovaných strán, právneho a manažérskeho schválenia, školenia a pravidelnej kontroly.

Aplikačná úloha

Konkrétne vyplňte aspoň tri časti osemdielnej kostry (Účel a rozsah, Klasifikácia údajov, Zakázané použitia) pre inštitúciu podľa vášho výberu. Vytvorte tabuľku klasifikácie údajov so štyrmi úrovňami a umiestnite do nej aspoň osem skutočných typov údajov, ktoré vaša organizácia spracúva; Pre každý napíšte pravidlo AI. Potom zhrňte tieto tri časti do jednostranového súhrnu „Môžete/nemôžete“, ktorý možno umiestniť na stoly zamestnancov. Nakoniec si všimnite, ktoré dva z krokov implementácie politiky považujete za najťažšie pre vašu organizáciu a ako ich prekonáte.

kontrolný zoznam

[ ] Osemdielny rámec som prispôsobil svojej inštitúcii.
[ ] Vyplnil som štvorúrovňovú tabuľku klasifikácie údajov.
[ ] Špeciálne údaje som naviazal na samostatné a najprísnejšie pravidlo.
[ ] Zakázané použitia som napísal s konkrétnymi príkladmi.
[ ] Opísal som schválené nástroje a proces schvaľovania.
[ ] Pripravil som jednostranové zhrnutie zamestnancov.
[ ] Plánoval som zákonné schválenie a harmonogram kontroly.