Si të shkruani një politikë të përdorimit të AI të korporatës — Politika e UA, KVKK dhe Ligji i BE-së për UA

Fitimet:

Krijoni një draft duke përdorur shabllonin e politikave me tetë pjesë
Shkruani rregullat e përdorimit bazuar në klasifikimin e të dhënave në katër nivele
Zbatimi i politikës dhe ndjekja e listës së kontrollit të zbatimit

Kur detyra e "hartimit të një politike të AI që do t'i paraqitet bordit të premten e ardhshme" bie në tryezën e një oficeri të pajtueshmërisë, shumë kanë frikë nga fleta e zbrazët. Megjithatë, një politikë e mirë e inteligjencës artificiale është standarde arkitekturore: ajo ka një kornizë të parashikueshme me tetë pjesë. Në këtë njësi, ne do ta ndërtojmë atë skelet seksion pas seksioni, do të gërmojmë në klasifikimin e të dhënave që është zemra e tij dhe do të shohim hapat për të vënë në fuqi draftin. Qëllimi është të prodhohet një dokument konkret që mund të prezantohet të premten.

Rregulli i artë i shkrimit të politikave

Testi me një fjali i një politike të mirë është: "A mundet një punonjës ta lexojë këtë dokument në 10 minuta dhe t'i përgjigjet qartë pyetjes 'çfarë mund të bëj dhe çfarë nuk mund të bëj?'" Nëse dokumenti është 30 faqe, i shkruar në gjuhën ligjore dhe nuk përmban shembuj konkretë, testi dështon. Politika duhet të jetë e shkurtër, shembullore dhe e orientuar drejt veprimit.

Skeleti me tetë pjesë

Tabela më poshtë është një kornizë e provuar e politikave të AI. Çdo institucion e përshtat këtë në kontekstin e vet.

Seksioni

Çfarë përgjigjesh?

Qëllimi dhe qëllimi

Kush dhe çfarë mjetesh mbulon politika?

Përkufizimet

Çfarë nënkuptojnë termat si AI, AI hije, të dhëna personale?

Rolet dhe përgjegjësitë

Kush miraton, kush inspekton, kush është përgjegjës?

Rregullat e klasifikimit dhe përdorimit të të dhënave

Cilat të dhëna mund të futen në cilin mjet?

Automjetet e miratuara dhe procesi i miratimit

Cilat mjete janë falas, si miratohet një automjet i ri?

Përdorime të ndaluara

Çfarë nuk duhet bërë në asnjë rrethanë?

Inspektimi dhe verifikimi njerëzor

Si të kontrollohet prodhimi, kush është përgjegjës?

Shkelje, sanksion dhe zbatim

Çfarë ndodh nëse rregulli shkelet, kur përditësohet dokumenti?

Këshillë: Synoni që fillimisht ta përshtatni politikën në një faqe me këta tetë tituj. Post-link si shton detaje (lista e miratuar e automjeteve, udhëzues klasifikimi). Sa më i shkurtër të jetë teksti kryesor, aq më i lexueshëm është.

Zemra: klasifikimi i të dhënave me katër nivele

Pjesa më kritike e politikës është klasifikimi i të dhënave, i cili përcakton se cili lloj i të dhënave mund të futet në cilin mjet AI. Katër nivele janë të zakonshme dhe të mjaftueshme:

Niveli

mostra e të dhënave

Rregulli i përdorimit në AI

i hapur (publik)

Broshurë e botuar, njoftim për shtyp

Falas; Mund të futet çdo automjet i miratuar

në shtëpi

Procedura e brendshme, shënimi i takimit (personal/jokonfidencial)

Vetëm në automjetet e korporatës (kontrata).

Konfidenciale

Lista e klientëve, kontrata, të dhënat financiare

Automjeti i miratuar i korporatës + vetëm maskimi; automjetet personale të ndaluara

E veçantë/kritike

Shëndeti, raca, feja, biometria, të dhënat kriminale

Si rregull, nuk futet; vetëm me miratim të veçantë dhe bazë ligjore

Të dhënat e veçanta personale janë kategoria e të dhënave sensitive për të cilat KVKK ofron mbrojtje shtesë: shëndeti, jeta seksuale, raca, përkatësia etnike, opinioni politik, besimi filozofik, feja, sekti, veshja, anëtarësimi në shoqatë/fondacion/sindikatë, dënime penale dhe të dhëna biometrike/gjenetike. Përpunimi i këtyre të dhënave i nënshtrohet kushteve shumë më të rrepta; Hyrja në një mjet AI pothuajse gjithmonë kërkon një konsideratë të veçantë ligjore.

Tre mini raste: vendime klasifikimi

Rasti 1 - Lista e pagave. Specialisti i Burimeve Njerëzore dëshiron t'i japë listën e pagave të 120 punonjësve një AI në mënyrë që ajo të "analizojë dhe prodhojë një raport të pabarazisë së pagave". Lista e pagave është edhe konfidenciale dhe përmban të dhëna personale pasi përmban emrin dhe mbiemrin. Vendimi i duhur: anonimizoni të dhënat (emrat e kodit si "Punonjës-001", ruani departamentin), futni vetëm në mjetin e miratuar të korporatës. 120 rreshta analizash të anonimizuara janë bërë me besim; Lista e pagave e papërpunuar nuk shkon kurrë në automjetin personal.

Rasti 2 - Historia e pacientit. Një infermiere në një institucion shëndetësor dëshiron të përdorë AI për të përmbledhur një histori të pacientit. Këto janë të dhëna të cilësisë së veçantë. Sipas politikës, ky lloj i të dhënave është rreptësisht i ndaluar në një automjet personal; Megjithatë, ai mund të përpunohet vetëm në një sistem të miratuar nga institucioni, i cili ka një bazë të veçantë kontraktuale dhe ligjore për të dhënat shëndetësore. Tabela e klasifikimit tregon këtë dallim me një shikim.

Rasti 3 - Njoftim për shtyp. Marketingu i jep AI një deklaratë për shtyp të publikuar për të "transformuar në 5 versione të ndryshme për mediat sociale". Për shkak se të dhënat janë të hapura, nuk ka kufizime; Punonjësi punon në mjetin e miratuar pa hezitim. Një klasifikim i mirë eliminon gjithashtu fërkimet e panevojshme: nuk thotë "jo" për të dhënat e hapura, thotë "stop" qartë për të dhënat private.

Kujdes: Kur klasifikoni një të dhënë, "A ka qoftë edhe një pjesë të vetme të të dhënave personale në të?" dhe "a do të dëmtojë institucionin?" Bëni pyetjet tuaja së bashku. Nëse një dokument është i qartë nga perspektiva e biznesit, por ka një emër klienti në të, ai dokument tani përmban të dhëna personale dhe përmirësohet.

Seksioni i përdorimeve të ndaluara

Pjesa më e lexuar e politikës janë zakonisht ndalimet. Duhet të jetë konkret dhe shembullor. Ndalimet tipike:

Futja e të dhënave të ndjeshme personale (shëndetësore, biometrike, etj.) në automjet pa miratim.
Futja e të dhënave konfidenciale ose sekretit të kompanisë në llogaritë individuale/personale të AI.
Përdorimi i prodhimit të AI si vendime ligjore, mjekësore, financiare pa e verifikuar atë.
Lënia e vendimeve që prekin njerëzit, si rekrutimi, promovimi dhe kreditimi, vetëm tek AI.
Përdorimi i AI për të imituar një person, për të prodhuar përmbajtje të rreme ose informacione mashtruese.
Prodhimi dhe publikimi i përmbajtjes me të drejtë autori pa leje.

Modele të kopjueshme

SHBALL 1 — Përvijimi i seksionit të qëllimit dhe fushëveprimit: "Shkruani seksionin "Qëllimi dhe fushëveprimi" i një politike të AI për një kompani [industrie]. Bëjeni të qartë: kë mbulon politika (të gjithë punonjësit, konsulentët) dhe cilat mjete (AI gjeneruese, asistentët e kodit); deklaroni qëllimin si "të mundësojë përdorim të përgjegjshëm dhe të pajtueshëm". 150 fjalë ose më pak, gjuhë e thjeshtë."

SHBALL 2 — Krijoni një tabelë klasifikimi të të dhënave: "Klasifikoni llojet e mëposhtme të të dhënave si publike / brenda lokaleve / konfidenciale / pronësore dhe sugjeroni rregullin e përdorimit të AI për secilën: [listoni llojet e të dhënave]. Bëni daljen një tabelë me 3 kolona: lloji i të dhënave, klasa, rregulli i AI. Vendosni një shenjë '*konfirmimi ligjor' në llojin për të cilin nuk jeni i sigurt."

TABLE 3 — Lista e përdorimeve të ndaluara: "Shkruani seksionin "Përdorime të ndaluara" artikull për artikull për një institucion që i nënshtrohet KVKK-së. Çdo artikull duhet të përfshijë një shembull konkret ('Për shembull: ...'). Të paktën 8 artikuj. Toni: i qartë dhe imperativ, por i arsyetuar."

SHBALL 4 — Përmbledhje e punonjësve (me një faqe): "Reduktojeni këtë politikë AI prej 20 faqesh në një përmbledhje me një faqe për t'u varur në tavolinat e punonjësve: kolonat "Ti mundesh" dhe "Nuk mundesh" + 5 rregulla të arta + person për të bërë pyetje. E thjeshtë, vizuale, e paharrueshme."

Prompt i dobët / Prompt i fortë

I DOBËT: “Shkruaj një politikë të AI për kompaninë time, ajo duhet të mbulojë gjithçka.”-> Modeli prodhon 15 faqe tekst të përgjithshëm që askush nuk i lexon dhe nuk i përshtatet organizatës; Klasat e të dhënave dhe procesi i miratimit mbeten të paqarta. STRONG: "Ne jemi një kompani e-commerce prej 80 personash, që përpunojmë adresën e klientit dhe të dhënat e porosive. Krijoni një tabelë klasifikimi të të dhënave me 4 nivele, 6 artikuj të ndaluar dhe një përmbledhje të punonjësve me një faqe të politikës së AI. Përfshi rregullin e maskimit për të dhënat personale. Shënoni pikat ligjore për të cilat nuk jeni të sigurt, më lejoni të vendos." -> Modeli jep rezultate koncize, të zbatueshme, kontekstuale dhe të verifikueshme.

Hapat për të miratuar politikën

Shkrimi është gjysma e tij; Puna e vërtetë është ta ktheni politikën në një rregull të gjallë. Hapat:

Draft: Plotësoni tetë kapituj, përgatitni shtojcat.
Opinioni i palëve të interesuara: Merrni komente me shkrim nga njësitë ligjore, IT, HR dhe biznesi.
Miratimi ligjor: Nënshkrimi ligjor/përputhshmëria për KVKK-në dhe pajtueshmëria me legjislacionin.
Miratimi i menaxhmentit të lartë: Nënshkrimi që e bën dokumentin një politikë zyrtare të korporatës.
Njoftim dhe edukim: Një seancë e shkurtër për të gjithë; Shpërndani një përmbledhje me një faqe.
Regjistrimi i miratimit: Mbani miratimin "Kam lexuar, e kuptoj" të punonjësve në sistem.
Orari i rishikimit: Vendosni një datë përditësimi të paktën çdo 6 muaj.

Këshillë: Vendosni një kuti "versioni dhe data" në faqen e fundit të politikës. UA dhe legjislacioni ndryshojnë shumë shpejt; Njohja se cili version është i vlefshëm shpëton jetë në një auditim.

Gabimet e zakonshme

Shkrimi i politikës në një gjuhë shumë të gjatë dhe të ligjshme dhe duke e bërë atë të palexueshme.
Kapërcimi i klasifikimit të të dhënave dhe kalimi i frazave të paqarta si "ki kujdes".
Ngatërrimi i një kategorie të veçantë të dhënash me të dhënat normale konfidenciale.
Shkrimi i ndalimeve pa krijuar një listë të miratuar automjetesh dhe proces miratimi.
Shkrimi i ndalimeve në mënyrë abstrakte pa dhënë shembuj konkretë.
Duke anashkaluar hapin e regjistrimit të trajnimit dhe miratimit të punonjësve dhe duke thënë "E njoftova me email".
Mos vendosja e një orari rishikimi dhe shkrimi i politikës një herë dhe duke e harruar atë.

Në përmbledhje

Një politikë e mirë përbëhet nga tetë pjesë standarde; Duhet të jetë i shkurtër, shembullor dhe i orientuar drejt veprimit.
Zemra e tij është klasifikimi i të dhënave me katër nivele që përcakton se cilat të dhëna shkojnë në cilin mjet.
Kategoritë e veçanta të të dhënave personale (shëndetësore, biometrike, etj.) i nënshtrohen rregullit më të rreptë; Si rregull, AI nuk përfshihet.
Përdorimet e ndaluara duhet të jenë konkrete dhe shembullore; Duhet të përcaktohet së bashku me mjetet e miratuara dhe procesin e miratimit.
Pasi të jetë shkruar politika, ajo mbahet e gjallë përmes opinionit të palëve të interesuara, miratimit ligjor dhe menaxherial, trajnimit dhe rishikimit të rregullt.

Detyra e aplikimit

Plotësoni konkretisht të paktën tre seksione të skeletit me tetë seksione (Qëllimi dhe fushëveprimi, Klasifikimi i të dhënave, Përdorimet e ndaluara) për një institucion sipas zgjedhjes suaj. Krijoni një tabelë klasifikimi të të dhënave me katër nivele dhe vendosni në të të paktën tetë lloje aktuale të të dhënave që organizata juaj përpunon; Shkruani një rregull të AI për secilin. Më pas përziej këto tre seksione në një përmbledhje me një faqe "Ti mundesh/Nuk mundesh" që mund të postohet në tavolinat e punonjësve. Së fundi, vini re se cilat dy nga hapat e zbatimit të politikave i keni më të vështirat për organizatën tuaj dhe si do t'i kapërceni ato.

listë kontrolli

[ ] Kam përshtatur kornizën me tetë pjesë në institucionin tim.
[ ] Unë plotësova tabelën e klasifikimit të të dhënave me katër nivele.
[ ] Unë i kam lidhur të dhëna të veçanta me një rregull të veçantë dhe më të rreptë.
[ ] Përdorimet e ndaluara i kam shkruar me shembuj konkretë.
[ ] Kam përshkruar mjetet e miratuara dhe procesin e miratimit.
[ ] Kam përgatitur një përmbledhje të punonjësve me një faqe.
[ ] Kam planifikuar një plan miratimi dhe rishikimi ligjor.