กำไร:
- สร้างฉบับร่างโดยใช้เทมเพลตนโยบายแปดส่วน
- เขียนกฎการใช้งานตามการจำแนกข้อมูลสี่ระดับ
- การนำนโยบายไปปฏิบัติและปฏิบัติตามรายการตรวจสอบการบังคับใช้
เมื่องาน "ร่างนโยบาย AI ที่จะนำเสนอต่อคณะกรรมการในวันศุกร์หน้า" ตกอยู่บนโต๊ะของเจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎระเบียบ หลายคนกลัวกระดานชนวนที่ว่างเปล่า อย่างไรก็ตาม นโยบาย AI ที่ดีนั้นเป็นมาตรฐานทางสถาปัตยกรรม โดยมีกรอบงานแปดส่วนที่คาดเดาได้ ในหน่วยนี้ เราจะสร้างส่วนโครงกระดูกนั้นทีละส่วน เจาะลึกการจำแนกประเภทข้อมูลที่เป็นหัวใจ และดูขั้นตอนในการนำแบบร่างไปใช้จริง จุดมุ่งหมายคือจัดทำเอกสารเป็นรูปธรรมที่สามารถนำเสนอได้ในวันศุกร์
กฎทองของการเขียนนโยบาย
การทดสอบนโยบายที่ดีด้วยประโยคเดียวคือ: "พนักงานสามารถอ่านเอกสารนี้ภายใน 10 นาทีและตอบคำถาม 'ฉันทำอะไรได้บ้างและทำอะไรไม่ได้อย่างชัดเจน'" หากเอกสารมีความยาว 30 หน้า เขียนด้วยภาษากฎหมายและไม่มีตัวอย่างที่เป็นรูปธรรม แสดงว่าการทดสอบล้มเหลว นโยบายควรสั้น เป็นตัวอย่างที่ดี และมุ่งเน้นการปฏิบัติ
โครงกระดูกแปดส่วน
ตารางด้านล่างเป็นกรอบนโยบาย AI ที่ได้รับการพิสูจน์แล้ว แต่ละสถาบันจะปรับสิ่งนี้ให้เข้ากับบริบทของตนเอง
#
มาตรา
คำตอบอะไร?
1
วัตถุประสงค์และขอบเขต
นโยบายนี้ครอบคลุมถึงใครและเครื่องมืออะไรบ้าง?
2
คำจำกัดความ
คำศัพท์เช่น AI, Shadow AI, ข้อมูลส่วนบุคคลหมายถึงอะไร
3
บทบาทและความรับผิดชอบ
ใครอนุมัติ ใครตรวจสอบ ใครรับผิดชอบ?
4
การจำแนกประเภทข้อมูลและกฎการใช้
ข้อมูลใดที่สามารถป้อนข้อมูลลงในเครื่องมือใดได้?
5
ยานพาหนะที่ได้รับอนุมัติและขั้นตอนการอนุมัติ
ยานพาหนะใดบ้างที่ให้บริการฟรี ยานพาหนะใหม่ได้รับการอนุมัติอย่างไร?
6
การใช้งานที่ต้องห้าม
สิ่งใดไม่ควรกระทำไม่ว่าในกรณีใด?
7
การตรวจสอบและการตรวจสอบโดยมนุษย์
จะควบคุมผลผลิตได้อย่างไรใครจะรับผิดชอบ?
8
การละเมิด การลงโทษ และการบังคับใช้
จะเกิดอะไรขึ้นหากกฎละเมิด เอกสารจะอัปเดตเมื่อใด
เคล็ดลับ: ตั้งเป้าให้นโยบายอยู่ในหนึ่งหน้าโดยมีส่วนหัวทั้ง 8 หัวข้อนี้ก่อน โพสต์ลิงก์เพื่อเพิ่มรายละเอียด (รายชื่อรถที่ได้รับอนุมัติ คู่มือการจำแนกประเภท) ยิ่งข้อความหลักสั้นเท่าไรก็ยิ่งอ่านได้มากขึ้นเท่านั้น
หัวใจ: การจำแนกข้อมูลสี่ระดับ
ส่วนที่สำคัญที่สุดของนโยบายคือการจำแนกประเภทข้อมูล ซึ่งกำหนดประเภทข้อมูลที่สามารถป้อนลงในเครื่องมือ AI ใดได้ สี่ระดับเป็นเรื่องธรรมดาและเพียงพอ:
ระดับ
ข้อมูลตัวอย่าง
กฎการใช้งานใน AI
เปิด (สาธารณะ)
เผยแพร่โบรชัวร์, ข่าวประชาสัมพันธ์
ฟรี; สามารถเข้ารถใดก็ได้ที่ได้รับการอนุมัติ
ในบ้าน
ขั้นตอนภายใน บันทึกการประชุม (ส่วนตัว/ไม่เป็นความลับ)
เฉพาะในยานพาหนะขององค์กร (สัญญา)
เป็นความลับ
รายชื่อลูกค้า สัญญา ข้อมูลทางการเงิน
ยานพาหนะขององค์กรที่ได้รับอนุมัติ + การมาสก์เท่านั้น ห้ามใช้ยานพาหนะส่วนบุคคล
พิเศษ/วิกฤต
สุขภาพ เชื้อชาติ ศาสนา ชีวมิติ ข้อมูลอาชญากรรม
ตามกฎแล้วจะไม่มีการป้อน โดยได้รับการอนุมัติเป็นพิเศษและมีพื้นฐานทางกฎหมายเท่านั้น
ข้อมูลส่วนบุคคลพิเศษคือหมวดหมู่ของข้อมูลที่ละเอียดอ่อนซึ่ง KVKK ให้ความคุ้มครองเป็นพิเศษ: สุขภาพ ชีวิตทางเพศ เชื้อชาติ ชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางปรัชญา ศาสนา นิกาย การแต่งกาย สมาคม/มูลนิธิ/สมาชิกสหภาพแรงงาน การพิพากษาลงโทษทางอาญา และข้อมูลชีวมิติ/พันธุกรรม การประมวลผลข้อมูลนี้อยู่ภายใต้เงื่อนไขที่เข้มงวดมากขึ้น การบุกเข้าไปในเครื่องมือ AI แทบทุกครั้งต้องได้รับการพิจารณาทางกฎหมายเป็นพิเศษ
กรณีเล็กๆ น้อยๆ สามกรณี: การตัดสินใจจำแนกประเภท
กรณีที่ 1 — เงินเดือน ผู้เชี่ยวชาญด้านทรัพยากรบุคคลต้องการมอบบัญชีเงินเดือนของพนักงาน 120 คนให้กับ AI เพื่อให้สามารถ "วิเคราะห์และสร้างรายงานความไม่เท่าเทียมกันของเงินเดือน" ได้ บัญชีเงินเดือนเป็นความลับและมีข้อมูลส่วนบุคคลเนื่องจากมีชื่อและนามสกุล การตัดสินใจที่ถูกต้อง: ทำให้ข้อมูลไม่ระบุชื่อ (ชื่อรหัสเช่น "พนักงาน-001" แผนกอนุรักษ์) ป้อนเฉพาะในเครื่องมือขององค์กรที่ได้รับอนุมัติเท่านั้น การวิเคราะห์ 120 บรรทัดที่ไม่ระบุชื่อเสร็จสิ้นด้วยความมั่นใจ เงินเดือนดิบไม่เคยเข้าไปในยานพาหนะส่วนบุคคล
กรณีที่ 2 — ประวัติผู้ป่วย พยาบาลในสถานพยาบาลต้องการใช้ AI เพื่อสรุปประวัติผู้ป่วย นี่เป็นข้อมูลคุณภาพพิเศษ ตามนโยบาย ข้อมูลประเภทนี้เป็นสิ่งต้องห้ามอย่างเคร่งครัดในยานพาหนะส่วนบุคคล อย่างไรก็ตาม สามารถประมวลผลได้ในระบบที่ได้รับอนุมัติจากสถาบันเท่านั้น ซึ่งมีพื้นฐานทางสัญญาและกฎหมายพิเศษสำหรับข้อมูลด้านสุขภาพ ตารางการจำแนกประเภทจะแสดงความแตกต่างนี้โดยสรุป
กรณีที่ 3 — ข่าวประชาสัมพันธ์ การตลาดให้ข่าวประชาสัมพันธ์แก่ AI เพื่อ “แปลงเป็น 5 เวอร์ชันที่แตกต่างกันสำหรับโซเชียลมีเดีย” เนื่องจากข้อมูลเปิดอยู่ จึงไม่มีข้อจำกัด พนักงานทำงานในยานพาหนะที่ได้รับอนุมัติโดยไม่ลังเลใจ การจัดหมวดหมู่ที่ดียังช่วยลดความขัดแย้งที่ไม่จำเป็นอีกด้วย โดยไม่ได้ระบุว่า "ไม่" สำหรับข้อมูลเปิด แต่ระบุว่า "หยุด" อย่างชัดเจนสำหรับข้อมูลส่วนตัว
ข้อควรสนใจ: เมื่อจัดประเภทข้อมูล "มีข้อมูลส่วนบุคคลอยู่ในข้อมูลชิ้นเดียวหรือไม่" และ “จะส่งผลเสียต่อสถาบันหรือไม่” ถามคำถามของคุณด้วยกัน หากเอกสารชัดเจนจากมุมมองทางธุรกิจ แต่มีชื่อลูกค้าอยู่ในนั้น เอกสารนั้นจะมีข้อมูลส่วนบุคคลและได้รับการอัปเกรดแล้ว
ส่วนการใช้ที่ต้องห้าม
ส่วนที่อ่านมากที่สุดของนโยบายมักจะเป็นการแบน ควรเป็นรูปธรรมและเป็นแบบอย่าง ข้อห้ามทั่วไป:
- การป้อนข้อมูลส่วนตัวที่ละเอียดอ่อน (สุขภาพ ข้อมูลชีวภาพ ฯลฯ) ลงในรถยนต์โดยไม่ได้รับการอนุมัติ
- การป้อนข้อมูลที่เป็นความลับหรือความลับของบริษัทลงในบัญชี AI ส่วนบุคคล/ส่วนบุคคล
- การใช้เอาต์พุต AI เพื่อการตัดสินใจทางกฎหมาย การแพทย์ และการเงินโดยไม่ต้องตรวจสอบ
- ปล่อยให้การตัดสินใจที่ส่งผลกระทบต่อผู้คน เช่น การสรรหาบุคลากร การเลื่อนตำแหน่ง และเครดิต ตกเป็นหน้าที่ของ AI เท่านั้น
- การใช้ AI เพื่อแอบอ้างเป็นบุคคล สร้างเนื้อหาที่เป็นเท็จ หรือข้อมูลที่ทำให้เข้าใจผิด
- การผลิตและเผยแพร่เนื้อหาที่มีลิขสิทธิ์โดยไม่ได้รับอนุญาต
เทมเพลตที่คัดลอกได้
เทมเพลต 1 — เค้าโครงส่วนวัตถุประสงค์และขอบเขต: "เขียนส่วน 'วัตถุประสงค์และขอบเขต' ของนโยบาย AI สำหรับบริษัท [อุตสาหกรรม] ทำให้ชัดเจนว่านโยบายครอบคลุมใคร (พนักงาน ที่ปรึกษาทั้งหมด) และเครื่องมือใด (AI ทั่วไป ผู้ช่วยโค้ด) ระบุวัตถุประสงค์ว่า 'เปิดใช้งานการใช้งานที่รับผิดชอบและปฏิบัติตามข้อกำหนด' 150 คำหรือน้อยกว่า ภาษาธรรมดา”
เทมเพลต 2 — สร้างตารางการจัดหมวดหมู่ข้อมูล: "จำแนกประเภทข้อมูลต่อไปนี้เป็นสาธารณะ / ในสถานที่ / เป็นความลับ / กรรมสิทธิ์ และแนะนำกฎการใช้งาน AI สำหรับแต่ละประเภท: [รายการประเภทข้อมูล] ทำให้เอาต์พุตเป็นตาราง 3 คอลัมน์: ประเภทข้อมูล คลาส กฎ AI ใส่เครื่องหมาย '*การยืนยันทางกฎหมาย' ในประเภทที่คุณไม่แน่ใจ"
แม่แบบ 3 — รายการการใช้ต้องห้าม: "เขียนรายการส่วน 'การใช้ต้องห้าม' ทีละรายการสำหรับสถาบันที่อยู่ภายใต้บังคับของ KVKK แต่ละรายการควรมีตัวอย่างที่เป็นรูปธรรม ('ตัวอย่าง: ...') อย่างน้อย 8 รายการ น้ำเสียง: ชัดเจนและจำเป็น แต่มีเหตุผล"
เทมเพลต 4 — สรุปพนักงาน (หน้าเดียว): "ลดนโยบาย AI 20 หน้านี้เป็นสรุปหน้าเดียวเพื่อแขวนไว้บนโต๊ะของพนักงาน: คอลัมน์ 'คุณทำได้' และ 'คุณทำไม่ได้' + กฎทอง 5 ข้อ + คนที่จะถามคำถาม เรียบง่าย มีภาพ และน่าจดจำ"
พรอมต์อ่อน / พรอมต์แข็งแกร่ง
อ่อนแอ: “เขียนนโยบาย AI สำหรับบริษัทของฉัน มันควรครอบคลุมทุกอย่าง”-> โมเดลนี้สร้างข้อความทั่วไป 15 หน้าที่ไม่มีใครอ่านและไม่เหมาะกับองค์กร คลาสข้อมูลและกระบวนการอนุมัติยังไม่ชัดเจน แข็งแกร่ง: "เราเป็นบริษัทอีคอมเมิร์ซที่มีพนักงาน 80 คน ประมวลผลที่อยู่ของลูกค้าและข้อมูลคำสั่งซื้อ สร้างตารางการจำแนกข้อมูล 4 ระดับ สิ่งของต้องห้าม 6 รายการ และสรุปนโยบาย AI ของพนักงานหนึ่งหน้า รวมกฎการปกปิดข้อมูลส่วนบุคคล ทำเครื่องหมายในประเด็นทางกฎหมายที่คุณไม่แน่ใจ ให้ฉันตัดสินใจ" -> โมเดลให้ผลลัพธ์ที่กระชับ ใช้ได้ ตามบริบท และตรวจสอบได้
ขั้นตอนในการตรานโยบาย
การเขียนเป็นเพียงครึ่งหนึ่ง งานที่แท้จริงคือการเปลี่ยนนโยบายให้เป็นกฎเกณฑ์ที่มีชีวิต ขั้นตอน:
- ร่าง: กรอกแปดบท เตรียมภาคผนวก
- ความคิดเห็นของผู้มีส่วนได้ส่วนเสีย: รับคำติชมเป็นลายลักษณ์อักษรจากหน่วยกฎหมาย ไอที ทรัพยากรบุคคล และธุรกิจ
- การอนุมัติทางกฎหมาย: ลายเซ็นทางกฎหมาย/การปฏิบัติตามข้อกำหนดสำหรับ KVKK และการปฏิบัติตามกฎหมาย
- การอนุมัติจากผู้บริหารระดับสูง: ลายเซ็นที่ทำให้เอกสารเป็นนโยบายองค์กรอย่างเป็นทางการ
- ประกาศและให้ความรู้: ช่วงสั้นๆ สำหรับทุกคน แจกสรุปหนึ่งหน้า
- บันทึกการอนุมัติ: เก็บการอนุมัติของพนักงาน "ฉันได้อ่าน ฉันเข้าใจ" ไว้ในระบบ
- กำหนดการตรวจสอบ: กำหนดวันที่อัปเดตอย่างน้อยทุกๆ 6 เดือน
เคล็ดลับ: ใส่ช่อง "เวอร์ชันและวันที่" ไว้ที่หน้าสุดท้ายของนโยบาย AI และกฎหมายเปลี่ยนแปลงเร็วมาก การรู้ว่าเวอร์ชันใดที่ถูกต้องสามารถช่วยชีวิตคนในการตรวจสอบได้
ข้อผิดพลาดทั่วไป
- เขียนนโยบายด้วยภาษากฎหมายที่ยาวมากจนอ่านไม่ออก
- ข้ามการจัดหมวดหมู่ข้อมูลและส่งผ่านวลีที่คลุมเครือ เช่น “ระวัง”
- สร้างความสับสนให้กับข้อมูลประเภทพิเศษกับข้อมูลที่เป็นความลับตามปกติ
- การเขียนคำสั่งห้ามโดยไม่ต้องสร้างรายชื่อรถที่ได้รับอนุมัติและกระบวนการอนุมัติ
- การเขียนข้อห้ามอย่างเป็นรูปธรรมโดยไม่ต้องยกตัวอย่างที่เป็นรูปธรรม
- ข้ามขั้นตอนการลงทะเบียนการฝึกอบรมและการอนุมัติพนักงานแล้วพูดว่า "ฉันประกาศทางอีเมลแล้ว"
- ไม่กำหนดตารางทบทวนและเขียนนโยบายครั้งเดียวแล้วลืมไป
โดยสรุป
- นโยบายที่ดีประกอบด้วยส่วนมาตรฐานแปดส่วน ควรสั้น เป็นตัวอย่าง และเน้นการปฏิบัติ
- หัวใจสำคัญของมันคือการจัดหมวดหมู่ข้อมูลสี่ระดับที่กำหนดว่าข้อมูลใดจะเข้าสู่เครื่องมือใด
- ข้อมูลส่วนบุคคลประเภทพิเศษ (สุขภาพ ข้อมูลชีวภาพ ฯลฯ) อยู่ภายใต้กฎที่เข้มงวดที่สุด ตามกฎแล้วจะไม่รวม AI
- การใช้งานที่ต้องห้ามจะต้องเป็นรูปธรรมและเป็นแบบอย่าง ควรกำหนดพร้อมกับเครื่องมือที่ได้รับอนุมัติและกระบวนการอนุมัติ
- เมื่อเขียนนโยบายแล้ว นโยบายดังกล่าวจะคงอยู่ต่อไปโดยอาศัยความคิดเห็นของผู้มีส่วนได้ส่วนเสีย การอนุมัติทางกฎหมายและฝ่ายบริหาร การฝึกอบรม และการทบทวนอย่างสม่ำเสมอ
งานสมัคร
กรอกอย่างเป็นรูปธรรมอย่างน้อยสามส่วนของโครงกระดูกแปดส่วน (วัตถุประสงค์และขอบเขต การจำแนกประเภทข้อมูล การใช้งานที่ต้องห้าม) สำหรับสถาบันที่คุณเลือก จัดทำตารางการจำแนกประเภทข้อมูลด้วยสี่ระดับ และวางประเภทข้อมูลจริงที่องค์กรของคุณประมวลผลไว้อย่างน้อยแปดประเภท เขียนกฎ AI สำหรับแต่ละกฎ จากนั้นต้มทั้งสามส่วนให้เหลือเพียงหน้าเดียว "คุณทำได้/ทำไม่ได้" ซึ่งสามารถโพสต์ไว้บนโต๊ะของพนักงานได้ สุดท้ายนี้ ให้สังเกตว่าขั้นตอนการดำเนินการตามนโยบายสองขั้นตอนใดที่คุณพบว่ายากที่สุดสำหรับองค์กรของคุณ และคุณจะเอาชนะได้อย่างไร
รายการตรวจสอบ
- [ ] ฉันปรับกรอบการทำงานแปดส่วนให้เข้ากับสถาบันของฉัน
- [ ] ฉันกรอกตารางการจำแนกข้อมูลสี่ระดับแล้ว
- [ ] ฉันได้ผูกข้อมูลพิเศษไว้กับกฎที่แยกจากกันและเข้มงวดที่สุด
- [ ] ฉันเขียนการใช้ที่ต้องห้ามพร้อมตัวอย่างที่เป็นรูปธรรม
- [ ] ฉันอธิบายเครื่องมือที่ได้รับอนุมัติและขั้นตอนการอนุมัติ
- [ ] ฉันเตรียมสรุปพนักงานหนึ่งหน้า
- [ ] ฉันวางแผนการอนุมัติทางกฎหมายและกำหนดการทบทวน