Paano Sumulat ng Patakaran sa Paggamit ng Corporate AI — Patakaran sa AI, KVKK at EU AI Law

Mga nadagdag:

Bumuo ng draft gamit ang walong bahagi na template ng patakaran
Sumulat ng mga panuntunan sa paggamit batay sa apat na antas ng pag-uuri ng data
Pagpapatupad ng patakaran at pagsunod sa checklist ng pagpapatupad

Kapag ang gawain ng "pagbalangkas ng isang patakaran ng AI na ipapakita sa lupon sa susunod na Biyernes" ay nasa desk ng opisyal ng pagsunod, marami ang natatakot sa blangko na talaan. Gayunpaman, ang isang mahusay na patakaran ng AI ay pamantayan sa arkitektura: mayroon itong mahuhulaan na walong bahaging balangkas. Sa unit na ito, bubuuin namin ang skeleton section na iyon ayon sa section, susuriin ang klasipikasyon ng data na nasa puso nito, at titingnan ang mga hakbang upang maipatupad ang draft. Ang layunin ay upang makagawa ng isang konkretong dokumento na maaaring iharap sa Biyernes.

Ang ginintuang tuntunin ng pagsulat ng patakaran

Ang isang-pangungusap na pagsubok ng isang mahusay na patakaran ay: "Maaari bang basahin ng isang empleyado ang dokumentong ito sa loob ng 10 minuto at malinaw na sagutin ang tanong na 'ano ang maaari kong gawin at ano ang hindi ko magagawa?'" Kung ang dokumento ay 30 pahina ang haba, nakasulat sa legal na wika at walang mga konkretong halimbawa, ang pagsusulit ay mabibigo. Ang patakaran ay dapat na maikli, huwaran at nakatuon sa pagkilos.

Walong bahaging balangkas

Ang talahanayan sa ibaba ay isang napatunayang balangkas ng patakaran ng AI. Iniangkop ito ng bawat institusyon sa sarili nitong konteksto.

Seksyon

Anong mga sagot?

Layunin at saklaw

Sino at anong mga tool ang saklaw ng patakaran?

Mga Kahulugan

Ano ang ibig sabihin ng mga termino tulad ng AI, shadow AI, personal na data?

Mga tungkulin at responsibilidad

Sino ang pumayag, sino ang nag-inspeksyon, sino ang may pananagutan?

Pag-uuri ng data at mga panuntunan sa paggamit

Anong data ang maaaring ipasok sa aling tool?

Mga inaprubahang sasakyan at proseso ng pag-apruba

Aling mga sasakyan ang libre, paano naaprubahan ang isang bagong sasakyan?

Mga ipinagbabawal na paggamit

Ano ang hindi dapat gawin sa anumang pagkakataon?

Inspeksyon at pagpapatunay ng tao

Paano kontrolin ang output, sino ang may pananagutan?

Paglabag, parusa at pagpapatupad

Ano ang mangyayari kung nasira ang panuntunan, kailan na-update ang dokumento?

Tip: Layunin na magkasya ang patakaran sa isang pahina na may unang mga heading na ito. I-post ang link bilang nagdaragdag ng detalye (listahan ng inaprubahang sasakyan, gabay sa pag-uuri). Kung mas maikli ang pangunahing teksto, mas nababasa ito.

Puso: apat na antas ng pag-uuri ng data

Ang pinakamahalagang bahagi ng patakaran ay ang pag-uuri ng data, na tumutukoy kung aling uri ng data ang maaaring ilagay sa kung aling AI tool. Apat na antas ang karaniwan at sapat:

Antas

sample data

Panuntunan sa paggamit sa AI

bukas (pampubliko)

Nai-publish na brochure, press release

Libre; Anumang aprubadong sasakyan ay maaaring ipasok

sa loob ng bahay

Panloob na pamamaraan, tala sa pagpupulong (personal/hindi kompidensyal)

Sa mga sasakyang pang-corporate (kontrata) lamang

Kumpidensyal

Listahan ng customer, kontrata, data sa pananalapi

Inaprubahang sasakyan ng kumpanya + masking lamang; ipinagbabawal ang mga personal na sasakyan

Espesyal/kritikal

Kalusugan, lahi, relihiyon, biometrics, data ng kriminal

Bilang isang tuntunin, hindi ito ipinasok; lamang na may espesyal na pag-apruba at legal na batayan

Ang espesyal na personal na data ay ang kategorya ng sensitibong data kung saan ang KVKK ay nagbibigay ng karagdagang proteksyon: kalusugan, sekswal na buhay, lahi, etnisidad, pampulitikang opinyon, pilosopikal na paniniwala, relihiyon, sekta, pananamit, asosasyon/pundasyon/pagkamiyembro ng unyon, kriminal na paniniwala at biometric/genetic na data. Ang pagproseso ng data na ito ay napapailalim sa mas mahigpit na mga kondisyon; Ang pagpasok sa isang tool ng AI ay halos palaging nangangailangan ng espesyal na legal na pagsasaalang-alang.

Tatlong maliliit na kaso: mga desisyon sa pag-uuri

Kaso 1 — Payroll. Nais ng HR specialist na ibigay ang payroll ng 120 empleyado sa isang AI upang ito ay "mag-analyze at makagawa ng salary inequality report". Ang payroll ay parehong kumpidensyal at naglalaman ng personal na data dahil naglalaman ito ng pangalan at apelyido. Tamang desisyon: i-anonymize ang data (mga code name tulad ng "Employee-001", preserve department), ilagay lang sa aprubadong corporate tool. Ang hindi nagpapakilalang 120 na linya ng pagsusuri ay ginagawa nang may kumpiyansa; hindi napupunta sa personal na sasakyan ang raw payroll.

Kaso 2 — Kasaysayan ng pasyente. Nais ng isang nars sa isang pasilidad ng pangangalagang pangkalusugan na gumamit ng AI upang buod ng kasaysayan ng pasyente. Ito ay espesyal na kalidad ng data. Ayon sa patakaran, ang ganitong uri ng data ay mahigpit na ipinagbabawal sa isang personal na sasakyan; Gayunpaman, maaari lamang itong iproseso sa isang sistemang inaprubahan ng institusyon, na may espesyal na kontraktwal at legal na batayan para sa data ng kalusugan. Ang talahanayan ng pag-uuri ay nagpapakita ng pagkakaibang ito sa isang sulyap.

Case 3 — Press release. Binibigyan ng marketing ang AI ng na-publish na press release para "magbago sa 5 magkakaibang bersyon para sa social media." Dahil bukas ang data, walang mga paghihigpit; Ang empleyado ay nagtatrabaho sa aprubadong sasakyan nang walang pag-aalinlangan. Ang isang mahusay na pag-uuri ay nag-aalis din ng hindi kinakailangang alitan: hindi nito sinasabing "hindi" para sa bukas na data, sinasabi nitong malinaw na "stop" para sa pribadong data.

Pansin: Kapag nag-uuri ng data, "Mayroon bang kahit isang piraso ng personal na data dito?" at "makakapinsala ba ito sa institusyon?" Sabay-sabay na tanungin ang iyong mga katanungan. Kung malinaw ang isang dokumento mula sa pananaw ng negosyo ngunit may pangalan ng customer dito, nagdadala na ngayon ang dokumentong iyon ng personal na data at ina-upgrade.

Seksyon ng mga ipinagbabawal na paggamit

Ang pinakabasang bahagi ng patakaran ay karaniwang ang mga pagbabawal. Dapat itong maging konkreto at huwaran. Mga karaniwang pagbabawal:

Pagpasok ng sensitibong personal na data (kalusugan, biometrics, atbp.) sa sasakyan nang walang pag-apruba.
Paglalagay ng kumpidensyal na data o lihim ng kumpanya sa mga indibidwal/personal na AI account.
Paggamit ng AI output bilang legal, medikal, pampinansyal na mga desisyon nang hindi ito bini-verify.
Ang pag-iwan ng mga desisyon na nakakaapekto sa mga tao, tulad ng recruitment, promosyon, at kredito, sa AI lamang.
Paggamit ng AI upang magpanggap bilang isang tao, gumawa ng maling content o mapanlinlang na impormasyon.
Paggawa at pag-publish ng naka-copyright na nilalaman nang walang pahintulot.

Mga nakopyang template

TEMPLATE 1 — Balangkas ng seksyon ng layunin at saklaw: "Isulat ang seksyong 'Layunin at Saklaw' ng isang patakaran ng AI para sa isang kumpanya ng [industriya]. Gawing malinaw: kung sino ang saklaw ng patakaran (lahat ng empleyado, consultant) at kung aling mga tool (generative AI, mga katulong ng code); sabihin ang layunin bilang 'paganahin ang responsable at sumusunod na paggamit.' 150 salita o mas kaunti, simpleng wika."

TEMPLATE 2 — Bumuo ng talahanayan ng pag-uuri ng data: "Uriin ang mga sumusunod na uri ng data bilang pampubliko / nasa nasasakupan / kumpidensyal / pagmamay-ari at magmungkahi ng panuntunan sa paggamit ng AI para sa bawat: [listahan ang mga uri ng data]. Gawing talahanayan ng 3 column ang output: uri ng data, klase, panuntunan ng AI. Lagyan ng markang '*legal na kumpirmasyon' ang uri na hindi ka sigurado."

TEMPLATE 3 — Listahan ng mga ipinagbabawal na paggamit: "Isulat ang item sa seksyong 'Mga Ipinagbabawal na Paggamit' ayon sa aytem para sa isang institusyong napapailalim sa KVKK. Ang bawat aytem ay dapat magsama ng konkretong halimbawa ('Halimbawa: ...'). Kahit 8 aytem. Tono: malinaw at kailangan, ngunit may katwiran."

TEMPLATE 4 — Buod ng empleyado (isang pahina): "Bawasan ang 20-pahinang patakaran ng AI na ito sa isang isang pahinang buod para ibitin sa mga mesa ng mga empleyado: Mga column na 'Kaya mo' at 'Hindi mo magagawa' + 5 ginintuang panuntunan + taong magtatanong. Simple, nakikita, hindi malilimutan."

Mahinang prompt / Malakas na prompt

MAHINA: "Sumulat ng patakaran sa AI para sa aking kumpanya, dapat nitong saklawin ang lahat."-> Ang modelo ay gumagawa ng 15 na pahina ng generic na teksto na walang nagbabasa at hindi umaangkop sa organisasyon; nananatiling hindi malinaw ang mga klase ng data at proseso ng pag-apruba. STRONG: "Kami ay isang e-commerce na kumpanya ng 80 katao, pinoproseso ang address ng customer at data ng order. Gumawa ng 4 na antas ng talahanayan ng pag-uuri ng data, 6 na ipinagbabawal na item at isang pahinang buod ng empleyado ng patakaran ng AI. Isama ang panuntunan sa pag-mask para sa personal na data. Lagyan ng check ang mga legal na puntong hindi mo sigurado, hayaan mo akong magpasya." -> Ang modelo ay nagbibigay ng maikli, naaangkop, ayon sa konteksto at nabe-verify na output.

Mga hakbang upang maisabatas ang patakaran

Ang pagsulat ay kalahati nito; Ang tunay na trabaho ay gawing buhay na panuntunan ang patakaran. Mga hakbang:

Draft: Kumpletuhin ang walong kabanata, maghanda ng mga apendise.
Opinyon ng stakeholder: Kumuha ng nakasulat na feedback mula sa legal, IT, HR at mga unit ng negosyo.
Legal na pag-apruba: Legal/pagsunod na lagda para sa KVKK at pagsunod sa batas.
Pag-apruba ng senior management: Lagda na ginagawang opisyal na patakaran ng korporasyon ang dokumento.
Anunsyo at edukasyon: Isang maikling sesyon para sa lahat; Ipamahagi ang isang pahinang buod.
Talaan ng pag-apruba: Panatilihin ang pag-apruba ng "Nabasa ko, naiintindihan ko" ng mga empleyado sa system.
Iskedyul ng pagsusuri: Magtakda ng petsa ng pag-update nang hindi bababa sa bawat 6 na buwan.

Tip: Maglagay ng "bersyon at petsa" na kahon sa huling pahina ng patakaran. Mabilis na nagbabago ang AI at batas; Ang pag-alam kung aling bersyon ang wasto ay nakakatipid ng mga buhay sa isang pag-audit.

Mga karaniwang pagkakamali

Pagsusulat ng patakaran sa napakahaba at legal na wika at ginagawa itong hindi nababasa.
Nilaktawan ang pag-uuri ng data at pagpasa sa mga hindi malinaw na parirala tulad ng "mag-ingat."
Nililito ang isang espesyal na kategorya ng data sa normal na kumpidensyal na data.
Mga pagbabawal sa pagsulat nang hindi gumagawa ng naaprubahang listahan ng sasakyan at proseso ng pag-apruba.
Pagsusulat ng mga pagbabawal nang abstract nang hindi nagbibigay ng mga konkretong halimbawa.
Nilaktawan ang hakbang sa pagpaparehistro ng pagsasanay at pag-apruba ng empleyado at sinasabing "Inihayag ko ito sa pamamagitan ng email."
Hindi pagtatakda ng iskedyul ng pagsusuri at pagsusulat ng patakaran nang isang beses at nakakalimutan ang tungkol dito.

Sa buod

Ang isang mahusay na patakaran ay binubuo ng walong karaniwang bahagi; Dapat itong maikli, huwaran at nakatuon sa pagkilos.
Ang puso nito ay ang apat na antas ng pag-uuri ng data na tumutukoy kung aling data ang mapupunta sa kung aling tool.
Ang mga espesyal na kategorya ng personal na data (kalusugan, biometrics, atbp.) ay napapailalim sa pinakamahigpit na panuntunan; Bilang panuntunan, hindi kasama ang AI.
Ang mga ipinagbabawal na paggamit ay dapat kongkreto at huwaran; Dapat itong tukuyin kasama ng mga naaprubahang tool at proseso ng pag-apruba.
Kapag naisulat na ang patakaran, ito ay pinananatiling buhay sa pamamagitan ng opinyon ng stakeholder, legal at pag-apruba ng pamamahala, pagsasanay at regular na pagsusuri.

Gawain ng aplikasyon

Kongkretong punan ang hindi bababa sa tatlong seksyon ng walong-seksiyon na balangkas (Layunin at Saklaw, Pag-uuri ng Data, Mga Ipinagbabawal na Paggamit) para sa isang institusyong iyong pinili. Mag-set up ng talahanayan ng pag-uuri ng data na may apat na antas at ilagay ang hindi bababa sa walong aktwal na uri ng data na pinoproseso ng iyong organisasyon dito; Sumulat ng panuntunan ng AI para sa bawat isa. Pagkatapos ay pakuluan ang tatlong seksyong iyon hanggang sa isang pahinang buod ng "You Can/You Can't" na maaaring i-post sa mga mesa ng mga empleyado. Panghuli, tandaan kung alin sa dalawang hakbang sa pagpapatupad ng patakaran ang pinakamahirap para sa iyong organisasyon at kung paano mo malalampasan ang mga ito.

checklist

[ ] Iniangkop ko ang walong bahaging balangkas sa aking institusyon.
[ ] Pinunan ko ang apat na antas ng talahanayan ng pag-uuri ng data.
[ ] Nag-bound ako ng espesyal na data sa isang hiwalay at mahigpit na panuntunan.
[ ] Isinulat ko ang mga ipinagbabawal na paggamit na may mga konkretong halimbawa.
[ ] Inilarawan ko ang mga inaprubahang tool at ang proseso ng pag-apruba.
[ ] Naghanda ako ng isang pahinang buod ng empleyado.
[ ] Nagplano ako ng legal na pag-apruba at iskedyul ng pagsusuri.