Polityka AI dla małej firmy: jedna strona wystarczy

Informacja Ten artykuł opisuje praktyczną strukturę podstawową i nie zastępuje porady prawnej. Czy istnieją dla was obowiązki dalej idące – na przykład z aktu o AI, z wymogów branżowych albo z umów z klientami – należy sprawdzić w konkretnym przypadku.

Najważniejsze w skrócie

Sześć części na jednej stronie wystarczy: dostępy, zakazane dane wejściowe, obowiązek sprawdzania, odpowiedzialność, przypadki wykluczone, osoba kontaktowa.
Najważniejsza jest część o przypadkach wykluczonych – sformułowana konkretnie, nie jako ogólne ostrzeżenie.
Zakaz bez udostępnionego dostępu firmowego prowadzi do dostępów prywatnych, a nie do mniejszego używania.
Polityka należy na początek wdrożenia, a nie na jego koniec.

Dlaczego jedna strona

Obszerny regulamin zostaje raz zatwierdzony i potem już nieczytany. Jedna strona jest faktycznie czytana – a działa tylko to, co zostaje przeczytane.

Zwięzłość wymusza poza tym decyzje: kto chce uregulować wszystko, nie reguluje wiążąco niczego. Sześć części pokrywa przypadki faktycznie występujące w codzienności.

Sześć części

1. Jakie dostępy

Imiennie wskazane dostępy firmowe, udostępnione przez firmę. Dostępy prywatne są do celów służbowych wykluczone.

Uzasadnienie w tekście: w taryfach firmowych wykorzystanie danych wejściowych do treningu jest zwykle wyłączone, w prywatnych nie zawsze.

2. Czego się nie wprowadza

Danych osobowych klientów bez wyjaśnionej podstawy, danych dostępowych i kluczy, nieopublikowanych liczb firmowych, dokumentów objętych umową o poufności.

Konkretnie zamiast ogólnie: podać przykłady z waszej codzienności, nie kategorie.

3. Co zawsze jest sprawdzane

Każda sprawdzalna informacja przed użyciem: liczby, badania, przepisy, terminy, ceny, cytaty, nazwiska.

Ważny dodatek: pewny ton odpowiedzi nie mówi nic o jej poprawności.

4. Kto odpowiada

Kto coś publikuje albo wysyła, odpowiada za treść – niezależnie od tego, jak powstała. Jak przy każdym innym tekście.

5. Gdzie nie stosuje się wcale

Pięć konkretnych przypadków z waszego pola. Najważniejsza część – i jedyna, której nie da się skopiować.

Przykłady: informacje prawne dla klientów bez sprawdzenia przez osobę fachową; tematy bez własnej znajomości rzeczy w firmie; wszystko, gdzie błąd by się nie rzucił w oczy.

6. Kogo pytać

Jedna imiennie wskazana osoba do pytań i przypadków granicznych. Bez tego wiersza każdy decyduje sam i inaczej.

Czy wiesz, że…?

Część piąta jest jedyną, której nie da się przejąć z szablonu – i właśnie dlatego najcenniejszą. Wymaga decyzji o tym, gdzie w waszej firmie błąd by się nie rzucił w oczy.

To pytanie jest niewygodne, bo zakłada nazwanie własnych martwych pól. Jest jednak rdzeniem każdej użytecznej polityki: niemal wszystkie przypadki problematyczne powstają tam, gdzie nikt nie ma kompetencji, by rozpoznać błędną odpowiedź jako błędną.

Czego tam nie ma

Nie umieszczać	Dlaczego
Listy dozwolonych produktów	przestarzała w miesiące; lepiej: wskazane dostępy
Instrukcji do promptów	należy do szkolenia, nie do zasady
Technicznych wyjaśnień działania	ciekawe, nie zmienia zachowania
Ogólnego zakazu bez alternatywy	prowadzi do dostępów prywatnych zamiast do mniejszego używania
Obowiązku oznaczania każdego użycia	nie będzie przestrzegany; lepiej: nazwać odpowiedzialność

Z praktyki

Najczęstszą błędną konstrukcją jest czwarty wiersz: zakaz bez tego, by dostępny był użyteczny dostęp firmowy. Wynikiem nigdy nie jest mniejsze używanie – jest nim używanie przez dostępy prywatne, bez przeglądu i na innych warunkach.

Kto poważnie traktuje stan danych, najpierw udostępnia dostęp, a potem reguluje. Kolejność jest rozstrzygająca: dostęp, potem zasada, potem szkolenie – nie odwrotnie.

Odniesienie do aktu o AI

Dla większości małych firm używających modeli językowych do tekstów i analiz z aktu o AI nie wynikają dalekosiężne obowiązki – z reguły są one stosującymi, a nie dostawcami systemu AI.

Istotne robi się to w trzech przypadkach: gdy sami oferujecie system AI albo istotnie go zmieniacie, gdy używacie go w obszarze zaklasyfikowanym jako wysokiego ryzyka – na przykład przy decyzjach kadrowych – albo gdy prowadzicie systemy wchodzące w bezpośrednią interakcję z osobami. W tych przypadkach ocena należy do osoby fachowej.

Niezależnie od tego akt o AI wymaga od stosujących pewnego minimum kompetencji w obchodzeniu się z tym – co praktycznie przemawia za szkoleniem, które i tak jest potrzebne.

Prompt

Pomóż mi sformułować politykę AI na jedną stronę dla naszej
firmy.

Nasza sytuacja:
- Branża: [dane]
- Osoby używające narzędzi AI: [liczba i role]
- Do czego mają być używane: [zadania]
- Czy pracujemy z danymi osobowymi? [tak / nie / częściowo]
- Czy mamy klientów z umowami o poufności? [tak/nie]
- Jakie dostępy udostępniamy? [dane albo „jeszcze żadnych”]
- Dziedziny, w których sami nie mamy kompetencji, a dostajemy
  pytania: [lista]

Zadania:
1. Sformułuj sześć części: dostępy, zakazane dane wejściowe,
   obowiązek sprawdzania, odpowiedzialność, przypadki
   wykluczone, osoba kontaktowa. Razem najwyżej jedna strona.
2. Sformułuj część 2 z konkretnymi przykładami z naszej branży,
   nie z ogólnymi kategoriami.
3. Sformułuj część 5 – gdzie nie stosuje się wcale – jako pięć
   konkretnych przypadków. Wykorzystaj do tego moją listę
   dziedzin bez własnej kompetencji.
4. Jeśli nie udostępniamy jeszcze dostępów: powiedz wyraźnie,
   dlaczego zasada bez udostępnionego dostępu nie działa.
5. Podaj punkty, przy których ze względu na naszą branżę
   powinniśmy zaangażować osobę fachową.

Nie wymyślaj artykułów ustaw ani terminów.

Podsumowanie

Sześć części, jedna strona, do przeczytania w pięć minut. Pięć z nich da się sformułować w pół godziny; szósta – gdzie nie stosuje się wcale – wymaga uczciwego spojrzenia na własne martwe pola i jest właściwą wartością tego dokumentu.

A kolejność się liczy: najpierw udostępnić użyteczny dostęp, potem regulować. Zakaz bez alternatywy przenosi używanie tylko tam, gdzie nikt go nie widzi.

Częste pytania

Co należy do polityki korzystania z AI?

Sześć części: jakie dostępy są używane, czego nie wolno wprowadzać, co zawsze musi zostać sprawdzone, kto odpowiada za opublikowaną treść, w jakich konkretnych przypadkach nie stosuje się tego wcale i kogo pytać przy przypadkach granicznych. Razem na jednej stronie.

Dlaczego jedna strona wystarczy?

Bo działa tylko to, co zostaje przeczytane. Obszerny regulamin zostaje raz zatwierdzony i potem już nieoglądany. Zwięzłość wymusza poza tym decyzje – kto chce uregulować wszystko, nie reguluje wiążąco niczego.

Która część jest najważniejsza?

Ta o przypadkach wykluczonych, bo nie da się jej przejąć z szablonu. Wymaga decyzji, gdzie we własnej firmie błąd by się nie rzucił w oczy – a niemal wszystkie przypadki problematyczne powstają dokładnie tam, gdzie nikt nie ma kompetencji, by rozpoznać błędną odpowiedź jako błędną.

Czy po prostu zakazać narzędzi AI?

Zakaz bez udostępnionego dostępu firmowego nie prowadzi do mniejszego używania, lecz do używania przez dostępy prywatne – bez przeglądu i na innych warunkach, na przykład co do wykorzystania danych wejściowych do treningu. Sensowna jest kolejność dostęp, zasada, szkolenie.

Co oznacza akt o AI dla małych firm?

Kto używa modeli językowych do tekstów i analiz, jest z reguły stosującym, a nie dostawcą – dalekosiężne obowiązki zwykle z tego nie powstają. Istotne robi się to przy własnym oferowaniu albo istotnej zmianie systemu, przy użyciu w obszarach wysokiego ryzyka jak decyzje kadrowe oraz przy systemach wchodzących w bezpośrednią interakcję z osobami. Te przypadki należą do osoby fachowej.