01
Zakres i odpowiedzialność
Dokument powinien wskazać, kogo obejmuje, czym jest system AI w rozumieniu organizacji oraz kto zatwierdza narzędzia i przypadki użycia. Potrzebne są role biznesu, IT, bezpieczeństwa, ochrony danych i właściciela procesu.
Należy odróżnić eksperyment na danych publicznych od rozwiązania produkcyjnego wpływającego na klientów, pracowników lub decyzje finansowe. Poziom kontroli powinien rosnąć wraz z wpływem i ryzykiem.
02
Dozwolone narzędzia i dane
Lista narzędzi powinna wskazywać zatwierdzoną wersję, typ konta i dopuszczalne zastosowania. Samo podanie nazwy produktu nie wystarcza, ponieważ wersja konsumencka i firmowa mogą mieć inne warunki.
- dane publiczne i wewnętrzne;
- dane osobowe oraz szczególne kategorie;
- tajemnica przedsiębiorstwa i informacje klientów;
- kod, konfiguracje i dane bezpieczeństwa;
- materiały objęte prawami osób trzecich.
03
Kontrola wyniku i przejrzystość
Pracownik powinien wiedzieć, kiedy musi sprawdzić źródło, uzyskać akceptację i poinformować odbiorcę o wykorzystaniu AI. W zadaniach o większym wpływie wymagane są testy, dokumentacja i realny nadzór człowieka.
Polityka powinna zabraniać automatycznego traktowania wygenerowanej treści jako faktu, porady prawnej lub ostatecznej decyzji bez właściwej kontroli.
04
Żywy dokument, nie plik na dysku
Potrzebny jest rejestr zastosowań, prosty formularz oceny nowego pomysłu, kanał zgłaszania incydentów i harmonogram przeglądu. Ważne zmiany dostawcy lub sposobu użycia powinny uruchamiać ponowną ocenę.
Skuteczność polityki mierzy się zachowaniem: znajomością zasad, liczbą zgłoszeń przed wdrożeniem i spadkiem niekontrolowanego użycia, a nie samym potwierdzeniem przeczytania dokumentu.
ŹRÓDŁA
Sprawdzone materiały źródłowe
Stan informacji zweryfikowano w dniu publikacji. W sprawach prawnych zakres obowiązków zawsze należy odnieść do konkretnej organizacji i zastosowania.