Правила использования нейросетей сотрудниками: политика на одну страницу
Запрет не работает: сотрудник откроет чат с личного телефона. Работает короткий документ — какие данные не вставлять, какими сервисами пользоваться, кто отвечает за результат и что делать с ошибкой.
Короткий ответ: политика использования ИИ в компании умещается на одну страницу и отвечает на четыре вопроса — какие данные нельзя вставлять в чат, какими сервисами можно пользоваться, кто отвечает за результат и что делать, если ошибка уже случилась. Регламент на двадцать страниц мало кто дочитывает.
Начинают обычно с запрета, и он не работает. Рабочий ноутбук закрыт, личный телефон открыт, и письмо клиенту переписывается там — в личном аккаунте, о котором компания не знает. Запрет не убирает использование, он убирает его из поля зрения. Я исхожу из обратного: люди уже пользуются, и документ описывает, как делать это без вреда.
Данные. Не перечень категорий, а одно запоминающееся правило: не вставлять то, по чему можно узнать человека, клиента или условия сделки. Где проходит граница с персональными данными, разбирал отдельно; в документ идёт короткая формулировка и два-три примера из вашей работы.
Сервисы. Список разрешённых, а не запрещённых: запрещённых всегда больше, чем успеешь вписать. Тариф здесь важнее названия сервиса. По справке OpenAI, в личных тарифах ChatGPT переписка может идти на обучение моделей, пока пользователь не отключит это в настройках, а в корпоративных по умолчанию не идёт. Без рабочего доступа список не поможет: сотрудник пойдёт в личный аккаунт.
Ответственность. Отвечает тот, кто принял результат и отправил его дальше, а не модель. В документе это одна строка без рассуждений об этике, а почему именно так — разбирал на примере агентов.
Ошибка. Кому написать, если в чат ушло лишнее или клиент получил выдуманную цифру, и что сообщить: сервис, время, что отправлено. Без наказания за само сообщение, иначе о первой утечке компания узнает последней.
Одна страница описывает то, что человек делает в чате сам. Если модель встраивают в процесс, начинать надо с отбора процесса и владельца результата, и это отдельная работа. Там, где требования к данным задаёт отраслевой регулятор, одна страница — приложение к документам юриста, а не замена им. Сама заметка — не юридическая консультация.
Проверка, что правила работают: через месяц спросить сотрудника, что нельзя вставлять в чат. Если отвечает своими словами — работают. Если идёт искать файл, получился регламент.