Smernice za uporabo AI zaposleni potrebujejo: kaj smejo?

Smernice za uporabo AI zaposleni potrebujejo zato, da lahko hitro presodijo, kaj je pri delu dovoljeno, katere podatke smejo uporabiti in kdaj morajo vprašati za odobritev. Navodilo »uporabljajte umetno inteligenco odgovorno« za takšno odločitev ni dovolj.

Predstavljajte si sodelavca v prodaji, ki želi izboljšati ponudbo, računovodkinjo, ki potrebuje pomoč pri Excelovi formuli, in kadrovnika, ki želi povzeti življenjepise. Vsi uporabljajo podobno tehnologijo, vendar se tveganja bistveno razlikujejo. Zato pravila ne smejo temeljiti samo na imenu orodja.

Dober interni pravilnik povezuje tri vprašanja: katero nalogo opravljate, katere podatke uporabljate in v katerem okolju delate. Spodaj je praktičen okvir, ki ga lahko prilagodite slovenskemu podjetju, skupaj s primeri dovoljenih ravnanj in postopkom ob napaki.

Katere smernice za uporabo AI zaposleni potrebujejo?

Zaposleni potrebujejo kratka, razumljiva pravila z dejanskimi primeri iz svojega dela. Osnovno navodilo naj bo pregledno na eni strani, zahtevnejši postopki pa naj bodo v prilogah.

Pravilnik mora veljati tudi za AI funkcije v brskalnikih, pisarniških programih, prevajalnikih in zapisovalnikih sestankov. Če obravnava samo ChatGPT, velik del uporabe ostane zunaj nadzora.

Najpreprostejši pristop je semafor uporabe. Barve v spodnji tabeli predstavljajo predlagano interno politiko, ne univerzalne pravne razvrstitve.

Pri vsaki dovoljeni uporabi določite še odgovorno osebo in mejo dovoljenja. Dovoljenje za pisanje osnutkov denimo ne vključuje samodejnega pošiljanja sporočil strankam.

Objavite seznam odobrenih orodij, vrst računov in dovoljenih podatkov. Zraven navedite kontakt za vprašanja ter datum zadnjega pregleda. Če zaposleni odgovora ne najdejo, naj do pojasnila uporabijo izmišljene podatke ali nalogo opravijo brez AI.

Kaj lahko zaposleni z AI praviloma počnejo?

AI je primeren predvsem za pripravo osnutkov, preoblikovanje besedil, razlago in delo z javnimi ali izmišljenimi podatki. Tudi te naloge so dovoljene le v okviru pravil podjetja in ob ustreznih pravicah do uporabe gradiva.

Med smiselne začetne primere sodijo:

• priprava strukture predstavitve iz javno objavljenih informacij;
• izboljšanje razumljivosti besedila brez zaupnih vsebin;
• prevod javnega opisa storitve, ki ga smete uporabljati;
• predlog vprašanj za sestanek brez razkrivanja pogajalskih izhodišč;
• razlaga programske napake na poenostavljenem, izmišljenem primeru;
• oblikovanje kontrolnega seznama, ki ga nato potrdi strokovnjak.

Primer iz slovenskega proizvodnega podjetja: komercialist pripravlja predstavitev za sejem. AI lahko predlaga strukturo na podlagi javnega kataloga. Dodajanje nejavnih proizvodnih zmogljivosti, marž in imen potencialnih kupcev pa zahteva drugačno presojo ter ustrezno odobreno okolje.

Primer iz računovodskega servisa: sodelavka potrebuje formulo za razvrščanje zapadlosti računov. Namesto izvoza dejanskih terjatev uporabi tabelo s tremi izmišljenimi podjetji in zneski. Tako dobi tehnično pomoč brez nepotrebnega razkrivanja podatkov strank.

Dober poziv je lahko: »Pripravite Excelovo formulo za označevanje računov, zapadlih pred več kot 30 dnevi. Uporabite izmišljene podatke in pojasnite predpostavke.«

Prednost takšnih primerov je tudi lažje preverjanje rezultatov. Začetne naloge izberite glede na jasnost postopka in obvladljivost napak, ne samo glede na obljubljen prihranek časa. Širši pristop opisuje vodnik za uvedbo umetne inteligence v podjetju.

Katerih podatkov ne smete vnašati brez odobritve?

Brez izrecne odobritve za konkretno okolje ne vnašajte osebnih podatkov, poslovnih skrivnosti ali gradiv z omejitvami uporabe. Gesel, dostopnih žetonov in zasebnih ključev ne vključujte v pogovore z AI.

Posebej jasno opredelite naslednje skupine:

• Osebni podatki: imena skupaj s podatki o zaposlitvi, plačami, kontakti, reklamacijami ali drugimi informacijami o posamezniku.
• Posebej občutljive vsebine: zdravstveni podatki, dokumentacija o odsotnostih in podatki o članstvu v sindikatu.
• Poslovne skrivnosti: nabavne cene, marže, pogajalska izhodišča, razvojni načrti in nejavne ponudbe.
• Varnostne informacije: gesla, API ključi, obnovitvene kode in podrobnosti, ki bi omogočile nepooblaščen dostop.
• Gradiva tretjih oseb: dokumenti, za katere pogodba ali pravice intelektualne lastnine omejujejo posredovanje in uporabo.

Odstranitev imena še ne pomeni anonimizacije. Zapis »edina vodja izmene v obratu v manjšem kraju, zaposlena od leta 2019« lahko še vedno omogoča prepoznavo osebe. Tudi zamenjava imena s šifro pogosto pomeni le psevdonimizacijo; podatki zato ne prenehajo samodejno biti osebni.

Preverite tudi priponke: skrite liste v preglednicah, komentarje, zgodovino sprememb in metapodatke. Zaposleni lahko nehote posreduje več informacij, kot jih vidi na zaslonu.

Pri povzetkih internih dokumentov upoštevajte še podatke v pozivu. Če dokument ostane na internem strežniku, iz njega izbrani odlomki pa potujejo do zunanjega modela, je bila vsebina vseeno posredovana navzven. Lasten API ključ tega dejstva ne spremeni.

Več o pravnih in organizacijskih pogojih pojasnjuje članek GDPR in umetna inteligenca: varna uporaba osebnih podatkov. Samodejna varovala oziroma guardrails so dodatna zaščita, ne zagotovilo, da bo vsaka občutljiva informacija prepoznana.

Kdaj je dovoljena uporaba ChatGPT v službi?

Dovoljena uporaba ChatGPT v službi je odvisna od odobritve podjetja, konkretne storitve, nastavitev in vrste podatkov. Osebna naročnina ali plačljiv paket sama po sebi ne pomenita dovoljenja za službene dokumente.

Podjetje naj pred odobritvijo preveri:

1. Kdo je pogodbeni uporabnik in kdo upravlja račune?
2. Kako ponudnik uporablja pozive, priponke in odgovore?
3. Kakšni so pogoji hrambe, brisanja in morebitnega učenja na podatkih?
4. Kje poteka obdelava in kateri podizvajalci sodelujejo?
5. Ali so urejeni potrebni pogodbeni pogoji za obdelavo osebnih podatkov?
6. Kaj se zgodi pri uporabi spletnega iskanja, razširitev in povezav z drugimi sistemi?

Enaka vprašanja veljajo za druge AI ponudnike. Pomembna je konkretna storitev in njena konfiguracija, ne splošna ocena blagovne znamke. Podrobnejši okvir ponuja članek ChatGPT za podjetja: kaj morate vedeti pred uvedbo.

Primer jasnega pravila: »Osebnih AI računov ne uporabljajte za nejavne službene vsebine. Za odobrene naloge uporabite službeno okolje in dovoljene podatkovne razrede.«

Pri WorkenAI lahko podjetje izbira med oblačno, hibridno in lokalno namestitvijo ter uporablja vloge, varovala in proračune. Pri hibridni uporabi je treba preveriti vsebino pozivov, ki odhajajo zunanjemu modelu. Podrobnosti preverite na strani varnost WorkenAI. Nobena izbira namestitve sama po sebi ne zagotovi skladnosti celotnega procesa.

Kaj morate preveriti pred uporabo odgovora AI?

Odgovor AI obravnavajte kot osnutek, ne kot dokaz ali končno strokovno odločitev. Pregled mora opraviti oseba, ki razume vsebino in ima pooblastilo za njeno uporabo.

Minimalni pregled vključuje:

• Dejstva in vire: ali navedeni dokument, člen predpisa ali podatek dejansko obstaja?
• Izračune: ali so pravilni vhodni podatki, formule, enote in zaokroževanje?
• Poslovni pomen: ali besedilo obljublja rok, popust ali jamstvo, ki ni odobreno?
• Zaupnost: ali odgovor razkriva interne informacije ali osebne podatke?
• Pravice in pristranskost: ali vsebuje nedovoljeno kopiranje, stereotipe ali neutemeljene ocene ljudi?
• Označevanje: ali vrsta vsebine in način objave zahtevata razkritje uporabe AI?

V slovenskem podjetju, ki pripravlja ponudbo za javno naročilo, AI lahko pomaga urediti strukturo odgovora. Odgovorna oseba pa mora preveriti razpisne zahteve, dokazila, reference in roke. Prepričljivo zapisana, vendar neobstoječa referenca ostane napačna navedba.

Pri kadrovskih, kreditnih, zdravstvenih ali drugih odločitvah z večjim vplivom na ljudi zgolj klik »potrdi« ni smiseln človeški nadzor. Pregledovalec mora razumeti omejitve sistema in imeti možnost rezultat zavrniti.

Pri avtomatizaciji ločite pripravo predloga od izvedbe dejanja. Ustvarjanje osnutka elektronskega sporočila je drugačno tveganje kot samodejno pošiljanje, spreminjanje podatkov v sistemu ali naročanje blaga. Splošna odobritev klepetalnika ne sme vključevati vseh teh dejanj.

Kako pripravite in uvedete AI pravila za zaposlene?

AI pravila za zaposlene morajo imeti lastnika, praktično usposabljanje in način preverjanja izvajanja. Podpis pravilnika brez razlage ne zagotavlja, da ga zaposleni znajo uporabiti.

Kratka predloga pravil za prilagoditev

Naslednje besedilo uporabite kot izhodišče, ne kot dokončan pravni dokument:

1. AI uporabljajte samo v odobrenih orodjih in z dovoljenimi službenimi računi.
2. Pred vnosom preverite razred podatkov ter dovoljenje za izbrano okolje.
3. Uporabite najmanjši potreben obseg podatkov; kadar je mogoče, izberite izmišljene primere.
4. V pozive ne vključujte gesel, ključev ali drugih dostopnih skrivnosti.
5. Ne obidite varoval, omejitev dostopa ali postopka odobritve.
6. Brez dovoljenja ne povezujte AI z e-pošto, dokumenti, mikrofonom ali poslovnimi sistemi.
7. Pred poslovno uporabo preverite rezultat in pridobite zahtevano potrditev.
8. AI brez odobrenega postopka ne sme samostojno odločati o ljudeh ali izvajati poslovnih dejanj.
9. Napake in sum razkritja podatkov takoj prijavite določeni kontaktni osebi.
10. Udeležite se usposabljanja in upoštevajte posodobitve pravilnika.

Priloga naj vsebuje konkretne nazive orodij, dovoljene primere, odgovorne osebe in kanal za prijavo. Izjeme naj bodo pisne, časovno omejene in vezane na jasno določen namen.

Kdo naj sodeluje pri uvedbi?

Vodstvo določi odgovornost, vodje oddelkov opišejo dejanske naloge, IT preveri tehnične pogoje, pravna služba in po potrebi pooblaščena oseba za varstvo podatkov pa obravnavata pravna tveganja. V manjšem podjetju lahko več nalog opravlja ista oseba, vendar pristojnosti ne smejo ostati nedoločene.

Akt o umetni inteligenci v 4. členu predvideva ukrepe za ustrezno AI pismenost oseb, ki sisteme uporabljajo v imenu organizacije. Usposabljanje prilagodite njihovemu znanju, nalogam in tveganjem. Enoten certifikat ni nadomestilo za razumevanje konkretnega dela.

Pravni okvir podrobneje obravnava vodnik o EU AI Act za podjetja, praktično usposabljanje pa lahko podprete z AI delavnicami za podjetja. Posebne obveznosti so odvisne od uporabe; vsak pisarniški klepetalnik ni samodejno visokotvegan sistem.

Tehnično lahko pravila podprete z omejitvami dostopa, varovali in revizijsko sledjo. WorkenAI te možnosti zagotavlja znotraj svojega okolja; ne nadzoruje samodejno drugih AI orodij zaposlenih. Tudi dnevniki potrebujejo omejen dostop, utemeljeno hrambo in transparentno obveščanje zaposlenih, ne prikritega nadzora.

Kaj storiti, če zaposleni vnese napačne podatke?

Ob napačnem vnosu takoj ustavite nadaljnje posredovanje in prijavite dogodek po internem postopku. Brisanje pogovora samo po sebi ne dokazuje, da so bile odstranjene vse kopije podatkov.

Postopek naj bo kratek in dostopen:

1. Ustavite uporabo. Ne nadaljujte pogovora in ne posredujte dodatnih dokumentov.
2. Zabeležite osnovne okoliščine. Navedite čas, orodje, vrsto računa in kategorijo podatkov. Občutljive vsebine ne razpošiljajte širšemu krogu sodelavcev.
3. Obvestite odgovorno osebo. Uporabite dogovorjeni kanal za IT, informacijsko varnost ali varstvo podatkov.
4. Omejite posledice. Pristojna ekipa presodi o preklicu razkritih ključev, omejitvi povezav ter zahtevah za izbris.
5. Ocenite nadaljnje obveznosti. Pri osebnih podatkih se presodi tudi potreba po obvestilu nadzornemu organu in posameznikom. GDPR za določene prijave določa 72-urni rok od seznanitve upravljavca s kršitvijo.

Primer: sodelavec naloži seznam strank v neodobreno orodje. Ne pričakujte, da bo sam izvedel pravno presojo. Njegova naloga je hitra prijava; podjetje mora zagotoviti odziv in dokumentirati ugotovitve.

Po dogodku preverite tudi vzrok. Morda zaposleni ni razumel razlike med osebnim in službenim računom ali pa mu ni bilo na voljo primerno orodje. Popravite proces in usposabljanje, ne samo besedila prepovedi.

Zaključek

Dobre smernice zaposlenim omogočijo varno delo: jasno določijo dovoljene naloge, podatke, orodja in odgovorne osebe. Njihova vrednost se pokaže pri vsakdanji odločitvi, ne pri številu strani pravilnika.

Začnite z nekaj preverjenimi primeri, kratkim usposabljanjem in jasnim postopkom za vprašanja. Nato pravila dopolnjujte glede na dejansko uporabo in spremembe orodij.

Če želite pravila podpreti z enotnim delovnim okoljem, si oglejte WorkenAI. Pred odločitvijo preverite pogosta vprašanja ter informacije o paketih in ocenite, ali okolje ustreza vašim podatkom, postopkom in zahtevam nadzora.