Что такое политика использования ИИ?
Политика использования ИИ — это короткий внутренний документ компании, который объясняет сотрудникам, какие инструменты искусственного интеллекта можно использовать, для каких задач, с какой информацией и что нужно сделать перед использованием результата, подготовленного с помощью ИИ. В малом бизнесе такой документ обычно занимает несколько страниц, а отвечает за него основатель, руководитель операционной деятельности или тот, кто уже занимается данными и договорами.
Это выражение охватывает несколько документов, которые часто смешивают. Политика допустимого использования — это правила, которым сотрудники следуют в повседневной работе. Политика использования генеративного ИИ касается инструментов, создающих текст, изображения или код, и рисков, связанных с созданными материалами. Система управления задаёт организационную основу для обеих политик: кто одобряет инструмент, кто ведёт реестр, как часто пересматриваются решения. Большинство компаний со штатом менее 200 человек могут объединить все три части в одном документе, если каждая из них чётко обозначена.
Это руководство рассматривает решения, необходимые для любой политики использования ИИ, и содержит примеры положений для вымышленной компании. Это общая информация, а не юридическая консультация. Законы о защите данных, трудовых отношениях и защите потребителей различаются в зависимости от страны и отрасли, поэтому попросите квалифицированного консультанта проверить версию, которую вы собираетесь принять.
| Документ | На какие вопросы это отвечает | Куда двигаться дальше |
|---|---|---|
| Политика использования ИИ (целиком) | Зачем компания использует ИИ, кто отвечает за решения и как правила связаны между собой | Это руководство |
| Политика допустимого использования | Что сотруднику можно и нельзя делать с разрешённым инструментом сегодня | Руководство по политике допустимого использования ИИ |
| Политика использования генеративного ИИ | Как работать с текстами, изображениями и кодом, созданными ИИ, сообщать об использовании ИИ и проверять результаты | Руководство по политике использования генеративного ИИ |
| Модель управления | Кто утверждает инструменты, ведёт реестр и пересматривает решения | Руководство по системе управления использованием ИИ |
| Шаблон | Структура по пунктам, которую вы заполняете и проверяете | Шаблон политики использования ИИ |
Какие задачи должна решать политика использования ИИ в небольшой компании?
Практичная политика помогает сотруднику решить, что делать, прежде чем вводить информацию в инструмент или использовать его результат. В ней должны быть указаны разрешённые сервисы, подходящие задачи, ограничения на использование информации, обязанности по проверке и порядок передачи сложных вопросов ответственным лицам. Список предупреждений без таких конкретных решений вынуждает сотрудников гадать, а в такой ситуации они либо перестают пользоваться инструментами, либо делают это втихую.
Начните с реальных рабочих процессов сотрудников. Для черновика приглашения на основе общедоступных фактов нужны не те же меры контроля, что для сводки конфиденциальных материалов клиента. Для каждого процесса запишите цель, исходные материалы, предполагаемого читателя и последствия ошибки. Этот контекст — более полезная отправная точка, чем подход, при котором все случаи использования ИИ считаются одинаковыми.
Хорошая проверка — сможет ли новый сотрудник после прочтения ответить на три вопроса: какую учётную запись использовать, какие данные ни в коем случае нельзя вставлять и к кому обращаться с вопросами. Если документ не даёт этих ответов, он пока не выполняет свою задачу, каким бы подробным ни казался.
Обязан ли малый бизнес по закону иметь политику использования ИИ?
В большинстве стран нет общего закона, который обязывает каждый малый бизнес иметь документ под названием «Политика использования ИИ», но действующие обязательства по-прежнему распространяются на использование ИИ сотрудниками. Законодательство о защите данных, условия конфиденциальности в договорах с клиентами, трудовое законодательство и правила рекламы не перестают действовать оттого, что черновик подготовил инструмент. Политика — практический способ показать сотрудникам, как эти обязательства относятся к их работе с ИИ.
В Великобритании Управление комиссара по информации публикует рекомендации по ИИ и защите данных и набор инструментов для оценки рисков в организациях. На обеих страницах сейчас указано, что рекомендации пересматриваются после принятия закона о данных, их использовании и доступе к ним, поэтому проверяйте текущий статус, прежде чем полагаться на конкретные положения. В ЕС статья 4 EU AI Act об ИИ-грамотности применяется с 2 февраля 2025 года к поставщикам и организациям, использующим системы ИИ. В вопросах и ответах Европейской комиссии об ИИ-грамотности говорится, что единого подхода для всех нет, сертификаты не требуются, а внутренней записи об обучении достаточно. Там также приведён пример сотрудников, которые используют чат-помощника для рекламных текстов или перевода: их следует информировать о конкретных рисках, например о галлюцинациях ИИ.
Если вы продаёте товары или услуги в ЕС, нанимаете там сотрудников или обрабатываете персональные данные жителей ЕС, получите консультацию о том, какие требования к вам применяются. В этом руководстве речь идёт о более узком вопросе: письменные правила и практическое обучение — разумный способ показать, что людям объяснили риски и способы работы с ними.
Кто должен отвечать за эти решения?
Назначьте одного ответственного за политику и тех, кто может одобрять инструменты и рабочие процессы с конфиденциальными данными. В компании из 12 человек за всё это может отвечать основатель. В компании из 80 человек за инструменты может отвечать руководитель операционной деятельности, за персональные данные — ответственный за защиту данных, а за проверку результатов в своих подразделениях — руководители отделов. Сотрудникам нужна единая точка обращения с вопросами, которые не охвачены политикой.
Материалы по организации управления в практическом руководстве NIST по управлению рисками ИИ рассматривают распределение ролей и ответственности, обучение персонала рискам ИИ и каналы коммуникации. Представленная здесь структура — практическая адаптация для небольшой команды. Использование этих разделов не означает, что политика соответствует какому-либо закону или одобрена NIST.
Укажите в самой политике имя ответственного и того, кто его подменяет, а не только должность. В небольших компаниях должности меняются быстрее, чем документы, а порядок передачи вопросов на рассмотрение не работает, если он отсылает к должности, которую никто не занимает.
Как вести учёт одобренных инструментов?
Зафиксируйте точный сервис, тариф и разрешённые способы использования, поскольку за одним названием бренда могут скрываться важные различия. У личного пользовательского аккаунта, корпоративного рабочего пространства и интеграции через программный интерфейс одного и того же продукта могут быть разные условия хранения данных, обучения моделей и административного контроля. Зафиксируйте соответствующие настройки и условия, а не исходите из того, что одно утверждение применимо ко всем версиям.
Отдельно уточните условия обучения моделей, хранения данных, доступа, места обработки и удаления. Заявление о том, что данные не используются для обучения, не означает, что они нигде не сохраняются или что документ клиента разрешено загружать. Например, в документации Microsoft для Copilot Chat, используемого организациями, сказано, что на запросы и ответы распространяется дополнение об обработке и защите данных, что они не используются для обучения базовых моделей и что конкретные меры контроля зависят от тарифного плана. Именно такие условия конкретного тарифа следует зафиксировать вместе с датой проверки.
Назначьте ответственного и дату пересмотра для каждого разрешения, чтобы список можно было обновлять при изменениях сервиса или рабочего процесса. В руководстве по системе управления приведён формат реестра, который помещается на одной странице.
| Поле согласования | Практический вопрос |
|---|---|
| Сервис и тариф | Какую именно учётную запись или рабочее пространство разрешено использовать сотрудникам? |
| Разрешённая задача | Какие задачи и исходные материалы разрешено использовать? |
| Границы использования информации | Какие сведения нельзя передавать, даже если это удобно? |
| Проверка человеком | Кто проверяет результат перед его использованием по назначению? |
| Ответственный и дата | Кто отвечает за актуальность этого решения и когда оно пересматривается? |
Что сотрудники могут вставлять в инструмент ИИ?
Универсального ответа, не зависящего от инструмента, данных и обязательств компании, нет, поэтому политика должна давать ответ для ваших условий. Начните с разделения информации на несколько понятных категорий: общедоступная, внутренняя, конфиденциальные материалы компании или клиентов и персональные данные. Затем укажите для каждого одобренного инструмента, какие категории разрешены. Само по себе удаление имени не делает документ анонимным и не означает, что его разрешено загружать.
В рекомендациях Национального центра кибербезопасности Великобритании по большим языковым моделям общий принцип изложен прямо: запрос виден организации, предоставляющей модель. Центр рекомендует не включать конфиденциальную информацию в запросы к общедоступным моделям и читать условия использования и политику конфиденциальности, прежде чем задавать вопросы с такой информацией. Ваша политика может превратить это в конкретные инструкции для одобренных вами учётных записей.
Дайте сотрудникам конкретные примеры разрешённых материалов и материалов с ограничениями для каждого одобренного рабочего процесса. В обучении используйте вымышленные данные или данные с низким уровнем риска, на использование которых получено явное разрешение. Если однозначного ответа нет, сотрудникам следует приостановить работу и обратиться к назначенному ответственному, а не решать вопросы конфиденциальности на ходу.
Общедоступные
Опубликованные веб-страницы, пресс-релизы, ваши собственные маркетинговые тексты. Обычно их можно использовать в любом разрешённом инструменте.
Для внутреннего использования
Заметки встреч, документы с описанием процессов, черновики планов. Только в корпоративном рабочем пространстве, не в личных учётных записях.
Конфиденциальные или клиентские данные
Файлы клиентов, цены, договоры, неопубликованные результаты. Только если владелец одобрил такой порядок работы и условия договора с клиентом это допускают.
Личная информация
Любые сведения, позволяющие установить личность сотрудника, кандидата или клиента. Их нельзя вводить, пока конкретный рабочий процесс не проверит ответственный за защиту данных.
Хотите узнать, как это связано с конкретной должностью?
Ознакомиться с планируемой пробной программой для команды ↗Что нужно сделать перед использованием результата?
Любой результат, полученный с помощью ИИ, требует проверки, соответствующей его дальнейшему использованию, а политика должна определять, кто её проводит. Для черновика письма может быть достаточно сверки с предоставленными фактами. Объяснение с числовыми данными требует независимого расчёта. Утверждения по вопросам права, здоровья, денег или безопасности должен проверять квалифицированный специалист. Политика должна сохранять существующий порядок согласования, а не создавать впечатление, что помощь ИИ делает его ненужным.
Попросите сотрудников хранить сгенерированный черновик отдельно от версии, одобренной для использования. Для важных задач сохраняйте достаточно сведений о проверке, чтобы было видно, какой источник использовался, что изменилось и кто принял окончательное решение. Гладко написанный ответ или заверение самой модели в его правильности — не независимая проверка.
Чётко укажите, какие решения остаются за людьми. Типичный пример положения: инструменты ИИ могут помогать составлять черновики или краткие изложения, но не должны служить основанием для решений о найме, оплате труда, результативности работы, предоставлении кредита или жалобе клиента без проверки исходной информации назначенным ответственным сотрудником.
Как выглядят готовые правила для команды реального размера?
Вот разобранный пример для вымышленного маркетингового агентства «Харбор Лейн Студио» из 25 человек. Его сотрудники пользуются корпоративным рабочим пространством чат-помощника и функциями ИИ в офисном пакете. У некоторых также были личные учётные записи. За правила отвечает основатель, а руководитель отдела по работе с клиентами согласовывает всё, что связано с клиентскими материалами.
Пример положения об одобренных инструментах: "Используйте только корпоративное рабочее пространство компании «Харбор-Лейн» в [помощник] и функции ИИ в нашем офисном пакете, войдя через корпоративную учётную запись. Не используйте личные учётные записи для работы компании или клиентов."
Пример положения об информации: "В одобренных инструментах можно использовать общедоступную и внутреннюю информацию. Не вводите файлы клиентов, цены для клиентов и любые сведения с пометкой «Конфиденциально», если руководитель клиентской службы не одобрил этого клиента и эту задачу в реестре. Никогда не вводите персональные данные кандидатов, сотрудников или клиентов."
Пример положения о проверке: "Прежде чем материалы, подготовленные с помощью ИИ, попадут к клиенту, руководитель работы с этим клиентом сверяет каждое фактическое утверждение с заданием или указанным источником и удаляет любые статистические данные, результаты или рекомендации, источник которых невозможно установить. К материалам, подготовленным с помощью ИИ, применяются те же требования, что и к любому другому черновику."
Пример положения о передаче вопросов ответственным: "Если вы не уверены, остановитесь и обратитесь к [имя основателя], а в его отсутствие — к [имя замещающего сотрудника]. Если вы считаете, что информация ограниченного доступа попала не в тот инструмент, сообщите им в тот же день. За своевременное сообщение вас не накажут."
Затем в «Харбор Лейн» проверили правила на одной реальной задаче — подготовке сводки по кампании на основе клиентского брифа, — прежде чем просить сотрудников их подписать. Проверка выявила один пробел: никто не знал, считается ли руководство по фирменному стилю клиента конфиденциальным документом. Основатель добавил строку в реестр, вместо того чтобы оставлять решение на усмотрение каждого руководителя по работе с клиентами.
Как в политике следует учитывать неопределённость и ошибки?
Политика должна чётко объяснять, как сообщить о случайном раскрытии данных, неподтверждённом ответе ИИ или рабочем процессе, который больше не соответствует условиям согласования. Сообщать о таких случаях должно быть безопасно. Сотрудникам нужно знать, какую работу приостановить, к кому обратиться и какие подтверждения сохранить для ответственного лица. Не придумывайте общий порядок реагирования на инциденты, который противоречит уже действующему порядку работы с проблемами данных или безопасности; сошлитесь на него.
Прежде чем утвердить политику, проведите короткое обсуждение учебного сценария: кто-то вставил документ с ограниченным доступом в неодобренную личную учётную запись. Сможет ли сотрудник найти порядок сообщения об инциденте? Знает ли ответственный, какой сервис и какая учётная запись использовались и какие возможности удаления данных предлагает поставщик? Используйте выявленные пробелы, чтобы доработать реальную процедуру с участием нужных специалистов.
Как убедиться, что люди действительно смогут соблюдать эти правила?
Подпись об ознакомлении подтверждает, что человек получил правила, но не то, что он умеет их применять. Люди учатся соблюдать ограничения на реалистичных задачах: решают, что не включать в запрос, проверяют сгенерированное утверждение по источнику и объясняют свои правки. Именно об этом говорится и в вопросах и ответах Европейской комиссии, где речь идёт об информировании сотрудников о конкретных рисках, связанных с их работой.
Разберите с командой один разрешённый пример, один пример с ограничениями и один неоднозначный случай из вашей работы. Попросите каждого объяснить разницу и выяснить, к кому обращаться за решением. Затем вернитесь к правилам и добавьте примеры, которые помогли яснее понять, как принимать решения.
Tosheo.ai создаётся для этого этапа практики. К запуску планируется следующий порядок: руководитель выбирает роли и инструменты ИИ, используемые командой, каждый учащийся проходит короткую входную проверку, а уроки завершаются практическим заданием в реальном инструменте с оценкой по доступным учащемуся критериям. Планируется, что руководители будут видеть развитие навыков и прохождение обучения, но не полную историю переписки. Платформа не составляет ваши правила и не обеспечивает их соблюдение; её задача — помочь людям отработать привычки, которых требуют эти правила.
Как поддерживать актуальность и практическую пользу политики?
Пересматривайте политику при изменении инструментов, тарифов, договоров или рабочих процессов, а также в установленную дату не реже одного раза в год. Спрашивайте сотрудников, какие решения им по-прежнему трудно принимать. Если никто не может применять политику на практике, нужны более понятные примеры или более чёткий порядок передачи сложных вопросов ответственным, а не ещё одна галочка об ознакомлении.
Указывайте вверху дату версии и описание изменений, чтобы сотрудники понимали, какое правило действует сейчас. Когда поставщик меняет условия или клиент добавляет в договор положение об ИИ, обновляйте запись в реестре и уведомляйте тех, кого это касается, не дожидаясь ежегодного пересмотра.
Когда это руководство не подходит?
Этот подход рассчитан на команды примерно от 5 до 200 человек, использующие готовых ИИ-помощников для повседневной работы с информацией. Самого по себе его недостаточно, если вы создаёте или продаёте системы ИИ, принимаете автоматизированные решения в отношении людей, работаете в строго регулируемой сфере, например здравоохранении, финансовом консультировании или юридических услугах, либо заключаете с клиентами договоры с особыми условиями использования ИИ. В таких случаях до утверждения политики необходима квалифицированная проверка с точки зрения права и защиты данных, а возможно, и формальная оценка рисков.
Это также не заменяет программу информационной безопасности. Если в вашей компании нет базовых правил для паролей, защиты устройств или классификации данных, сначала разберитесь с этим: политика использования ИИ без такой основы работать не будет.
Источники и границы рассмотрения
Практическое руководство NIST по управлению рисками ИИ: управление, проверено 16 октября 2026 ↗
ICO, руководство по ИИ и защите данных (на пересмотре), проверено 16 октября 2026 ↗
NCSC, ChatGPT и большие языковые модели: в чём риск?, 14 марта 2023 ↗