Что такое политика допустимого использования ИИ?
Политика допустимого использования ИИ, часто обозначаемая сокращением AI AUP, устанавливает конкретные правила поведения для всех, кто использует ИИ-инструменты в работе компании. Она уже, чем общая политика использования ИИ. Она не объясняет, кто утверждает поставщиков или как пересматривается реестр; она говорит сотруднику в момент открытия инструмента, что можно и чего нельзя делать.
Во многих компаниях уже есть политика допустимого использования ИТ, которая охватывает электронную почту, устройства и интернет. Политика допустимого использования ИИ может стать новым разделом этого документа или отдельной страницей со ссылкой на него. Важно, чтобы она описывала задачи и примеры, а не абстрактные принципы. «Используйте ИИ ответственно» не помогает принять решение; «не вставляйте клиентские договоры ни в один ИИ-инструмент» — помогает.
Эта страница содержит общую информацию, а не юридическую консультацию. Перед использованием выбранной версии передайте её на проверку квалифицированному консультанту, особенно если вы обрабатываете персональные данные или работаете с конфиденциальной информацией клиентов.
Как решить, какие способы использования ИИ разрешить?
Разделите сценарии использования на три категории по характеру информации и последствиям ошибки: разрешено, разрешено после согласования и запрещено. Риск связан не с самим участием ИИ, а с тем, какие данные вводятся и для чего используется результат. Один и тот же инструмент может подходить для переработки общедоступной статьи в блоге и быть неприемлемым для краткого изложения материалов дисциплинарного дела.
Определяйте уровни на основе списка реальных задач. Попросите каждого руководителя команды назвать пять задач, для которых сотрудники уже используют ИИ или хотели бы его использовать. Распределите задачи по уровням, и с первого дня у каждого уровня будут конкретные примеры.
| Уровень | Типичные примеры | Что делает сотрудник |
|---|---|---|
| Разрешено | Переформулирование собственного черновика, краткое изложение общедоступной статьи, подбор вариантов заголовков, объяснение формулы в электронной таблице | Используйте одобренную учётную запись и проверяйте результат |
| Разрешено после согласования | Краткое изложение материалов клиента, подготовка ответов клиентам на основе истории обращений, анализ внутренних данных о продажах | Используйте, только если рабочий процесс внесён в реестр, либо сначала спросите ответственного |
| Запрещено | Ввод паролей или ключей, ввод персональных данных сотрудников или кандидатов без утверждённого порядка работы, принятие решений о найме или оплате труда с помощью ИИ, создание изображений реальных людей | Не делайте этого; если считаете, что нужно исключение, запросите разрешение |
Как выглядят грамотно составленные положения о допустимом использовании?
Хорошие положения правил называют инструмент, задачу и информацию, а также указывают, как действовать вместо запрещённого варианта. Ниже приведены примеры положений для вымышленной компании по разработке программного обеспечения «Нортгейт Эппс», в которой работают 40 человек. У компании есть корпоративное рабочее пространство чат-помощника; она также использует функции ИИ в сервисе размещения кода и пакете офисных приложений.
Каждый пункт достаточно короткий, чтобы его запомнить, и достаточно конкретный, чтобы ему следовать. Обратите внимание: ни один не ограничивается словами «будьте осторожны» — каждый описывает конкретное действие.
Бухгалтерия
"Используйте ИИ только через корпоративные учётные записи Northgate, указанные в реестре. Не используйте личные учётные записи, бесплатные тарифы или неодобренные расширения браузера для любой работы Northgate, даже для коротких вопросов."
Код
"Вы можете использовать одобренного ассистента для программирования в репозиториях Northgate. Не вставляйте ни в один ИИ-инструмент данные клиентов, журналы рабочей среды с персональными данными или секретные данные, например ключи API. Сгенерированный код проверяется перед слиянием, как и любой другой код."
Клиенты
"Сотрудники поддержки могут использовать одобренного ассистента для подготовки черновиков ответов. Сначала удалите номера счетов и платёжные реквизиты. Перед отправкой каждый ответ читает и редактирует человек."
Утверждения
"Не публикуйте статистические данные, сравнительные показатели или результаты клиентов, полученные с помощью ИИ, пока не откроете и не проверите первоисточник."
Кадровые решения
"Не используйте ИИ для ранжирования, отбора или оценки кандидатов и сотрудников. Вы можете использовать его, чтобы улучшить формулировки в написанном вами объявлении о вакансии."
Отчётность
"Если вы ввели то, что вводить было нельзя, сообщите руководителю операционной деятельности в тот же день. Своевременное сообщение считается правильным поступком."
Ввод какой информации должна ограничивать политика допустимого использования ИИ?
Ограничивайте использование информации по категориям, а не перечисляйте все типы документов, и для каждой категории укажите, в каких учётных записях её разрешено использовать. Обычно выделяют общедоступную, внутреннюю, конфиденциальную или клиентскую информацию, персональные данные и секреты, например пароли и ключи. Для секретов правило сформулировать проще всего: никогда и ни в каких инструментах.
В рекомендациях Национального центра кибербезопасности Великобритании по большим языковым моделям отмечается общий принцип: запрос виден организации, предоставляющей модель, поэтому в запросы к общедоступным моделям рекомендуется не включать конфиденциальную информацию. Для корпоративного рабочего пространства могут действовать другие договорные условия, поэтому зафиксируйте условия своего тарифа. Например, в документации Microsoft сказано, что на Copilot Chat, используемый организациями, распространяется дополнение о защите данных, а запросы и ответы не используются для обучения базовых моделей. При этом отмечается, что средства контроля зависят от тарифного плана. Затем в политике допустимого использования можно указать, какие категории данных разрешены в этом рабочем пространстве, а какие запрещены везде.
Для британских компаний, обрабатывающих персональные данные, официальным источником служит руководство ICO по ИИ и защите данных. Сейчас на его страницах указано, что руководство пересматривается в связи с законом об использовании данных и доступе к ним, поэтому, прежде чем опираться на конкретный пункт, проверьте действующую редакцию.
Хотите узнать, как это связано с конкретной должностью?
Ознакомиться с планируемой пробной программой для команды ↗Что сотрудникам следует проверить перед использованием результата работы ИИ?
Сотрудники должны проверять каждое утверждение о фактах, число, цитату и ссылку на источник в материалах, которые передают другим, и удалять всё, для чего не могут найти источник. В профиле рисков генеративного ИИ NIST конфабуляция описывается как создание уверенно изложенного, но ошибочного или ложного содержания; гладкий ответ — не доказательство. Политика допустимого использования должна возлагать ответственность за результат на человека, который его использует.
Разобранный пример: маркетолог Northgate просит помощника написать короткий абзац о том, почему небольшие команды внедряют инструменты управления проектами. В черновике есть утверждение, что большинство малых предприятий сменили такие инструменты в прошлом году, с указанием источника. Маркетолог не может найти эту цифру в указанном источнике. Согласно пункту политики допустимого использования о достоверности утверждений, эту фразу удаляют, а абзац переписывают: вместо цифры описывают причины, которые клиенты называют в обращениях в службу поддержки Northgate.
Слабая версия: «Согласно недавнему отраслевому опросу, большинство небольших команд в прошлом году сменили инструменты управления проектами». Версия после проверки: «Команды, которые к нам обращаются, обычно называют две причины перехода: сбои при передаче работы и слишком большое количество инструментов». Вторая версия менее эффектна, зато полностью обоснованна.
Должны ли сотрудники подписывать политику допустимого использования ИИ?
Подпись или подтверждение ознакомления уместны, но показывают лишь, что человек получил правила. Дополните их десятиминутным разбором трёх случаев из вашей работы — по одному на каждый уровень — и попросите каждого определить уровень каждого случая и объяснить свой выбор. Так вы получите подтверждение того, что люди умеют применять правила. Если что-то пойдёт не так, это будет ценнее подписи.
В ответах Европейской комиссии на вопросы о грамотности в области ИИ, посвящённых статье 4 EU AI Act, говорится, что сертификаты не требуются и достаточно внутреннего учёта обучения или других мероприятий. Если на вас распространяются правила ЕС, разумно кратко фиксировать, кто и когда прошёл вводное обучение. Обратитесь за консультацией о том, применяется ли этот акт к вашему бизнесу и каким образом.
Как обеспечить соблюдение правил допустимого использования ИИ без слежки?
Большинство небольших компаний обеспечивает соблюдение политики допустимого использования ИИ с помощью одобренных учётных записей, разумных настроек по умолчанию и культуры, в которой сотрудники сообщают об ошибках, а не путём контроля каждого запроса. Предоставьте сотрудникам одобренную корпоративную учётную запись, чтобы удобный путь был одновременно разрешённым. Включите доступные в вашем тарифе административные настройки. Создайте условия, в которых об ошибках можно сообщать без страха, а систематическое игнорирование правил обсуждайте как обычный вопрос качества работы.
Если вы просматриваете журналы использования, доступные в корпоративном тарифе, укажите это в политике и проверьте применимые нормы трудового права и защиты персональных данных. Скрытое наблюдение обычно подрывает культуру открытого сообщения о проблемах, от которой зависит действенность политики.
В планируемой архитектуре Tosheo.ai заложен тот же принцип: руководители видят прогресс в навыках и прохождении обучения, но никогда не получают доступ к исходным перепискам учащихся.
Когда политики допустимого использования недостаточно?
Политика допустимого использования регулирует поведение сотрудников; она не определяет, какие поставщики безопасны, нужна ли для рабочего процесса оценка воздействия на защиту данных и как ИИ должен быть встроен в продукт, который вы продаёте. Если ваша компания разрабатывает функции ИИ, автоматизирует решения, касающиеся людей, или работает в регулируемой профессиональной сфере, вам также нужны система управления и проверка профильными специалистами.
Это также не обучение. С правилом «проверяйте каждое утверждение» легко согласиться, но качественно выполнять его в условиях сжатых сроков трудно. Чтобы выработать эту привычку, людям нужна практика на реалистичных задачах — для этого и предназначена практика с учётом должности.
Источники и границы рассмотрения
NCSC, ChatGPT и большие языковые модели: в чём риск?, 14 марта 2023 ↗
ICO, руководство по ИИ и защите данных (на пересмотре), проверено 16 октября 2026 ↗
NIST, профиль рисков генеративного ИИ (NIST AI 600-1), июль 2024 ↗