Шаблон политики использования ИИ для сотрудников

Как использовать этот шаблон?

Скопируйте приведённые ниже положения в свой документ, замените все поля в квадратных скобках и обсудите каждое положение с ответственным за соответствующий рабочий процесс. Не принимайте этот текст как политику компании без проверки конкретных инструментов, информации и обязательств. В нём намеренно не формулируется универсальное разрешение на загрузку рабочих данных.

Проверьте на знакомой задаче, может ли сотрудник применить готовый документ на практике. Например, может ли он определить, через какую учётную запись разрешено составлять письмо на основе общедоступных фактов и к кому обратиться за разрешением, прежде чем передавать клиентский отчёт? Если ответ неясен, доработайте политику, прежде чем просить сотрудников подтвердить ознакомление с ней.

Этот шаблон содержит общую информацию, а не юридическую консультацию. Требования к защите данных, трудовые и отраслевые нормы различаются в зависимости от страны, поэтому перед использованием выбранную версию должен проверить квалифицированный консультант.

Что включить в положения о целях, области применения и ответственности?

Первые три пункта объясняют, зачем нужны правила, на кого они распространяются и кто принимает решение при неясностях. Изложите их кратко: их задача — дать ориентиры, а не установить юридические последствия.

Пункт 1, цель: "[Компания] использует инструменты ИИ, чтобы помогать сотрудникам готовить черновики, составлять краткие изложения, искать информацию и проводить анализ. Эта политика объясняет, какие инструменты разрешены, какую информацию можно в них использовать, как проверяются результаты и к кому обращаться с вопросами. Она дополняет, а не заменяет наши политики в области [информационной безопасности / защиты данных / конфиденциальности]."

Пункт 2, область применения: "Эта политика распространяется на всех сотрудников, подрядчиков и [фрилансеров / стажёров], выполняющих работу для [компания], на любых устройствах, включая функции ИИ, встроенные в уже используемые нами программы, такие как [офисный пакет, инструмент для дизайна, CRM]."

Пункт 3, ответственность: "[Имя, должность] отвечает за эту политику и реестр разрешённых инструментов. В его отсутствие эти обязанности выполняет [имя заместителя]. Вопросы направляйте в [электронная почта или канал]. [Имя, должность] согласовывает все рабочие процессы, связанные с персональными данными."

Как заполнить положения об инструментах и информации?

С пунктами 4 и 5 связана основная часть рисков, поэтому они требуют наиболее конкретных ответов. Пункт 4 указывает точные учётные записи; пункт 5 определяет, какие категории информации можно вводить в каждую из них.

Пункт 4, разрешённые инструменты: "Используйте только инструменты из реестра разрешённых инструментов, входя в них через свою учётную запись [компания]. Личные учётные записи, бесплатные тарифы и расширения для браузера, не указанные в реестре, запрещено использовать для работы [компания] или клиентов. Чтобы запросить новый инструмент, напишите [ответственный], указав инструмент, тариф, задачу и информацию, которая будет использоваться."

Пункт 5, информация: "В разрешённых инструментах можно использовать общедоступную информацию и [внутренняя информация]. Запрещено вводить [конфиденциальные материалы клиентов / цены / неопубликованные финансовые данные / исходный код / учётные данные], если в реестре не разрешено использовать этот инструмент для такой задачи. Не вводите персональные данные сотрудников, кандидатов или клиентов, если [имя] не согласовал конкретный рабочий процесс. Само по себе удаление имён не делает передачу информации безопасной."

Для каждого разрешения в реестре нужно указать сервис и тариф, разрешённую задачу, допустимые данные, проверяющего и дату пересмотра. Отдельно уточните у поставщиков, используют ли они ваши данные для обучения, каковы сроки хранения, какой доступ есть у администраторов и как удаляются данные. Зафиксируйте положения действующих условий и дату их проверки. Заявление об отказе от обучения на данных не означает, что данные не хранятся.

Что должно быть сказано в положениях о проверке результатов и принятии решений, касающихся людей?

Пункт 6 возлагает ответственность за проверку результата на того, кто его использует; пункт 7 оставляет принятие решений о людях за людьми. Оба пункта должны соответствовать действующим у вас процедурам согласования, а не заменять их.

Пункт 6, проверка результатов: "Вы несёте ответственность за любую работу, выполненную с помощью ИИ, которую вы используете или отправляете. Перед использованием сверяйте факты, цифры, цитаты и ссылки с исходными материалами или конкретным указанным источником. Удаляйте любые статистические данные, результаты, рекомендации или ссылки, источник которых невозможно установить. Работу, которую обычно проверяет [юридический отдел / финансовый отдел / руководитель], по-прежнему проверяют они."

Пункт 7, решения о людях: "Инструменты ИИ запрещено использовать как основание для решений о найме, оплате труда, оценке работы, дисциплинарных мерах, предоставлении кредита или жалобе клиента. Они могут помогать готовить черновики или упорядочивать материалы, но конкретный ответственный человек должен проверить исходную информацию и принять решение."

Если ваша команда выполняет большой объём однотипной работы, например отвечает на обращения в поддержку, добавьте предложение о выборочных проверках: кто проверяет выборку ответов, подготовленных с помощью ИИ, как часто и что происходит при обнаружении повторяющихся ошибок.

Как работают положения о раскрытии информации, отчётности и пересмотре?

Последние три пункта объясняют, когда сообщать об использовании ИИ, что делать, если что-то пошло не так, и как поддерживать правила в актуальном состоянии.

Пункт 8, раскрытие информации: "Сообщайте проверяющему, если черновик в значительной степени подготовлен с помощью ИИ. Соблюдайте условия договоров с клиентами и правила платформ или изданий в отношении контента, созданного ИИ. [Необязательно: изображения и тексты, созданные ИИ и предназначенные для клиентов, помечаются как [формулировка].]"

Пункт 9, сообщение об инцидентах: "Если информация ограниченного доступа могла попасть в неразрешённый инструмент или результат работы с ИИ привёл либо едва не привёл к проблеме, сообщите об этом [ответственный] в тот же день, указав инструмент, учётную запись и переданную информацию. Следуйте [действующий порядок действий при инцидентах], когда он применим. Оперативное сообщение об инциденте не будет считаться нарушением."

Пункт 10, пересмотр: "[Ответственный] пересматривает эту политику и реестр не реже чем каждые [шесть / двенадцать] месяцев, а также при любом изменении инструмента, тарифа, договора или рабочего процесса. Версия [номер], утверждена [имя] от [дата]."

По каким полям для заполнения нужно принять конкретные решения?

Каждое поле в скобках — это нерешённый вопрос, а не безопасный вариант по умолчанию. Поэтому отмечайте неизвестные пункты для проверки, а не заполняйте их правдоподобными правилами. Компания должна указать ответственного за политику, одобренные сервисы и тарифы, разрешённые задачи, информацию с ограничениями на использование, обязанности по проверке, порядок сообщения о проблемах и дату пересмотра.

Фиксируйте, почему инструмент одобрен для конкретной задачи. Настройки обучения модели, хранение данных, управление доступом и разрешение по договору — отдельные вопросы. Один способ использования инструмента может быть допустим, а другой — требовать дополнительного согласования. Явно отражайте это различие в реестре.

Разобранный случай: вымышленная бухгалтерская фирма из 18 человек начала заполнение с пункта 5 и обнаружила, что не может на него ответить, поскольку в договорах с клиентами ничего не говорилось об ИИ. Вместо догадок владелец запретил использование клиентских материалов до завершения проверки, сразу разрешил работу с общедоступными и внутренними материалами и назначил встречу с консультантом для обсуждения изменений в договорах с клиентами.

Что должен проверить проверяющий?

Проверяющему следует убедиться, что правила согласуются с существующими процедурами информационной безопасности, защиты персональных данных, трудовых отношений и публикации материалов, а не подменяют их незаметно. Краткий документ об ИИ не должен ослаблять действующие правила обращения с конфиденциальными данными или принятия значимых решений. Кого привлекать к проверке, зависит от организации, рабочего процесса и юрисдикции.

Материалы по организации управления в практическом руководстве NIST по управлению рисками ИИ рассматривают роли, ответственность, обучение и риски, связанные с третьими сторонами; этот шаблон — наша практическая адаптация для небольших команд. Руководство ICO по ИИ и защите данных — официальный британский источник по вопросам персональных данных. Сейчас на его страницах указано, что оно пересматривается после принятия Закона о данных (использовании и доступе), поэтому проверяйте актуальную версию. Шаблон не является сертификатом соответствия или подтверждением того, что ваша компания внедрила меры контроля.

Как познакомить команду с правилами?

Объясните это на примерах из вашей работы, а не просто дайте материал для чтения. Разберите один допустимый пример, один пример с ограничениями и один неоднозначный случай. Попросите сотрудников объяснить разницу и выяснить, к кому обращаться за решением спорных вопросов. Дайте им время задать вопросы об инструментах и учётных записях, которыми они действительно пользуются. Само по себе подтверждение ознакомления не показывает, что человек умеет соблюдать установленные границы на практике.

Вернитесь к политике после первого практического занятия. Добавьте примеры, которые помогли принять решение, и исправьте инструкции, не соответствующие рабочему процессу. Указывайте номер версии и ответственного, чтобы сотрудники знали, где найти актуальные правила.

Если вам нужна систематическая практика, Tosheo.ai разрабатывается для того, чтобы сотрудники на каждой должности получали короткие уроки, завершающиеся практическим заданием в реальном инструменте ИИ с оценкой по открытым критериям. Сервис не составляет и не утверждает ваши правила.

Когда не стоит начинать с универсального шаблона?

Универсальный шаблон — неподходящая отправная точка, если вы встраиваете ИИ в продаваемый продукт, обрабатываете персональные данные особых категорий, работаете в регулируемой профессии или связаны договорами, которые уже устанавливают условия использования ИИ. Начните с этих обязательств вместе с квалифицированным консультантом и используйте эту структуру только как список тем для проверки.

Это также не сработает, если никто не возьмёт на себя ответственность. Шаблон, который заполнили один раз и больше не пересматривали, превращается в список правил для инструментов, которыми команда уже не пользуется. Назначьте ответственного до заполнения пункта 4.

Источники и границы рассмотрения

Практическое руководство NIST по управлению рисками ИИ: управление, проверено 16 октября 2026 ↗

ICO, руководство по ИИ и защите данных (на пересмотре), проверено 16 октября 2026 ↗

ICO, инструментарий для оценки рисков ИИ и защиты данных (на пересмотре), проверено 16 October 2026 ↗