ควรใช้แม่แบบนี้อย่างไร?
คัดลอกข้อกำหนดด้านล่างลงในเอกสารของคุณ แทนที่ข้อความในวงเล็บเหลี่ยมทุกจุด และหารือแต่ละข้อกับผู้รับผิดชอบขั้นตอนการทำงานนั้น อย่านำไปใช้เป็นนโยบายบริษัทโดยไม่ตรวจสอบเครื่องมือ ข้อมูล และภาระผูกพันที่เกี่ยวข้องจริง ข้อกำหนดนี้ตั้งใจหลีกเลี่ยงการแต่งสิทธิ์แบบครอบจักรวาลที่อนุญาตให้อัปโหลดข้อมูลธุรกิจได้ทุกกรณี
ใช้งานที่พนักงานคุ้นเคยเพื่อทดสอบว่าพวกเขานำเอกสารฉบับสมบูรณ์ไปใช้ได้หรือไม่ เช่น พวกเขาบอกได้หรือไม่ว่าบัญชีใดได้รับอนุญาตให้ใช้ร่างอีเมลจากข้อเท็จจริงที่เปิดเผยต่อสาธารณะ และต้องถามใครก่อนแชร์รายงานลูกค้า หากคำตอบยังไม่ชัดเจน ให้ปรับปรุงนโยบายก่อนขอให้พนักงานลงนามรับทราบ
แม่แบบนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย กฎด้านการคุ้มครองข้อมูล การจ้างงาน และกฎเฉพาะภาคธุรกิจแตกต่างกันไปในแต่ละประเทศ และควรให้ที่ปรึกษาที่มีคุณสมบัติเหมาะสมตรวจทานฉบับที่คุณจะนำไปใช้.
ข้อกำหนดเรื่องวัตถุประสงค์ ขอบเขต และผู้รับผิดชอบควรระบุอะไรบ้าง?
ข้อกำหนดสามข้อแรกระบุว่านโยบายมีขึ้นเพื่ออะไร ครอบคลุมใครบ้าง และใครเป็นผู้ตัดสินเมื่อมีความไม่ชัดเจน เขียนให้สั้น เพราะมีหน้าที่ช่วยให้เข้าใจภาพรวม ไม่ใช่สร้างผลผูกพันทางกฎหมาย
ข้อ 1 วัตถุประสงค์: "[บริษัท] ใช้เครื่องมือ AI เพื่อช่วยพนักงานร่าง สรุป ค้นคว้า และวิเคราะห์ นโยบายนี้อธิบายว่าเครื่องมือใดได้รับอนุมัติ ใช้ข้อมูลใดกับเครื่องมือเหล่านั้นได้ ตรวจสอบผลลัพธ์อย่างไร และสอบถามใคร นโยบายนี้สนับสนุนและไม่ได้ใช้แทนนโยบาย [ความมั่นคงปลอดภัยสารสนเทศ / การคุ้มครองข้อมูล / การรักษาความลับ] ของเรา"
ข้อ 2 ขอบเขต: "นโยบายนี้ใช้กับพนักงาน ผู้รับจ้าง และ [ผู้ทำงานอิสระ / นักศึกษาฝึกงาน] ทุกคนที่ทำงานให้ [บริษัท] บนอุปกรณ์ใดก็ตาม รวมถึงฟีเจอร์ AI ที่ติดมากับซอฟต์แวร์ที่เราใช้อยู่แล้ว เช่น [ชุดโปรแกรมสำนักงาน เครื่องมือออกแบบ CRM]"
ข้อ 3 ผู้รับผิดชอบ: "[ชื่อ ตำแหน่ง] รับผิดชอบนโยบายนี้และทะเบียนเครื่องมือที่ได้รับอนุมัติ [ชื่อผู้รับผิดชอบสำรอง] ทำหน้าที่แทนเมื่อผู้รับผิดชอบหลักไม่อยู่ หากมีคำถาม ให้ติดต่อ [อีเมลหรือช่องทางติดต่อ] [ชื่อ ตำแหน่ง] เป็นผู้อนุมัติขั้นตอนการทำงานใดก็ตามที่เกี่ยวข้องกับข้อมูลส่วนบุคคล"
จะกรอกข้อกำหนดเรื่องเครื่องมือและข้อมูลได้อย่างไร?
ข้อ 4 และ 5 เป็นส่วนที่เกี่ยวข้องกับความเสี่ยงมากที่สุด จึงต้องระบุคำตอบให้เจาะจงที่สุด ข้อ 4 ระบุบัญชีที่อนุญาตอย่างชัดเจน ส่วนข้อ 5 ระบุว่าข้อมูลประเภทใดป้อนลงในแต่ละบัญชีได้
ข้อ 4 เครื่องมือที่ได้รับอนุมัติ: "ใช้เฉพาะเครื่องมือที่ระบุในทะเบียนเครื่องมือที่ได้รับอนุมัติ โดยลงชื่อเข้าใช้ด้วยบัญชี [บริษัท] ของคุณ ห้ามใช้บัญชีส่วนตัว แผนบริการฟรี และส่วนเสริมเบราว์เซอร์ที่ไม่ได้อยู่ในทะเบียนกับงานของ [บริษัท] หรือลูกค้า หากต้องการขอใช้เครื่องมือใหม่ ให้ส่งอีเมลถึง [ผู้รับผิดชอบ] โดยระบุเครื่องมือ แผนบริการ งาน และข้อมูลที่จะเกี่ยวข้อง"
ข้อ 5 ข้อมูล: "คุณสามารถใช้ข้อมูลสาธารณะและ [ข้อมูลภายใน] กับเครื่องมือที่ได้รับอนุมัติได้ ห้ามป้อน [ข้อมูลลับของลูกค้า / ราคา / ข้อมูลทางการเงินที่ยังไม่เปิดเผย / ซอร์สโค้ด / ข้อมูลรับรองการเข้าสู่ระบบ] เว้นแต่ทะเบียนจะอนุมัติให้ใช้เครื่องมือนั้นกับงานดังกล่าว ห้ามป้อนข้อมูลส่วนบุคคลเกี่ยวกับพนักงาน ผู้สมัครงาน หรือลูกค้า เว้นแต่ [ชื่อ] จะอนุมัติขั้นตอนการทำงานนั้นโดยเฉพาะ การลบชื่อออกเพียงอย่างเดียวไม่ได้ทำให้ข้อมูลปลอดภัยที่จะแชร์"
รายการอนุมัติแต่ละรายการในทะเบียนต้องระบุบริการและแผนที่ใช้ งานที่อนุญาต ข้อมูลที่ใช้ได้ ผู้ตรวจทาน และวันที่ทบทวน ให้สอบถามผู้ให้บริการแยกเป็นประเด็นเรื่องการนำข้อมูลของคุณไปฝึกโมเดล การเก็บรักษาข้อมูล การเข้าถึงของผู้ดูแลระบบ และการลบข้อมูล พร้อมบันทึกข้อกำหนดปัจจุบันและวันที่ตรวจสอบ การระบุว่าไม่นำข้อมูลไปฝึกโมเดลไม่ได้หมายความว่าไม่มีการจัดเก็บข้อมูล.
| ช่องระดับภาษา | ตัวอย่างรายการสำหรับบริษัทสมมติ |
|---|---|
| บริการและแผน | พื้นที่ทำงานสำหรับธุรกิจของ [ผู้ช่วย] ใช้บัญชีบริษัทเท่านั้น |
| งานที่อนุญาตให้ทำ | การร่างและสรุปเอกสารภายในและงานวิจัยที่เผยแพร่ต่อสาธารณะ |
| ข้อมูลที่อนุญาตให้ใช้ | ข้อมูลสาธารณะและข้อมูลภายใน ส่วนข้อมูลของลูกค้าใช้ได้เฉพาะลูกค้าที่ระบุในภาคผนวก A |
| ผู้ตรวจทาน | หัวหน้าทีมที่รับผิดชอบงานด้านนั้น |
| ผู้รับผิดชอบและวันทบทวน | [ชื่อผู้รับผิดชอบ] ทบทวนทุกหกเดือนหรือเมื่อเงื่อนไขเปลี่ยนแปลง |
ข้อกำหนดเรื่องการตรวจสอบผลลัพธ์และการตัดสินใจเกี่ยวกับบุคลากรควรระบุว่าอย่างไร?
ข้อ 6 กำหนดให้ผู้ใช้ผลลัพธ์เป็นผู้รับผิดชอบในการตรวจสอบ ส่วนข้อ 7 กำหนดให้คนยังคงเป็นผู้ตัดสินใจเรื่องที่เกี่ยวกับบุคคล ทั้งสองข้อควรสอดคล้องกับกระบวนการอนุมัติที่คุณมีอยู่แล้ว ไม่ใช่ใช้แทนกระบวนการเหล่านั้น
ข้อ 6 การตรวจสอบผลลัพธ์: "คุณเป็นผู้รับผิดชอบงานใดก็ตามที่ใช้ AI ช่วยซึ่งคุณนำไปใช้หรือส่งต่อ ก่อนใช้งาน ให้ตรวจสอบข้อเท็จจริง ตัวเลข ข้อความอ้างอิง และแหล่งอ้างอิงกับเอกสารต้นทางหรือแหล่งข้อมูลที่ระบุชื่อไว้ ลบสถิติ ผลลัพธ์ ข้อความรับรอง หรือแหล่งอ้างอิงใดก็ตามที่คุณตรวจสอบที่มาไม่ได้ งานที่ตามปกติต้องผ่านการตรวจสอบจาก [ฝ่ายกฎหมาย / ฝ่ายการเงิน / ผู้จัดการ] ยังคงต้องผ่านการตรวจสอบจากบุคคลหรือฝ่ายนั้น"
ข้อ 7 การตัดสินใจเกี่ยวกับบุคคล: "ห้ามใช้เครื่องมือ AI เป็นฐานในการตัดสินใจเรื่องการจ้างงาน ค่าตอบแทน ผลการปฏิบัติงาน การดำเนินการทางวินัย สินเชื่อ หรือข้อร้องเรียนของลูกค้า เครื่องมือเหล่านี้อาจช่วยร่างหรือจัดระเบียบเนื้อหาได้ แต่ต้องมีบุคคลที่ระบุชื่อเป็นผู้ตรวจสอบข้อมูลที่ใช้ประกอบและเป็นผู้ตัดสินใจ"
หากทีมของคุณทำงานปริมาณมาก เช่น การตอบคำถามลูกค้า ให้เพิ่มข้อความหนึ่งประโยคเกี่ยวกับการสุ่มตรวจว่า ใครเป็นผู้สุ่มตรวจคำตอบที่ใช้ AI ช่วย ตรวจบ่อยเพียงใด และจะดำเนินการอย่างไรเมื่อพบข้อผิดพลาดซ้ำเป็นรูปแบบ.
อยากดูว่าสิ่งนี้เชื่อมโยงกับบทบาทงานอย่างไรไหม?
สำรวจการทดลองใช้สำหรับทีมที่อยู่ในแผนพัฒนา ↗ข้อกำหนดเรื่องการเปิดเผยข้อมูล การรายงาน และการทบทวนมีผลอย่างไร?
ข้อกำหนดสามข้อสุดท้ายระบุว่าเมื่อใดต้องแจ้งผู้อื่นว่ามีการใช้ AI ต้องทำอย่างไรเมื่อเกิดข้อผิดพลาด และจะดูแลนโยบายให้เป็นปัจจุบันได้อย่างไร
ข้อ 8 การเปิดเผย: "แจ้งผู้ตรวจสอบของคุณเมื่อเนื้อหาส่วนใหญ่ของฉบับร่างสร้างขึ้นด้วย AI ปฏิบัติตามสัญญากับลูกค้าและกฎของแพลตฟอร์มหรือสื่อที่เผยแพร่เกี่ยวกับเนื้อหาที่สร้างโดย AI [ตัวเลือกเพิ่มเติม: รูปภาพหรือข้อความที่สร้างโดย AI ซึ่งแสดงต่อลูกค้าจะมีป้ายกำกับว่า [ข้อความที่ใช้]]"
ข้อ 9 การรายงาน: "หากข้อมูลที่จำกัดการใช้งานอาจถูกป้อนเข้าเครื่องมือที่ไม่ได้รับอนุมัติ หรือผลลัพธ์ที่ใช้ AI ช่วยก่อให้เกิดหรือเกือบก่อให้เกิดปัญหา ให้แจ้ง [ผู้รับผิดชอบ] ภายในวันเดียวกัน โดยระบุเครื่องมือ บัญชี และสิ่งที่แชร์ ปฏิบัติตาม [ขั้นตอนรับมือเหตุการณ์ที่มีอยู่] ในกรณีที่เกี่ยวข้อง การรายงานโดยไม่ชักช้าจะไม่ถือเป็นการประพฤติผิด"
ข้อ 10 การทบทวน: "[ผู้รับผิดชอบ] ทบทวนนโยบายนี้และทะเบียนอย่างน้อยทุก [หก / สิบสอง] เดือน และทุกครั้งที่มีการเปลี่ยนแปลงเครื่องมือ แผนบริการ สัญญา หรือขั้นตอนการทำงาน ฉบับที่ [หมายเลข] อนุมัติโดย [ชื่อ] เมื่อ [วันที่]"
ช่องใดที่ต้องตัดสินใจให้ชัดเจนก่อนกรอก?
ข้อความในวงเล็บทุกจุดคือสิ่งที่ยังต้องตัดสินใจ ไม่ใช่ค่าเริ่มต้นที่ปลอดภัย ดังนั้นให้ทำเครื่องหมายรายการที่ยังไม่ทราบเพื่อตรวจทาน แทนการเติมกฎที่ฟังดูสมเหตุสมผลลงไป บริษัทต้องระบุผู้รับผิดชอบนโยบาย บริการและแผนบริการที่อนุมัติ งานที่อนุญาต ข้อมูลที่มีข้อจำกัด ผู้รับผิดชอบการตรวจทาน ช่องทางการรายงาน และวันที่ทบทวน
บันทึกเหตุผลที่อนุมัติเครื่องมือสำหรับงานหนึ่ง ๆ การตั้งค่าเกี่ยวกับการฝึกโมเดล การเก็บรักษาข้อมูล การควบคุมการเข้าถึง และการอนุญาตตามสัญญาเป็นคนละประเด็นกัน เครื่องมือหนึ่งอาจมีการใช้งานที่ยอมรับได้แบบหนึ่ง และมีการใช้งานอีกแบบที่ต้องขออนุมัติเพิ่มเติม ระบุความแตกต่างนี้ในทะเบียนให้ชัดเจน.
กรณีตัวอย่างพร้อมแนวทาง: สำนักงานรับทำบัญชีสมมติที่มีพนักงาน 18 คนเริ่มกรอกข้อ 5 ก่อน และพบว่าตอบไม่ได้ เพราะหนังสือข้อตกลงรับงานกับลูกค้าไม่ได้กล่าวถึง AI แทนที่จะเดา เจ้าของจึงระบุว่าห้ามใช้ข้อมูลของลูกค้าจนกว่าจะทบทวนเสร็จ อนุมัติการใช้ข้อมูลสาธารณะและข้อมูลภายในทันที และนัดคุยกับที่ปรึกษาเรื่องการปรับปรุงหนังสือข้อตกลงรับงาน
ผู้ตรวจทานควรตรวจสอบอะไรบ้าง?
ผู้ตรวจทานควรตรวจสอบว่านโยบายสอดคล้องกับกระบวนการที่มีอยู่ด้านความมั่นคงปลอดภัยสารสนเทศ ความเป็นส่วนตัว การจ้างงาน และการเผยแพร่ และไม่ได้ลบล้างกระบวนการเหล่านั้นโดยไม่ชัดแจ้ง เอกสาร AI ฉบับสั้นไม่ควรทำให้กฎที่ใช้ควบคุมข้อมูลลับหรือการตัดสินใจที่มีผลกระทบสำคัญอยู่แล้วหย่อนลง ผู้ตรวจทานที่เหมาะสมขึ้นอยู่กับองค์กร ขั้นตอนการทำงาน และเขตอำนาจทางกฎหมาย
เนื้อหาด้านการกำกับดูแลในคู่มือปฏิบัติตามกรอบการบริหารความเสี่ยงด้าน AI ของ NIST กล่าวถึงบทบาท ความรับผิดชอบ การฝึกอบรม และความเสี่ยงจากบุคคลภายนอก แม่แบบนี้เป็นฉบับที่เราปรับให้ทีมขนาดเล็กนำไปใช้ได้จริง แนวทางของ ICO เรื่อง AI และการคุ้มครองข้อมูลเป็นแหล่งข้อมูลทางการของสหราชอาณาจักรสำหรับคำถามเกี่ยวกับข้อมูลส่วนบุคคล ปัจจุบันหน้าเว็บดังกล่าวระบุว่าอยู่ระหว่างทบทวนภายหลังการออกกฎหมายว่าด้วยข้อมูล (การใช้และการเข้าถึง) จึงควรตรวจสอบฉบับล่าสุดบนเว็บไซต์ แม่แบบนี้ไม่ใช่ใบรับรองการปฏิบัติตามข้อกำหนด และไม่ได้ยืนยันว่าบริษัทของคุณได้นำมาตรการควบคุมไปใช้แล้ว
ความสม่ำเสมอ
มีข้อกำหนดใดขัดกับนโยบายด้านข้อมูล ความปลอดภัย หรือทรัพยากรบุคคลที่มีอยู่หรือไม่?
สัญญา
สัญญากับลูกค้าหรือผู้จัดหาจำกัดการใช้ AI หรือกำหนดให้เปิดเผยการใช้งานหรือไม่?
ข้อมูลส่วนบุคคล
ผู้รับผิดชอบด้านการคุ้มครองข้อมูลได้อ่านข้อ 5 และข้อ 7 แล้วหรือไม่?
ความเป็นไปได้ในการใช้งานจริง
พนักงานใหม่ตอบได้หรือไม่ว่าควรใช้บัญชีใด ไม่ควรใส่ข้อมูลอะไร และควรถามใคร?
จะชี้แจงนโยบายให้ทีมเข้าใจได้อย่างไร?
เริ่มอธิบายด้วยตัวอย่างจากงานของคุณเอง ไม่ใช่แค่มอบหมายให้อ่านเอกสาร อธิบายตัวอย่างที่อนุญาตหนึ่งกรณี ตัวอย่างที่มีข้อจำกัดหนึ่งกรณี และกรณีที่ยังไม่แน่ชัดอีกหนึ่งกรณี ขอให้ทุกคนอธิบายความแตกต่างและหาช่องทางส่งเรื่องให้ผู้รับผิดชอบพิจารณา ให้เวลาพวกเขาถามเกี่ยวกับเครื่องมือและบัญชีที่ใช้งานจริง การรับทราบเพียงอย่างเดียวไม่ได้แสดงว่าบุคคลนั้นสามารถปฏิบัติตามขอบเขตได้
กลับมาทบทวนนโยบายหลังการฝึกปฏิบัติครั้งแรก เพิ่มตัวอย่างที่ช่วยให้ตัดสินใจได้ชัดเจนขึ้น และแก้ไขคำแนะนำที่ไม่สอดคล้องกับขั้นตอนการทำงาน ระบุหมายเลขฉบับและผู้รับผิดชอบไว้ เพื่อให้พนักงานทราบว่าจะหากฎฉบับปัจจุบันได้จากที่ใด
หากคุณต้องการฝึกปฏิบัติอย่างเป็นระบบ Tosheo.ai กำลังอยู่ระหว่างการพัฒนาเพื่อให้แต่ละบทบาทมีบทเรียนสั้น ๆ ที่จบด้วยงานลงมือทำในเครื่องมือ AI จริง และให้คะแนนตามเกณฑ์ที่ผู้เรียนเห็นได้ ผลิตภัณฑ์นี้ไม่ได้เขียนหรืออนุมัตินโยบายให้คุณ.
เมื่อใดที่แม่แบบทั่วไปไม่ใช่จุดเริ่มต้นที่เหมาะสม?
แม่แบบทั่วไปไม่ใช่จุดเริ่มต้นที่เหมาะสม หากคุณผนวก AI เข้ากับผลิตภัณฑ์ที่ขาย ประมวลผลข้อมูลส่วนบุคคลประเภทอ่อนไหว ประกอบวิชาชีพที่อยู่ภายใต้การกำกับดูแล หรือมีสัญญาที่กำหนดเงื่อนไขการใช้ AI ไว้อยู่แล้ว ให้เริ่มจากภาระผูกพันเหล่านั้นร่วมกับที่ปรึกษาที่มีคุณสมบัติเหมาะสม และใช้โครงสร้างนี้เป็นเพียงรายการตรวจสอบหัวข้อ
นอกจากนี้ยังไม่เหมาะหากไม่มีใครรับผิดชอบ แบบฟอร์มที่กรอกเพียงครั้งเดียวแล้วไม่เคยทบทวนจะกลายเป็นรายการกฎเกี่ยวกับเครื่องมือที่ทีมเลิกใช้ไปแล้ว ระบุผู้รับผิดชอบก่อนกรอกข้อ 4
แหล่งข้อมูลและขอบเขต
ICO, แนวทางเกี่ยวกับ AI และการคุ้มครองข้อมูล (อยู่ระหว่างการทบทวน), ตรวจสอบเมื่อ 16 ตุลาคม 2026 ↗