Polityka korzystania ze sztucznej inteligencji w [nazwa firmy]
Dokument obowiązuje wszystkie osoby pracujące w [nazwa firmy], niezależnie od formy współpracy: pracowników, współpracowników i podwykonawców mających dostęp do naszych danych.
01 Rejestr narzędzi AI
W [nazwa firmy] korzystamy wyłącznie z narzędzi wpisanych do poniższego rejestru. Dopisanie nowego narzędzia wymaga zgody [imię i nazwisko / stanowisko].
| Narzędzie | Do czego używamy | Kto ma dostęp | Rodzaj danych | Konto |
|---|---|---|---|---|
| [np. ChatGPT] | [np. szkice tekstów, podsumowania] | [np. marketing] | [np. dane publiczne] | [firmowe / prywatne] |
| [ ] | [ ] | [ ] | [ ] | [ ] |
Rejestr przeglądamy raz na [okres, np. kwartał]. Narzędzie, z którego nikt nie korzysta, usuwamy z listy i odbieramy do niego dostęp.
02 Dozwolone i zakazane zastosowania
Wolno używać AI do:
- [np. przygotowania szkicu tekstu, który potem redaguje człowiek]
- [np. podsumowania własnych notatek ze spotkania]
- [np. pomocy przy kodzie, który przechodzi przegląd]
Nie wolno używać AI do:
- podejmowania decyzji wobec ludzi bez udziału człowieka: rekrutacja, ocena pracy, zwolnienie, przyznanie lub odmowa świadczenia
- [np. przygotowania dokumentów, które podpisujemy jako opinia ekspercka]
- [ ]
Decyzja, która wpływa na czyjąś sytuację, zawsze należy do człowieka. AI może przygotować materiał, nie może zamknąć sprawy.
03 Zasady danych
Do narzędzi AI nie wprowadzamy:
- danych osobowych klientów, pracowników i kandydatów: imion i nazwisk, adresów, numerów telefonu, PESEL, danych z dokumentów
- dokumentów objętych tajemnicą przedsiębiorstwa: umów, wycen, danych finansowych
- danych powierzonych nam przez klientów, jeśli umowa z klientem tego nie dopuszcza
- kodu i konfiguracji zawierających klucze, hasła albo dane dostępowe
Zanim wkleisz cokolwiek, zadaj sobie jedno pytanie: czy pokazałbym to obcej osobie spoza firmy. Jeśli nie - nie wklejaj.
Gdy potrzebujesz pracować na prawdziwych danych, użyj [np. narzędzia z kontem firmowym i wyłączonym uczeniem na naszych danych] albo najpierw usuń dane identyfikujące.
04 Nadzór człowieka nad wynikiem
Każdy materiał przygotowany z udziałem AI sprawdza człowiek, zanim trafi na zewnątrz albo stanie się podstawą decyzji. Sprawdzamy trzy rzeczy: czy fakty i liczby się zgadzają, czy nie ma treści skopiowanej z cudzego źródła, czy ton pasuje do naszej firmy.
Za sprawdzenie odpowiada osoba, która materiał wysyła lub publikuje. Nie dostawca narzędzia i nie osoba, która wydała polecenie narzędziu.
Modele językowe formułują błędne odpowiedzi tak samo pewnie jak poprawne. Brak wahania w odpowiedzi nie jest sygnałem, że jest ona prawdziwa.
05 Oznaczanie treści przygotowanej przez AI
Informujemy odbiorcę, gdy ma kontakt z systemem AI albo z treścią wygenerowaną maszynowo, w sytuacjach, w których wymaga tego prawo:
- gdy klient rozmawia z chatbotem lub asystentem głosowym, a nie z człowiekiem
- gdy publikujemy obraz, dźwięk lub wideo wygenerowane albo istotnie zmienione przez AI, a materiał przedstawia realne osoby, miejsca lub zdarzenia
Nie oznaczamy każdej czynności wykonanej z pomocą AI. Sam fakt, że tekst powstał z udziałem narzędzia, a potem przeszedł redakcję człowieka, nie rodzi obowiązku oznaczenia.
06 Kompetencje i szkolenia
Każda osoba korzystająca z AI w [nazwa firmy] przechodzi wprowadzenie obejmujące: zasady z tego dokumentu, granice narzędzi, którymi się posługuje, i sposób zgłaszania problemów.
| Kto | Zakres | Termin | Potwierdzenie |
|---|---|---|---|
| [np. cały zespół] | [np. podstawy i zasady danych] | [data] | [lista obecności] |
| [ ] | [ ] | [ ] | [ ] |
Szkolenia dokumentujemy. Przy nowym narzędziu o istotnie innym działaniu wprowadzenie powtarzamy.
07 Zgłaszanie incydentów
Zgłoś natychmiast do [imię i nazwisko / adres], jeśli:
- do narzędzia AI trafiły dane, które nie powinny były trafić
- treść przygotowana z udziałem AI zawierała błąd i poszła do klienta
- narzędzie zachowało się w sposób, którego nie potrafisz wyjaśnić
- masz podejrzenie, że ktoś uzyskał dostęp do naszego konta w narzędziu
Nikogo nie rozliczamy za zgłoszenie. Rozliczamy za ukrycie. Incydent zgłoszony w godzinę da się zwykle odkręcić, ten sam incydent odkryty po miesiącu - rzadko.
Zgłoszenia zapisujemy razem z datą, opisem i tym, co zrobiliśmy. Jeśli incydent dotyczy danych osobowych, [imię i nazwisko] ocenia, czy zachodzi obowiązek zgłoszenia do Prezesa UODO w ciągu 72 godzin.
08 Odpowiedzialność i przegląd dokumentu
| Obszar | Kto odpowiada |
|---|---|
| Rejestr narzędzi i zgody na nowe | [imię i nazwisko] |
| Szkolenia i ich dokumentacja | [imię i nazwisko] |
| Incydenty i kontakt z UODO | [imię i nazwisko] |
| Przegląd tego dokumentu | [imię i nazwisko] |
Dokument przeglądamy raz na [okres, np. pół roku] oraz zawsze, gdy dochodzi nowe narzędzie albo zmienia się prawo. Datę przeglądu wpisujemy na początku dokumentu.
Naruszenie zasad z tej polityki traktujemy jak naruszenie obowiązków pracowniczych. Wcześniej sprawdzamy jednak, czy zasada była jasna i czy osoba przeszła wprowadzenie - jeśli nie, poprawiamy dokument i szkolenie, a nie osobę.
Podpis osoby zatwierdzającej: [imię i nazwisko, stanowisko, data]