Нуждае ли се вашата компания от AI Policy?

Tsanko Kalchev

20.09

време за четене: 5 мин.

Актуализирано: 21.09

ChatGPT, Microsoft Copilot, Gemini и други инструменти с изкуствен интелект вече се използват ежедневно в много предприятия – понякога официално, а понякога без работодателят изобщо да знае за това. Служители подготвят имейли, анализират документи, превеждат договори, създават презентации или обобщават клиентски данни чрез генеративен ИИ.

Това поставя един все по-практичен въпрос: трябва ли компанията да има вътрешна AI Policy, която да определя как служителите могат да използват изкуствен интелект?

Самият AI Act (Регламент (ЕС) 2024/1689 за установяване на хармонизирани правила относно изкуствения интелект) не съдържа общо правило, според което всяко предприятие трябва да приеме документ с наименование „AI Policy“. Това обаче не означава, че използването на ИИ може да остане нерегулирано вътре в организацията.

AI Policy не е формалност по AI Act

Една от важните разпоредби в тази връзка е чл. 4 AI Act относно AI literacy. Тя изисква от доставчиците и внедрителите на AI системи да предприемат мерки за развитие на знанията и уменията на служителите и другите лица, които използват такива системи от тяхно име. Задължението по чл. 4 се прилага от 2 февруари 2025 г., а правилата относно надзора и прилагането му са приложими от август 2026 г.

Следователно законът не казва: „Приемете AI Policy от десет страници.“ Той изисква обаче предприятието да се занимае реално с начина, по който ИИ се използва от неговите служители.

В този контекст вътрешната AI Policy може да бъде един от най-практичните инструменти за превръщането на общите законови изисквания в конкретни правила за ежедневната работа.

Проблемът започва със „Shadow AI“

В много компании използването на изкуствен интелект не започва с решение на управителния съвет или IT отдела. То започва, когато служител отвори безплатна AI услуга и копира в нея текст, който иска да бъде преработен. Това може да бъде клиентски имейл, договор, таблица, информация за служител, вътрешен доклад или техническа документация. От гледна точка на служителя това често е просто удобен начин да свърши работата си по-бързо. От гледна точка на компанията обаче могат да възникнат въпроси, свързани със защита на личните данни, търговска тайна, професионална конфиденциалност, интелектуална собственост, договорни задължения или надеждността на получените резултати.

Затова първата функция на една добра AI Policy е съвсем практична: да определи кои AI инструменти могат да бъдат използвани и за какво.

Какви данни могат да бъдат въвеждани в AI система?

Един от централните въпроси е каква информация служителите могат да предоставят на генеративните AI системи. Не е разумно правилото просто да гласи „не въвеждайте поверителна информация“. За служителя невинаги е очевидно какво точно попада в тази категория.

Вътрешната политика трябва да даде ясни правила относно клиентски данни, лични данни, специални категории лични данни, договори, непублична финансова информация, технически документи, бизнес стратегии и друга информация, защитена чрез закон или договор.

При използване на AI услуги следва да се преценят и условията на конкретния доставчик – например как се обработват въведените данни, дали те могат да бъдат използвани за подобряване на моделите, къде се обработват и какви договорни и технически гаранции са предоставени.

AI Policy следователно не замества анализа по GDPR или информационната сигурност. Тя трябва да преведе тези изисквания на езика на ежедневната работа.

Може ли служителят просто да използва резултата на ChatGPT?

Друг съществен въпрос е човешкият контрол. Генеративният ИИ може да създава убедително звуча и, но фактически неверни резултати.

Това е особено проблематично при правни, финансови, технически или медицински теми, но рискът съществува и при значително по-обикновени задачи. Затова една AI Policy трябва ясно да определя, че резултатът от AI система не се приема автоматично за правилен само защото е формулиран убедително. В зависимост от конкретната употреба може да е необходима проверка на фактите, източниците, числата или правните изводи преди информацията да бъде използвана или предоставена на клиент. Това има връзка и с правилата за прозрачност по чл. 50 AI Act. При определени AI-generated текстове, изображения, аудио или видео могат да възникнат специални задължения за обозначаване.

Не всички служители трябва да получат еднакво обучение

AI literacy не означава непременно всички служители да преминат един и същ общ курс. Европейската комисия изрично разглежда подхода като зависим от конкретната роля на организацията, използваните AI системи, свързаните с тях рискове и знанията и опита на лицата, които работят с тях. Служител, който използва ChatGPT единствено за езикова редакция, има различни нужди от обучение в сравнение със служител в HR отдел, който използва AI инструмент при подбор на кандидати, или екип, който внедрява AI система в продукт на компанията.

Добрата AI Policy следва именно тази логика. Тя не трябва да бъде общ документ, който забранява всичко, а рамка, която отчита различните приложения и рискове.

Какво трябва да съдържа една AI Policy?

Съдържанието зависи от бизнеса и използваните технологии, но на практика политиката трябва да даде отговор на няколко основни въпроса: кои AI инструменти са разрешени, за какви цели могат да бъдат използвани, какви данни не могат да бъдат въвеждани, кога е необходим човешки преглед, кой носи отговорност за крайния резултат, кога трябва да се обозначава AI-generated content и към кого служителят трябва да се обърне при съмнение или инцидент.

При по-големи организации трябва да бъде уреден и процесът за одобряване на нови AI приложения. В противен случай различни отдели могат да започнат да използват отделни инструменти без предварителна проверка на доставчика, договора, защитата на данните или конкретния риск.

Не по-малко важно е правилата да бъдат реалистични. Политика, която просто забранява използването на генеративен ИИ, лесно може да доведе до обратния резултат – технологията да продължи да се използва, но извън контрола на организацията.

AI Policy и обучението трябва да вървят заедно

Самото изпращане на документ по имейл трудно би било достатъчно като цялостна AI governance стратегия. Комисията посочва като примери за AI literacy различни форми на обучение, включително e-learning, присъствени обучения и други практически инициативи. Съществува и европейско хранилище с над 40 примера за подходи, използвани от компании и публични организации, макар че следването на тези примери само по себе си не създава презумпция за съответствие с AI Act.

Затова правилният модел обикновено е комбинация от ясна вътрешна политика, обучение според ролята на служителите и механизъм за периодично актуализиране на правилата.

Това е особено важно при технология, която се развива значително по-бързо от традиционните вътрешни корпоративни процедури.

Извод

AI Policy не е документ, който AI Act изрично задължава всяка компания да притежава под точно това наименование. Но ако служителите вече използват ChatGPT, Copilot, Gemini или други AI инструменти, въпросът дали предприятието трябва да има ясни правила за тяхното използване практически вече не е теоретичен. Добрата AI Policy не трябва да забранява изкуствения интелект. Нейната цел е да определи къде той може да се използва, кои рискове трябва да бъдат избегнати и кога човекът трябва да остане този, който взема окончателното решение и носи отговорността.