Как составить политику использования ИИ для сотрудников

Зачем нужна политика и что в ней должно быть

Сотрудники уже пользуются ChatGPT, Claude и другими сервисами — с политикой или без. Без правил кто-то вставит в чат договор с клиентом, а кто-то отправит клиенту текст с выдуманными фактами. Политика использования ИИ не запрещает, а задаёт рамки: что можно, что нельзя и кто отвечает.

Минимальная структура:

1. Цель и область действия — на кого распространяется.
2. Разрешённые инструменты — список и условия.
3. Запрещённые данные — что нельзя вводить никуда.
4. Проверка результатов — человек отвечает за итог.
5. Раскрытие — когда сообщать, что использовался ИИ.
6. Ответственность и нарушения — кто следит и что будет.
7. Пересмотр — как часто обновляется документ.

Разрешённые инструменты

Составьте белый список вместо попыток перечислить всё запрещённое.

• Укажите конкретные сервисы и тип аккаунта: корпоративный тариф часто имеет другие условия хранения и обучения на данных, чем личный бесплатный.
• Опишите, как получить доступ и как запросить новый инструмент.
• Отдельно оговорите расширения браузера, плагины и ИИ-функции в уже используемых программах — они тоже отправляют данные.

Запрещённые данные

Это самая важная часть. Перечислите категории конкретно, без абстракций:

• персональные данные клиентов и сотрудников (паспорта, телефоны, адреса, медицинские данные);
• платёжные данные, номера карт и счетов;
• пароли, API-ключи, токены, доступы к серверам;
• коммерческая тайна: договоры, цены поставщиков, финансовая отчётность до публикации;
• исходный код закрытых проектов — если инструмент не одобрен для этого отдельно;
• данные, переданные клиентами по соглашению о конфиденциальности.

Дайте сотрудникам простое правило: если не опубликовали бы это на сайте компании — не вставляйте во внешний ИИ-сервис без одобренного инструмента. Учитывайте требования закона о персональных данных вашей страны.

Проверка результатов

ИИ ошибается уверенно: придумывает факты, ссылки, цифры, нормы закона.

• Ответственность за результат несёт сотрудник, а не инструмент.
• Факты, цифры, цитаты и ссылки проверяются по первоисточнику.
• Код проходит обычное ревью и тесты.
• Юридические, финансовые и медицинские тексты обязательно смотрит профильный специалист.

Раскрытие использования ИИ

Определите, когда нужно сообщать об ИИ:

• клиенту — если он общается с ботом, а не с человеком;
• в документах для клиента — если этого требует договор;
• внутри команды — если текст или код в основном сгенерирован.

Также зафиксируйте права: кто владеет результатами и можно ли использовать сгенерированные изображения в рекламе.

Шаблон политики

Политика использования ИИ — [Компания]
Действует с: [дата]. Ответственный: [должность].

1. Область: все сотрудники и подрядчики с доступом к данным компании.
2. Разрешённые инструменты: [список, тип аккаунта].
   Новые инструменты — по заявке [кому].
3. Запрещено вводить: персональные данные, платёжные данные,
   пароли и ключи, коммерческую тайну, данные клиентов под NDA.
4. Проверка: сотрудник отвечает за результат. Факты и цифры
   проверяются по источнику, код проходит ревью.
5. Раскрытие: клиенты знают, когда общаются с ботом.
6. Нарушения: сообщить [кому] сразу при утечке данных.
7. Пересмотр: [периодичность].

Как внедрить

• Обсудите черновик с юристом, ИТ-безопасностью и руководителями отделов.
• Проведите короткое обучение с примерами «можно / нельзя».
• Назначьте ответственного и канал для вопросов.
• Пересматривайте документ регулярно: инструменты и их условия меняются быстро.