در بسیاری از شرکت‌ها، پیش از آنکه مدیریت تصمیمی بگیرد، کارمندان خودشان سراغ چت‌بات‌های هوش مصنوعی رفته‌اند: کارشناس فروش با آن ایمیل می‌نویسد، حسابدار جدولی را در آن کپی می‌کند تا خلاصه بگیرد و برنامه‌نویس بخشی از کد را برای رفع خطا در آن می‌چسباند. این استفاده پنهان، که گاهی Shadow AI نامیده می‌شود، هم بهره‌وری می‌آورد و هم ریسک؛ چون معلوم نیست چه داده‌ای کجا رفته است. سیاست استفاده از هوش مصنوعی قرار نیست جلوی این ابزارها را بگیرد؛ قرار است استفاده از آن‌ها را قابل‌اعتماد کند.
چرا ممنوعیت کامل جواب نمی‌دهد؟
ممنوع کردن کامل معمولاً فقط استفاده را پنهان‌تر می‌کند: کارمند با گوشی و حساب شخصی همان کار را انجام می‌دهد و شرکت دیگر هیچ کنترلی ندارد. رویکرد بهتر این است که ابزارهای مجاز مشخص شوند، مرز داده‌ها روشن باشد و مسئولیت نتیجه با انسان بماند.
سیاست شما باید به این سؤال‌ها جواب دهد
- چه ابزارهایی مجازند؟ فهرست سرویس‌های تأییدشده و اینکه با حساب سازمانی استفاده شوند یا شخصی. حساب سازمانی امکان مدیریت متمرکز و لغو دسترسی هنگام خروج کارمند را می‌دهد و گاهی شرایط بهتری برای نگهداری داده دارد؛ این شرایط بین سرویس‌ها و پلن‌ها متفاوت است و تغییر می‌کند.
- چه داده‌ای هرگز نباید وارد شود؟ مثلاً رمزها و کلیدهای دسترسی، اطلاعات شخصی مشتریان و کارکنان، قراردادها، اطلاعات مالی محرمانه، نقشه و تنظیمات شبکه و کد منبع اختصاصی.
- چه کاربردهایی آزاد، مشروط یا ممنوع‌اند؟ نوشتن پیش‌نویس یک ایمیل عمومی شاید آزاد باشد؛ تحلیل داده مشتری فقط با ابزار تأییدشده؛ و تصمیم درباره استخدام یا اعتبار مشتری فقط با بازبینی انسانی.
- چه کسی مسئول خروجی است؟ همیشه کسی که از ابزار استفاده کرده است. خروجی هوش مصنوعی ممکن است اشتباه، ناقص یا شبیه محتوای دیگران باشد و باید پیش از استفاده بررسی شود.
- کجا باید شفاف بود؟ مثلاً اینکه مشتری بداند با دستیار خودکار صحبت می‌کند، یا اینکه کدام متن‌های منتشرشده با کمک هوش مصنوعی تهیه شده‌اند.
- اگر خطایی رخ داد چه کنیم؟ اگر کسی اشتباهاً اطلاعات محرمانه وارد کرد، باید بداند به چه کسی و چقدر سریع گزارش دهد.
داده‌ها را به چند سطح ساده تقسیم کنید (عمومی، داخلی، محرمانه، بسیار محرمانه) و برای هر سطح بنویسید با کدام ابزار مجاز است. این از یک فهرست طولانی ممنوعیت‌ها کاربردی‌تر است.
چطور اجرایش کنیم؟
- با واحدها بنویسید، نه برای آن‌ها: از فروش، مالی، فنی و منابع انسانی بپرسید از هوش مصنوعی برای چه کاری استفاده می‌کنند. سیاستی که با کار واقعی جور نباشد، دور زده می‌شود.
- کوتاه بنویسید: دو تا سه صفحه با مثال‌های روشن بهتر از سندی بیست‌صفحه‌ای است که کسی نمی‌خواند.
- آموزش کوتاه داخلی: یک جلسه با مثال‌های واقعی از «این را بنویسید» و «این را ننویسید».
- کنترل‌های فنی: دسترسی به سرویس‌های تأییدشده با حساب‌های سازمانی و در صورت امکان ورود یکپارچه (SSO)، دسته‌بندی این سرویس‌ها در فایروال یا پراکسی و در صورت نیاز ابزارهای جلوگیری از نشت داده (DLP).
- مالک مشخص: یک نفر یا کمیته‌ای کوچک که درخواست‌های ابزار جدید را بررسی کند.
اشتباهات رایج
- نوشتن سیاست و فراموش کردن آن؛ ابزارها و شرایطشان مدام تغییر می‌کنند و سیاست باید دست‌کم سالی یک‌بار، و هر بار که ابزار تازه‌ای وارد می‌شود، بازبینی شود.
- نادیده گرفتن افزونه‌های مرورگر و قابلیت‌های هوش مصنوعی که داخل نرم‌افزارهای موجود فعال می‌شوند.
- تکیه بر ادعاهای تبلیغاتی سرویس‌ها به‌جای خواندن شرایط استفاده.
- نوشتن بندهای حقوقی قطعی بدون مشورت با مشاور حقوقی شرکت.
چک‌لیست
- فهرست ابزارهای مجاز و نوع حساب مشخص است.
- سطح‌بندی داده‌ها و قاعده هر سطح نوشته شده است.
- مسئولیت بازبینی خروجی با کاربر است و این در سیاست آمده است.
- مسیر گزارش خطا و نشت داده تعریف شده است.
- کارکنان آموزش کوتاه دیده‌اند و سیاست را تأیید کرده‌اند.
- مالک سیاست و تاریخ بازبینی بعدی مشخص است.
سیاست خوب روی کاغذ کافی نیست و به کنترل‌های فنی در شبکه و حساب‌های کاربری هم نیاز دارد. کارشناسان ITPlus724 می‌توانند در پیاده‌سازی بخش فنی آن، مثل تنظیم فایروال، مدیریت حساب‌ها در Active Directory و حفاظت از داده‌ها، کنار تیم شما باشند.