Безопасная работа с ИИ: данные, доступы и правила сотрудников

Составить перечень сценариев

У сотрудников могут быть разные задачи: черновики писем, анализ таблиц, поиск по инструкциям или помощь клиентам. Запишите их вместе с используемыми сервисами и документами. Так проще увидеть, где в запрос может попасть информация ограниченного доступа. Не требуется собирать содержимое частных переписок: для первого разбора достаточно описания действий, типов данных и существующих правил организации.

Разделить категории информации

Открытые материалы, внутренние инструкции, персональные данные и коммерческая информация требуют разных решений. Для каждой категории нужно определить разрешённые действия и ответственного за согласование. Удаление имени из текста не всегда делает документ безопасным: человека или организацию иногда можно узнать по остальным деталям. Поэтому обезличенные примеры тоже проверяются перед использованием, а спорные материалы не передаются через публичный чат или форму.

Согласовать сервисы и доступы

Укажите, какие инструменты разрешены, кто может подключать новые и какие настройки нужно проверить. Доступ к документам должен соответствовать роли пользователя. Отдельно рассматриваются сотрудники подрядчика и техническая поддержка. Важны условия хранения запросов, использование данных сервисом и возможность отключения интеграции. Универсального списка безопасных сервисов для любой организации нет: решение зависит от данных, договорных условий и архитектуры.

Описать проверку результата

Черновики, расчёты и ответы ассистента должны проходить проверку соразмерно последствиям ошибки. Для сообщения клиенту сверяют факты и условия, для документа — реквизиты и источники, для кода — поведение в испытаниях. Ответ сотрудственного помощника не подменяет решение ответственного специалиста. В правилах полезно описать, когда требуется согласование и как сообщать об обнаруженных ошибках или нежелательной передаче информации.

Сделать правила рабочими

Краткая инструкция с примерами обычно полезнее документа, который никто не открывает. Подготовьте разрешённые сценарии, запрещённые виды данных, способ обратиться за согласованием и порядок действий при ошибке. Правила обсуждаются с ИТ, ответственными за данные и владельцами процессов. Настройки и ограничения проверяются технически. Для требований законодательства и регуляторов нужен разбор конкретного объекта; наличие политики само по себе не подтверждает соответствие всей системы.

Подготовка и ожидаемый результат

Частые вопросы

Следующий шаг