Pravila za korišćenje AI na poslu: koje podatke zaposleni sme da unese?

1. Objavite spisak odobrenih alata pre pravila za promptove

Navedite tačnu uslugu, vrstu naloga, vlasnika i dozvoljenu svrhu. Rečenica „ChatGPT je dozvoljen“ nije dovoljno precizna: lični nalog, poslovno okruženje kojim upravlja firma i API integracija mogu da imaju različite uslove, čuvanje, pristupe i administraciju. Zapišite ko dodaje korisnike, da li su linkovi za deljenje dozvoljeni i kome zaposleni prijavljuje potrebu za novom funkcijom ili alatom.

Proverite aktuelnu dokumentaciju proizvođača i potpisani ugovor. OpenAI, na primer, navodi da podatke organizacija iz imenovanih poslovnih proizvoda i API platforme podrazumevano ne koristi za obuku modela, uz opis enkripcije i kontrola čuvanja. To je tvrdnja za određene proizvode, a ne razlog da pretpostavite da svaki paket, nalog ili drugi dobavljač radi isto. Ponovite proveru kada se promeni paket, podešavanje, integracija ili uslov dobavljača.

• Tačan proizvod, paket i poslovno okruženje.
• Dozvoljeni i zabranjeni zadaci.
• Vlasnik okruženja, pristup korisnika i pravila deljenja.
• Datum i odgovorna osoba za sledeću proveru.

2. Razvrstajte ulazne podatke u tri nivoa koja zaposleni prepoznaju

Zeleni nivo obuhvata javni, namerno izmišljen ili bezbedno anonimizovan materijal za odobren zadatak sa malim rizikom. Primeri su preoblikovanje već objavljenog opisa proizvoda, priprema dnevnog reda iz opštih stavki ili test prompta sa izmišljenim imenima klijenata i iznosima. Pri anonimizaciji uklonite i detalje koji se kombinovanjem mogu povezati sa osobom, klijentom, pregovorima ili internom odlukom.

Žuti nivo je nejavni materijal koji može biti koristan, ali zahteva odobreno poslovno okruženje i imenovanog vlasnika procesa: interni postupak, neobjavljen nacrt ili ograničen skup podataka za konkretan tok rada. Crveni nivo znači stanite i pitajte: lozinke i API ključevi, osetljivi lični podaci, pravni saveti, kadrovski slučajevi, poverljiva dokumenta klijenata, izvorni kod ili komercijalni uslovi koje firma nema pravo da otkrije. Primere prilagodite svojim ugovorima i pravilima klasifikacije informacija.

• Zeleno: javni, izmišljeni ili stvarno anonimizovani podaci.
• Žuto: odobreni interni podaci samo u odobrenom postupku.
• Crveno: tajne, osetljivi lični podaci ili ograničen materijal treće strane.
• Nejasno: pre slanja pitajte vlasnika informacije.

3. Odredite zadatak, ne samo vrstu podataka

Isti tekst može da bude prihvatljiv za jednu svrhu, a neprihvatljiv za drugu. Predlog tri naslova na osnovu javne objave nije isto što i odluka koji klijent dobija odloženo plaćanje ili koji kandidat ide u sledeći krug. Za svaki odobreni slučaj navedite dozvoljeni ulaz, očekivani rezultat, obaveznog pregledavača i radnju koju alat nikada ne sme da izvrši.

Počnite radom koji može da se vrati: nacrti, varijante teksta, razvrstavanje malog anonimizovanog uzorka ili izdvajanje polja koja proverava zaposleni. Ne dozvolite da test neprimetno postane automatizovana odluka ili poruka ka klijentu. Ako rezultat utiče na novac, zaposlenje, prava, bezbednost, obećanje klijentu ili pristup usluzi, pre uvođenja uključite odgovornu poslovnu, pravnu, bezbednosnu ili osobu zaduženu za zaštitu podataka.

• Svrha i uloga zaposlenog koji koristi alat.
• Dozvoljeni ulaz i izvor informacije.
• Osoba koja proverava i prihvata rezultat.
• Radnje i odluke koje ostaju van alata.

4. Ljudska provera treba da bude stvarna, ne formalna

„Čovek proverava“ nije kontrola ako pregledavač ne zna šta proverava ili nema dovoljno vremena i izvornog materijala. Za svaki tok rada pripremite listu: tačnost činjenica, nedostajući kontekst, nepotkrepljene tvrdnje, poverljiv sadržaj, pristrasne formulacije, proračuni, linkovi i interna pravila. Osoba koja pošalje ili sačuva rezultat ostaje odgovorna za konačan rad.

NCSC upozorava da veliki jezički modeli mogu da daju uverljive, ali pogrešne odgovore. Dubina provere zato treba da prati posledicu, ne kvalitet stila. Interni nacrt ideja možda traži brzu proveru, dok ponuda klijentu, finansijsko uputstvo, HR dokument ili tehnička promena zahtevaju nezavisne dokaze i, kada je potrebno, stručnu potvrdu. U obuci sačuvajte i nekoliko neuspelih primera kako bi zaposleni videli kako izgleda uverljiva greška.

5. Objasnite šta zaposleni radi ako greškom nalepi osetljiv podatak

Korisna pravila opisuju odgovor posle greške i ne podstiču prikrivanje. Zaposleni treba da prekine razgovor, ne dodaje novi kontekst, sačuva samo podatke potrebne za proveru i prijavi događaj kroz postojeći kanal za bezbednost ili privatnost. Odgovorna osoba zatim proverava podešavanja naloga, podeljene linkove, opcije čuvanja, ugovorne obaveze i da li su potrebni dalji koraci prema pogođenim osobama ili klijentima.

Nemojte obećati da brisanje razgovora poništava svaki oblik obrade i nemojte improvizovati pravni zaključak. Zabeležite šta je uneto, koji nalog i okruženje su korišćeni, kada se dogodilo, ko je mogao da pristupi i koja hitna mera je preduzeta. Iskoristite slučaj za poboljšanje primera, pristupa ili obuke, umesto da samo dodate još jednu rečenicu upozorenja.

• Prekinite rad i prijavite događaj kroz imenovani kanal.
• Zabeležite alat, okruženje, vreme i vrstu podataka.
• Sa odgovornom osobom proverite deljenje, čuvanje i pristup.
• Posle pregleda poboljšajte kontrolu ili obuku.

6. Prilagodite obuku ulogama i proveravajte pravila kroz stvaran rad

Radionica od dvadeset minuta sa primerima iz prodaje, finansija, operative i HR-a korisnija je od opšte lekcije o pisanju promptova. Zaposleni treba da razvrstaju probne podatke, odrede pregledavača i uvežbaju slučaj „stanite i pitajte“. Evropska komisija navodi da mere AI pismenosti treba da uzmu u obzir znanje zaposlenih, sisteme koje koriste, rizike i kontekst; ne propisuje isti kurs za svaku organizaciju.

Pregledajte pravila posle prvog meseca, a zatim kada se promene alati, procesi ili uslovi dobavljača. Koristite pitanja, odbijene rezultate, skoro nastale greške i dobre odobrene primere. Zbirka Evropske komisije prikazuje različite prakse obuke, ali upozorava da kopiranje jednog primera samo po sebi ne dokazuje usklađenost. Ovaj vodič je operativna polazna tačka, a ne pravni, bezbednosni ili savet o zaštiti podataka za vašu firmu.