Как написать политику использования ИИ, которой команда будет следовать

Начните с того, что люди уже делают

До первого написанного слова выясните, как ИИ используется в вашей организации сегодня. Не по санкционированному списку, а по реальному. Авансовые отчёты показывают личные подписки. Логи браузера и удостоверений показывают, в какие ассистенты люди входят. Короткий ненаказуемый опрос о том, чем пользуются и для чего, даст честные ответы, если явно не выглядит проверкой, — и ответы обычно окажутся будничнее и распространённее, чем ожидает руководство.

Это важно, потому что политика, написанная под воображаемую ситуацию, запретит то, чего никто не делает, и промолчит о том, что полкомпании делает ежедневно. Она же покажет, какие потребности настоящие: политика, тихо запрещающая рабочий процесс, от которого люди зависят, этот процесс не остановила. Она перенесла его на личный аккаунт, где у вас нет ни контроля, ни видимости.

Называйте инструменты, а не категорию

Сотруднику за столом в девять утра нужно понять, разрешено ли то, что перед ним. Формулировка «ассистенты корпоративного уровня с надлежащими договорными гарантиями» на этот вопрос не отвечает, и человек разрешит неоднозначность в ту сторону, которая позволит закончить работу. Перечислите одобренные инструменты поимённо, с указанием тарифа там, где это важно: бесплатный и платный планы одного продукта часто различаются ровно теми условиями, которые вас волнуют.

Держите список там, где он меняется без переиздания политики, — на связанной странице с владельцем, ведущим процесс одобрения. Политика формулирует правило; список — операционные данные, и их сцепка означает, что список устаревает со скоростью пересмотра документов, а не со скоростью рынка.

Используйте уже имеющуюся классификацию данных

У большинства организаций уже есть метки для данных, как бы они ни назывались: публичные, внутренние, конфиденциальные, ограниченного доступа. Возьмите их и укажите, какие классы допустимы в каких инструментах. Изобретение отдельного словаря под ИИ создаёт вторую схему, которую придётся выучить и согласовать с первой, а согласование будет выполняться наугад в момент использования.

Там, где нужна специфика для ИИ, оставайтесь конкретны: записи клиентов, учётные данные и токены доступа, неопубликованная финансовая отчётность, всё, что связано обязательством конфиденциальности перед третьей стороной, персональные данные идентифицируемых людей. И скажите, что делать в случае сомнения, — именно этот случай правила не покроют, а названный человек или канал, куда можно спросить, стоит больше ещё одного абзаца определений.

Скажите, что происходит с результатом

Большинство политик описывают ввод и на этом останавливаются. Более частый провал остаётся без внимания: гладкий неверный ответ едет дальше, потому что выглядел законченным. Сформулируйте ожидание по проверке для тех результатов, которые важны. Нужно ли ревью человеком для кода, написанного с ИИ, до слияния. Нужно ли, чтобы черновик клиенту кто-то прочитал. Можно ли публиковать сгенерированный материал, не сообщая об этом. Нужно ли прослеживать цифру в отчёте до источника.

Подавайте это как проверку, которой работа заслуживает и так, а не как бюрократию ради ИИ. Никто ведь не сливает без ревью и код нового подрядчика. Такая рамка делает требование интуитивным и снимает впечатление, будто результат ИИ под подозрением, а всё остальное — вне его.

Дайте маршрут для запроса

Любой запретительной политике нужна дверь. Если человеку нужен инструмент не из списка, должен быть способ его запросить, объявленный срок ответа и реальный шанс услышать «да». Без этого одобренный список превращается в потолок возможностей организации, а зазор между потолком и потребностью заполняется неуправляемыми аккаунтами. Маршрут запроса с ответом за две недели делает для соблюдения правил больше, чем ещё страница запретов.

Пусть она будет короткой и находимой

Политика, которую нельзя найти, — политика, которой нельзя следовать. Одна страница, ссылка оттуда, где живут инструменты, упоминание в онбординге и язык, на котором говорят люди, а не договорная проза. Если чтение занимает больше пары минут, вместе с необязательными частями пропустят и важные, а длина — не доказательство строгости.

Считайте её живым документом

Назначьте владельца и дату пересмотра. Область меняется достаточно быстро, чтобы политика годичной давности называла переименованные или закрытые продукты и молчала о возможностях, которых при написании не существовало, а документ с очевидными признаками устаревания учит людей, что неактуально в нём всё.

Затем следите за запросами на исключения: это лучшая доступная обратная связь о том, верна ли политика. Несколько однотипных запросов означают, что правило неверно или одобренные варианты не закрывают настоящую потребность, и правильный ответ — изменить правило, а не выдавать одну и ту же поблажку снова. Политика, не порождающая исключений, не обязательно хорошо написана — возможно, в неё просто никто не заглядывает.