Cum scrii o politică simplă de utilizare AI pentru angajați, freelanceri și colaboratori

O firmă nu are nevoie de un regulament de 40 de pagini pentru a stabili cum poate fi folosită inteligența artificială. Pentru început, este suficientă o politică internă scurtă, clară și adaptată activității reale: ce instrumente pot fi folosite, ce informații nu pot fi introduse, cine verifică rezultatele și cum se raportează o problemă.

Politica trebuie să se aplice tuturor persoanelor care folosesc AI în numele firmei: angajați, freelanceri, agenții, consultanți și alți colaboratori. Articolul 4 din AI Act cere furnizorilor și utilizatorilor profesionali ai sistemelor AI să ia măsuri pentru asigurarea unui nivel suficient de alfabetizare AI în rândul personalului și al persoanelor care folosesc sistemele în numele organizației. Obligația se aplică din 2 februarie 2025, iar nivelul de instruire trebuie adaptat experienței oamenilor și contextului în care este utilizată tehnologia.

Începe cu scopul politicii

Primul paragraf trebuie să explice de ce există documentul:

Această politică stabilește regulile pentru utilizarea instrumentelor de inteligență artificială în activitatea companiei. Scopul este folosirea AI în mod responsabil, sigur și verificabil, fără expunerea informațiilor confidențiale, a datelor personale sau a drepturilor clienților și colaboratorilor.

Evită formulări precum „AI este interzis” dacă firma îl folosește deja informal. O regulă imposibil de respectat va fi ocolită. Este mai util să diferențiezi activitățile permise de cele care necesită aprobare.

Definește ce utilizări sunt permise

Politica poate permite AI pentru schițe, rezumate, brainstorming, traduceri preliminare, organizarea notițelor, formule simple, documentarea codului și pregătirea unor variante de text.

Rezultatele nu trebuie publicate sau trimise automat. Introdu o regulă explicită:

Conținutul generat cu AI trebuie verificat de o persoană competentă înainte de publicare, transmitere către client sau folosire într-o decizie profesională.

Pentru documente juridice, financiare, medicale, contractuale sau tehnice critice, stabilește că AI poate ajuta doar la pregătirea unei versiuni preliminare. Validarea trebuie făcută de persoana responsabilă pentru domeniul respectiv.

Creează o listă cu instrumentele aprobate

Nu permite fiecăruia să încarce informațiile firmei în orice aplicație găsită online. Adaugă un tabel intern cu:

Instrument | Scop aprobat | Tipuri de date permise | Responsabil | Data verificării

Un instrument poate fi aprobat pentru texte publice, dar nu pentru contracte sau date despre clienți. Conturile profesionale trebuie preferate conturilor personale, iar accesul foștilor colaboratori trebuie retras la finalul contractului.

Spune exact ce date sunt interzise

Aceasta este partea cea mai importantă. Angajații nu trebuie să introducă în instrumentele AI publice:

• parole, tokenuri și chei API;
• date bancare sau copii de acte;
• baze de date cu clienți;
• informații medicale ori categorii speciale de date;
• contracte confidențiale;
• cod sursă privat, dacă instrumentul nu este aprobat;
• documente interne care nu sunt necesare sarcinii.

Prelucrarea datelor personale prin sisteme AI trebuie să aibă un temei legal și să respecte principiile GDPR, inclusiv limitarea scopului și reducerea datelor la strictul necesar. Autoritățile europene de protecție a datelor subliniază că folosirea AI generative nu elimină aceste obligații.

Stabilește cine răspunde pentru rezultat

Politica trebuie să spună clar că AI nu devine autorul responsabil al unui email, raport, articol sau fragment de cod. Persoana care folosește rezultatul trebuie să verifice:

Acuratețea informațiilor
Sursele și citările
Calculele și cifrele
Datele și numele persoanelor
Drepturile de autor
Tonul și promisiunile comerciale
Codul și eventualele vulnerabilități

Interzice folosirea exclusiv automată a AI pentru recrutare, evaluarea angajaților, sancțiuni, acces la servicii sau alte decizii care pot afecta semnificativ o persoană, fără analiză juridică și control uman.

Include procedura pentru incidente

Un angajat poate introduce accidental un document confidențial sau poate publica o informație inventată. Politica trebuie să spună cui raportează situația și ce informații transmite:

Instrumentul utilizat
Data și ora incidentului
Informațiile introduse
Rezultatul publicat sau trimis
Persoanele posibil afectate
Acțiunile deja întreprinse

Persoana nu trebuie să ascundă greșeala și nici să încerce să rezolve singură un posibil incident de securitate sau de protecție a datelor.

La final, cere confirmarea citirii politicii și oferă o instruire scurtă cu exemple din activitatea firmei. Comisia Europeană arată că alfabetizarea AI nu presupune neapărat aceeași pregătire pentru toată lumea; instruirea trebuie adaptată instrumentelor, riscurilor și responsabilităților fiecărui rol.

Politica trebuie revizuită periodic, atunci când firma introduce un instrument nou, schimbă furnizorul sau începe să folosească AI pentru o activitate cu risc mai mare. Documentul nu înlocuiește consultanța juridică pentru situații complexe, dar oferă echipei reguli clare pentru utilizarea zilnică.

Surse folosite

Comisia Europeană – AI Literacy: Questions & Answers
Comisia Europeană – AI Act și calendarul de aplicare
Comisia Europeană – Living Repository of AI Literacy Practices
European Data Protection Board – Opinion 28/2024 on AI Models
European Data Protection Supervisor – Orientations for Using Generative AI
Comisia Europeană – Guidelines on Prohibited AI Practices