Політика використання AI в компанії: що в ній має бути і як її ввести

Більшість українських компаній вже використовують AI — часто неświadомо. Менеджер копіює текст у ChatGPT, маркетолог генерує зображення через Midjourney, а бухгалтер просить AI пояснити податок. Без чіткої політики це створює ризик витоку даних, порушення авторських прав або непередбачувані витрати.

Коротко

• Політика AI визначає, які дані можна завантажувати в зовнішні моделі, а які — заборонено.
• Вона включає правила перевірки відповідальності: хто відповідає за помилки AI.
• Впровадження починається з аналізу реального використання AI у компанії.

Які ризики створює відсутність політики

Співробітник може випадково завантажити клієнтську базу в публічний чат-бот — це порушення Закону про захист персональних даних. Якщо AI згенерує текст, який повністю копіює чужу статтю, компанія може отримати претензію щодо порушення авторського права. Якщо модель дасть неправильну пораду — наприклад, по податку — та компенсація лягає на бізнес, якщо немає внутрішніх правил перевірки.

Що має входити в політику AI

Документ не повинен бути довгим. Достатньо 5–7 пунктів, які покриють основні сценарії використання:

1. Джерела даних — що можна завантажувати в зовнішні AI-інструменти (наприклад, anonymized звіти), а що заборонено (персональні дані клієнтів, фінансові звіти, комерційна тайни).
2. Перевірка згенерованого вмісту — обов'язкова фактчекінг AI-відповідей перед використанням у зовнішніх комуніках або документах.
3. Відповідальність — за помилки AI відповідає співробітник, який його використав, а не IT-відділ або зовнішній провайдер.
4. Затверджені інструменти — список дозволених сервісів (ChatGPT Team, Claude Pro, власні моделі) та процедура додавання нових.
5. Навчання — обов'язковий інструктаж для всіх, хто використовuje AI в роботі.
6. Звіт про інциденти — процедура повідомлення про можливий витік даних або помилку AI.
7. Оновлення — політика переглядається кожні 6 місяців або при зміні законодавства.

Як розробити політику без юриста

Почніть з анкеті: запитайте керівників відділів, які дані їхні команди вже завантажують в AI. Це покаже реальні практики та пробіли. Потім сформуйте список заборон на основі Закону про захист персональних даних та рекомендацій Нацкомфінслуги (для фінансових даних). Для остаточної версії достатньо шаблону — наприклад, нашої безкоштовної оргсхеми, яка показує, де в компанії можливий ризик.

Визначення: Персональні дані — будь-яка інформація, за якою можна ідентифікувати особу (ім'я, email, номер телефону, IP-адреса). Визначення: Anonymized дані — дані, з яких видалений усі інформаційний матеріал, що дозволяє ідентифікувати особу, і відновлення якої неможливо. Визначення: Комерційна тайни — інформація, яка має економічну цінність через те, що не є загальновідомою, і щодо якої вчинено розумних заходів щодо її збереження в таємниці.

Кроки впровадження політики

Тиждень 1 — Проведіть анонімне опитування: хто використовує AI, для яких задач і які дані завантажує. Тиждень 2 — На основі результатів створіть проєкт політики (до 2 сторінок) та обговоріть його з керівниками відділів. Тиждень 3 — За затвердженням керівництва розішліть документ усім співробітникам та проведіть 30-хвилинний інструктаж (можна у форматі записаного відео). Місяць 2 — Додайте політику до нових посадових інструкцій та очікуйте перші сигнали про порушення (наприклад, через чат з IT-відділом).

Як залучити команду до дотримання

Люди дотримуються правил, якщо розуміють, чому вони потрібні. На зборех покажіть реальний приклад: як завантаження списку клієнтів в публічний чат може призвести до штрафу до 50 000 грн. Заохочуйте звіти про можливі ризики — наприклад, благодарностью у корпоративному чаті за те, що співробітник помітив, що колега завантажив конфіденційний файл.

Як це виглядає у нас: На корпоративному інтенсиві ми навчаємо керівників визначати пріоритетні задачі для AI та створювати працюючі автоматизації на їх даних. Після завершення програми компанія отримує мінімум 3 робочих інструменти, які вибирала сама, з гарантією повернення грошей, якщо результат не буде досягнуто. https://course.aiadvisoryboard.me/corporate?utm_source=blog&utm_medium=article_body&utm_campaign=corporate

Часті питання

Чи потрібна політика, якщо ми використовуємо тільки корпоративні версії AI (ChatGPT Team, Claude Pro)? Так. Корпоративні тарифи не знімають відповідальності за вміст, який ви створюєте. Вони лише забезпечують, що ваші дані не використовуються для навчання моделей — але ви все ще можете завантажити конфіденційну інформацію та отримати помилковий результат.

Чи можна забороняти AI повністю? Технічно — так, але на практиці це не працює. Співробітники будуть використовувати особисті акаунти, і ви втратите контроль. Краще дозволити використання з чіткими правилами, ніж боротися з тіньовим використанням.

Як часто оновлювати політику? Минімум раз на рік, але краще — кожні 6 місяців, оскільки законодавство та можливості AI швидко змінюються. Якщо у компанії з'явився новий відділ, що працює з персональними даними (наприклад, HR), політику потрібно переглянути одразу.

Висновок

Політика AI — це не про обмеження, а про безпечне використання інструментів, які вже є в компанії. Почніть з аналізу реального використання, створіть простий документ з правилами даних та відповідальності, а потім навчайте команду. Завтра зробить перший крок: запитайте п'яти відділ têtes, які дані вони завантажують у ChatGPT або подібні інструменти.