Směrnice pro používání AI ve firmě: osnova deseti bodů

Co tahle osnova je a co není

Osnova je dokument, který mají lidé ve firmě přečíst: deset bodů a u každého konkrétní odpověď vaší firmy. Není to hotová směrnice ke zkopírování. Znění každého bodu níže je převzaté doslova z PDF Českého institutu pro AI a data (podklad 04, strana 4 ze 6). Pod ním je postup, jak bod ve vaší firmě vyplnit. Ten postup je praktický návod CIAD, ne právní výklad.

Osnova se dělí na dva oddíly. Rámec (body 01 až 05) říká, co ve firmě platí. Provoz (body 06 až 10) říká, jak se pravidla v praxi hlídají a řeší. Podklad uvádí, že osnovu CIAD vyplňuje společně s týmem na školení.

Proč deset bodů a ne dlouhá směrnice

Podklad to shrnuje větou, že pravidla, která nikdo nečetl, nikoho nechrání. Deset bodů projednaných s týmem podle něj funguje lépe než dlouhá směrnice, kterou všichni odklikli, a doložitelnost stojí na tom, že se podle pravidel opravdu pracuje. Dokument má být krátký a konkrétní, projednaný a ne jen rozeslaný, s datem a revizí.

Jako východisko podklad uvádí pět typových rizik: firemní data ve veřejných nástrojích, podvržené instrukce v dokumentech, agenti s neschválenými přístupy, stínové používání AI a nekontrolovaný výstup. Podle něj žádné z nich nevzniká z technologie, ale z chybějícího rozhodnutí o tom, co je schválené, kdo to kontroluje a kam data patří.

Rámec pravidel, body 01 až 05

01 Komu pravidla platí

Zaměstnanci, brigádníci i externisté. Kdo pracuje s firemními daty.

Jak bod vyplnit: rozhodující je práce s firemními daty, ne typ smlouvy. Projděte, kdo ve firmě s daty pracuje, a vypište skupiny osob jmenovitě. Doplňte i ty, které se snadno přehlédnou, například externisty na dlouhodobé zakázce. Skupina, která v bodě 01 chybí, zůstane mimo pravidla.

02 Schválené nástroje a účty

Jmenovitý seznam. Co na něm není, se nepoužívá pro pracovní účely.

Jak bod vyplnit: u každého nástroje uveďte jeho název, účel a typ účtu. Podklad doporučuje firemní účty placené firmou místo soukromých, protože jinak zůstanou soukromé účty, jen skrytější. Seznam sestavte dřív, než cokoli zakážete: zákaz bez schválené alternativy vyrábí přesně to riziko stínového používání, kterému má zabránit. Jak záznam v seznamu podrobně vypadá, popisuje odpověď Jak má vypadat katalog schválených AI nástrojů. Rozdíl mezi osobním a firemním účtem rozebírá Bezplatný nebo firemní účet AI.

03 Klasifikace dat

Tři úrovně z předchozí strany, doplněné o vaše specifické případy.

Jak bod vyplnit: převezměte tři úrovně z tabulky níže a ke každé připište případy typické pro váš obor. Pravidlo se udrží, jen když je jednoduché; kdo neví, kam co patří, se ptá předem.

Podklad zařazuje typické situace takto:

Zařazení je vodítko, ne právní posouzení. U osobních údajů rozhoduje GDPR a smlouva s poskytovatelem, u dat klientů vaše smlouva s klientem.

04 Pravidla pro výstup

Co se kontroluje, co potřebuje zdroj a co se označuje jako AI výstup.

Jak bod vyplnit: napište tři krátké seznamy, každý se svým pravidlem. První určuje, co se kontroluje vždy a kdo kontroluje. Druhý určuje, jaké údaje potřebují zdroj; podklad k tomu uvádí, že údaj bez dohledatelného zdroje se nepoužívá a že kontrola je součást úlohy. Třetí určuje, kdy a jak se text označí jako výstup AI. Důvod je v pátém riziku: číslo nebo citace se použijí bez ověření jen proto, že zněly přesvědčivě.

05 Co AI nerozhoduje

Výslovný seznam: lidé, ceny nad limit, právní stanoviska, cokoli bez podpisu.

Jak bod vyplnit: seznam nechte v této podobě a doplňte jen to, co je vaše. Limit pro ceny určuje firma, proto do bodu patří vaše hodnota, ne obecná. K tomu se hodí zásada z přehledu rizik: obsah se nikdy nebere jako příkaz a žádná akce navenek se neděje bez potvrzení člověkem.

Provoz pravidel, body 06 až 10

06 Přístupy nástrojů

Kdo je schvaluje, v jakém rozsahu a jak často se prověřují.

Jak bod vyplnit: určete jméno nebo roli schvalujícího, rozsah přístupu a interval prověrky. Podklad vychází z principu nejmenšího oprávnění ve čtyřech zásadách. Nástroj má přístup jen na svoji úlohu, takže nástroj na nabídky nepotřebuje vidět mzdy ani celou poštu. Používá oddělený účet, ne osobní účet zaměstnance. Čtení jde před zápisem, protože právo měnit a odesílat je výjimka. A seznam povolených přístupů se prochází po každé změně a pravidelně. Jak často, podklad nestanoví, interval si zvolte sami. Když potřebuje někdo nástroj, který na seznamu chybí, pomůže žádost o výjimku pro AI nástroj.

07 Osobní údaje

Odkaz na vaši GDPR dokumentaci a jmenování odpovědné osoby.

Jak bod vyplnit: nepřepisujte do pravidel GDPR. Stačí odkaz na dokumentaci, kterou firma už má, a jméno nebo role odpovědné osoby. Podklad u životopisů uchazečů uvádí, že patří mezi chráněná data a bez posouzení a právního titulu ne. Obecnější vodítko je v jeho poznámce: u osobních údajů rozhoduje GDPR a smlouva s poskytovatelem. CIAD právní služby neposkytuje. Ohlašovací povinnost po incidentu podle podkladu posuzuje odpovědná osoba nebo advokát a konkrétní situaci podklad neposuzuje.

08 Zákazníci a třetí strany

Kdy je informujete, co máte ve smlouvách a co vyžadují oni.

Jak bod vyplnit: projděte smlouvy se zákazníky a dodavateli a poznamenejte, co v nich o práci s daty stojí. Podklad k datům klienta pod mlčenlivostí uvádí, že rozhoduje smlouva s klientem a že to obvykle vylučuje i schválený nástroj. Do bodu napište, v jakých situacích a kdo třetí strany informuje.

09 Hlášení incidentu

Komu a do kdy se hlásí únik. Bez sankce za nahlášení.

Jak bod vyplnit: uveďte konkrétní osobu nebo schránku a lhůtu, kterou si firma sama stanoví. Větu o sankci ponechte: podle podkladu se za nahlášení nikdo netrestá, jinak se příště nedozvíte nic. Pod bod se hodí čtyři kroky, které podklad uvádí v oddílu Když se něco stane.

1. Zastavit, ne zakrývat. Odebrat přístup nebo vypnout postup, teprve pak řešit, co se stalo.
2. Zjistit rozsah. Jaká data se toho týkají, kdo je vložil a kam odešla.
3. Posoudit ohlašovací povinnost. U osobních údajů platí lhůty podle GDPR. Posuzuje odpovědná osoba nebo advokát, ne ten, kdo incident způsobil.
4. Upravit pravidlo, ne jen člověka. Opakovatelný incident znamená chybějící pravidlo a poučení patří do dokumentu, ne do e-mailu.

10 Evidence a revize

Kdo byl proškolen a kdy se pravidla posuzují znovu.

Jak bod vyplnit: napište, kde se vede evidence školení a kdo ji spravuje, a určete datum, kdy se pravidla posuzují znovu. Podklad k tomu v kontrolním seznamu uvádí založení složky s evidencí školení a nastavení termínu revize. Jak se školení a doklady o něm obhajují při kontrole, rozebírá odpověď Jak prokázat AI gramotnost zaměstnanců při kontrole. Soupis toho, kdo co k čemu používá, podklad označuje zároveň za první část evidence podle AI Actu.

Od čeho začít

Podklad doporučuje pořadí, které je podle něj záměrné: první tři kroky nestojí nic a odstraní většinu rizika.

1. Zjistit, co se ve firmě dnes používá a k čemu.
2. Sepsat, co se nikdy nikam nevkládá.
3. Určit odpovědnou osobu za pravidla.

Další kroky kontrolního seznamu jsou vybrat a schválit nástroj pro interní data, zavést firemní účty místo soukromých, projít přístupy, které už nějaký nástroj má, proškolit lidi, kteří s AI pracují, založit složku s evidencí školení a nastavit termín revize pravidel. K zjištění stavu doporučuje položit zaměstnancům anonymní otázku, co dnes používají; podle podkladu odhalí víc než audit.

PDF ke stažení a související balíček

Celý podklad má šest stran: přehled rizik, rizika podrobně, klasifikace dat, deset bodů, přístupy a incident, prvních třicet dní. Deset bodů osnovy je na straně 4. Stáhnout PDF Bezpečné používání AI ve firmě.

Samostatný balíček Pravidla pro práci s AI je jiný materiál: postup na dvanácti stranách a hotový systém, který ze soupisu použití AI složí zařazení podle předpisů, firemní pravidla a záznam o proškolení. Berte ho jako doplněk k této osnově, ne jako její náhradu.

Omezení

Rizika, klasifikace a opatření v podkladu jsou obecný rámec dobré praxe. Nenahrazují posouzení podle GDPR, smluvních závazků vaší firmy ani stanovisko advokáta ke konkrétní situaci. Postupy vyplnění v této odpovědi jsou pracovní doporučení CIAD, ne právní rada. Zdrojem znění deseti bodů je jediný dokument, PDF CIAD uvedené výše; žádný jiný pramen tato odpověď nepoužívá.