سیاست استفاده از هوش مصنوعی در شرکت: چه بنویسیم
کارمندان شما همین حالا دارند از این ابزارها استفاده میکنند. تنها انتخاب واقعی این است که با قاعده استفاده کنند یا بیقاعده و پنهانی.
در بیشتر شرکتهای ایرانی، تصویر واقعی این است: کارشناس پشتیبانی متن جواب مشتری را با هوش مصنوعی مینویسد، کارآموز حسابداری فرمول اکسل را از آن میپرسد، و یک نفر در تیم فنی بخشی از کد را برای رفع خطا کپی کرده. هیچکدام هم به کسی نگفتهاند.
این وضعیت خطرناک است، ولی نه به دلیلی که فکر میکنید. خطر خود ابزار نیست؛ این است که هیچکس نمیداند چه دادهای از سازمان بیرون رفته. نوشتن یک سیاست استفاده از هوش مصنوعی دقیقاً برای پرکردن همین شکاف است.
چرا ممنوعیت کامل جواب نمیدهد
اولین واکنش بیشتر مدیران، بستن دسترسی روی شبکهی داخلی است. نتیجهاش قابل پیشبینی است: همان کارمند، همان کار را با گوشی شخصیاش انجام میدهد. حالا نه لاگی هست، نه آموزشی، نه امکان کنترلی.
سیاست خوب چیزی را ممنوع نمیکند که نمیتواند اجرا کند. بهجایش مسیر مجاز روشنی میسازد که راحتتر از مسیر پنهانی باشد.
قدم اول: طبقهبندی داده
قبل از هر قاعدهای، باید مشخص کنید چه دادهای در سازمان شما چه حساسیتی دارد. سه سطح برای اغلب شرکتها کافی است:
| سطح | نمونه | قاعده |
|---|---|---|
| عمومی | متن سایت، بروشور، آگهی استخدام | آزاد |
| داخلی | پیشنویس گزارش، صورتجلسهی معمولی | مجاز پس از حذف نام و عدد حساس |
| محرمانه | قرارداد، دادهی مشتری، اطلاعات مالی | ممنوع در سرویس عمومی |
این جدول را با نمونههای واقعی خودتان پر کنید. سیاستی که فقط اصول کلی بگوید، سر بزنگاه بهدرد نمیخورد؛ کارمند باید بتواند سند را باز کند و ببیند «فایل اکسل فروش» در کدام ردیف است. مبنای امنیتی این طبقهبندی را در مقالهی امنیت اطلاعات توضیح دادهایم.
هشت بندی که سند باید داشته باشد
- دامنه. این سیاست شامل چه کسانی میشود — کارمند، پیمانکار، کارآموز.
- ابزارهای تأییدشده. فهرست مشخص، نه «ابزارهای معتبر».
- دادهی ممنوع. صریح و با مثال.
- موارد مجاز. فهرست کارهایی که تشویق میشوند، تا سند فقط منفی نباشد.
- بازبینی انسانی. کدام خروجیها قبل از استفاده باید تأیید شوند و توسط چه کسی.
- افشا. کجا باید اعلام شود که محتوا با کمک هوش مصنوعی تولید شده.
- مسئولیت. صریح بنویسید که مسئولیت با استفادهکننده است.
- مسیر گزارش. اگر کسی اشتباهی دادهی حساس فرستاد، به چه کسی بگوید.
بند هشتم را جدی بگیرید. اگر گزارشدادن اشتباه مجازات داشته باشد، هیچکس گزارش نمیدهد و شما از نشتها بیخبر میمانید.
اول، مسئولیت خروجی همیشه با آدم است نه ابزار. دوم، هیچ تصمیم استخدامی، انضباطی یا مالی نباید صرفاً بر مبنای خروجی مدل گرفته شود. سوم، مالکیت فکری محتوای تولیدشده وضعیت روشنی ندارد و برای موارد مهم باید با واحد حقوقی مشورت شود.
نمونهی متن قابل استفاده
این اسکلت را بردارید و با واقعیت سازمان خودتان پر کنید:
سیاست استفاده از ابزارهای هوش مصنوعی — نسخه ۱
۱. دامنه: همهی کارکنان و همکاران قراردادی.
۲. ابزارهای مجاز: [فهرست کنید]
استفاده از ابزار خارج از این فهرست نیاز به تأیید [واحد] دارد.
۳. ورود داده — ممنوع:
- اطلاعات هویتی و تماس مشتریان
- اسناد مالی، قرارداد و مکاتبات حقوقی
- کد منبع سامانههای [نام ببرید]
- هر دادهای که تحت توافق محرمانگی است
۴. موارد تشویقشده:
پیشنویس متن، خلاصهی جلسهی داخلی، ایدهپردازی،
بازبینی متن، ترجمهی محتوای عمومی
۵. بازبینی: هر خروجی که به بیرون سازمان میرود
باید توسط [نقش] خوانده و تأیید شود.
۶. مسئولیت: مسئولیت صحت محتوا با فرد استفادهکننده است.
۷. گزارش خطا: در صورت ارسال اشتباهی دادهی حساس،
ظرف همان روز به [نقش] اطلاع داده شود. گزارش
داوطلبانه مشمول برخورد انضباطی نمیشود.اجرا: سند کافی نیست
سندی که فقط ایمیل شود، خوانده نمیشود. یک جلسهی نیمساعته با مثالهای واقعی همان تیم، تأثیرش چند برابر است. مثالها را از کار روزمرهی خودشان بردارید — نه سناریوهای فرضی.
برای تیمهایی که بیشترین تماس را با ابزار دارند، مثل پشتیبانی مشتری، قواعد اختصاصیتری لازم است؛ نمونههایش در راهنمای پشتیبانی مشتری آمده است.
محتوای منتشرشده و حق نشر
اگر شرکت شما محتوا منتشر میکند، دو موضوع را در سیاست جدا کنید: افشای استفاده از ابزار، و مالکیت محتوای تولیدشده. دومی هنوز در ایران رویهی روشنی ندارد و بهتر است در قراردادهای پیمانکاری صریح نوشته شود. چارچوب بحث در مقالهی حق نشر محتوای هوش مصنوعی آمده است.
بازبینی دورهای
این حوزه هر چند ماه تغییر میکند. تاریخ بازبینی را در خود سند بنویسید — هر شش ماه معقول است. در هر بازبینی سه چیز را چک کنید: فهرست ابزارها، موارد نشت گزارششده، و اینکه کدام بند در عمل نادیده گرفته میشود. بندی که همه دور میزنند، معمولاً بند اشتباهی است نه آدمهای اشتباه.
برای چارچوب رسمیتر، چارچوب مدیریت ریسک NIST و استاندارد ISO/IEC 42001 مرجعهای شناختهشدهای هستند.
از کجا شروع کنید
یک صفحه بنویسید و منتشرش کنید، حتی اگر ناقص است. سند ناقصِ موجود، از سند کاملِ نیمهتمام بهتر است. نمونهی بالا را در نارنگی بچسبانید و بخواهید متناسب با اندازه و صنعت شما بازنویسیاش کند. برای شرکتهای کوچک، نسخهی سبکتر را در راهنمای کسبوکار کوچک توضیح دادهایم.
جمعبندی
سیاست خوب، فهرست ممنوعیت نیست. مسیر روشنی است که کارمند بداند کجا آزاد است و کجا باید بایستد — و آنقدر ساده باشد که یادش بماند.
اگر امروز چیزی ندارید، همان یک صفحه را بنویسید. تفاوت بین یک صفحه و هیچ، خیلی بیشتر از تفاوت بین یک صفحه و بیست صفحه است. اشتباههای رایجی که باید در آموزش پوشش بدهید را در مقالهی اشتباهات رایج جمع کردهایم.
مطالب مرتبط:
