DI naudojimo politika įmonėje: kaip ją parengti

DI naudojimo politika įmonėje - tai trumpas vidaus dokumentas, kuris aiškiai nustato, kuriuos dirbtinio intelekto (DI) įrankius darbuotojai gali naudoti, kokiai informacijai jie tinka ir kokios ribos negali būti peržengtos. Tai pirmas praktinis žingsnis, kuriuo smulki Lietuvos įmonė parodo, kad DI naudoja sąmoningai ir atsakingai - ne chaotiškai. Gerai parašyta politika telpa į vieną - tris puslapius, ją supranta kiekvienas darbuotojas, o ji kartu padeda įvykdyti ES DI akto (AI Act) 4 straipsnio reikalavimus dėl atsakingo DI naudojimo.

Praktiška DI politika turi atsakyti į keturis klausimus: kokius įrankius darbuotojai gali naudoti, kokių duomenų į juos negalima kelti, kas tikrina rezultatus ir kaip dažnai taisyklės peržiūrimos.

Kas yra DI naudojimo politika ir kam jos reikia?

DI naudojimo politika yra įmonės vidaus taisyklių rinkinys, apibrėžiantis, kaip darbuotojai gali ir negali naudoti dirbtinio intelekto įrankius kasdieniame darbe. Skirtingai nei techninė dokumentacija, ji rašoma paprasta kalba ir skirta visiems - nuo vadovo iki naujo darbuotojo pirmą darbo dieną.

Politika reikalinga dėl trijų konkrečių priežasčių:

• Duomenų apsauga. Be aiškių taisyklių darbuotojai gali įklijuoti klientų asmens duomenis, sutarčių tekstus ar slaptą informaciją į viešus DI įrankius. Tai gali pažeisti BDAR ir konfidencialumo įsipareigojimus.
• Atsakingas naudojimas. Politika nustato, kad DI rezultatus visada peržiūri žmogus, ir aiškiai pasako, kur DI naudoti draudžiama (pvz., teisinėms išvadoms ar galutiniams sprendimams be patikros).
• Atitiktis. ES DI aktas iš įmonių tikisi, kad DI bus naudojamas struktūruotai. Politika kartu su DI įrankių registru ir atitikties įrašu sudaro įrodymų bazę, kad jūsų įmonė elgiasi atsakingai.

Net jei jūsų komanda - tik keli žmonės, viena bendra taisyklė visiems yra geriau nei dešimt skirtingų neoficialių įpročių. Be politikos kyla šešėlinio DI rizika - kai darbuotojai naudoja įrankius, apie kuriuos vadovybė net nežino.

Praktiškai politika atlieka ir ketvirtą, dažnai pamirštamą funkciją - ji suteikia darbuotojams pasitikėjimo. Kai žmogus tiksliai žino, ką jam leidžiama daryti su DI, jis dirba drąsiau ir greičiau, o ne vengia įrankių iš baimės padaryti klaidą. Taigi gera politika ne stabdo DI naudojimą, o jį skatina saugiose ribose.

Ar DI naudojimo politika privaloma pagal ES DI aktą?

ES DI aktas (Reglamentas (ES) 2024/1689) tiesiogiai nereikalauja rašytinės „DI naudojimo politikos" kaip atskiro dokumento. Tačiau 4 straipsnis, įsigaliojęs 2025 m. vasario 2 d., reikalauja, kad įmonės (tiek DI teikėjos, tiek diegėjos) imtųsi priemonių, padedančių ugdyti darbuotojų ir susijusių asmenų DI raštingumą - atsižvelgiant į jų žinias, patirtį, mokymą, kontekstą ir asmenis, kurie gali būti paveikti. Ši pareiga neturi reikalavimo užtikrinti konkretų ar pakankamą individualų raštingumo lygį.

Politika yra vienas iš praktinių būdų organizuoti šios pareigos vykdymą ir užfiksuoti pasirinktas taisykles. Ji parodo, kad įmonė ne tik kalbėjo apie atsakingą DI, bet ir nustatė konkrečias rašytines taisykles. Svarbu žinoti pagrindines DI akto datas:

Dauguma Lietuvos mikroįmonių patenka į DI „diegėjų" kategoriją - jos DI nekuria, o tik naudoja gatavus įrankius (ChatGPT, Copilot, Canva ir pan.). Joms svarbiausia būtent 4 straipsnio pareiga, kurią politika padeda įgyvendinti. Plačiau apie tai - straipsnyje DI akto 4 straipsnis: ko jis iš tikrųjų reikalauja.

Ką turi apimti DI politikos šablonas?

Geras DI politikos šablonas neturi būti ilgas, bet privalo aiškiai atsakyti į praktinius klausimus, su kuriais darbuotojas susiduria kasdien. Rekomenduojama struktūra tokia:

1. Tikslas ir taikymo sritis. Vienas sakinys, kam skirta politika ir kam ji galioja (visiems darbuotojams, rangovams, praktikantams).
2. Leistini įrankiai. Konkretus sąrašas DI įrankių, kuriuos galima naudoti, ir kam jie skirti. Šis sąrašas turi atitikti jūsų DI įrankių registrą.
3. Draudžiami veiksmai. Aiškiai išvardyta, ko negalima daryti - pvz., klijuoti asmens duomenų į viešus modelius, naudoti DI rezultatus be patikros, kurti klaidinantį turinį.
4. Duomenų taisyklės. Kokią informaciją galima ir negalima įvesti į DI. Tai tiesiogiai susiję su DI ir asmens duomenų apsauga. BDAR ne draudžia DI naudoti visiškai - reikia įvertinti teisėtą pagrindą, duomenų minimalizavimą, naudoti patvirtintus įrankius ir taikyti apsaugos priemones.
5. Žmogaus priežiūra. Reikalavimas, kad DI sukurtą tekstą, kodą ar sprendimą visada patikrintų atsakingas žmogus.
6. Atsakomybė ir kontaktas. Kas įmonėje atsakingas už politikos laikymąsi ir kur kreiptis kilus klausimui.
7. Peržiūros tvarka. Kaip dažnai politika atnaujinama (rekomenduojama bent kartą per metus arba atsiradus naujam įrankiui).

Atskirkite politiką nuo praktinio darbuotojų DI vadovo: politika nustato taisykles ir ribas, o vadovas paaiškina, kaip įrankius naudoti gerai ir saugiai. Abu dokumentai vienas kitą papildo.

Kaip parengti DI naudojimo politiką žingsnis po žingsnio?

Praktinis procesas smulkiai įmonei atrodo taip:

1 žingsnis. Surašykite, kas jau naudojama. Prieš rašydami taisykles, sužinokite tikrovę. Paklauskite komandos, kokius DI įrankius jie jau naudoja darbe - dažnai paaiškėja kelios programos, apie kurias vadovybė nežinojo. Šis sąrašas taps DI įrankių registro pagrindu.

2 žingsnis. Nustatykite duomenų ribas. Apsibrėžkite, kokia informacija jūsų įmonėje yra jautri (klientų duomenys, finansai, sutartys) ir aiškiai užrašykite, kad jos negalima įvesti į viešus DI įrankius be apsaugos priemonių.

3 žingsnis. Apibrėžkite leistinus ir draudžiamus veiksmus. Vietoj abstrakčių frazių rašykite konkrečiai: „DI galima naudoti tekstų juodraščiams ir idėjoms“, „DI rezultatą visada patikrina darbuotojas“, „draudžiama klijuoti kliento asmens duomenis į nepatvirtintus viešus įrankius“.

4 žingsnis. Paskirkite atsakingą asmenį. Smulkioje įmonėje tai dažnai pats vadovas. Svarbu, kad būtų vienas žmogus, į kurį galima kreiptis dėl DI klausimų.

5 žingsnis. Supažindinkite komandą. Politika veikia tik tada, kai darbuotojai ją perskaito ir supranta. Tai patogu sujungti su DI raštingumo mokymais, kurie kartu padeda įvykdyti 4 straipsnio pareigą. Šie mokymai ir dokumentai yra rekomenduojami praktiniai įrodymai, bet ne privalomi teisiniai minimumai ar garantija atitinkti reikalavimus. Nemokamas kelias skirtas vienam prisijungusiam dalyviui; komandos mokymai įtraukti į mokamą dokumentų paketą.

6 žingsnis. Užfiksuokite ir peržiūrėkite. Pasirašykite politiką su data, saugokite ją kartu su kitais atitikties dokumentais ir nustatykite datą kitai peržiūrai.

Visas šis procesas smulkiai įmonei realiai užtrunka kelias valandas, jei rašoma nuo nulio. Didžiąją dalį laiko atima ne pati politika, o jautrios informacijos ribų apsibrėžimas ir įrankių sąrašo suderinimas su tuo, kas iš tikrųjų naudojama. Todėl verta pradžioje skirti pusvalandį atviram pokalbiui su komanda - jis dažnai atskleidžia daugiau nei spėjimai.

Kaip dažnai reikia atnaujinti DI politiką?

DI politiką rekomenduojama peržiūrėti bent kartą per metus ir papildomai kiekvieną kartą, kai įmonėje atsiranda naujas DI įrankis arba kai keičiasi teisinis reguliavimas. DI rinka juda greitai: įrankiai, kurių prieš metus dar nebuvo, šiandien gali būti kasdienio darbo dalis, o kai kurie funkcionalumai (pvz., duomenų saugojimo nustatymai) keičiasi be įspėjimo.

Praktiškas būdas to nepamiršti - susieti politikos peržiūrą su DI įrankių registru. Kai į registrą įtraukiate naują įrankį, iškart patikrinkite, ar politika dar tinka. Taip dokumentas išlieka gyvas, o ne tampa formaliu popieriumi, kuris pasensta jau po kelių mėnesių. Nuoseklus atnaujinimas yra ir geriausias įrodymas, kad įmonė DI valdo sąmoningai.

Dažniausios klaidos rengiant DI politiką

Smulkios įmonės, rengdamos DI politiką savarankiškai, dažnai suklumpa prie tų pačių dalykų:

• Per ilgas, teisinis dokumentas. Dvidešimties puslapių politika, kurios niekas neskaito, neapsaugo nuo nieko. Geriau viena aiškiai parašyta taisyklė nei dešimt nesuprantamų.
• Bendrybės be konkretumo. Frazė „naudokite DI atsakingai" nieko nereiškia. Reikia konkrečių pavyzdžių, ką galima ir ko negalima daryti.
• Politika be registro. Politika, kuri nemini, kuriuos įrankius leidžiama naudoti, palieka spragą, per kurią plinta šešėlinis DI.
• Vienkartinis dokumentas. DI įrankiai keičiasi greitai. Neperžiūrėta politika per metus pasensta.
• Kopijavimas iš didelės korporacijos. Banko ar tarptautinės kompanijos politika netinka penkių žmonių komandai - ji per sudėtinga ir mini pareigas, kurių jums net nereikia.

DI dokumentai iš atitikties ekspertės peržiūrėtų šablonų be didelių sąnaudų

Smulkiai įmonei rašyti DI politiką, registrą ir vadovą nuo nulio - varginanti užduotis, ypač kai trūksta laiko ir teisinių žinių. Būtent tam ir sukurta nebedirbam.lt: paslauga automatiškai parengia visą ES DI akto 4 straipsnio dokumentaciją - DI naudojimo politiką, DI įrankių registrą, atitikties įrašą ir darbuotojų DI vadovą, plius DI raštingumo mokymus su žinių patikra ir pažymėjimais - už fiksuotą €149 + PVM (€299) kainą pagal atitikties ekspertės peržiūrėtus šablonus, be konsultacijų eilių ir be valandinių įkainių.

Dokumentai pritaikomi prie jūsų faktiškai naudojamų įrankių pagal trumpą anketą, o ne kopijuojami iš bendro šablono. Dokumentai generuojami pagal specialisto peržiūrėtus šablonus ir pritaikomi pagal jūsų atsakymus. Jie negarantuoja teisinės atitikties; už taikomas pareigas atsakinga pati įmonė. Jei pirma norite tik mokymų, galite pradėti nuo nemokamų DI raštingumo mokymų.

DI naudojimo politika yra paprasčiausias ir pigiausias būdas iš chaotiško DI naudojimo pereiti prie sąmoningo. Ji apsaugo jūsų duomenis, padeda įvykdyti 4 straipsnio pareigą ir suteikia darbuotojams aiškumo. Pradėkite nuo to, kas jau naudojama, surašykite paprastas taisykles ir nepamirškite politikos peržiūrėti, kai atsiranda naujas įrankis.

Šaltiniai: ES DI akto 4 straipsnio oficialus paaiškinimas ir ES DI akto reguliavimo rėmiai.

4 straipsnio priemonių įrašas gali sujungti faktiškai taikytas gaires ir mokymus. Daugiau praktinių patarimų rasite straipsnių sąraše.