حکمرانی هوش مصنوعی در شرکت؛ سیاست‌نامه استفاده و امنیت داده
یک پاسخِ هذیان‌گویانه به مشتری یا یک سندِ محرمانه در پرامپتِ عمومی، می‌تواند هزینه‌ای داشته باشد که هیچ صرفه‌جوییِ ابزاری جبرانش نمی‌کند. سیاست‌نامهٔ استفاده از هوش مصنوعی همان بیمهٔ سازمان است — این مقاله قالبِ کاملش را می‌دهد.
دو سناریویِ کاملاً واقعی: کارشناسِ پشتیبانی، برای سرعتبخشیدن به پاسخ، متنِ کاملِ مشتری (با نام و تاریخِ تراکنش) را در چتِ یک ابزارِ عمومی می‌گذارد و جوابِ درست می‌گیرد — و دادهٔ مشتری، بی‌سر‌و‌صدا واردِ سرورِ بیرونی شده. سناریوی دوم: مدل، با اعتمادِ کامل، آماری دربارهٔ بازارِ ایران «می‌سازد» و تیم بدونِ بازبینی در ارائهٔ مشتری می‌گذاردش. هر دو اتفاقِ رایجِ امروزِ سازمان‌هاست و هر دو با یک سندِ دوصفحه‌ای قابلِ پیشگیری‌اند: سیاست‌نامهٔ استفاده از هوش مصنوعی. این مقاله قالبِ کاملش را با جدول می‌دهد؛ چیزی که هر تیم — حتی پنج‌نفره — باید همین ماه بنویسد.
سیاست‌نامه چه بخش‌هایی دارد؟
| بخش | محتوا | حجم |
|---|---|---|
| هدف و دامنه | این سند برای چه ابزارها و چه کسانی است | ۳ جمله |
| طبقه‌بندی داده | چه داده‌ای به کدام ابزار می‌رود | جدول |
| قواعد ابزار | حسابِ سازمانی، ابزارهای مجاز، ممنوعه‌ها | فهرست |
| نقش‌ها | کاربر / قهرمان / مالکِ داده / مدیر | ۴ تعریف |
| ثبت و بازبینی | لاگ، بازبینیِ فصلی، مسیرِ گزارشِ خطا | ۵ قاعده |
| آموزش | دورهٔ ورودی + به‌روزرسانیِ فصلی | ۲ جمله |
طبقه‌بندی داده: قلبِ سیاست‌نامه
| سطح | مثال | قاعدهٔ استفاده از ابزار |
|---|---|---|
| عمومی | راهنمای محصول، قیمتِ اعلامی | آزاد با هر ابزارِ مجاز |
| داخلی | رویه‌ها، گزارشِ داخلی، پایگاه دانش | فقط حسابِ سازمانی؛ بدونِ شناسهٔ اشخاص |
| محرمانه | قیمتِ تمام‌شده، قراردادِ پیش‌نویس | فقط ابزارِ خودمیزبان/قراردادِ سازمانی؛ بازبینیِ الزامی |
| دادهٔ مشتری | نام، تراکنش، فایلِ مشتری | خام در پرامپت ممنوع؛ اول گمنام‌سازی |
قاعدهٔ طلایی که کارکنان باید حفظ باشند: «اگر نمی‌دانم این داده چه سطحی است، انگار محرمانه است.»
قواعد ابزارها
- همهٔ اعضا با حسابِ سازمانی کار کنند نه حسابِ شخصی؛ خروجیِ سازمان در حسابِ سازمان می‌ماند.
- ابزارِ تازه، قبلِ استفاده، از فهرستِ مجاز رد شود — با معیارهای مقایسهٔ ابزارها.
- برای هر ابزار، مشخص باشد: چه کسی مالکِ آن است و در صورتِ تعطیلیِ سرویس، خروجی‌ها کجا می‌روند.
- دو قاعدهٔ فنیِ مهم که کارکنان باید بدانند: حملاتِ تزریقِ دستور (مبانی‌اش در امنیت تزریق پرامپت) و اینکه پاسخِ مدل بدونِ منبع، حدس است نه سند — ریسکِ کلی‌اش را در ریسک‌های هوش مصنوعی در کسب‌وکار بخوانید.
ثبت، پاسخ‌گویی و بازبینی
سه قاعدهٔ حداقلی: هر خروجیِ بیرون‌رونده (به مشتری/عموم) یک بازبینِ انسانی دارد؛ خطاها (پاسخِ غلط، لو رفتنِ احتمالی) مسیرِ گزارشِ بدونِ سرزنش دارد؛ و هر فصل، یک جلسهٔ ۶۰ دقیقه‌ای: چه خطایی رخ داد، کدام قاعده جواب داد، چه چیزی به سیاست اضافه شود. برای زمینهٔ قانونی — به‌خصوص اگر مشتریِ اروپایی دارید — قانون هوش مصنوعی اروپا و روند اجرایش را مرور کنید و برای چارچوبِ اخلاقی، هوش مصنوعی مسئولانه و گاردریل‌ها را ببینید.
آموزش و پذیرش
سیاستی که کسی نخوانده، دیوار است نه قانون. الگویِ درست: جلسهٔ ورودیِ ۳۰ دقیقه‌ای با سه مثالِ واقعی (یکی خوب، یکی بد، یکی خاکستری) + امضای یک‌صفحه‌ای + مرورِ فصلیِ پنج‌دقیقه‌ای. برنامهٔ کلیِ توانمندسازی هم در آموزش تیم در چهار هفته آمده است.
الگوی شروع (این هفته)
۱. جلسهٔ یک‌ساعته با مدیران: پنج سطحِ داده را تأیید کنید. ۲. فهرستِ ابزارهایِ در استفادهٔ فعلی + مجاز/غیرمجاز کردنش. ۳. نوشتنِ سندِ دوصفحه‌ای با همین قالب. ۴. جلسهٔ آموزشِ ۳۰ دقیقه‌ای و امضا. ۵. یادآورِ فصلی در تقویم.
نسخهٔ یک‌صفحه‌ای: شش قاعدهٔ قابلِ امضا
اگر وقتِ سندِ کامل نیست، همین شش قاعده در یک صفحه جا می‌شود؛ همه امضا می‌کنند و متن در ابزارهای تیم نصب می‌شود:
۱. حسابِ شخصی برای کارِ شرکت، ممنوع. ۲. دادهٔ مشتری و دادهٔ محرمانه، خام واردِ هیچ ابزاری نمی‌شود. ۳. هر خروجیِ بیرون‌رونده، یک بازبینِ انسانی دارد. ۴. ابزارِ تازه، اول از فهرستِ مجاز رد می‌شود. ۵. خطاها بدونِ سرزنش گزارش می‌شوند؛ پنهان‌کاری، تخلفِ جدی‌تر است. ۶. هر فصل، یک جلسهٔ کوتاهِ مرورِ سیاست.
تجربهٔ تیم‌هایی که با همین شش خط شروع کردند نشان می‌دهد بعد از یک فصل، خودِ تیم درخواستِ سندِ کامل‌تر را می‌دهد — چون قاعده، دردِ واقعی را دیده است.
سؤالات پرتکرار
برای تیمِ کوچکِ چندنفره هم سیاست‌نامه لازم است؟
بله؛ در تیمِ کوچک، ریسکِ همان یک نفرِ بی‌اطلاع، از تیمِ بزرگ بیشتر است چون هیچ‌کس جلویش را نمی‌گیرد. نسخهٔ کوچک، همان جدولِ طبقه‌بندی + پنج قاعدهٔ ابزار است؛ نه بیشتر.
کارکنان از این سند به‌عنوان «بازدارندهٔ نوآوری» استفاده می‌کنند چه کنیم؟
سیاست را با «چه چیزی مجاز است» شروع کنید نه با فهرستِ ممنوعه‌ها؛ و مسیرِ درخواستِ ابزارِ تازه را کوتاه نگه دارید (۴۸ ساعت جواب). سیاستِ خوب، راهِ سریعِ استفادهٔ درست است نه دیوار.
لازم است لاگِ کاملِ همهٔ پرامپت‌ها را نگه داریم؟ برای ابزارهای سازمانی معمولاً خودکار حفظ می‌شود؛ حداقلِ لازم: خروجی‌های بیرون‌رونده و خطاها. نگهداریِ همه‌چیز بدونِ معیار، خودش ریسکِ داده‌ای می‌سازد.
این مطلب برایتان مفید بود؟
با پسندیدن، به ما کمک می‌کنید مطالب بهتری منتشر کنیم.
