Narzędzia AI wchodzą do firm oddolnie, zanim ktokolwiek ustali reguły. Zasady spisane po fakcie porządkują stan, który już istnieje.
Co powinny obejmować
Zakres jest krótki. Za każdym punktem stoi jednak decyzja, którą ktoś w firmie musi podjąć świadomie, a nie odłożyć na później.
- które narzędzia są dopuszczone,
- jakich danych nie wolno przekazywać,
- które zastosowania wymagają zatwierdzenia,
- kto odpowiada za wynik,
- gdzie zgłaszać wątpliwości i incydenty.
Punkt o danych opiera się na podziale informacji na poziomy poufności. Bez takiego podziału każda reguła wymaga oceny w konkretnej sytuacji, a oceny wypadają różnie u różnych osób.
Jedna strona
Dokument dłuższy nie zostanie przeczytany. Szczegóły mogą trafić do załącznika dla zainteresowanych. Pracownik ma zapamiętać trzy rzeczy: z czego wolno korzystać, czego nie wolno wysyłać i do kogo iść z pytaniem.
Konkretne przykłady
„Nie wysyłamy listy klientów z adresami" działa lepiej niż „nie przekazujemy danych wrażliwych". Zasada ogólna wymaga interpretacji, a interpretacja idzie w stronę wygody.
Najlepszym źródłem przykładów jest praca zespołu. Warto zebrać kilka realnych sytuacji z ostatnich tygodni i rozstrzygnąć je wprost w dokumencie. Wtedy lista wykluczeń przestaje być abstrakcją, a staje się czymś, co da się sprawdzić w pół minuty.
Zasady wykonalne
Reguła uniemożliwiająca pracę zostanie obejściem, a obejścia są niewidoczne. Lepsza zasada realistyczna i przestrzegana niż surowa i pozorna.
Test jest prosty: przejść z regułą przez typowy dzień pracy działu. Jeśli w kilku miejscach trzeba by się zatrzymać i czekać na czyjąś zgodę, reguła nie przetrwa miesiąca.
Kto je pisze
Wspólnie: osoba znająca narzędzia, osoba znająca wymogi prawne i osoba znająca codzienną pracę. Brak któregokolwiek daje dokument oderwany od rzeczywistości.
Część rozstrzygnięć nie należy do żadnej z tych osób z osobna. Pytanie, czy dane zastosowanie w ogóle jest dopuszczalne, kierujemy do prawnika albo inspektora ochrony danych, a odpowiedź przenosimy do dokumentu jako gotową regułę — bez uzasadnienia prawnego, za to w języku, którym mówi zespół.
Czego dokument nie rozstrzyga
Zasady wewnętrzne nie zastępują analizy prawnej. Opisują, co wolno w tej firmie i kto o tym decyduje, a nie to, co wynika z przepisów. Jeśli ktoś zadaje pytanie o obowiązek wobec klienta albo urzędu, dokument powinien wskazywać osobę, do której się z takim pytaniem idzie, zamiast udawać odpowiedź.
Przegląd
Co najmniej raz w roku. Narzędzia i przepisy zmieniają się szybciej niż dokumenty wewnętrzne. Przy pierwszym podejściu warto potraktować zasady jako wersję roboczą i zaplanować poprawkę po kilku tygodniach, gdy już wiadomo, które reguły ludzie omijają. Całość ma sens jako element szerszego porządkowania użycia narzędzi, a nie jako samodzielny dokument do segregatora.
