10 načinov, kako zmanjšati tveganja pri uporabi AI-ja v podjetju

1. Centralni register vseh AI orodij

Tveganj, ki jih ne vidite, ne morete upravljati. Popišite vsa AI orodja, ki jih zaposleni uporabljajo, tudi tista, ki jih je kdo namestil sam ali jih uporablja na zasebnem računu (t. i. shadow IT). Za vsako orodje zabeležite, kdo ga uporablja, za kaj, katere podatke vanj vnaša in ali ima podjetje z dobaviteljem pogodbo. Register redno posodabljajte, saj se nova orodja pojavljajo vsak mesec.

2. Pravilnik o varni uporabi AI

Zaposleni potrebujejo jasna pravila: katera orodja so dovoljena, katerih podatkov ne smejo vnašati in kdo odobri novo orodje. Pravilnik uskladite z Zakonom o delovnih razmerjih (ZDR-1) in z Zakonom o poslovni skrivnosti (ZPOSM), ki poslovno skrivnost varuje le, če jo podjetje varuje z razumnimi ukrepi. Napišite ga v razumljivem jeziku in ga predstavite vsem, ne le oddelku IT.

3. Skrbnik za AI skladnost

Ko je za AI odgovoren vsak, ni odgovoren nihče. Imenujte osebo, ki skrbi za register, pravilnik in nova vprašanja, ali sestavite manjšo delovno skupino iz uprave, IT, pravne in kadrovske službe. V manjšem podjetju je to lahko ena oseba z nekaj urami na teden. Pomembno je, da ima jasna pooblastila in neposreden dostop do vodstva.

4. Sistematično izobraževanje za AI pismenost

Akt o umetni inteligenci (EU AI Act) v 4. členu določa ukrepe za ustrezno raven AI pismenosti osebja, ki uporablja sisteme AI. Enkratna predstavitev nekaj trikov tega ne nadomesti. Pripravite kratka, praktična usposabljanja po oddelkih: kaj orodja zmorejo, kje se motijo, katerih podatkov ne vnašamo in kdaj je potreben človeški pregled. Udeležbo in vsebino usposabljanj dokumentirajte.

5. Omejen dostop do nepreverjenih orodij

Pravila delujejo bolje, če jih podpira tehnika. Na poslovnem omrežju in službenih napravah lahko IT omeji dostop do orodij, ki niso v registru, in zaposlenim ponudi odobreno alternativo. Brez dobre alternative bodo ljudje orodja uporabljali na zasebnem telefonu, zato omejitev vedno združite z varno možnostjo, ki je vsaj tako priročna.

6. Pogodbe o obdelavi podatkov (DPA)

Ko AI orodje obdeluje osebne podatke vaših strank ali zaposlenih, je dobavitelj praviloma vaš obdelovalec. 28. člen GDPR, ki ga v Sloveniji dopolnjuje ZVOP-2, zato zahteva pisno pogodbo o obdelavi osebnih podatkov (DPA). Preverite, kje dobavitelj hrani podatke, ali jih prenaša zunaj EU, kdo so njegovi podobdelovalci in kako hitro vas obvesti o kršitvi. Brezplačne različice orodij take pogodbe pogosto sploh ne ponujajo.

7. Izklop treniranja na vaših podatkih

Nekateri ponudniki lahko vsebino, ki jo vnesete, uporabijo za razvoj svojih modelov, zlasti pri brezplačnih in zasebnih računih. Pri poslovnih računih preverite nastavitve in pogoje ter treniranje na svojih podatkih izklopite, kjer je to mogoče. Nastavitev zapišite v register orodij in jo preverite ob vsaki spremembi pogojev.

8. Obvezen človeški pregled rezultatov

AI se lahko moti zelo prepričljivo. Določite, kateri rezultati morajo pred objavo, pošiljanjem stranki ali odločitvijo skozi roke odgovorne osebe: ponudbe, pogodbe, javna sporočila in odločitve o ljudeh. Pregled zapišite v proces, skupaj z imenom pregledovalca, sicer se pod časovnim pritiskom hitro izgubi.

9. Usklajene pogodbe in interni akti

Uporaba AI spreminja delo, zato jo morajo urejati tudi delovnopravni dokumenti. Preverite, ali pogodbe o zaposlitvi in interni akti urejajo rabo AI orodij, varovanje poslovne skrivnosti, pravice do rezultatov dela in morebitni nadzor nad delom. Pri spremembah splošnih aktov upoštevajte postopek po ZDR-1, ki praviloma zahteva, da predlog pred sprejetjem pošljete v mnenje sindikatu.

10. Protokol za ukrepanje ob incidentih

Prej ali slej bo nekdo v napačno orodje vnesel napačne podatke. Vnaprej določite, kdo incident prijavi, kdo ga oceni in kako ukrepate. Če gre za kršitev varnosti osebnih podatkov, morate po 33. členu GDPR praviloma v 72 urah obvestiti Informacijskega pooblaščenca (IP-RS). Protokol enkrat letno preizkusite na vaji, da ga ljudje poznajo, preden ga potrebujejo.

Kje začeti že ta teden

Vseh desetih korakov vam ni treba izpeljati naenkrat. Ta teden imenujte odgovorno osebo in začnite popis orodij. V naslednjem mesecu pripravite pravilnik in prvo usposabljanje, nato pa preverite pogodbe, nastavitve in protokol za incidente. Ko veste, kaj v podjetju že teče, so naslednji koraki precej lažji.

Če želite korake razporediti po prioritetah, si oglejte brezplačen AI akcijski načrt.