מדיניות שימוש ב-AI בארגון: תבנית של עמוד אחד

מדיניות שימוש ב-AI בארגון צריכה להיות עמוד אחד שכל עובד יכול לקרוא בחמש דקות ולדעת שלוש תשובות: באילו כלים מותר להשתמש, מה אסור להכניס אליהם, ומה הוא אחראי לבדוק לפני שהתוצר יוצא החוצה. בארגון שליווינו, 41% מהעובדים לא ידעו מה המדיניות, ולכן הניחו שהכל אסור. אחרי שכתבנו עמוד אחד והמנהלים הציגו אותו בישיבות צוות, השימוש השבועי בכלים המאושרים עלה בתוך חודש מ-22% ל-51%. הנה התבנית שהשתמשנו בה, סעיף אחרי סעיף.

למה מדיניות שימוש ב-AI בארגון צריכה להיות עמוד אחד?

ראינו שני סוגי כישלון. הראשון: אין מדיניות, ולכן כל עובד מחליט לבד, ורובם מחליטים להימנע. השני: יש מסמך של 14 עמודים שכתבה משפטית, אף אחד לא קרא אותו, והתוצאה זהה. בשני המקרים, העובדים שכן משתמשים עושים את זה בחשבונות פרטיים, וזה בדיוק מה שהמדיניות אמורה למנוע.

הקריטריון שלנו למסמך טוב: עובד חדש קורא אותו ביום הראשון, ובסופו הוא יודע מה לעשות ברוב המצבים בלי לשאול. אם יש לו עדיין שאלה, הוא יודע את מי לשאול. את ההקשר הרחב של למה זה חשוב להטמעה תמצאו במרכז הנושא הטמעת AI בארגון.

מה כוללת תבנית המדיניות?

עשרה סעיפים. כל סעיף הוא 2 עד 5 שורות. אפשר להעתיק את המבנה ולמלא.

1. למה המסמך הזה קיים. שתי שורות. “אנחנו רוצים שתשתמשו ב-AI בעבודה. המסמך הזה אומר איך לעשות את זה בבטחה.” הטון כאן קובע את כל השאר.
2. כלים מאושרים. רשימה סגורה של כלים, עם סוג החשבון (ארגוני בלבד). קישור לדף פנימי שמתעדכן. מה שלא ברשימה, אסור, עד שמאשרים אותו בסעיף 9.
3. חשבון ארגוני בלבד. עבודה רק דרך החשבון שהארגון פתח. אסור להשתמש בחשבון פרטי למידע של הארגון, גם אם הכלי זהה. הסיבה כתובה במשפט: בחשבון הארגוני הספק מתחייב לא לאמן על הנתונים ויש לנו לוגים.
4. מה אסור להכניס. רשימה קצרה וקונקרטית: פרטים מזהים של לקוחות ועובדים, מידע רפואי או פיננסי מזוהה, סודות מסחריים ותוכניות שלא פורסמו, סיסמאות ומפתחות, קוד מקור של מערכות ליבה, ומידע של צד שלישי שחתמנו עליו סודיות.
5. מה מותר ואפילו רצוי. סעיף שרוב המדיניויות שוכחות. ניסוח, סיכום, תרגום, ניתוח של מידע שכבר פומבי או פנימי לא רגיש, כתיבת קוד שאינו מערכת ליבה, הכנת מצגות, למידה. עובדים צריכים לראות שרוב העבודה שלהם מותרת.
6. אחריות על התוצר. העובד אחראי למה שהוא מגיש, גם אם AI כתב אותו. כל תוצר שיוצא ללקוח, לרגולטור, לפרסום או להחלטה עסקית עובר בדיקה אנושית. “AI כתב את זה” אינו הסבר מקובל לטעות.
7. שקיפות. מתי מציינים שנעשה שימוש ב-AI: בתוצרים ללקוחות כשזה נדרש בחוזה או ברגולציה, ובתהליכים פנימיים לפי שיקול דעת. הכלל שלנו: אם הייתם מתביישים שיגלו, אל תעשו.
8. דיווח על תקלה. הוכנס מידע אסור בטעות? התקבל פלט מטעה שיצא החוצה? כתובת אחת לדווח, תוך 24 שעות, בלי עונש על הדיווח עצמו. הסעיף הזה הוא מה שהופך מדיניות לכלי אמיתי ולא לנייר.
9. בקשה לכלי חדש. טופס של 5 שאלות, ותשובה תוך 10 ימי עבודה. בלי זה, עובדים פשוט ישתמשו בכלי בלי לשאול.
10. בעלים ועדכון. מי אחראי על המסמך, מתי נסקר לאחרונה, ומתי הסקירה הבאה. רבעוני.

זה כל המסמך. ברוב הארגונים הוא יוצא 400 עד 600 מילים.

איך מסווגים מידע כך שהעובדים באמת יבינו?

סעיף 4 הוא הסעיף שעליו מתווכחים הכי הרבה, ולכן שווה לפרק אותו. במקום “מידע רגיש”, שאף אחד לא יודע מה זה, השתמשנו בארבע רמות:

רמה	דוגמאות	מותר בכלי ארגוני מאושר?
פומבי	אתר החברה, פרסומים, מידע ציבורי	כן
פנימי	נהלים, סיכומי ישיבות, מצגות פנימיות, קוד שאינו ליבה	כן, בחשבון ארגוני בלבד
סודי	תוכניות שלא פורסמו, נתונים פיננסיים לפני דיווח, חוזים	רק בכלים שאושרו במפורש לרמה הזו
מוגבל	פרטים מזהים של לקוחות, מידע רפואי, סיסמאות, קוד ליבה	לא, גם לא בחשבון ארגוני

הדבר החשוב: רוב העבודה היומיומית היא ברמה “פנימי”, והיא מותרת. כשעובדים רואים את זה בטבלה, החשש נעלם. על 7 הכללים הפרקטיים של אבטחה, כולל מה עושים עם תמלילי שיחות ומסמכים של לקוחות, כתבנו באבטחת מידע ו-AI בארגון.

איך מאשרים מדיניות שימוש ב-AI בארגון תוך שבועיים?

הגרסה הראשונה של המדיניות בארגון שליווינו נתקעה חודשיים בין משפטית לאבטחת מידע. הגרסה השנייה אושרה תוך 11 ימים. ההבדל היה בתהליך, לא בתוכן:

1. פגישה אחת, כולם בחדר. משפטית, אבטחת מידע, מוביל ההטמעה ונותן החסות. שעתיים. מתחילים מהתבנית ולא מדף ריק.
2. מחליטים על הרמות קודם. טבלת סיווג המידע לפני כל דבר אחר. 80% מהוויכוחים נפתרים שם.
3. כותבים בחדר. לא “נשלח טיוטה”. המסמך נכתב על המסך תוך כדי הפגישה. יוצאים עם גרסה 0.9.
4. בדיקה עם 5 עובדים. מראים את העמוד לחמישה עובדים מצוותים שונים ושואלים: מה לא ברור? מה היית עושה במצב X? מתקנים.
5. אישור במייל אחד. שלושת המאשרים מקבלים גרסה 1.0 ושאלה אחת: מאשרים? אם יש הערה, חוזרים לחדר לחצי שעה.

מה שעזר לשכנע את אבטחת המידע: הנתון שבלי מדיניות, 31% מהעובדים בסקר הודו שהשתמשו בחשבון פרטי לעבודה. מדיניות מתירנית וברורה מורידה את המספר הזה. מדיניות מחמירה או חסרה מעלה אותו.

איך גורמים לעובדים להכיר את המדיניות?

מסמך במערכת הנהלים לא נקרא. ככה הגענו ל-94% שהכירו את המדיניות תוך שבועיים:

• המנהל הישיר מציג אותה. 5 דקות בישיבת צוות, עם הטבלה על המסך. לא מייל ממשאבי אנוש.
• תדרוך של 20 דקות, מוקלט, חובה. מי לא השלים נראה ברשימה שהמנהל רואה.
• הדף הראשון בסדנת השגרירים. השגרירים הם אלה שעונים על “מותר או אסור” בזמן אמת, אז הם צריכים לדעת אותה בעל פה.
• דוגמה בכל הצגה שבועית. כשעובד מראה מה עשה עם AI, השגריר מוסיף משפט: “שימו לב שזה מידע פנימי, אז זה בסדר”.

אחרי שהמדיניות קיימת, השאלה הבאה היא לא מה מותר אלא ממה להתחיל. על זה, ועל סדר הצעדים בחודש הראשון, כתבנו בתוכנית הטמעת AI ל-90 יום.

מה מעדכנים כל רבעון?

סקירה של 30 דקות, עם אותם שלושה אנשים. שלוש שאלות: אילו בקשות לכלים חדשים הגיעו ומה הוחלט? אילו תקלות דווחו ומה למדנו? מה השתנה אצל הספקים בתנאי השימוש? ברוב הרבעונים לא משנים כלום. אבל ברבעון השני אצלנו הוספנו כלי בנייה לרשימה המאושרת, כי 6 צוותים ביקשו לבנות אוטומציות, וזה פתח את השלב הבא של ההטמעה.

המדיניות היא החלטה של הנהלה, ולכן היא אחד הנושאים הראשונים שאנחנו עובדים עליהם בליווי מנהלים. רוצים לצאת משבועיים עם מדיניות מאושרת ותוכנית? לליווי מנהלים.