سیاست استفاده از هوش مصنوعی در سازمانها فقط فهرستی از ممنوعیتها نیست؛ سندی عملی است که مشخص میکند کارکنان کجا میتوانند از این ابزارها کمک بگیرند، چه دادههایی نباید وارد کنند و چه کسی مسئول بررسی نتیجه نهایی است. نبود چنین چارچوبی، استفاده از هوش مصنوعی را به تصمیمهای فردی و گاه پرخطر واگذار میکند.
یک سیاست قابل اجرا باید میان بهرهوری و امنیت تعادل برقرار کند. هدف، جلوگیری از هر نوع استفاده نیست؛ بلکه کاهش خطر افشای اطلاعات، خطای محتوایی، تبعیض، نقض حقوق دیگران و وابستگی بیدلیل به خروجی ماشین است.
چرا سازمان به سیاست استفاده از هوش مصنوعی نیاز دارد؟
کارکنان ممکن است برای نوشتن پیشنویس، خلاصهسازی، ترجمه، تحلیل داده یا پاسخگویی به مشتری از ابزارهای هوش مصنوعی استفاده کنند. اگر این کار بدون قاعده انجام شود، حتی یک پرسش ساده میتواند حاوی نام مشتری، متن قرارداد، اطلاعات حقوق و دستمزد یا جزئیات یک پروژه محرمانه باشد.
خطر فقط نشت داده نیست. مدلهای هوش مصنوعی ممکن است اطلاعات نادرست تولید کنند، منبعی خیالی بسازند یا در ارزیابی افراد و تصمیمگیریهای حساس، الگوهای جانبدارانه نشان دهند. سیاست سازمان باید این خطرها را به زبان قابل فهم به مسئولیتهای مشخص تبدیل کند.
سیاست استفاده از هوش مصنوعی در سازمانها باید چه بخشهایی داشته باشد؟
۱. دامنه و هدف استفاده
در ابتدای سند باید روشن شود سیاست شامل چه کسانی و چه ابزارهایی است؛ برای مثال کارکنان، مدیران، پیمانکاران، کارآموزان و سامانههایی که سازمان برای تولید متن، تصویر، صدا، کد یا تحلیل داده به کار میگیرد. همچنین باید توضیح داده شود که استفاده مجاز با چه هدفی انجام میشود، نه اینکه صرفاً نام چند ابزار فهرست شود.
۲. طبقهبندی دادهها
کارکنان باید بدانند تفاوت میان داده عمومی، داخلی، محرمانه و بسیار حساس چیست. برای هر سطح، سیاست باید روش مجاز استفاده را مشخص کند؛ ممکن است داده عمومی در ابزار تأییدشده قابل پردازش باشد، اما داده مشتری یا سند مالی فقط در سامانهای با کنترل دسترسی و قرارداد مناسب مجاز باشد.
قاعده ساده برای کارکنان: اگر انتشار یک اطلاعات در کانال عمومی، گروه خانوادگی یا شبکه اجتماعی به سازمان یا فردی آسیب میزند، نباید آن را در ابزار عمومی هوش مصنوعی وارد کرد.
۳. ابزارهای مجاز و مسئول تأیید
داشتن فهرست ابزارهای تأییدشده، از سردرگمی کارکنان کم میکند. واحد فناوری اطلاعات یا امنیت باید پیش از تأیید، درباره شیوه نگهداری داده، امکان استفاده از ورودیها برای آموزش مدل، کنترل حسابها، حذف اطلاعات و محل پردازش بررسی لازم را انجام دهد.
استفاده از حسابهای شخصی برای اطلاعات کاری نیز باید صریحاً تعیین تکلیف شود. در بسیاری از سازمانها، حساب سازمانی امکان مدیریت دسترسی و رسیدگی به رخداد را فراهم میکند؛ اما صرف سازمانی بودن حساب، بهتنهایی امنیت ابزار را تضمین نمیکند.
چه استفادههایی معمولاً کمخطرتر و چه کاربردهایی حساسترند؟
سطح نظارت باید با پیامد کاربرد متناسب باشد. تولید یک پیشنویس عمومی با تصمیمگیری درباره استخدام یا اعتبار مالی افراد یکسان نیست و نمیتوان برای هر دو، یک روند تأیید در نظر گرفت.
کاربردهای کمخطرتر، در صورت استفاده از داده غیرمحرمانه، میتوانند شامل این موارد باشند:
- ایدهپردازی و تهیه پیشنویس اولیه؛
- خلاصهسازی متنی که حاوی اطلاعات حساس نیست؛
- اصلاح نگارشی، ترجمه اولیه و دستهبندی محتوای عمومی؛
- کمک به نوشتن کد، مشروط به بررسی امنیتی و فنی.
کاربردهای حساستر به کنترل جدیتری نیاز دارند؛ از جمله غربالگری استخدام، ارزیابی عملکرد، تصمیم درباره اخراج یا ترفیع، تحلیل اطلاعات سلامت، پاسخ حقوقی، تشخیص تقلب و هر فرایندی که نتیجه آن مستقیماً بر حقوق یا فرصتهای یک فرد اثر میگذارد. در این موارد، خروجی هوش مصنوعی نباید تنها مبنای تصمیم باشد و باید امکان بازبینی انسانی وجود داشته باشد.
قواعد طلایی برای استفاده امن کارکنان
- داده را پیش از ورود کمینه کنید: نام، شماره تماس، شناسه مشتری و جزئیاتی را که برای انجام کار لازم نیست حذف یا ناشناس کنید.
- خروجی را واقعیت قطعی ندانید: تاریخها، اعداد، نقلقولها، منابع، محاسبات و کد تولیدشده باید بررسی شوند.
- مسئول نهایی را مشخص کنید: فردی که متن یا تصمیم را منتشر میکند، باید آن را بخواند و مسئولیت صحت آن را بپذیرد.
- محرمانگی را در درخواست هم رعایت کنید: حتی اگر نام افراد حذف شود، ترکیب چند جزئیات ممکن است هویت آنها را آشکار کند.
- استفاده را ثبت کنید: در فرایندهای حساس، ابزار، هدف، نوع داده، زمان استفاده و نتیجه بررسی باید قابل پیگیری باشد.
نقش انسان، شفافیت و پاسخگویی در خروجی هوش مصنوعی
سیاست خوب فقط درباره کاربر ابزار نیست؛ درباره کسی است که نتیجه را میپذیرد. خروجی هوش مصنوعی باید بهعنوان پیشنویس یا پیشنهاد تلقی شود، مگر آنکه برای یک کاربرد کمخطر، آزمایش و تأیید شده باشد.
در محتوایی که ممکن است بر تصمیم یک فرد اثر بگذارد، سازمان باید بتواند توضیح دهد چه دادهای استفاده شده، چه کسی نتیجه را بررسی کرده و در صورت اعتراض، مسیر اصلاح چیست. اعلام استفاده از هوش مصنوعی نیز باید بر اساس حساسیت و اثرگذاری فرایند تعیین شود؛ پنهانکردن استفاده در نامه رسمی، گزارش تخصصی یا ارتباط مستقیم با مشتری میتواند اعتماد را کاهش دهد.
اگر اطلاعات اشتباه یا محرمانه وارد ابزار شد، چه باید کرد؟
سکوتکردن و پاککردن ساده گفتوگو، راهکار مدیریت رخداد نیست. سیاست باید یک مسیر کوتاه و بدون تنبیه خودکار برای گزارش اشتباه داشته باشد تا کارکنان بتوانند سریع موضوع را به مسئول امنیت، فناوری اطلاعات یا مدیر تعیینشده اطلاع دهند.
اقدام بعدی به نوع داده و ابزار بستگی دارد، اما معمولاً باید حسابها و دسترسیهای مرتبط بررسی شوند، دامنه اطلاعات واردشده مشخص شود، امکان حذف یا محدودسازی آن پیگیری شود و در صورت نیاز، افراد یا واحدهای درگیر در جریان قرار بگیرند. پس از رخداد، اصلاح آموزش و سیاست از سرزنش فردی مهمتر است؛ مگر اینکه تخلف عمدی یا تکرارشوندهای وجود داشته باشد.
سیاست را چگونه به یک دستورالعمل قابل اجرا تبدیل کنیم؟
سند طولانی و مبهم معمولاً خوانده نمیشود. نسخه اجرایی بهتر است با چند مثال واقعی، یک جدول سطح ریسک و مسیر تأیید همراه باشد و برای هر گروه شغلی، توضیح دهد چه چیزی مجاز، مشروط یا ممنوع است.
پیش از تصویب نهایی، سیاست را با نمایندگان امنیت، فناوری اطلاعات، منابع انسانی، حقوقی و واحدهای عملیاتی مرور کنید. آموزش کوتاه هنگام ورود کارکنان و یادآوریهای دورهای نیز ضروری است؛ زیرا ابزارها و روشهای پردازش داده سریعتر از بسیاری از دستورالعملهای سازمانی تغییر میکنند.
جمعبندی: سیاست استفاده از هوش مصنوعی در سازمانها باید مرزها را روشن، مسئولیتها را قابل پیگیری و استفادههای مفید را ممکن کند. سازمانی که ابزارهای مجاز، دادههای ممنوع، سطح نظارت، شیوه گزارش رخداد و مسئول تأیید را مشخص میکند، هم احتمال خطا و نشت اطلاعات را کاهش میدهد و هم کارکنان را به استفاده پنهانی و بیقاعده سوق نمیدهد.
