איש צוות העתיק לשיחת צ'אט עם כלי AI טיוטת הצעת מחיר הכוללת שמות לקוחות, נתוני מכירות ותנאים מסחריים. הוא לא ניסה לפגוע בארגון. הוא ניסה לעבוד מהר יותר. אלא שבאותו רגע, מידע עסקי רגיש יצא מגבולות סביבת העבודה שהארגון שולט בה. זה בדיוק המקום שבו השאלה איך מכינים מדיניות AI ארגונית הופכת משאלה טכנולוגית להחלטת ניהול סיכונים.
מדיניות טובה אינה מסמך שנועד להרתיע עובדים משימוש בבינה מלאכותית. היא מסגרת שמאפשרת להם להשתמש בכלים הנכונים, למטרה הנכונה ובגבולות ברורים. המטרה היא להפיק ערך עסקי בלי להפקיד מידע, מוניטין והחלטות מהותיות בידי כלי שאינו מנוהל.
מדיניות AI ארגונית מתחילה במיפוי המציאות
הטעות הנפוצה היא להתחיל בכתיבת איסורים. בפועל, השלב הראשון הנכון הוא להבין מה כבר קורה בארגון. ברוב החברות השימוש בכלי AI מתחיל הרבה לפני שההנהלה נתנה אישור רשמי: בשיווק, בגיוס, במכירות, בשירות לקוחות, בפיתוח ובמחלקה המשפטית.
אני ממליצה לקיים מיפוי קצר וממוקד עם מנהלי המחלקות. לא צריך להפוך זאת לפרויקט של חודשים. צריך לשאול אילו כלים משמשים בפועל, מי משתמשת בהם, איזה מידע מוזן אליהם, ואילו תוצרים מתקבלים מהם.
ההבחנה הקריטית היא בין שימושים בעלי סיכון נמוך, כגון ניסוח ראשוני של טקסט כללי, לבין שימושים שכרוכים במידע אישי, סודות מסחריים, קניין רוחני, קבלת החלטות על עובדים או לקוחות, ופעילות מול רגולטור. מדיניות אחידה לכל השימושים תיכשל. היא תהיה נוקשה מדי עבור עבודה שוטפת, או רכה מדי במקום שבו נדרשת הגנה.
להחליט מה מותר, לא רק מה אסור
מדיניות שאומרת רק לא להזין מידע רגיש אינה מספיקה. לאחד מאנשי הצוות או למנהל שנדרשים להוציא משימה לפועל אין תמיד יכולת להכריע לבד מהו מידע רגיש, האם כתובת דוא"ל היא מידע אישי, או אם נתון שהוסר ממנו שם עדיין מאפשר לזהות לקוחה.
לכן המדיניות צריכה לתת כללים תפעוליים. לדוגמה, אפשר לקבוע שניתן להשתמש בכלי מאושר ליצירת טיוטות של תוכן שיווקי, סיכומי ישיבות ללא פרטים מזהים, או רעיונות למצגת. מנגד, אין להזין מידע על לקוחות, נתוני עובדים, חוזים, קוד מקור, מידע רפואי, מסמכי הנהלה או נתונים פיננסיים, אלא במסגרת שאושרה מראש ונבדקה משפטית וטכנולוגית.
כדאי להגדיר גם את דרך העבודה. כאשר נדרשת עזרה בכתיבה, העובדת יכולה להזין תיאור כללי ומנוטרל זיהוי. כאשר יש צורך בניתוח מידע פנימי, ייתכן שהפתרון הנכון הוא סביבה ארגונית סגורה, ספק שעמו נחתם הסכם מתאים, או תהליך אישור נקודתי.
העמדה שלי ברורה: איסור גורף על כלי AI הוא בדרך כלל החלטה לא מעשית. הוא לא מבטל את השימוש, אלא דוחק אותו לחשבונות פרטיים ולשימוש בלתי מבוקר. עדיף לקבוע נתיב מאושר, פשוט וברור, ולפקח עליו.
מי אחראי על ההחלטות שמתקבלות בעזרת AI
הכלי יכול לנסח, לסכם, לתרגם ולהציע כיוונים. הוא אינו נושא באחריות מקצועית, חוזית או רגולטורית. ההחלטה נשארת של האדם ושל הארגון.
זו אינה אמירה כללית. אם מערכת AI מסכמת חוזה ומפספסת התחייבות מהותית, אם היא מנסחת הודעה מטעה ללקוח, או אם היא מדרגת מועמדות באופן מפלה, הנזק אינו תיאורטי. הוא עלול להוביל לפגיעה מסחרית, לתלונה, לסכסוך עבודה או לחשיפה משפטית.
לכן המדיניות צריכה לקבוע שכל תוצר של AI עובר בדיקה אנושית לפני שימוש חיצוני או לפני קבלת החלטה מהותית. ככל שההחלטה משפיעה יותר על אדם, על כסף, על זכות או על מוניטין, כך הבקרה האנושית צריכה להיות הדוקה יותר.
בארגונים מסוימים נכון להגדיר בעלות לפי תחום. מנהלת משאבי אנוש תהיה אחראית לכלי גיוס והערכת עובדים. מנהל אבטחת מידע יבחן היבטים טכנולוגיים. הנהלה או גורם מוסמך יאשרו שימושים חדשים בעלי סיכון גבוה. הייעוץ המשפטי נדרש לא רק לאחר תקלה, אלא כבר בשלב שבו בוחרים ספק, מנסחים תהליך ומחליטים איזה מידע מותר לעבד.
חוזים עם ספקי AI הם חלק מהמדיניות
מדיניות פנימית טובה לא תגן על הארגון אם ההסכם מול ספק הכלי מאפשר שימוש רחב במידע שהוזן אליו, אם תנאי השירות משתנים ללא התראה מעשית, או אם אין בהירות היכן המידע נשמר ומי רשאי לגשת אליו.
לפני אישור כלי חדש, יש לבחון את תנאי ההתקשרות. בין היתר, צריך לבדוק מהו מעמד הארגון ביחס למידע, האם הספק משתמש בנתונים לצורך אימון או שיפור השירות, מהם מנגנוני האבטחה, כיצד מטופלים קבלני משנה, מה קורה במקרה של אירוע אבטחה, ומהי אפשרות המחיקה או הייצוא של המידע.
לא כל כלי חינמי הוא בעיה, ולא כל ספק גדול פותר את כל השאלות. הכול תלוי בסוג המידע, בהיקף השימוש, בקהל הלקוחות ובחובות שהארגון כבר קיבל על עצמו כלפי צדדים אחרים. חברה שמחזיקה מידע של לקוחות עסקיים, למשל, צריכה לבדוק גם מה התחייבה להם בהסכמי הסודיות וההתקשרות שלה.
כך מכינים מדיניות AI ארגונית שאפשר ליישם
מסמך יעיל צריך להיות קצר מספיק כדי שיקראו אותו, ומדויק מספיק כדי שינחה החלטות. בדרך כלל נכון לבנות אותו בשתי שכבות: מדיניות כללית לכלל העובדות והעובדים, ונוהל מפורט למנהלות, למנהלי מערכות מידע ולבעלי תפקידים שמאשרים כלים ושימושים.
המדיניות הכללית צריכה לכלול את מטרתה, תחולתה והגדרות בסיסיות. אחר כך יש לקבוע אילו כלים מאושרים, אילו סוגי מידע אסורים בהזנה, מתי נדרש אישור מוקדם, מי בודקת תוצרים, ואיך מדווחות על חריגה או על חשש לאירוע מידע.
בנוהל המפורט יש מקום לתהליך הערכת סיכונים. לפני הטמעת שימוש חדש, בוחנים את מטרת השימוש, סוגי המידע, קהל היעד, האפשרות להשפעה על אנשים, הספק, תנאי החוזה, דרישות אבטחת המידע והבקרה האנושית. לא כל שימוש צריך ועדה. אבל שימוש שמייצר החלטות על עובדים, לקוחות או זכויות, בהחלט דורש בחינה מסודרת.
רשימת הבדיקה צריכה לכלול לפחות את הנושאים הבאים:
- סוג המידע שנכנס לכלי, לרבות מידע אישי, סודי או קנייני.
- מטרת השימוש והערך העסקי הצפוי ממנו.
- הכלי או הספק המאושר, תנאי ההתקשרות ואבטחת המידע.
- הגורם האחראי על אימות התוצר ועל אישור השימוש.
- דרך התיעוד, הדיווח והטיפול בחריגות.
הדרכה היא מנגנון הגנה, לא מצגת חד פעמית
גם מדיניות מצוינת לא תעבוד אם היא נשלחת בדוא"ל ונעלמת בתיקייה. עובדים צריכים לראות דוגמאות שמתחברות לעבודה שלהם: מה מותר להזין לכלי, איך מטשטשים נתונים, מתי אסור להסתמך על תשובה, ומי הכתובת לשאלה מהירה.
הדרכה קצרה עם תרחישים אמיתיים יעילה יותר ממסמך ארוך. כדאי לשלב אותה בקליטת עובדים חדשים, לעדכן אותה כאשר נכנס כלי חדש, ולחזור עליה לאחר אירוע חריג. המטרה אינה לחפש אשמים. המטרה היא לזהות סיכון בזמן, לפני שהוא הופך לדיווח ללקוח, לחקירה פנימית או למחלוקת משפטית.
מניסיוני הניהולי, נהלים עובדים כאשר הם מתאימים לקצב העבודה. אם אישור לכלי פשוט לוקח שבועות, אנשים יעקפו אותו. אם אין כתובת ברורה להתייעצות, החלטות יתקבלו במסדרון. לכן תהליך אישור נכון צריך להיות מדורג: מהיר לשימושים שגרתיים, ומעמיק יותר כשמדובר במידע רגיש או בהשפעה מהותית.
המדיניות אינה מסמך סופי
כלי AI, תנאי שימוש וסיכונים משתנים. לכן יש לקבוע כבר במסמך מועד לבחינה מחדש, למשל אחת לשנה או כאשר הארגון מטמיע כלי מהותי חדש. גם שינוי במאגרי המידע, בהסכמים מול לקוחות או במבנה הארגוני יכול להצדיק עדכון.
מדיניות AI היא חלק ממשפט מונע. היא אינה מחליפה חוזים, הגנת פרטיות, אבטחת מידע או שיקול דעת ניהולי. היא מחברת ביניהם לשיטת עבודה אחת שמאפשרת לצמוח בלי לגלות בדיעבד שהחיסכון של כמה דקות יצר סיכון יקר.
לפני שמאשרים כלי חדש או מפיצים מדיניות לעובדים, כדאי לעצור ולבדוק אם היא באמת תעבוד ביום שבו מנהלת מכירות צריכה תשובה מהירה, או ביום שבו לקוח מבקש לדעת מה נעשה במידע שלו. שם נבחנת מדיניות טובה.
אם הארגון שלכם כבר משתמש בכלי AI, אבל עדיין אין מסגרת ברורה שמסבירה מה מותר, באילו כלים ומי מאשר, זה הזמן להסדיר את זה. אני מלווה ארגונים במיפוי השימושים הקיימים, בבניית מדיניות שמתאימה לקצב העבודה שלהם ובבדיקת ההסכמים מול ספקי ה-AI. מוזמנים לפנות אליי לשיחת היכרות.