מדיניות AI
שאפשר באמת לעבוד לפיה.

השם של המסמך אינו המבחן. צריך לזהות אילו חובות חלות על הארגון ועל שימושי AI שלו: עיבוד מידע אישי, סודיות, אבטחה, זכויות בתוצרים ודרישות ענפיות או חוזיות. מדיניות פנימית היא דרך מעשית לתרגם את החובות לכללי עבודה; היא אינה תחליף לבדיקה של הכלים והתהליכים עצמם.

רשימת כלים וחשבונות מאושרים, סוגי מידע שאסור או מוגבל להזין (מידע אישי, מידע רגיש, סודות לקוחות), מקרי שימוש מותרים, דרישת בקרה אנושית על תוצרים לפני שימוש, תהליך אישור של כלי חדש, והנחיות להדרכה ולדיווח על טעויות. מדיניות טובה קצרה, ברורה וניתנת ליישום - לא מסמך מדיני שאף אחד לא קורא.

הבחירה תלויה בסיכון וביכולת הארגון לאכוף את הכלל. לעיתים נכון לאסור כלי או שימוש מסוים, ולעיתים לאשר חלופה מוגבלת. חשוב לתת לעובדים הוראה שאפשר לקיים: כלי מאושר, סוגי מידע מותרים, בקרה ותהליך אישור לחריגים. אין להניח שאיסור כללי לבדו מונע העברת מידע.

הארגון אינו משתחרר מחובותיו רק מפני שעובד השתמש בכלי חיצוני. האחריות של הארגון, העובד והספק נבחנת לפי העובדות, הדין וההסכמים. מבררים איזה מידע נמסר, באיזו הרשאה, מה הספק עושה בו ואילו התחייבויות חלות, ובוחנים את הצעדים לצמצום הפגיעה ואת חובות הטיפול והדיווח.

מפים אילו כלים כבר נמצאים בשימוש, בוחרים חלופות ארגוניות מאושרות, מפרסמים נוסח קצר וברור, מדריכים את הצוות וממנים גורם שמאשר כלים ומקרי שימוש חדשים. חשוב שהמדיניות תתאים לאופי הארגון: משרד עורכי דין, חברת תוכנה ומוקד שירות צריכים כללים שונים.

התחום משתנה מהר: כלים חדשים, תוכניות ספק משתנות והנחיות רגולטוריות מתעדכנות. נכון לבצע עדכון תקופתי קבוע ובנוסף בכל שינוי מהותי - כלי חדש שנכנס לשימוש, שינוי בתנאי ספק מרכזי, או הנחיה חדשה של הרשות להגנת הפרטיות.