آخرین به‌روزرسانی:
اگر در تیمتان کسی پشت کامپیوتر کار میکند، به احتمال زیاد همین حالا از هوش مصنوعی استفاده میکند: برای نوشتن ایمیل، رفع یک خطا، یا شاید با چسباندن فایل اکسل مشتری‌ها در یک حساب رایگان. سؤال این نیست که استفاده بشود یا نه؛ سؤال این است که با چه قاعده‌ای.
سیاست استفاده از هوش مصنوعی سندی کوتاه است که می‌گوید در کار شرکت، کدام ابزار، با کدام داده، برای کدام کار و با چه مسئولیتی مجاز است. برای بیشتر تیم‌ها یک صفحه کافی است، به شرطی که روشن باشد و همه آن را خوانده باشند.
سیاست هوش مصنوعی جلوی چه چیزی را می‌گیرد؟#
جلوی پنج خطر مشخص که بدون قاعده، دیر یا زود یکی‌شان پیش می‌آید:
- نشت داده: اطلاعات مشتری، کلید یا قرارداد در حساب شخصی کسی.
- خروجی غلط با اسم شرکت: مقاله، پاسخ پشتیبانی یا عددی در گزارش که کسی بررسی نکرده.
- مسئله‌ی حقوقی: تصویر یا متنی که وضعیت حق نشرش روشن نیست.
- دسترسی بیش از حد: ایجنت یا افزونه‌ای که به ایمیل، مخزن کد یا پنل سایت وصل شده و کسی خبر ندارد.
- کلاهبرداری: پیام یا صدای جعلی که کسی را به پرداخت وادار میکند؛ جزئیاتش در کلاهبرداری با هوش مصنوعی.
چهار اصل پایه‌ی سیاست#
در برابر این خطرها، چهار جمله بالای سند می‌آیند و بقیه‌ی قواعد از آنها بیرون می‌آید:
- مسئولیت خروجی با انسان است. «هوش مصنوعی نوشت» توجیه هیچ اشتباهی نیست.
- داده بر اساس حساسیتش رفتار میشود، نه بر اساس راحتی.
- فقط ابزارها و حساب‌های تأییدشده.
- استفاده پنهان نیست. اگر بخش بزرگی از کاری را هوش مصنوعی انجام داده، بازبین باید بداند.
داده را چطور طبقه‌بندی کنیم؟#
با سه رنگ سبز، زرد و قرمز، طوری که کارمند در لحظه‌ی کار در دو ثانیه تصمیم بگیرد. این مهم‌ترین بخش سیاست است:
| رنگ | نمونه | قاعده |
|---|---|---|
| سبز | متن عمومی سایت، مستندات عمومی، کد متن‌باز | در هر ابزار تأییدشده مجاز |
| زرد | کد اختصاصی، گزارش داخلی، داده‌ی فروش بدون نام | فقط با حساب سازمانی و بعد از حذف نام‌ها |
| قرمز | رمز و کلید، اطلاعات شخصی مشتری، مدارک هویتی و بانکی | هرگز، در هیچ ابزار ابری |
برای رنگ قرمز استثنا نگذارید. روش پاک‌سازی داده قبل از فرستادن را در چه چیزهایی را هرگز به هوش مصنوعی ندهیم نوشته‌ایم.
کدام ابزارها و حساب‌ها مجازند؟#
آن‌هایی که در فهرست تأییدشده‌ی شرکت آمده‌اند و با حساب سازمانی استفاده می‌شوند. بقیه‌ی جزئیات این بخش:
- فهرست کوتاه ابزارهای تأییدشده، با نام یک مسئول برای هر کدام.
- حساب سازمانی به‌جای شخصی. این حساب‌ها معمولاً کنترل بیشتری روی نگهداری داده دارند؛ شرایط دقیق را از صفحه‌ی رسمی هر سرویس ببینید.
- گزینه‌ی استفاده از داده برای آموزش مدل را هر جا ممکن است خاموش کنید.
- مسیر ساده برای درخواست ابزار تازه. اگر درخواست کردن سخت باشد، مردم بی‌اجازه نصب میکنند.
- افزونه‌ی مرورگر، ایجنت و اتصال به سرویس‌های دیگر (مثلاً از راه MCP) تأیید جداگانه می‌خواهند، چون به داده‌های دیگر دسترسی پیدا میکنند.
برای کد، محتوا و پاسخ به مشتری چه قاعده‌ای بگذاریم؟#
قاعدهی کلی این است که هر خروجی هوش مصنوعی همان مسیر بررسی کار انسانی را طی کند، و هر چه به بیرون از تیم می‌رود، یک نفر آن را خوانده باشد:
| کار | مجاز؟ | شرط |
|---|---|---|
| متن داخلی و ایمیل کاری | بله | داده‌ی قرمز در آن نباشد |
| محتوای منتشرشده در سایت | بله | بازبینی انسانی و بررسی درستی ادعاها |
| کد | بله | همان بازبینی و تست کد معمولی |
| پاسخ به مشتری | با احتیاط | پیش‌نویس با هوش مصنوعی، فرستادن با انسان |
| تصویر برای تبلیغ و سایت | با احتیاط | شرایط استفاده‌ی تجاری ابزار بررسی شود |
| ایجنت با دسترسی به سیستم‌ها | فقط با تأیید | کمترین دسترسی و تأیید کارهای برگشت‌ناپذیر |
| تصمیم درباره‌ی افراد | نه به‌تنهایی | تصمیم نهایی با انسان |
برای کد، سیاست باید صریح بگوید کد تولیدشده هیچ امتیاز ویژه‌ای ندارد. آنچه بازبینی ماشینی پیدا میکند و نمی‌کند، در بازبینی کد با هوش مصنوعی آمده است. برای تصویر، وضعیت حقوقی هنوز در حال شکل‌گرفتن است؛ نکته‌هایش در حق نشر و استفاده‌ی تجاری از تصاویر هوش مصنوعی.
وقتی اشتباهی رخ داد چه کنیم؟#
فوری و بدون سرزنش گزارش دهید. سیاستی که فقط تنبیه کند، اشتباه‌ها را پنهان میکند. روال را از قبل بنویسید:
- گزارش فوری به یک نفر مشخص، از یک راه مشخص.
- اگر کلید یا رمز بیرون رفته، همان لحظه باطل و عوض شود.
- اگر داده‌ی مشتری بوده، مسئول مربوط تصمیم می‌گیرد به چه کسی باید اطلاع داده شود.
- یک خط در دفتر رخدادها: چه شد، چرا، و چه چیزی در سیاست باید عوض شود.
نمونه‌ی یک‌صفحه‌ای سیاست#
این متن را نقطه‌ی شروع بگیرید و با شرایط تیمتان تطبیق دهید:
- این سیاست برای همه‌ی کارمندان و همکاران پروژه‌ای است.
- ابزارهای مجاز: [فهرست]. مسئول ابزارها: [نام].
- برای کار شرکت فقط از حساب سازمانی استفاده کنید.
- داده‌ی قرمز در هیچ ابزار هوش مصنوعی ابری وارد نمی‌شود.
- داده‌ی زرد فقط با حساب سازمانی و پس از حذف نام‌ها.
- هر خروجی که بیرون از تیم می‌رود، پیش از انتشار توسط یک نفر بررسی میشود.
- کد تولیدشده همان مسیر بازبینی و تست را طی میکند.
- اتصال ابزار هوش مصنوعی به ایمیل، مخزن کد یا پنل سایت فقط با تأیید مسئول.
- اشتباه را فوراً به [نام] گزارش دهید؛ گزارش به‌موقع تنبیه ندارد.
- این سیاست هر شش ماه بازبینی میشود.
نوشتن نیمی از کار است. نیم ساعت آموزش با مثال‌های واقعی از کار خود تیم، از ده صفحه متن اثر بیشتری دارد. سیاست را کنار راهنمای ورود کارمند تازه بگذارید و از تیم بپرسید چه ابزارهایی لازم دارند؛ سیاستی که کار را سخت کند، دور زده میشود.
این موضوع به کجا می‌رود#
هوش مصنوعی از ابزار جداگانه به بخشی از نرم‌افزارهای روزمره تبدیل میشود: ایمیل، ویرایشگر متن، ابزار طراحی و محیط برنامه‌نویسی. پس سؤال «کدام ابزار مجاز است» کمکم جایش را به «کدام قابلیت با کدام داده» میدهد. هم‌زمان ایجنت‌ها دسترسی بیشتری به سیستم‌ها می‌گیرند و مشتری‌ها و قانون‌گذاران بیشتر می‌پرسند شرکت‌ها با داده‌ی آنها چه میکنند.
برای آمادگی:
- سیاست را حول داده و دسترسی بنویسید، نه نام ابزارها؛ این بخش دیرتر کهنه میشود.
- فهرستی از همه‌ی اتصال‌های هوش مصنوعی به سیستم‌های شرکت نگه دارید.
- برای سیاست یک مسئول مشخص بگذارید که بازبینی دوره‌ای را پیگیری کند.
خلاصه#
- ممنوعیت کامل جواب نمی‌دهد؛ ابزار مجاز و قاعدهی روشن بدهید.
- مسئولیت هر خروجی با انسانی است که آن را منتشر یا ادغام کرده.
- داده را سه‌رنگ کنید و برای رنگ قرمز استثنا نگذارید.
- ایجنت و اتصال به سیستم‌ها تأیید جداگانه و کمترین دسترسی می‌خواهد.
- اشتباه را بدون سرزنش گزارش دهید و از آن برای اصلاح سیاست استفاده کنید.
