Dane, bezpieczeństwo, ludzie
Zachowujecie kontrolę nad danymi i informacjami o pracy ludzi.
Co ustalamy z IT security, działem prawnym i HR przed pierwszym pilotem na danych firmowych: zakres danych, dostawcy, uprawnienia, retencja, usuwanie, odpowiedzialność za incydenty, zasady wobec pracowników.
Dane, bezpieczeństwo, ludzie
Zachowujecie kontrolę nad danymi i informacjami o pracy ludzi.
Dane i dostawcy
Dane firmowe trafiają do pilota dopiero po zatwierdzeniu warunków ich wykorzystania. IT security i dział prawny uczestniczą od diagnozy. Przed pierwszym użyciem danych firmowych uzgadniamy ich zakres, dostawców, miejsca przetwarzania, dostęp, okres przechowywania i usunięcie. Do czasu zatwierdzenia używamy danych syntetycznych albo materiałów dopuszczonych do tego celu. Eksport z systemu to nadal dane firmy; brak integracji nie usuwa ryzyka.
Przed pilotem otrzymujecie opis przepływu danych, listę dostawców i podwykonawców, zakres uprawnień, zasady przechowywania i usuwania danych oraz podział odpowiedzialności za incydenty. Dokumentacja pokazuje, które elementy działają na Waszych kontach, a które u zatwierdzonych dostawców; każdy przepływ poza Wasze środowisko wymaga uzgodnienia. Wymagane umowy (w tym powierzenie danych) uzgadniamy przed udostępnieniem danych. Uruchomienie pilota wymaga zatwierdzenia warunków dotyczących tego pilota; w etapie 5 aktualizujemy ten pakiet o nowe integracje, dostawców i przepływy danych, a każdą zmianę wymagającą zgody zatwierdzamy przed uruchomieniem.
Pracownicy
Wiecie, do jakich celów będą wykorzystywane informacje o pracy osób i kto zobaczy wyniki. Ustalamy to z HR i działem prawnym przed uruchomieniem. Analiza rozmów oraz raporty aktywności nie są automatycznie narzędziem oceny pracownika. Zmiany ról, szkolenia i wymagane konsultacje planujemy przed wdrożeniem.
Zakres informacji i konsultacji pracowniczych ustalamy osobno dla krajów objętych wdrożeniem, z lokalnym HR i działem prawnym. Zasady twarde w każdym procesie: AI nie wydaje pieniędzy, nie decyduje o ludziach, nie wysyła niczego na zewnątrz bez akceptacji człowieka.
Pytania do IT i prawników
Odpowiedzi do przekazania dalej.
Czy AI dostanie dostęp do naszych systemów?
O dostępach decyduje Wasze IT, nie ja, i to przed pierwszym pilotem, nie po. Już podczas diagnozy uzgadniamy z IT zasady pracy na danych, także na eksportach i dokumentach. Integracje uruchamiamy po zatwierdzeniu zakresu dostępów (etap 4), z inwentarzem uprawnień, logami i testem na uzgodnionym procesie. Każdy przepływ danych poza Wasze środowisko wymaga uzgodnienia; dokumentacja pokazuje, co działa na Waszych kontach, a co u zatwierdzonych dostawców.
Kto zatwierdza wyniki i decyzje?
Zachowujecie kontrolę nad publikacją wyników, wydatkami i decyzjami dotyczącymi ludzi. Właściciel procesu ocenia i akceptuje wynik, ekspert zatwierdza treść, lider zatwierdza wyjątki. AI nie wydaje pieniędzy, nie decyduje o ludziach i nie wysyła niczego na zewnątrz bez akceptacji. Zapisujemy to w zasadach każdego procesu.
Co, jeśli AI się pomyli?
Ograniczacie ryzyko publikacji błędnego wyniku i macie ustalony sposób reakcji, gdy błąd przejdzie kontrolę. Człowiek sprawdza wynik przed publikacją, a każdy proces ma krok kontroli jakości (sprawdzenie liczb, źródeł, zmyśleń), rejestr błędów, procedurę wycofania wyniku i powrotu do pracy ręcznej. Po błędzie poprawiamy instrukcje, dodajemy test sprawdzający jego ponowne wystąpienie i sprawdzamy, czy problem wraca.
Czy to zgodne z AI Act i RODO? Co z art. 4 (kompetencje w zakresie AI)?
Dział prawny dostaje dokumentację, którą może pokazać audytorowi, powstającą w trakcie programu, nie po nim. Program obejmuje rozwój kompetencji potrzebnych do korzystania z AI, z dokumentacją dopasowaną do ról, zastosowań i ryzyk. Udział w programie ani osiągnięcie poziomu w tym modelu nie stanowią potwierdzenia zgodności z AI Act lub RODO; zgodność oceniacie z własnym działem prawnym. Dane osobowe: umowa powierzenia przed udostępnieniem danych, przetwarzanie w uzgodnionym środowisku, zakres informacji i konsultacji pracowniczych ustalany osobno dla krajów objętych wdrożeniem.
Czy program obejmuje kilka krajów i wersji językowych?
Nie płacicie za języki i kraje, których pilot nie obejmuje. Podstawowy zakres to jeden dział i jeden język; kolejne języki i kraje dodajemy jako rozszerzenie po diagnozie. Zakres pilotażu określa języki, wymagania dostępności i odpowiedzialność za lokalną weryfikację treści.
Trzydzieści minut
W 30 minut ustalimy, czy warto przejść do diagnozy jednego procesu.
Wyjdziesz z uzgodnionym następnym krokiem: diagnozą, poprawą obecnego sposobu pracy albo decyzją, by teraz nie zaczynać. Wystarczy lider działu. Omówimy problem, dostępne informacje i warunki dalszej oceny; udział IT i działu prawnego planujemy, jeśli jest potrzebny.