Політика використання ШІ в компанії: що вона має містити та коли вона потрібна?

Від Mallbutiken · Факти перевірено 30 вересня 2026 р. · Приблизно 8 хвилин на читання

Політика щодо ШІ — це внутрішній керівний документ, який встановлює практичні правила використання штучного інтелекту в організації. Регламент ЄС про ШІ не вимагає від кожної компанії обов’язково мати документ саме під назвою «Політика щодо ШІ». Однак така політика може бути ефективним способом перетворення обов’язків, захисту даних, інформаційної безпеки та внутрішніх рішень щодо ризиків на правила, яких співробітники дійсно можуть дотримуватися.

Коли політика щодо ШІ особливо корисна?

Потреба зростає, коли ШІ перестає використовуватися епізодично окремими особами, а стає частиною робочих процесів, систем або прийняття рішень. Це стосується, наприклад, випадків, коли працівники використовують генеративний ШІ для створення матеріалів для клієнтів, коду, аналітики, кадрової роботи, юридичної документації, фінансових питань або зовнішніх комунікацій.

Політика також є цінною, коли організації потрібно донести однакові вказівки до великої кількості користувачів. Без спільних правил легко виникають суперечності: один керівник дозволяє завантаження клієнтських матеріалів в інструмент, тоді як інший забороняє це, або працівники припускають, що платний сервіс ШІ можна автоматично використовувати з усіма типами даних.

Політика не замінює оцінку ризиків

Керівний документ може визначати процес, але він не вирішує автоматично, чи є певна система ШІ дозволеною або доцільною. Роль відповідно до Регламенту про ШІ, сфера застосування, тип даних, умови постачальника та інше галузеве регулювання все одно повинні оцінюватися для конкретної системи.

Що повинна містити політика щодо ШІ?

Політика повинна бути достатньо конкретною, щоб користувач міг прийняти повсякденне рішення, не інтерпретуючи юридичні принципи. Формулювання «використовуйте ШІ відповідально», наприклад, дає значно менше керівництва, ніж правило про те, які класи інформації можна передавати зовнішньому сервісу ШІ.

Приклад: зробіть правила зрозумілими за допомогою моделі «світлофора»

Модель «світлофора» може полегшити використання політики, але рівні мають бути адаптовані до даних та ризиків організації.

• Зелений: завдання з низьким рівнем ризику, наприклад, генерація ідей із використанням загальнодоступної або безпечної інформації в затвердженому інструменті.
• Жовтий: використання, що потребує контролю або схвалення, наприклад, матеріали клієнтів, зовнішні публікації, код або завдання, де помилки можуть мати очевидні наслідки.
• Червоний: використання, яке організація заборонила, наприклад, завантаження комерційної таємниці або чутливих персональних даних у несанкціонований сервіс.

Важливі не стільки кольори, скільки зрозумілі межі. Тому наводьте приклади з власної діяльності та вказуйте, до кого звертатися у разі сумнівів.

ШІ-грамотність: що говорить стаття 4 після змін 2026 року?

Стаття 4 Регламенту про ШІ стосується постачальників та організацій-користувачів, які є «розгортачами» (deployers) у значенні регламенту. Після внесення змін згідно з Регламентом (ЄС) 2026/1744 вони повинні вживати заходів для підтримки розвитку ШІ-грамотності серед персоналу та інших осіб, які займаються експлуатацією та використанням систем ШІ від їхнього імені. Слід враховувати, серед іншого, технічні знання, досвід, освіту, контекст використання та осіб, на яких це впливає.

Змінене положення також прямо зазначає, що це зобов'язання не означає, що постачальник або організація-користувач повинні гарантувати певний конкретний рівень знань для кожної особи. Це свідчить на користь пропорційного підходу: людина, яка використовує ШІ для мовної допомоги, зазвичай потребує іншого навчання, ніж особа, яка впроваджує систему ШІ в HR або створює ШІ-інтеграцію.

ШІ та GDPR: почніть із потоків даних

Якщо сервіс ШІ обробляє персональні дані, організація одночасно повинна дотримуватися GDPR. Почніть із простих питань: які дані надсилаються до сервісу, з якою метою, хто визначає обробку, де зберігаються дані, чи використовуються вони для навчання моделей та які субпідрядники мають до них доступ?

Якщо постачальник обробляє персональні дані від вашого імені, може знадобитися договір про обробку персональних даних (DPA). Ознайомтеся з посібником про те, коли потрібна DPA/PUB і що має містити договір. Проте договір DPA сам по собі не робить усю обробку ШІ законною; правові підстави, прозорість, мінімізація даних та інші відповідні вимоги все одно мають бути оцінені.

Не забувайте про комерційну таємницю

Інформація може бути критично важливою для бізнесу, навіть якщо вона не є персональними даними. Тому політика повинна мати окремі правила, наприклад, для вихідного коду, комерційних пропозицій, клієнтських договорів, планів розвитку продуктів, інформації про безпеку та іншої комерційної таємниці. Також оцінюйте договірні умови постачальника, перш ніж вводити матеріали.

Як впровадити політику щодо ШІ у шість кроків

1. Картографуйте фактичне використання. Які інструменти вже використовуються, ким і з якими даними?
2. Класифікуйте сценарії використання. Відділяйте просту продуктивність від використання, що впливає на людей, безпеку чи важливі рішення.
3. Перевірте постачальників. Перевірте умови, обробку даних, безпеку, зберігання, навчання та субпідрядників.
4. Визначте правила та відповідальність. Вкажіть, хто володіє політикою, затверджує інструменти та приймає звіти про інциденти.
5. Навчайте відповідно до ролі. Пов’язуйте навчання з тим ШІ, який фактично використовує кожна група.
6. Відстежуйте. Переглядайте список інструментів та політику, коли змінюється бізнес, технології чи правила.

Поширені помилки в політиках щодо ШІ

• Заборона або дозвіл «ШІ» як єдиної категорії. Ризики сильно відрізняються залежно від інструментів та сценаріїв використання.
• Написання юридичного тексту без робочих правил. Співробітнику потрібно знати, що можна робити на практиці.
• Фокус лише на персональних даних. Конфіденційність, комерційна таємниця, інтелектуальна власність та безпека можуть бути не менш важливими.
• Забування про людський контроль. Результати роботи ШІ можуть бути переконливими, але помилковими.
• Відсутність відповідального за список інструментів. Політика швидко застаріває, якщо ніхто не відповідає за нові функції ШІ та зміни у постачальників.

Чи потрібна малим підприємствам політика щодо ШІ?

Розмір — це не єдиний вирішальний фактор. Мала компанія, яка використовує ШІ з клієнтськими даними або в центральних процесах, може мати більшу потребу в чітких правилах, ніж велика компанія з обмеженим використанням ШІ. Адаптуйте обсяг до використання та ризиків; коротка, чітка політика, яка виконується, краща за великий документ, який ніхто не застосовує.

Вам потрібна готова структура правил щодо ШІ?

Політика щодо ШІ від Mallbutiken для компаній містить редагований керівний документ у форматах Word та PDF із правилами щодо затверджених сценаріїв використання, даних, GDPR, безпеки, людського контролю, ШІ-грамотності, HR, прозорості та інцидентів. Ціна в магазині: 149 крон.

Переглянути політику щодо ШІ для компаній

Часті запитання

Чи повинні всі компанії мати політику щодо ШІ?

У Регламенті про ШІ немає загальної вимоги, щоб кожна компанія мала документ саме з такою назвою. Однак конкретні зобов’язання можуть застосовуватися залежно від ролі організації та використання ШІ, і керівний документ може допомогти втілити їх у внутрішні правила.

Чи достатньо політики щодо ШІ для дотримання Регламенту про ШІ?

Ні. Відповідність вимогам залежить від ролі організації, систем та сценаріїв використання. Політика — це інструмент управління, а не загальна сертифікація відповідності вимогам.

Чи повинні ChatGPT, Copilot та інші інструменти бути зазначені в політиці?

Часто краще комбінувати технологічно нейтральні головні правила з окремим списком затверджених інструментів та умов. Тоді список інструментів можна оновлювати без необхідності переписувати всю політику.