Сигурно използване на изкуствен интелект във фирмата
Правила, процеси и технологии, които пазят данните Ви, докато екипът работи с AI
AI вече се използва във Вашата фирма
Служителите пишат имейли, превеждат документи, обобщават договори и анализират таблици с помощта на ChatGPT, Copilot, Gemini и други AI инструменти. Това спестява време и е добре за бизнеса. Проблемът започва, когато това става с лични акаунти, без правила и без ръководството да знае какви данни излизат от фирмата.
Всеки текст, файл или таблица, поставени в безплатен AI инструмент, напускат Вашата ИТ среда. В зависимост от условията на услугата те могат да се съхраняват, да се преглеждат от трети лица или да се използват за обучение на модела. Така клиентски данни, оферти, заплати или изходен код могат да изтекат, без никой да е бил хакнат.
Geletron помага на малки и средни фирми да въведат AI по контролиран начин: с одобрени инструменти, ясни правила, технически защити и обучение на екипа.
Основните рискове при използване на AI
Технологии за изолиране и защита на данните
- Бизнес версии на AI инструментите. Microsoft 365 Copilot работи в рамките на Вашия Microsoft 365 и спазва вече зададените права за достъп. Подканите и отговорите не се използват за обучение на базовите модели. Бизнес версиите на ChatGPT, Claude и Gemini също предлагат договорна защита на данните, за разлика от безплатните лични акаунти.
- Подредени права за достъп. Преди да включим AI асистент, преглеждаме кой до какви папки, SharePoint сайтове и документи има достъп. AI не трябва да вижда повече от необходимото.
- Етикети за поверителност и DLP. С инструменти като Microsoft Purview маркираме поверителните документи и задаваме правила, които спират изпращането на лични данни, номера на карти или договори към неодобрени услуги.
- Блокиране на неодобрени услуги. Чрез DNS и уеб филтриране и правила за условен достъп ограничаваме използването на AI сайтове и разширения, които не са одобрени от фирмата.
- Локални модели за чувствителни данни. Когато данните не трябва да напускат офиса, AI модел може да работи на собствен сървър или работна станция, изолиран от интернет.
- Изолирана среда за AI агенти. Агентите, които изпълняват действия, работят в отделна среда с минимални права, без достъп до администраторски акаунти и с одобрение от човек преди важни действия.
- Журнали и наблюдение. Записваме кой какъв AI инструмент използва, за да може при инцидент да се установи какво се е случило.
Как въвеждаме AI във фирмата
- Преглед на текущото използване. Установяваме какви AI инструменти вече се използват и за какво.
- Класификация на данните. Разделяме информацията на публична, вътрешна, поверителна и лични данни.
- Избор на одобрени инструменти. Определяме кой инструмент за какви задачи и с какви данни може да се използва.
- Политика за използване на AI. Изготвяме кратък и ясен документ, който ръководството одобрява официално.
- Технически мерки. Настройваме бизнес акаунти, права за достъп, DLP и блокиране на неодобрени услуги.
- Обучение на екипа. Обясняваме правилата с примери от Вашата работа.
- Редовен преглед. AI инструментите се променят бързо, затова преглеждаме правилата поне веднъж годишно.
Правила за служителите
- Използвайте само одобрените от фирмата AI инструменти и фирмения си акаунт.
- Не въвеждайте лични данни на клиенти и колеги, пароли, банкови данни и поверителни документи в публични AI услуги.
- Проверявайте всеки отговор на AI, преди да го използвате в документ, оферта или решение.
- Не инсталирайте AI разширения и приложения без одобрение.
- Отбелязвайте, когато текст или анализ е създаден с помощта на AI, ако това е важно за клиента.
- Бъдете внимателни с неочаквани гласови и видео обаждания от името на ръководството. Проверявайте по друг канал.
- Съобщавайте веднага, ако сте въвели по погрешка поверителна информация.
AI и законовите изисквания
Регламентът на ЕС за изкуствения интелект (AI Act) задължава фирмите, които използват AI системи, да осигурят достатъчна AI грамотност на служителите, които работят с тях. Това изискване се прилага от 2 февруари 2025 г. и важи и за малките фирми.
GDPR продължава да се прилага изцяло. Поставянето на лични данни в AI инструмент е обработване на лични данни и изисква правно основание, подходящ доставчик и мерки за защита.
За фирмите, които попадат под NIS2, AI инструментите са част от управлението на риска и от сигурността на доставчиците. Повече за подхода ни ще намерите в статията AI във фирмата: рискове от изтичане на данни и правила за работа.