Коли власник бізнесу говорить, що команда працює втричі швидше завдяки ШІ, я спочатку радію за продуктивність. А потім запитую: що саме працівники завантажують у зовнішні сервіси і хто дозволив їм це робити.
Проблема не в самій технології. Проблема виникає, коли у вікно генеративного сервісу летять бази клієнтів, фінансові звіти, договори, персональні дані, вихідний код і стратегічні документи — без класифікації інформації, без оцінки умов сервісу й без контролю доступу.
Дані не обов’язково стають публічними — але контроль уже втрачено
Не можна універсально стверджувати, що кожен ШІ-сервіс використовує всі введені дані для навчання або що конкурент неодмінно отримає ваш звіт у відповіді. Політики різняться залежно від продукту, тарифу й налаштувань. Для бізнесу цього достатньо, щоб не працювати навмання: після завантаження інформації третій стороні ви залежите від її договору, архітектури зберігання та механізмів видалення.
Якщо компанія сама не визначила інформацію як конфіденційну, не обмежила доступ і не пояснила правила поводження з нею, захищати режим комерційної таємниці буде складніше. NDA з клієнтом теж не зникає автоматично, але завантаження даних у непогоджений сервіс може бути його порушенням.
Персональні дані
Ім’я, контакт, паспорт, історія замовлень чи медична інформація не перестають бути персональними даними, коли їх вставили в prompt. Компанія повинна мати правову підставу для обробки, визначену мету, належний рівень захисту й контроль над передачею третім особам. Анонімізація має бути реальною: замінити прізвище ініціалами недостатньо, якщо людину легко відновити з контексту.
Кому належить результат
Фраза в трудовому договорі «все створене за допомогою ШІ є службовим твором» не вирішує питання сама по собі. Авторське право охороняє творчий внесок людини; для неоригінальних об’єктів, згенерованих комп’ютерною програмою, український закон передбачає окреме право особливого роду. Потрібно описати ролі працівника й компанії, дозволені інструменти, перевірку прав на вхідні матеріали та умови конкретного сервісу.
Що має бути у внутрішній політиці
- перелік дозволених сервісів, акаунтів і налаштувань;
- «червона зона» даних, які не можна завантажувати за жодних умов;
- порядок знеособлення й перевірки результату людиною;
- правила використання чужих текстів, зображень, коду та персональних даних;
- фіксація створення результату, погодження публікації та повідомлення про інцидент.
Порушення політики не дає роботодавцеві автоматичного права встановити довільний штраф або звільнити працівника одним рядком. Наслідки мають спиратися на трудове законодавство, належно запроваджені локальні акти, конкретні обов’язки працівника й доказову процедуру.
Заборонити ШІ повністю легко, але зазвичай безрезультатно. Доросла модель — дозволити корисні сценарії, закрити небезпечні й зробити так, щоб працівник не вгадував межі на власний розсуд.