AI playbook: pravidla používání AI a vzor ke stažení

Začněte jedním pracovním postupem

Při shrnutí interního návodu potřebujete vědět, které podklady můžete AI předat a kdo zkontroluje hotový text. Právě takovou situací můžete začít i při psaní pravidel. Projděte jednu úlohu od výběru dokumentu po použití výsledku a zapište, kdo za jednotlivé kroky odpovídá. Odesílání zpráv a změny záznamů povolujte samostatně.

První playbook bych napsal podle skutečného průchodu jednou úlohou. U každého místa, kde člověk rozhoduje, uveďte pravidlo a odpovědnost. Obecnou směrnici rozšiřujte až podle dalších povolených použití. Před výběrem služby prověřte nástroj a podmínky dodavatele.

Určete použití, odpovědnosti a povolená data

Člověk, který si otevře pravidla, potřebuje zjistit, zda v daném nástroji může udělat svou práci. Napište proto konkrétní službu, tarif a povolené funkce spolu s tím, kdo je smí používat. U interních dokumentů, osobních údajů a připojených aplikací uveďte hranice použití. Zaměstnanec by je neměl odhadovat podle obecné věty „používejte AI bezpečně“.

Pro každý postup vyberte nezbytná vstupní pole a podklady. Před odesláním ukažte, co služba opravdu dostane. U vlastní integrace vynucujte omezení na serveru. Hesla a přístupové klíče nepředávejte do zadání. U osobních údajů posuďte účel a oprávněnost jejich použití. EDPB vysvětluje ochranu dat od návrhu a výchozí omezení zpracování na potřebný rozsah.

U historie chatů, logů a exportů určete přístupy a dobu uchování. Podklady v chybovém reportu chraňte stejně jako v pracovním systému. Za kontrolu výsledku odpovídá určený pracovník. Administrátorský přístup sám nedává právo schvalovat věcnou správnost dokumentu.

Kontrolujte výsledek a schvalujte konkrétní verzi

Kontrolující porovná fakta s aktuálními podklady, čísla s ověřeným výpočtem a citace se zdroji. Chybějící údaje vrátí k doplnění. AI nesmí mezery vyplnit vymyšlenou informací.

Zaznamenejte verzi návrhu, schvalovatele, čas a rozhodnutí. Po změně podkladů nebo textu vytvořte novou verzi ke kontrole. Při exportu a odeslání ověřte schválení aktuální verze i oprávnění uživatele.

Jak playbook propojit s ISO 27001 a ISO 42001

ISO/IEC 27001:2022 stanovuje požadavky na systém řízení bezpečnosti informací. Pracuje s riziky pro důvěrnost, integritu a dostupnost. ISO/IEC 42001:2023 se zaměřuje na systém řízení AI. Vztahuje se na organizace, které AI poskytují nebo používají.

Do playbooku vložte odkazy na pravidla přístupů, schválené dodavatele, evidenci rizik a incidentní postup. Doplňte účel používání AI, kontrolu výsledků a podmínky nové kontroly po změně služby. Údaje udržujte v jedné evidenci a odkazujte na ně z pracovních postupů.

Vzor není seznam požadavků norem a jeho vyplnění neprokazuje shodu ani certifikaci. Pro formální zavádění použijte úplné znění norem a posouzení konkrétního použití. Podrobněji navazuje článek o řízení AI podle ISO 42001.

Připravte postup pro chybu i změnu nástroje

Uveďte kontakt pro hlášení chyby a náhradní způsob spojení při výpadku. Chybnou odpověď přestaňte používat. Při podezření na předání nepovolených údajů nahlaste službu, čas a rozsah dat. Odpovědná osoba posoudí dopad a určí nápravu.

Evidujte použité podklady, verzi pravidel a dostupné označení modelu. Pokud dodavatel přesnou verzi neuvádí, zaznamenejte toto omezení. NCSC doporučuje dokumentovat data, modely a zadání a chránit související záznamy. Po změně služby, oprávnění nebo zdrojů zopakujte zkoušky, kterých se změna týká.

Vzor AI playbooku ke stažení

Vzor si můžete upravit podle práce svého týmu. Začněte nástroji, odpovědnými lidmi a daty, která jim dovolíte předávat. Pokud zatím něco nevíte, zapište, kdo odpověď zjistí a do kdy.

Stáhnout vzor AI playbooku (.md)

Soubor upravte v textovém editoru. Před schválením projděte jeden případ od zadání po použití výsledku. Ověřte také chybu, změnu podkladů a odebrání přístupu. Hotová pravidla zpřístupněte lidem, kteří podle nich pracují.