Політика ШІ для британської компанії: практичний шаблон правил

Шаблон політики ШІ для Великої Британії корисний лише тоді, коли допомагає працівнику прийняти конкретне рішення. Фраза «використовуйте ШІ відповідально» не пояснює, чи можна завантажити договір клієнта, хто схвалює конектор, який результат перевіряти до надсилання та які докази зберігати після інциденту.

Політика має зменшувати невизначеність, не вдаючи заміну юридичній, професійній або безпековій перевірці. Генератор вище створює робочий проєкт англійською мовою для британської організації. Замініть усі поля в дужках і проведіть документ через реальний процес затвердження.

Три рівні замість одного перевантаженого документа

Рівень	Читач	Рішення	Частота змін
Управління ШІ	Керівництво й власники	Принципи, ризик, ролі та нагляд	Низька
Прийнятне використання	Усі користувачі	Інструменти, акаунти, дані, перевірки, заборони й інциденти	Середня
Процедура сценарію	Операційна команда	Процес, права, тести, схвалення, журнали й відкат	Висока

Керівництво задає межу, щоденні правила роблять її зрозумілою, а окрема процедура перетворює ризиковий сценарій на перевірюваний процес.

Тимчасове правило за 48 годин

Для роботи використовуйте лише схвалені інструменти й облікові записи. Не вводьте клієнтські, персональні, конфіденційні, договірні, платіжні дані або дані доступу без письмового дозволу власника. Перевіряйте факти, джерела, права, упередження та конфіденційність. ШІ не може самостійно приймати суттєве рішення про людину, публікувати, надсилати, купувати, змінювати запис або створювати зобов’язання компанії без схвалення. Негайно повідомляйте про витік або неочікувану дію [КОНТАКТУ З ІНЦИДЕНТІВ].

Це не повна політика, але вона зупиняє найімовірніші помилки під час інвентаризації.

Закріпити рішення за ролями

Рішення	Типовий власник	Мінімальний доказ
Схвалити постачальника або функцію	Закупівлі + безпека + власник даних	Оцінка й умови
Дозволити персональні дані	Відповідальний за захист даних	Мета, підстава, конфігурація, рішення DPIA
Схвалити сценарій	Власник процесу + профільна перевірка	Картка, тести, ліміти й рішення
Опублікувати або діяти назовні	Власник процесу	Докази й записане схвалення
Зупинити систему	Операційний власник або власник інциденту	Критерій зупинки й журнал
Дозволити виняток	Власник політики	Причина, обсяг, строк і компенсаційні заходи

Бізнес-власник відповідає за результат; ІТ, безпека, дані, HR, юридична служба й закупівлі дають перевірку відповідно до ризику.

Спочатку реєстр схвалених інструментів

Для кожного інструмента фіксуйте власника й адміністратора, постачальника, модель і конфігурацію, цілі та користувачів, зелені/жовті/червоні дані, конектори й права, використання даних постачальником, зберігання й передачі, людський контроль, журнали та дати схвалення й виведення.

Схвалення не універсальне: дозвіл на огляд публічного матеріалу не охоплює кадрові справи або запис у CRM.

Світлофор даних із реальними прикладами

Зелений — дозволено у вказаних інструментах

Перевірений публічний контент, синтетичні дані та явно дозволені внутрішні шаблони за дотримання прав і умов.

Жовтий — запитати власника до використання

Внутрішні відомості, звичайні персональні дані, клієнтські документи, неопублікована робота, договірні матеріали й неясна класифікація. Дозвіл фіксує мету, акаунт, конфігурацію, людину та строк.

Червоний — заборонено без окремої процедури

Облікові дані, секрети, платежі, особливі категорії персональних даних, привілейовані повідомлення, регульовані або заборонені договором відомості.

Дванадцять розділів робочої політики

1. Мета: дозволена цінність і очікувана поведінка.
2. Сфера: працівники, підрядники, автономні сервіси та вбудовані функції ШІ.
3. Володіння й винятки: хто схвалює, тлумачить, зупиняє та документує тимчасові винятки.
4. Інструменти й закупівлі: корпоративні акаунти, перевірка конекторів, заборона особистих акаунтів для даних компанії.
5. Прийнятне використання: дослідження, ідеї, огляд, переклад, чернетка й класифікація з контролями.
6. Заборонене використання: обхід контролю, видавання себе за людину, приховування помилки, обман, розкриття даних і несанкціоновані рішення.
7. Перевірка людиною: джерела, точність, повнота, упередження, конфіденційність, права, тон, адресат і ефект.
8. Рішення про людей: змістовна участь людини, інформування, оскарження, втручання й тести.
9. Прозорість: коли розкривати участь ШІ клієнтам, персоналу або публіці.
10. Інтелектуальна власність і конфіденційність: права на вхід, ризики виходу, секрети й договори.
11. Записи й інциденти: що зберігати, строк, доступ, повідомлення, локалізація та докази.
12. Навчання й перегляд: доступ після навчання, вибіркові тести, показники й тригери.

Окреме схвалення ризикових сценаріїв

Заявка описує мету, затронутих людей, дані, постачальника, конектори, дії, найгіршу ймовірну помилку, схвалення, тести, правову підставу, зберігання, прозорість, власника, ручний резерв, зупинку й перегляд.

Ризик — це поєднання інструмент + дані + рішення + аудиторія + повноваження, а не назва продукту.

Перевірити вісім робочих сценаріїв

Сценарій	Імовірний маршрут	Вирішальне питання
Огляд публічної сторінки	Зелений	Перевірено джерело й права?
Переклад внутрішнього документа	Жовтий	Схвалено інструмент і клас даних?
Надсилання згенерованої пропозиції	Жовтий	Схвалено твердження й адресата?
Резюме в особистому акаунті	Червоний	Персональні дані в недозволеному сервісі?
Автоматичне ранжування кандидатів	Висока гарантія	Рішення про людей і оскарження?
Запис ШІ в CRM	Технічна процедура	Мінімальні права, журнал, схвалення й відкат?
Зображення, схоже на реальну людину	Перевірка прав та етики	Згода, обман і права?
Конектор відкрив неочікувані папки	Інцидент	Чи можна зупинити доступ і зберегти докази?

Правовий контекст Великої Британії в серпні 2026 року

Велика Британія не зводить управління ШІ на роботі до єдиного списку «AI Act». Обов’язки залежать від застосування. Настанови ICO про ШІ та захист даних застосовують британські принципи до персональних даних і нагадують про рівність і галузеве право.

Data (Use and Access) Act 2025 змінив частини режиму, включно з положеннями про суттєві рішення, засновані виключно на автоматизованій обробці. Пояснення описують інформування, можливість подати позицію або оскаржити рішення й втручання людини. Потрібно професійно перевірити набрання чинності та застосування до конкретного випадку.

План ICO передбачає фінальні матеріали про автоматизовані рішення й агентний ШІ взимку 2026 року. Competition and Markets Authority зберігає відповідальність бізнесу за справедливі споживчі результати, а код кібербезпеки ШІ пропонує базові принципи.

Враховуйте також трудове право, рівність, споживачів, інтелектуальну власність, конфіденційність, професійні обов’язки, записи, фінанси, охорону здоров’я й договори. Політика спрямовує питання до компетентного власника, а не вирішує їх сама.

Типові помилки та виправлення

• «Використовуйте відповідально»: додати акаунти, дані, схвалення, інциденти та приклади.
• Ігнорована повна заборона: створити корисний зелений шлях і простий запит.
• Список інструментів без меж: окремо схвалювати цілі, дані й конектори.
• Слабка людська перевірка: показувати джерела, зміну, невизначеність і ефект до дії.
• Політика без техніки: реалізувати доступ, ліміти, журнали й блокування в системах.
• Немає власника після запуску: призначити реєстр, інциденти, тести, навчання й перегляд.

План упровадження на сім днів

1. Інвентаризувати інструменти, вбудовані функції, акаунти, дані та неформальне використання.
2. Опублікувати тимчасові межі й контакт з інцидентів.
3. Оцінити інструменти, зупинити найризикованіші потоки та призначити власників.
4. Розділити управління, прийнятне використання та процедури сценаріїв.
5. Прогнати вісім сценаріїв із різними ролями й усунути розбіжності.
6. Налаштувати акаунти, права, журнали, блокування й навчання.
7. Зафіксувати схвалення, версію, розуміння, вибіркові перевірки, інциденти й наступний перегляд.

Докази роботи політики

Вимірюйте навчання, інвентаризацію та схвалення інструментів, строк обробки заявок, частку ризикових випадків із процедурою, помилки до публікації, інциденти, час локалізації та закриття заходів перегляду. Нуль заявлених інцидентів може означати чудовий контроль або відсутність каналу — поєднуйте показники, вибіркові тести й інтерв’ю.

Запитання постачальнику

1. Де обробляються й зберігаються дані?
2. Чи використовуються вони для навчання або покращення сервісу?
3. Які субпідрядники й передачі залучені?
4. Чи можна вимкнути пам’ять, спільний доступ, конектори й дії?
5. Які журнали та версії експортуються?
6. Як працюють видалення, права й завершення договору?
7. Які перевірки підтверджують заяви про безпеку?
8. Як повідомляються суттєві зміни?
9. Чи може адміністратор одразу відкликати доступ і токени?
10. Чи відображає договір реальні дані, використання, відповідальність і засоби захисту?

Практичний наступний крок

Створіть інструментом вище британський робочий проєкт англійською мовою та розберіть його за 45 хвилин із власником процесу, ІТ/безпекою, захистом даних і представником користувачів. Замініть поля, перевірте вісім сценаріїв і затверджуйте лише після призначення всіх рішень.

Для впровадження використайте бізнес-воркшоп із ШІ або корпоративне навчання ШІ. Для пов’язаних систем додайте заходи з посібника про ШІ-агентів для бізнесу.