Новому сотруднику достаётся ноутбук, где коллега уже добавил ChatGPT в закладки; в Slack полно людей, вставляющих заметки с совещаний в суммаризатор, и никто ни разу не упоминал никакой политики. Через полгода тот же сотрудник получает сухое письмо от IT-безопасности с вопросом, почему таблица с именами клиентов была загружена в личный ИИ-аккаунт. Никто не сказал «нельзя». Никто не сказал и «можно».
Этот разрыв — между «никто не запретил» и «это реально одобрено» — именно то место, где начинается большинство повседневных ошибок с ИИ на работе. Эта статья не о том, каковы вообще безопасные правила; это уже покрывает приватность и гигиена данных на работе. Эта — о более узком, механическом шаге, который большинство полностью пропускает: реально найти документ политики своего работодателя, прочитать важные части и понять, что делать, когда оказывается, что документа нет.
Что такое политика работодателя по ИИ на самом деле
Настоящая политика — это конкретный, доступный для поиска документ или страница интранета, обычно подготовленные IT, службой безопасности, юридическим отделом или HR, которые отвечают на четыре вопроса: какие ИИ-инструменты одобрены для рабочего использования, какие виды данных в них можно или нельзя вводить, каков процесс одобрения нового инструмента и что происходит, если кто-то всё-таки использует неодобренный инструмент. Это не сообщение в Slack, которое кто-то отправил однажды, не «то, что уже делает вся команда», и не предположение на основе того, что разрешал предыдущий работодатель.
Компании, прошедшие реальное внедрение ИИ, обычно публикуют это в конкретном месте: страница в wiki IT-безопасности, раздел, добавленный в справочник сотрудника, или поимённый список «одобренных ИИ-инструментов» от отдела закупок. Если в вашей компании такая политика есть, у неё есть название, место хранения и, как правило, ответственный, которому можно написать с вопросом.
Попросить этот документ — разумная просьба, а не назойливость. Организации, подпадающие под действие EU AI Act, должны принимать меры, чтобы способствовать развитию грамотности в области ИИ у своих сотрудников и других лиц, которые эксплуатируют или используют системы ИИ от их имени, — хотя эта обязанность не требует от них гарантировать какой-либо определённый уровень такой грамотности у конкретного человека (AI Act, статья 4, в редакции Регламента (ЕС) 2026/1744). Это обязанность вашего работодателя, а не ваша, и она не говорит вам, каковы правила именно вашей компании, — но она означает, что «нам никто этого не объяснил» — это пробел, который стоит обозначить вслух, а не обходить.
Где искать на самом деле
Прежде чем предполагать, что политики нет, проверьте эти места по порядку:
- Интранет компании или справочник сотрудника. Ищите «AI», «artificial intelligence», «generative AI» или конкретные названия инструментов (ChatGPT, Copilot, Gemini) — политики иногда лежат в IT-безопасности или политике допустимого использования, а не в отдельном разделе об ИИ.
- Список одобренного ПО у IT или службы безопасности. Многие компании ведут список разрешённых инструментов для любых категорий ПО, и ИИ-инструменты всё чаще появляются там с указанием конкретного уровня или конфигурации.
- Материалы онбординга или последняя запись общего собрания. О политике по ИИ часто объявляют один раз, на встрече, и больше не повторяют — проверьте, не пропустили ли вы такое объявление.
- Ваш руководитель. Прямой конкретный вопрос — «есть ли одобренный ИИ-инструмент для нашей команды и есть ли что-то, что нельзя в него вставлять?» — даёт реальный ответ быстрее, чем один только поиск.
- IT или служба безопасности напрямую. Если первые четыре пункта ничего не дали, обратитесь к команде, отвечающей за одобрение инструментов, — адресно и письменно, чтобы ответ был зафиксирован.
Сохраните ответ там, где вы сможете снова его найти, — закладка на страницу, сохранённое письмо, заметка в своих файлах. Политики обновляются, ссылки переезжают, и «я когда-то это читал» — не то же самое, что возможность показать, что именно там было написано, когда позже возникнет вопрос.
Заблуждение, которое чаще всего создаёт проблемы
Самое разрушительное предположение — с большим отрывом — что молчание равно разрешению: «никто не запрещал мне использовать ChatGPT для этого, значит, можно». Противоположное предположение обычно ближе к истине. Если компания не опубликовала ясную политику по ИИ, более безопасная рабочая гипотеза — что никакие чувствительные данные ещё не разрешены ни для одного ИИ-инструмента, и нужно спросить, прежде чем использовать ИИ для чего-либо, связанного с данными клиентов, неопубликованными планами, финансовыми показателями или личной информацией другого сотрудника. Молчание обычно означает, что организация ещё не добралась до этого вопроса, а не что она тихо решила, что всё в порядке.
Вторая распространённая ошибка направлена в другую сторону: предполагать, что политика, написанная для одного контекста, покрывает все контексты. Компания, одобрившая корпоративный ИИ-инструмент для черновиков внутренних записок, не обязательно одобрила его для общения с клиентами, для HR-решений или для чего-либо, связанного с данными другого сотрудника, — читайте политику на предмет области применения, а не только ищите в ней «да».
Конкретный пример
Два сотрудника одной компании среднего размера хотят использовать ИИ для черновика предложения клиенту. Один ищет в интранете, находит страницу с описанием инструмента в корпоративной конфигурации с отдельным входом и использует его. Другой рассуждает «ИИ — он и есть ИИ» и вставляет детали клиентского договора в личный аккаунт ChatGPT, потому что коллега из другой команды делает то же самое без видимых проблем. Только один из этих двоих реально проверил, что одобрил работодатель; другой полагается на предположение, которое до сих пор — по чистой случайности — не привело к видимой проблеме. Разница незаметна ровно до того момента, пока аудит, жалоба клиента или инцидент с данными не задаст этот вопрос напрямую.
Если вы не можете найти ясный ответ, одобрен ли конкретный ИИ-инструмент для конкретного вида данных, считайте данные клиентов, личную информацию других сотрудников и всё, что помечено как конфиденциальное, закрытыми для любого ИИ-инструмента, пока не получите прямой письменный ответ. В ЕС это не только вопрос внутренней политики компании: отправка персональных данных клиентов или коллег в неодобренный сторонний инструмент — это, как правило, обработка, за которую должен отчитываться ваш работодатель, по правилам, за соблюдение которых отвечает он, — хотя сотрудник, вышедший за пределы указаний работодателя и использующий данные в собственных целях, может отвечать и сам (GDPR). Это причина спросить, прежде чем вставлять, а не повод паниковать после. Та же дисциплина подробнее разобрана в не вставляйте рабочие секреты в потребительский ИИ — эта статья о том, как найти правило, та — о конкретной черте, которую нельзя пересекать, пока вы ждёте ответа.
Что обычно указывает настоящая политика
Когда найдёте сам документ, прочитайте его именно по этим пяти пунктам, а не пробегайте в поисках общего заголовка «ИИ разрешён»:
| На что смотреть | Почему это важно |
|---|---|
| Одобренные инструменты, названные поимённо | «ИИ разрешён» без названия конкретного инструмента не даёт ничего применимого |
| Категории данных, которые запрещены или ограничены | Для данных клиентов, финансов, исходного кода и HR-данных правила часто иные, чем для обычной работы с черновиками |
| Процесс одобрения нового инструмента | Подсказывает, что делать, если нужного инструмента ещё нет в списке |
| Требования к раскрытию | Нужно ли сообщать руководителю или клиенту об использовании ИИ — см. раскрытие использования ИИ на работе: когда требуется с алгоритмом принятия решения на случай, когда вы уже знаете конкретное правило своей политики |
| Последствия неодобренного использования | Конкретное понимание того, что реально на кону, а не абстрактный риск |
Если найденный документ не отвечает конкретно ни на один из этих пяти вопросов, скорее всего, это общее заявление о намерениях, а не рабочая политика — разумный следующий шаг: напрямую запросить у руководителя или IT конкретные ответы, которых в нём не хватает.
Если политики действительно нет
У некоторых компаний, особенно небольших, ещё ничего не записано. Это обычное дело и само по себе не тревожный сигнал — но это возлагает на вас больше ответственности: спрашивать, а не предполагать. В такой ситуации:
- Спросите руководителя напрямую, есть ли неформальные ожидания, даже если ничего не записано.
- По умолчанию применяйте самое консервативное толкование для всего, что касается данных клиентов, личной информации других людей или конфиденциальной деловой информации, каким бы удобным ни казался короткий путь.
- Задайте вопрос письменно (email или сообщение в Slack конкретному человеку), чтобы осталась запись о том, что вы спросили, вместо устного ответа, на который потом не сослаться.
- Если ваша работа регулярно связана с действительно чувствительными данными, подумайте о том, чтобы обозначить отсутствие политики как конкретный практический пробел, который стоит закрыть, — не как жалобу, а как конкретную просьбу: «можем ли мы получить одностраничный ответ, какой ИИ-инструмент одобрен для работы типа X?»
Найдите свою политику на этой неделе
Используйте карточку чтения политики работодателя по ИИ, чтобы реально найти политику работодателя, зафиксировать, что она говорит об инструментах, данных и процессе одобрения, и отметить, у кого спросить, если что-то неясно. Если окажется, что политики нет вовсе, карточка также проведёт вас по консервативным вопросам «по умолчанию», которые стоит задать руководителю напрямую. Любой из этих исходов полезнее, чем продолжать угадывать.
