01 Простыми словами
AI governance — это набор договорённостей внутри компании: какие модели и сервисы разрешены, кто их согласовывает, где хранится список используемых ИИ-инструментов и что делать, если сотрудник хочет подключить новый сервис. Это тот же управленческий каркас, что уже действует для доступа к данным или закупок, только распространённый на ИИ.
02 Как это работает
На практике управление ИИ строится из нескольких элементов.
- Реестр — список всех моделей и сервисов, которые компания уже использует, с указанием ответственного за каждый и краткого описания задачи, для которой сервис применяется.
- Роли — кто согласовывает подключение нового сервиса, кто следит за качеством ответов, кто разбирает инциденты.
- Правила — что можно передавать в сервис, например обезличенные данные, а что требует отдельного согласования, например персональные данные клиентов.
- Проверка — периодический пересмотр реестра и правил по мере появления новых сервисов, задач и изменений в отделах.
Чаще всего эти элементы фиксируют в отдельном документе — политике использования ИИ — и назначают ответственного, который следит за её соблюдением.
03 Где применяется
- Руководство. Реестр используемых сервисов даёт понимание, где ИИ уже работает и кто за это отвечает, без опроса каждого отдела вручную.
- ИТ-отдел. Правила подключения новых сервисов снижают риск, что сотрудник подключит непроверенный сервис с доступом к внутренним данным.
- Юристы. Формализованные правила упрощают разговор с партнёрами и клиентами о том, как компания обращается с их данными через ИИ-сервисы.
- HR. Понятная политика снимает часть вопросов сотрудников о том, что вообще разрешено делать с ИИ на рабочем месте.
- Финансы. Реестр сервисов помогает увидеть дублирующиеся подписки на похожие инструменты в разных отделах и вовремя отказаться от лишних.
- Руководители проектов. Понятный процесс согласования ускоряет запуск нового ИИ-сервиса вместо долгих неформальных переговоров с каждым отделом.
04 Пять недель одного внедрения
Компания среднего размера решает навести порядок в использовании ИИ — вот как это разворачивается по неделям.
- Неделя 1. Ответственный за проект собирает список всех сервисов, которые отделы уже используют, — список получается длиннее, чем ожидали: помимо корпоративного чат-бота нашлось несколько личных подписок сотрудников на внешние сервисы.
- Неделя 2. Составляется черновик правил: что можно передавать в сервисы, а какие данные — только в согласованные корпоративные инструменты.
- Неделя 3. Черновик обсуждают с юристами и руководителями отделов — выясняется, что бухгалтерия уже использует внешний сервис для черновиков писем поставщикам, и его тоже нужно включить в реестр.
- Неделя 4. Правила утверждают, назначают ответственного за реестр и рассылают короткую памятку всем сотрудникам.
- Неделя 5. Проводится проверка: сверяют реестр со списком реально используемых сервисов и находят два новых, которые появились уже после утверждения правил.
После первого цикла процесс повторяется на регулярной основе — реестр и правила пересматривают, когда в компании появляется заметно новый сервис или задача.
05 Ограничения и ошибки
- Реестр и правила устаревают быстрее, чем кажется — новые сервисы появляются у сотрудников чаще, чем успевает обновляться документ, если процесс проверки нерегулярный.
- Формальная система ролей без реальных полномочий тормозит согласование новых сервисов на недели — ответственный должен иметь реальное право отказать, а роль без такого права сводится к простому ведению списка используемых инструментов.
- Контроль без конкретных метрик превращается в формальность — без цифр вроде числа заявок на подключение, закрытых инцидентов и результатов регулярного red teaming реестр существует скорее для отчётности, чем приносит реальную пользу.
- Управление ИИ — это процесс, а разовый документ решает лишь часть задачи: без регулярного пересмотра правила быстро перестают отражать реальную практику компании.
- Слишком общие формулировки в правилах оставляют сотрудника без ориентира в конкретной ситуации — правила стоит подкреплять примерами разрешённых и запрещённых случаев.
Риски, которые возникают без такого порядка, разобраны в статье о сотруднике, который загрузил данные в нейросеть. Выстроить управление ИИ вместе с остальным внедрением помогает ИИ-консалтинг.