Pravila za rabo generativne umetne inteligence so kratek notranji dokument, ki zaposlenim pove, katera orodja smejo uporabljati, česa vanje ne vnašajo, kako rezultat preverijo, kdo zanj odgovarja in kaj storijo, ko gre kaj narobe. Generativna so orodja, ki iz navodila ustvarijo besedilo, sliko, zvok ali video.
Napišite jih takoj, ko kdo v podjetju tako orodje uporabi pri delu. Brez njih vsak sam presodi, ali sme v orodje prilepiti pogodbo in ali sme odgovor stranki poslati nepregledan.
Spodaj navedene določbe ločenega dokumenta o rabi umetne inteligence ne zahtevajo, vplivajo pa na to, kaj vanj zapišete.
4. člen Akta o umetni inteligenci (Uredba (EU) 2024/1689) ponudnikom in uvajalcem sistemov umetne inteligence (UI) nalaga, da sprejmejo »ukrepe, s katerimi podpirajo razvoj pismenosti« svojega osebja. Podjetje, ki tak sistem uporablja v svoji pristojnosti, je po 4. točki 3. člena uvajalec. Pisnih pravil 4. člen ne omenja. Kateri ukrepi pridejo v poštev, razlaga članek o pismenosti na področju umetne inteligence.
Po četrtem odstavku 32. člena Splošne uredbe o varstvu podatkov (GDPR, Uredba (EU) 2016/679) upravljavec in obdelovalec zagotovita, da fizična oseba, ki ukrepa pod njunim vodstvom in ima dostop do osebnih podatkov, teh podatkov »ne sme obdelati brez navodil upravljavca«, razen če to od nje zahteva pravo Unije ali pravo države članice. Kadar zaposleni v orodju dela z osebnimi podatki, so pisna pravila lahko oblika takih navodil.
Ali vam pisna pravila nalaga kak drug predpis, na primer panožni, ali pogodba s stranko, preverite posebej. Vsebina pravil v nadaljevanju je dobra praksa, ki jo prilagodite. Kjer navajamo zakonsko pravilo, je določba imenovana, vendar to ni popoln pregled predpisov, ki veljajo za vaše podjetje in vaše podatke.
Osnova je seznam odobrenih orodij z imenom, različico ali vrsto računa, odobrenim namenom in lastnikom. Kar ni na seznamu, se za delo s podatki podjetja ne uporablja. Na seznam sodijo tudi funkcije UI v programih, ki jih že uporabljate. Posebej odločite, ali se za službeno delo sme uporabljati zasebni račun.
O novem orodju odloči vodstvo skupaj z osebo, ki skrbi za informacijsko podporo, in osebo, ki skrbi za varstvo podatkov. V predlogu zaposleni opiše opravilo, vrsto podatkov in pričakovani rezultat. V manjšem podjetju je več teh vlog lahko pri isti osebi. Kdo dobi dostop do odobrenega orodja, uredite enako kot druge uporabniške pravice.
Preden orodje odobrite, v pogojih različice, ki jo uporabljate, poiščite odgovore:
Če ponudnik osebne podatke obdeluje v imenu podjetja, je po 8. točki 4. člena GDPR obdelovalec. Podjetje kot upravljavec tedaj po prvem odstavku 28. člena sodeluje »zgolj z obdelovalci, ki zagotovijo zadostna jamstva«, obdelavo pa po tretjem odstavku istega člena ureja pogodba ali drug pravni akt. Prenos osebnih podatkov v tretjo državo je po 44. členu dopusten le ob pogojih iz V. poglavja GDPR.
Priporočilo za pravila: če odgovorov v pogojih ne najdete, v tako orodje osebnih podatkov ne vnašajte.
Spodnja preglednica je zgled dobre prakse.
| Vrsta podatkov | Primer | Pravilo |
|---|---|---|
| Gesla in dostopni ključi | Ključi za povezave med programi | Nikoli |
| Poslovne skrivnosti | Informacije, ki izpolnjujejo pogoje iz 2. člena Zakona o poslovni skrivnosti (ZPosS) in jih je podjetje tako določilo, lahko na primer interni ceniki ali pogoji s partnerji | Le z izrecno odobritvijo in v odobrenem orodju |
| Zaupni dokumenti strank | Gradivo, ki ga varuje dogovor o zaupnosti | Le, če dogovor to dopušča, in v odobrenem orodju |
| Osebni podatki zaposlenih, kandidatov in strank | Plače, bolniške odsotnosti, življenjepisi, vsebina pritožb | Le v orodju s pogodbo o obdelavi, odobrenem prav za to opravilo, in le to, kar opravilo zahteva |
| Interni dokumenti brez zgornjih podatkov, javne informacije | Navodila, objavljene cene | V odobrenih orodjih |
Osebni podatek je po 1. točki 4. člena GDPR vsaka informacija v zvezi z določenim ali določljivim posameznikom, določljiv pa je tudi tisti, ki ga je mogoče določiti posredno. Izbris imena zato ne zadošča, če stranko še vedno prepoznate po funkciji, kraju ali opisu primera. Točka (c) prvega odstavka 5. člena dodaja, da morajo biti osebni podatki »omejeni na to, kar je potrebno«. Namesto cele pritožbe torej vnesite opis težave brez imen, naslovov in oznake zadeve.
Pogodba o obdelavi in omejitev na potrebne podatke obdelave še ne naredita zakonite. Po prvem odstavku 6. člena GDPR je obdelava zakonita »le in kolikor« je izpolnjen vsaj eden od tam naštetih pogojev. Obdelava podatkov v zvezi z zdravjem, med katere lahko sodijo tudi podatki o bolniških odsotnostih, je po 9. členu prepovedana, razen v primerih iz njegovega drugega odstavka.
Za delavce in kandidate Zakon o delovnih razmerjih (ZDR-1) v 48. členu dodaja, da se njihovi osebni podatki lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če to določa zakon ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z njim. To sme storiti le delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Zato naj pri takih opravilih odloča tudi oseba, ki skrbi za varstvo podatkov.
Pri poslovnih skrivnostih zapis pomaga, sam pa ne zadošča. Po prvem odstavku 2. člena ZPosS informacija ne sme biti splošno znana ali lahko dosegljiva v krogih, ki se običajno ukvarjajo s takimi informacijami, imeti mora tržno vrednost, imetnik pa mora razumno ukrepati, da jo ohrani kot skrivnost. Za zadnji pogoj drugi odstavek določa domnevo: izpolnjen je, če je imetnik informacijo določil kot poslovno skrivnost »v pisni obliki« in o tem seznanil vse osebe, ki z njo prihajajo v stik.
Po prvem odstavku 38. člena ZDR-1 delavec ne sme izdati tretjemu delodajalčevih poslovnih skrivnosti, ki jih kot take določi delodajalec. Po drugem odstavku se za poslovno skrivnost štejejo informacije, ki izpolnjujejo zakonske zahteve, delavec pa je odgovoren, če je vedel ali bi moral vedeti za tak značaj informacij. Ali je vnos v orodje že izdaja, ti določbi ne povesta. Zato v pravilih poimenujte, kaj šteje za poslovno skrivnost.
Rezultat orodja je osnutek, dokler ga nekdo ne preveri. Preverjanje pomeni, da dejstva, številke, imena in navedbe virov primerjate z izvirnikom. Česar v izvirniku ne najdete, črtajte. Spodnja razdelitev je dobra praksa.
| Kje se rezultat uporabi | Kdo pregleda | Kaj preveri |
|---|---|---|
| Interni zapisek | Avtor | Smisel in podatke, ki jih bralec ne sme videti |
| Besedilo za stranko | Avtor, pri ponudbah in pogodbah še vodja | Zneske, roke in zaveze glede na veljavno ponudbo ali pogodbo |
| Javna objava | Odgovorna oseba za objavo | Dejstva, vire, pravico do uporabe slik in ali je potrebno razkritje |
| Številke, pravne in davčne informacije | Kdor pozna izvorne podatke ali predpis | Izračun na izvornih podatkih, besedilo veljavnega predpisa |
| Odločitve o ljudeh | Odločitev sprejme človek | Ali je odločitev res sprejel človek; kje je meja, opisuje članek o tem, kaj sme kadrovska služba predati sistemu |
Za vsebine, ustvarjene z orodjem, velja še zakonsko pravilo. Četrti odstavek 50. člena Akta o UI se po drugem odstavku 113. člena uporablja od 2. avgusta 2026. Uvajalec sistema UI mora razkriti, da je slikovna, zvočna ali video vsebina, ki je globoki ponaredek, umetno ustvarjena ali prirejena; pri očitno umetniških, satiričnih ali podobnih delih je ta dolžnost omejena. Globoki ponaredek je po 60. točki 3. člena vsebina, ki je »podobna obstoječim osebam, predmetom, krajem, subjektom ali dogodkom in se uporabniku lažno zdi pristna ali resnična«.
Dolžnost razkritja velja tudi za besedilo, ki se objavi »z namenom obveščanja javnosti o zadevah javnega interesa«, obveznost pa odpade, kadar je bilo besedilo predmet človeške preverbe ali uredniškega pregleda in ima nekdo uredniško odgovornost za objavo. Razkrije se po petem odstavku »na jasen in razpoznaven način ter najpozneje ob prvi interakciji ali izpostavljenosti«. Četrti odstavek torej ne zahteva oznake na vsakem besedilu, pripravljenem z orodjem. V pravila zapišite, kdo presodi, ali objava sodi sem.
V pravilih imenujte vloge. Spodnja delitev je dobra praksa:
Pravila vključite tudi v pogodbe z zunanjimi sodelavci, ki delajo v imenu podjetja. Razliko med odgovornostjo za korak in pravico do odobritve razlaga članek o notranjih pravilih. Vprašanj odškodninske ali druge pravne odgovornosti do tretjih oseb ta delitev ne reši.
Kdor potrebuje orodje ali podatke zunaj pravil, vpraša vnaprej. V prošnji navede opravilo, orodje, podatke in končni datum. Odloči skrbnik pravil, odločitev se zapiše. Izjema brez končnega datuma ostane v veljavi tudi, ko razloga zanjo ni več.
Zaplet (incident) je vnos podatkov, ki ne bi smeli v orodje, napačen rezultat, ki je prišel do stranke ali v objavo, ali raba neodobrenega orodja za delo s podatki podjetja. Pravila povedo, komu zaposleni to takoj sporoči. V sporočilu navede, kdaj se je zgodilo, katere podatke zadeva, kdo je rezultat prejel in kaj je že storil. Hitra prijava je pričakovana tudi pri lastni napaki.
Če je zaplet kršitev varnosti osebnih podatkov, velja zakonski rok. Taka kršitev je po 12. točki 4. člena GDPR kršitev varnosti, ki med drugim povzroči »nepooblaščeno razkritje ali dostop« do osebnih podatkov. Upravljavec o njej po prvem odstavku 33. člena obvesti pristojni nadzorni organ »brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi s kršitvijo«, razen če ni verjetno, da bi bile ogrožene pravice in svoboščine posameznikov.
Po petem odstavku istega člena upravljavec dokumentira vsako kršitev. Kadar je verjetno, da kršitev povzroči veliko tveganje za pravice in svoboščine posameznikov, upravljavec po prvem odstavku 34. člena brez nepotrebnega odlašanja to sporoči tudi tem posameznikom.
Ali je konkreten vnos taka kršitev, je odvisno od okoliščin. Presodi oseba, ki skrbi za varstvo podatkov, zato mora prijava priti do nje takoj. Primer: sodelavka v neodobreno orodje prilepi seznam strank z elektronskimi naslovi in to takoj sporoči. Oseba, ki skrbi za varstvo podatkov, preveri pogoje orodja, presodi, ali gre za kršitev, in odločitev zapiše.
Najprej vprašajte, katera orodja ljudje že uporabljajo, tudi tista, ki so jih izbrali sami. Osnutek pripravite z njimi in ga preizkusite na resničnih primerih.
Ker pravila določajo, kaj morajo zaposleni pri delu upoštevati, pred sprejemom presodite, ali gre za splošni akt iz prvega odstavka 10. člena ZDR-1, torej akt, s katerim delodajalec »določa organizacijo dela ali določa obveznosti, ki jih morajo delavci poznati zaradi izpolnjevanja pogodbenih in drugih obveznosti«.
Če gre za tak akt in je pri delodajalcu sindikat, mu morate predlog pred sprejemom posredovati v mnenje, ta pa ga mora podati »v roku osmih dni«. Pravočasno mnenje morate pred sprejemom obravnavati in se do njega opredeliti. Splošni akti morajo biti delavcem »vedno na razpolago na dostopnem mestu«.
Ob uvedbi pravila predstavite ekipam, zapišite, kdo je prejel katero različico, in določite datum naslednjega pregleda. Pravila dopolnite tudi ob novem orodju, spremembi pogojev ponudnika, zapletu, novi rabi in spremembi predpisa.
Okvir prenesite v svoj dokument in ga dopolnite.
| Razdelek | Kaj zapišete |
|---|---|
| Namen in veljavnost | Za koga in za katera orodja veljajo, od kdaj, različica |
| Dovoljena orodja | Seznam, kdo odobri novo orodje |
| Podatki | Preglednica vrst podatkov, poslovne skrivnosti |
| Preverjanje in objave | Kdo pregleda rezultat, kdo presodi o razkritju |
| Vloge | Imenovane osebe in nadomestniki |
| Izjeme | Komu se pošlje prošnja, kje se odločitev zapiše |
| Zapleti | Komu se sporoči, kaj sporočilo vsebuje, kdo presodi o obvestilu nadzornemu organu in posameznikom |
| Uvedba in pregled | Kdo sprejme, kje so pravila dostopna, datum pregleda |
Priprava notranjih pravil za digitalno poslovanje je med znanji, ki jih navaja izobraževalni program 365°Digital. To je program digitalizacije poslovanja, ne tečaj o umetni inteligenci. Če imate vprašanja o programu ali o razvoju digitalnih veščin v podjetju, nam pišite in opišite, kje potrebujete podporo.
Ko je dokument sprejet, zaposlenemu pri delu z orodjem ni treba ugibati, kaj sme.
Prijavite se na naše inspiracijske e-novice in prejmite brezplačni priročnik:
»Odkrijte svojo hierarhijo vrednot«
MEDARHIV d.o.o., so.p.
Vrečerjeva ulica 14
3310 Žalec
Davčna številka: SI 98579452
Matična številka: 3955338000
Kontaktna številka: 080 48 45
365°Digital © 2026 Vse pravice pridržane.
Spletno stran vzdržuje in nadgrajuje Aithena | Originalna izdelava: Starfiniti d.o.o.
