Ръководство · Политика за AI

Фирмена политика за използване на AI: какво трябва да съдържа и готов шаблон.

Фирмената политика за AI е кратък вътрешен документ, обикновено 2–3 страници, който определя как служителите могат да използват AI, кои инструменти са разрешени, какви данни могат да се въвеждат и кой носи отговорност. В това ръководство ще видите защо такава политика е нужна, какво трябва да съдържа, как да проверявате дали се спазва и как да я въведете за около час. В края ще намерите готов шаблон.

Публикувано на 26 септември 2026 г. · Време за четене: около 10 минути · Направо към шаблона

Какво е политика за AI и какво не е

Кратък, практичен документ. Две-три страници, които служителят прочита веднъж и към които се връща, когато не е сигурен. Отговаря на практически въпроси: кои инструменти мога да ползвам, какво мога да въвеждам в тях, какво трябва да проверя сам, какво казваме на клиентите и към кого да се обърна.

Не е 40-страничен наръчник, стандарт за сигурност или правен договор. Документ, който никой не чете, не управлява нищо. Добрата политика е достатъчно кратка, за да се побере във въвеждащото обучение, и достатъчно конкретна, за да даде ясен отговор в реална ситуация.

Защо е нужна точно сега

Липсата на политика не означава, че AI не се ползва. Означава, че никой не знае как се ползва. Пет причини ръководството да подходи сериозно:

• Клиентски данни попадат в потребителски инструменти. Когато служител копира имейл от клиент в личен ChatGPT акаунт, за да го резюмира, съдържанието може да се използва за обучение на модели, освен ако потребителят не е изключил това в настройките. Бизнес версиите като ChatGPT Business, Microsoft 365 Copilot и Gemini for Google Workspace не използват фирменото съдържание за обучение на модели. Ключовата разлика е в типа акаунт, лиценза и условията за обработване на данните, а не само в името на инструмента.
• Защита на данните и договори с клиенти. Обработването на лични данни в AI услуга изисква правно основание, а когато доставчикът действа като обработващ, и подходящ договор за обработване. Много клиентски договори съдържат клауза за конфиденциалност, която не прави изключение за „само го резюмирах“.
• Регламентът на ЕС за изкуствения интелект. След изменението на член 4 през юли 2026 г. доставчиците и внедрителите на системи с ИИ трябва да предприемат мерки в подкрепа на развитието на грамотността в областта на ИИ сред персонала си. Политиката и краткото обучение към нея могат да бъдат част от тези мерки и помагат те да бъдат документирани.
• Убедително звучащи грешки. Езиковият модел пише убедително и когато греши. Без договорена практика за проверка грешката стига до клиента от името на компанията.
• Неясна отговорност. Кой носи отговорност за оферта, подготвена с помощта на AI? Политиката отговаря с една дума: подателят.

Десетте раздела на добрата политика

По-долу е скелетът. Всеки раздел има две части: какво трябва да реши компанията и коя е най-честата грешка. Шаблонът в края следва същия ред.

Въвеждане за един час

1. Попълнете шаблона (30 минути). Решете одобрените инструменти, светофара и отговорника. Не губете време в полиране на текста. Важното е решенията да са ясни.
2. Вземете одобрение от ръководството (10 минути). Политиката е управленско решение, а не просто IT инструкция.
3. Направете 20-минутна среща със служителите. Разгледайте модела „светофар“, три примера от ежедневието и какво компанията може и не може да вижда. Отговорете на въпросите. Запишете кой е присъствал.
4. Поискайте потвърждение. Отговор по имейл или запис в HR системата е достатъчен.
5. Настройте инструментите според политиката. Бизнес лицензи, вход с фирмени акаунти, ограничена видимост на данните. Тук правилата се превръщат в реална практика и обикновено тук е нужна помощ.
6. Сложете прегледа в календара след шест месеца.

Най-честите грешки

• Забрана на всичко. Употребата не спира: служителите започват да използват лични акаунти и устройства, извън полезрението на компанията. Забраната е най-лошата възможна политика.
• Прекалено дълъг текст. Ако документът не се побира на две страници, не се чете.
• Без имена на инструменти. „Одобрени инструменти“ без списък е празна фраза.
• Политика без настройки. Правило, което настройките на инструмента не поддържат, се забравя в първия натоварен ден.
• Без обучение и без актуализации. Тогава документът съществува, но не влияе на ежедневната работа.

Как да разберете дали се спазва?

Не всичко може да се види и не всичко трябва. Целта не е да се следят служителите, а одобрените инструменти да са най-лесният избор, значимите рискове за сигурността да се улавят навреме и настройките на инструментите да поддържат договорените правила. Какво може да види една компания зависи от инструментите, лицензите и управлението на устройствата ѝ. А техническото наблюдение на това какво правят служителите е регулирано и в България: въвежда се открито, служителите се информират предварително и никога тихомълком. Контролът и видимостта се изграждат на няколко нива:

• Използване на одобрените инструменти. Отчетите за използването на Copilot в администраторския център на Microsoft 365 и анализите на работното пространство в ChatGPT Business показват колко хора ползват инструментите и колко често. Отчетите на Microsoft скриват имената на потребителите по подразбиране и това е добра настройка. Необичайно ниското използване в даден екип може да е сигнал, че служителите използват други инструменти или че одобреният инструмент не отговаря на нуждите им.
• Приложения, свързани с фирмени акаунти. И Microsoft Entra, и Google Workspace показват на кои приложения някой е дал достъп до фирмен акаунт или данните му, а новите свързвания могат да се ограничат до одобрение от администратор. Това са основни настройки и в двете среди, а точните функции зависят от лиценза или изданието. Виждат се само приложения, свързани през вход с акаунт, не сайтовете, които някой посещава.
• С кои AI услуги комуникират служебните компютри. Тук правилният инструмент зависи от лиценза. Defender for Business, включен в Microsoft 365 Business Premium, защитава мрежовия трафик на служебните компютри и може да блокира и отчита използването на сайтове. По-широката видимост кои облачни услуги се ползват и от кого изисква допълнителни възможности като Defender for Cloud Apps, отделно допълнение към Business Premium. Ако устройствата не се управляват чрез Microsoft, DNS или уеб филтриране с агент на служебните компютри може да осигури базова видимост и контрол върху достъпа до определени услуги. Всичко това е техническо наблюдение, вижте карето по-долу.
• Какво е въведено в одобрените инструменти. Тук се вижда по-малко, отколкото мнозина предполагат. Одитният лог на Microsoft 365 записва метаданни за взаимодействията с Copilot: потребител, час, използвано приложение и посочени файлове, но не и съдържанието на заявките и отговорите. Достъпът до съдържанието изисква отделни функции на Purview или eDiscovery и не е част от обичайните отчети за използване. В ChatGPT Business администраторът не може да чете разговорите на членовете на работното пространство; логовете на разговори на ниво организация са функции на Enterprise и Edu. Затова контролът не трябва да се основава на рутинно четене на разговорите, а на правилно зададени права за достъп, настройки за сигурност и ограничения върху чувствителните данни. Например се ограничава кой вижда лични данни и поверителни файлове, така че Copilot да не покаже това, което потребителят и без това не бива да вижда.
• Блокиране на поставянето. Microsoft Purview endpoint data loss prevention може да открие, когато клиентски данни се поставят в потребителски услуги, а AI отчетите на Purview показват обобщено дали чувствителни данни се въвеждат в Copilot. И двете изискват лиценз от ниво E5 или равностойно допълнение, така че за повечето малки и средни компании те са по-късна стъпка, не начало.

Какво не може да се види: личен телефон на мобилни данни. Мрежата, DNS филтърът или наблюдението на устройствата на компанията не виждат какво се прави на неуправляван личен телефон през мобилни данни и да се твърди друго би било нечестно. Затова този риск се управлява чрез ясна политика, обучение и лесен за използване одобрен начин за работа. Добросъвестното докладване на инциденти трябва да се насърчава.

Целта не е да се наблюдават хората. Целта е одобреният път да е най-лесният, големите изтичания да се видят навреме и настройките да останат в съответствие с политиката. Настройките за видимост и блокиране са част от конфигурирането на инструментите, а месечната им проверка е част от отчетността.

Това ръководство и шаблонът са практически насоки, не правен съвет. При нужда проверете въпросите за обработването на лични данни, въвеждането на техническо наблюдение и клиентските договори с длъжностно лице по защита на данните или адвокат. Възможностите и лицензите на инструментите са проверени спрямо документацията на доставчиците на 10 септември 2026 г. и се променят.