Отраслевое издание HR Dive описало ситуацию, при которой упоминания искусственного интеллекта отсутствуют в этических кодексах большинства организаций: сотрудники применяют генеративные модели в повседневной работе раньше, чем работодатель формулирует правила такого применения. Публикация опирается на опрос коммерческого поставщика решений по комплаенсу (внутреннему контролю за соблюдением норм), это не исследование, размер и состав выборки не раскрыты. Материал вышел в HR Dive.
Корпоративный этический кодекс закрывает разрыв между законом и ежедневным действием: закон описывает запреты общими формулировками, кодекс переводит их в процедуры — кто согласует, кому сообщают, что фиксируют. Когда в кодексе нет раздела об алгоритмах, разрыв остаётся открытым, и решение принимает тот, кто сидит за клавиатурой.
Частная практика находится на противоположном краю той же шкалы. У психолога, коуча, юриста или врача, работающего вне организации, нет ни отдела комплаенса, ни кодекса работодателя, ни согласующей инстанции. Остаются профессиональные этические кодексы ассоциаций, написанные до распространения генеративных моделей, и федеральное законодательство о персональных данных.
Аргументы издания
HR Dive утверждает следующее: применение генеративных моделей стало массовым быстрее, чем организации успели описать его в этических документах; пробел в кодексе не означает отсутствия рисков, он означает перенос ответственности на исполнителя; восполнение пробела требует не общего запрета, а описания конкретных операций — какие данные допустимо вводить, какую проверку проходит результат, что сообщают внешней стороне. Источником наблюдения служит опрос комплаенс-поставщика, то есть организации, заинтересованной в спросе на такие документы.
Пробел в кодексе не отменяет риска, он меняет адресата ответственности
Четыре решения без нормы
Первое — что попадает во ввод. Транскрипт консультации, заметки о клиенте, переписка содержат персональные данные, а сведения о состоянии здоровья и психической сфере относятся к специальным категориям персональных данных — статья 10 Федерального закона № 152-ФЗ. Их обработка допускается при письменном согласии субъекта и в ограниченном перечне иных случаев. Обезличивание, при котором из текста убраны имя и контакты, снимает не всякий риск: контекст небольшого города или узкой профессиональной среды позволяет соотнести описание с человеком.
Второе — граница уведомления. Статья 9 того же закона строит обработку на согласии, которое должно быть конкретным и информированным. Клиент, подписавший согласие на ведение записей, не давал согласия на передачу этих записей стороннему сервису. Специалист решает сам, считает ли он обращение к модели частью собственной подготовки к сессии или передачей данных третьему лицу.
Третье — кто отвечает за вывод. Модель формулирует гипотезу, черновик заключения, вариант формулировки в документе. Проверка этого текста не предусмотрена никакой внешней процедурой: нет ни второго подписанта, ни супервизии, если специалист её не организовал. Ответственность перед клиентом и перед профессиональным сообществом остаётся на специалисте целиком, независимо от происхождения формулировки.
Четвёртое — где данные лежат после. Серверы большинства крупных сервисов размещены за пределами России, а трансграничная передача персональных данных регулируется статьёй 12 закона и предполагает отдельные условия и уведомление уполномоченного органа. Сроки хранения истории запросов, доступ сотрудников поставщика к содержимому и порядок удаления определяются пользовательским соглашением сервиса, а не договором со специалистом.
На что это влияет
Отсутствие нормы влияет на распределение доказательственной нагрузки. При жалобе клиента или проверке специалист объясняет свои действия не ссылкой на внутренний регламент, которого нет, а собственными записями: текстом согласия, описанием того, какие сведения куда передавались, порядком хранения. Это влияет на содержание документов, которые подписывает клиент при входе в работу, и на объём материалов, которые специалист вообще создаёт в электронном виде.
Второй эффект касается разграничения ролей. Пока модель используется для формулировок и черновиков, она остаётся инструментом подготовки; при использовании для оценки состояния или выбора тактики она входит в зону профессионального суждения, к которому применяются требования квалификации и ответственности. Граница между двумя режимами в существующих кодексах не описана, и её проводит сам специалист — каждый раз заново.