Instrumentele de inteligență artificială generativă sunt tot mai des utilizate de salariați pentru redactarea documentelor, traduceri, rezumarea informațiilor sau analiza datelor. Deși pot eficientiza activitatea, folosirea lor poate crea riscuri pentru angajator atunci când salariații introduc în aceste aplicații informații confidențiale, date despre clienți sau date cu caracter personal.

Odată transmise către un instrument AI, informațiile pot fi stocate sau prelucrate în condiții care nu sunt întotdeauna cunoscute de utilizator. De aceea, angajatorii trebuie să stabilească reguli clare privind utilizarea acestor instrumente și să se asigure că salariații cunosc limitele în care le pot folosi.

Ce obligații ale salariatului sunt relevante atunci când utilizează instrumente AI?

Utilizarea instrumentelor AI nu înlătură obligațiile pe care salariatul le are în temeiul contractului individual de muncă și al legislației muncii.

Potrivit art. 39 din Codul muncii, salariatul are obligația de a respecta disciplina muncii, prevederile regulamentului intern și obligația de fidelitate față de angajator în executarea atribuțiilor de serviciu, precum și secretul de serviciu, după caz. În plus, părțile pot include în contractul individual de muncă o clauză de confidențialitate, în condițiile art. 26 din Codul muncii.

Prin urmare, introducerea unor informații confidențiale într-un instrument AI nu poate fi justificată doar prin dorința salariatului de a-și îndeplini mai rapid sarcinile. Utilizarea acestor aplicații trebuie să respecte obligațiile de serviciu și regulile stabilite de angajator.

Ce informații nu ar trebui introduse în instrumente AI neaprobate?

Angajatorul ar trebui să stabilească în mod expres categoriile de informații care nu pot fi introduse în instrumente AI neaprobate pentru utilizarea profesională. În această categorie pot intra datele cu caracter personal ale salariaților, clienților sau partenerilor, informațiile financiare și comerciale nepublice, ofertele și prețurile, contractele și negocierile comerciale, bazele de date cu clienți sau furnizori, documentele interne și informațiile privind strategia companiei, precum și informațiile protejate prin obligații contractuale de confidențialitate sau care îndeplinesc condițiile legale pentru a fi considerate secrete comerciale.

Nu orice informație internă reprezintă automat un secret comercial, însă aceasta poate avea caracter confidențial în temeiul contractelor sau al regulilor interne ale angajatorului.

O atenție deosebită trebuie acordată datelor cu caracter personal. Eliminarea numelui unei persoane nu înseamnă neapărat că datele au fost anonimizate, deoarece identificarea poate fi posibilă prin combinarea altor informații, precum funcția, localitatea, vârsta, salariul sau anumite evenimente profesionale.

De exemplu, înlocuirea numelui unui salariat cu expresia „Angajat A” nu este suficientă dacă documentul păstrează detalii care permit identificarea acestuia. Pentru ca datele să fie considerate anonime, identificarea persoanei nu trebuie să mai fie posibilă prin mijloace care pot fi utilizate în mod rezonabil. Dacă identificarea rămâne posibilă, datele pot continua să fie considerate date cu caracter personal, chiar dacă numele a fost înlocuit cu un cod.

Salariații trebuie, așadar, să elimine sau să generalizeze și celelalte elemente care pot conduce la identificarea unei persoane. Dacă anonimizarea efectivă nu este posibilă, datele nu ar trebui introduse într-un instrument AI neaprobat.

Poate angajatorul să limiteze sau să interzică utilizarea AI?

În exercitarea prerogativei sale de organizare și conducere a activității, prevăzută de art. 40 din Codul muncii, angajatorul poate stabili condițiile în care instrumentele AI pot fi utilizate în activitatea profesională.

În funcție de specificul activității și de riscurile identificate, angajatorul poate permite utilizarea exclusivă a anumitor instrumente AI, poate interzice introducerea unor categorii de informații, poate solicita aprobarea prealabilă pentru utilizarea anumitor aplicații, poate restricționa folosirea conturilor personale în scop profesional sau poate limita utilizarea AI în anumite activități, dacă riscurile justifică o asemenea măsură.

Înainte de aprobarea unui instrument, este recomandabil ca angajatorul să analizeze condițiile de utilizare, modul în care furnizorul prelucrează informațiile introduse, posibilitatea folosirii acestora pentru antrenarea sau îmbunătățirea modelelor, perioadele de stocare și opțiunile de ștergere. Utilizarea unui cont profesional nu garantează, prin ea însăși, protecția informațiilor.

De ce este necesară o politică internă privind utilizarea AI?

Pentru ca regulile să fie aplicate în mod unitar, angajatorul poate include prevederi privind utilizarea AI în regulamentul intern sau poate adopta o procedură distinctă. Documentul ar trebui să precizeze ce instrumente sunt aprobate, ce categorii de informații nu pot fi introduse în acestea, în ce condiții pot fi utilizate conturile personale, când este necesară aprobarea prealabilă, ce obligații au salariații în verificarea rezultatelor generate de AI și cum trebuie raportate incidentele, inclusiv care sunt consecințele încălcării regulilor.

Prevederile trebuie comunicate salariaților în mod clar, astfel încât aceștia să cunoască obligațiile care le revin. O politică internă eficientă nu ar trebui să se limiteze la interdicții generale, ci să ofere și exemple concrete, adaptate activității desfășurate.

Este suficientă adoptarea unei politici interne sau angajatorul trebuie să instruiască salariații?

Adoptarea unei politici interne nu este suficientă dacă salariații nu înțeleg riscurile asociate utilizării instrumentelor AI.

Articolul 4 din Regulamentul (UE) 2024/1689 privind inteligența artificială stabilește obligația furnizorilor și a implementatorilor de sisteme AI de a lua măsuri pentru a asigura un nivel suficient de alfabetizare în domeniul inteligenței artificiale pentru personalul și celelalte persoane care utilizează sisteme AI în numele lor, ținând cont de cunoștințele, experiența și pregătirea acestora, precum și de contextul utilizării.

În practică, instruirea ar trebui să explice ce informații pot fi introduse în instrumentele aprobate, de ce simpla eliminare a numelui nu garantează anonimizarea și cum trebuie procedat atunci când un salariat transmite accidental informații sensibile. Conținutul instruirii poate fi adaptat în funcție de activitatea departamentelor, având în vedere că personalul din resurse umane, financiar, juridic sau vânzări poate avea acces la categorii diferite de informații confidențiale și se poate confrunta cu riscuri specifice.

Poate angajatorul să verifice modul în care salariații folosesc instrumentele AI?

Angajatorul poate avea un interes legitim să verifice respectarea regulilor interne privind utilizarea instrumentelor AI. Totuși, verificările trebuie realizate cu respectarea dreptului salariaților la viață privată și a legislației privind protecția datelor.

Atunci când verificările presupun monitorizarea comunicațiilor electronice sau supravegherea video la locul de muncă, trebuie avute în vedere condițiile prevăzute de art. 5 din Legea nr. 190/2018, inclusiv justificarea interesului legitim, informarea prealabilă și explicită a salariaților, consultarea reprezentanților acestora, dacă este cazul, și respectarea principiului proporționalității.

Prin urmare, metodele de verificare trebuie alese în funcție de scopul urmărit, fără colectarea unor informații care nu sunt necesare.

Când poate atrage utilizarea AI răspunderea disciplinară a salariatului?

Încălcarea regulilor privind utilizarea instrumentelor AI poate atrage răspunderea disciplinară, în condițiile art. 247 din Codul muncii, dacă fapta reprezintă o abatere disciplinară.

Răspunderea nu intervine automat pentru orice eroare. Angajatorul trebuie să analizeze împrejurările concrete, obligațiile încălcate, existența vinovăției și consecințele faptei. De exemplu, situația unui salariat care introduce din greșeală o informație într-un instrument aprobat, fără să încalce o regulă comunicată, este diferită de cea a unui salariat care transmite în mod deliberat o bază de date cu clienți către un instrument neaprobat, deși cunoștea interdicția.

La stabilirea sancțiunii trebuie avute în vedere criteriile prevăzute de art. 250 din Codul muncii, iar aplicarea acesteia trebuie să respecte procedura cercetării disciplinare și garanțiile dreptului la apărare prevăzute de art. 251 și 252.

Cum ar trebui să procedeze angajatorul dacă un salariat introduce informații confidențiale într-un instrument AI?

În cazul unui incident, angajatorul ar trebui să acționeze prompt pentru a limita consecințele și pentru a stabili ce informații au fost transmise, către ce instrument, în ce moment și în ce condiții au fost prelucrate sau stocate.

În funcție de natura incidentului, poate fi necesară implicarea persoanelor responsabile de securitatea informațiilor, protecția datelor și conformitatea juridică. Dacă au fost implicate date cu caracter personal, angajatorul trebuie să evalueze dacă situația reprezintă o încălcare a securității datelor și dacă sunt aplicabile obligațiile de notificare prevăzute de art. 33 și 34 din GDPR. Notificarea autorității de supraveghere trebuie realizată, atunci când sunt îndeplinite condițiile legale, în cel mult 72 de ore de la momentul în care operatorul a luat cunoștință de încălcare, iar informarea persoanelor vizate este necesară în cazul în care încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora.

Separat, angajatorul poate analiza dacă fapta salariatului constituie o abatere disciplinară. Este important să verifice și dacă incidentul a fost favorizat de lipsa unor reguli clare, de instruirea insuficientă sau de utilizarea unor instrumente care nu au fost evaluate corespunzător.

Utilizarea inteligenței artificiale la locul de muncă presupune adaptarea regulilor de organizare a activității la noile modalități de utilizare a informațiilor. Prin stabilirea unor limite clare, instruirea salariaților și gestionarea promptă a incidentelor, angajatorul poate valorifica avantajele instrumentelor AI fără a neglija obligațiile de confidențialitate și protecție a datelor.

***

Material informativ. Politicile interne privind utilizarea inteligenței artificiale trebuie adaptate activității angajatorului, instrumentelor utilizate și obligațiilor legale aplicabile.