简短回答： 指明已批准的工具、绝不能流出公司的数据、由谁来审批新用途，以及如何报告失误。内容控制在一页纸以内，以便大家能真正阅读。一项禁止一切的政策会被忽视，而一项允许一切的政策则起不到任何保护作用。
我是 Vinay Pasricha，GoodSpace AI 的创始人，也是 AI for Business Leaders 一书的作者。你的员工几乎肯定已经在使用 ChatGPT、Gemini 或类似的工具，而且往往是在他们的个人账号上。政策并不决定是否使用 AI，它决定的是使用 AI 是否安全。
政策必须说明的四件事
1. 已批准的工具。 员工在工作时可以使用哪些工具，以及使用哪些账号。尽可能使用公司账号，因为你可以控制设置并查看使用了什么。
2. 绝不能输入的数据。 要具体。典型项目包括：客户个人数据、员工记录和薪资、求职者简历、未发布的财务数据、合同、密码和访问密钥，以及客户信任你而提供给你的任何内容。如果让员工去猜，他们就会猜错。
3. 谁来审批新用途。 必须有人负责回答“我们能把 AI 用于这个吗？”这个问题。在小公司里，这可能是一个人；在较大的公司里，可以是一个小团队。如果没有负责人，每种新用途要么因恐惧而被阻碍，要么在没有思考的情况下被采用。
4. 如何报告失误。 有人会把错误的内容粘贴到错误的工具中。让员工能够快速、轻松且安全地说明情况，以便进行补救。一项惩罚报告的政策只会确保大家保持沉默。
让规则与风险程度相匹配
并非每种用途都需要相同的控制。在书中，我使用了一个从 Tier 1（低）到 Tier 4（关键）的阶梯。起草社交媒体帖子属于低风险。总结客户合同则高一些。任何涉及对人、资金或法律条款做决定的事情都是高风险或关键性的，需要由指定的人来决定。为你常用的用途进行评估，并为每个层级编写控制规则，而不是对所有事情都用同一个规则。
将其与你的 AI 战略相结合
政策是防御性的。它应该与你公司对 AI 用途的简单看法并存。我描述了三个层面：效率（以更低的成本完成今天的工作）、效能（把工作做得更好）以及优势（做竞争对手不易复制的事情）。如果你的政策只起保护作用而从未赋能，员工就会把它视为障碍。
本周要做的一件事
起草一份包含上述四个标题的一页纸文件。把它展示给三位每天使用 AI 工具的员工，并询问他们在阅读后实际上会做出哪些不同的改变。如果答案是“没有”，那它就太模糊了。然后，在免费的 Risk Ladder 工具上为你最常用的用途进行评估。如果你正在决定应该由谁来负责这一切，请阅读 Do You Need a Chief AI Officer?
这个回答的出处
这个回答借鉴了 AI for Business Leaders 中的两个框架：The Risk Ladder 和 Three Levels of AI Strategy。这本书有精装版和 Kindle 版。这是通用指南，而非法律建议。
要针对你自己的情况进行提问，请尝试 Ask Vinay's books。
Vinay Pasricha 是 GoodSpace AI 的创始人，著有六本书，其中包括 AI for Business Leaders。