Întrebarea pe care o auzim cel mai des nu este „ar trebui să folosim AI?”. Este „ce facem cu faptul că oamenii deja îl folosesc?”.
Pentru că asta se întâmplă în majoritatea firmelor în care intrăm. Cineva din vânzări a pus o ofertă de client într-un chat gratuit ca să o rescrie mai frumos. Cineva din contabilitate a lipit un extras de cont ca să-i explice un comision. Un coleg de la suport are un cont personal, plătit din banii lui, în care a copiat conversații întregi cu clienți. Nimeni nu a făcut ceva rău intenționat. Fiecare a rezolvat o problemă de moment.
Rezultatul este că firma are deja o adopție AI. Doar că nu o știe, nu o controlează și nu o poate arăta unui client sau unui auditor dacă cineva întreabă unde au ajuns datele.
De aici pornește orice discuție serioasă despre AI în firmă. Nu de la instrument.
Prima regulă: nu interzice, prescrie
Reflexul multor manageri, când realizează ce se întâmplă, este interdicția. „Nu se folosește AI cu date de firmă.” Sună responsabil și nu funcționează.
O interdicție generală nu oprește folosirea. O mută. Oamenii care au descoperit că termină o treabă de două ore în douăzeci de minute nu vor renunța la asta. Vor continua pe telefonul personal, în pauză, fără să mai spună nimănui. Ai transformat o problemă vizibilă într-una invizibilă.
O politică funcționează doar dacă este suficient de precisă încât să poată fi urmată. „Nu pune date de client în instrumente pe care firma nu le administrează” este o regulă pe care un om o poate aplica. „Folosiți AI responsabil” nu este.
Lecția asta s-a confirmat și într-o implementare într-un grup industrial cu operațiuni în mai multe țări: politica a mers doar când a fost tradusă în reguli concrete și în setări tehnice care le impun. Un document frumos, fără controale în spate, este o dorință, nu o politică.
Pasul 1: decide ce date au voie să intre
Înainte de orice alegere de instrument, firma trebuie să răspundă la o singură întrebare: ce categorii de informații avem și unde are voie să ajungă fiecare?
Pentru un IMM, trei niveluri sunt suficiente:
- Public sau intern fără risc. Texte de marketing, documentație generală, proceduri interne fără date personale. Poate fi folosit cu orice instrument aprobat de firmă.
- Confidențial. Oferte, contracte, date financiare, informații despre clienți și angajați. Poate fi folosit doar în instrumente administrate de firmă, unde datele nu sunt folosite la antrenarea modelului și există control de acces.
- Restricționat. Date personale sensibile, date de sănătate, informații care intră sub clauze de confidențialitate specifice, date pentru care există obligații de rezidență în UE. Nu intră în niciun instrument fără o evaluare separată.
Această clasificare nu este birocrație. Este ce îți permite să spui unui client, cu argumente, ce se întâmplă cu datele lui. Și este singurul mod în care poți instrui oamenii fără să le ceri să ghicească.
Pasul 2: nu toată lumea are nevoie de același acces
A doua greșeală frecventă este să tratezi AI-ul ca pe un singur lucru. Nu este.
Un chat în care un om pune întrebări și primește răspunsuri este una. Un instrument care primește acces la fișierele firmei, la e-mail sau la calendar și execută sarcini este cu totul altceva. Un proces automat care rulează singur, fără un om în buclă, este a treia categorie.
Riscul crește de la un nivel la altul, și la fel ar trebui să crească și controlul. Cineva din marketing are nevoie de primul nivel. Cineva din operațiuni, care delegă rapoarte recurente, poate avea nevoie de al doilea. Al treilea nivel se activează doar acolo unde există un caz de utilizare clar, o persoană responsabilă și o limită definită pentru ce poate face sistemul.
Accesul pe niveluri rezolvă și o problemă de altă natură: elimină discuțiile de tipul „de ce el are și eu nu”. Răspunsul devine o regulă, nu o decizie personală a managerului.
Pasul 3: cont de firmă, nu conturi personale
Aici se decide, practic, dacă adopția AI este sub control sau nu.
Conturile personale, gratuite sau plătite, au trei probleme fundamentale. Datele pot fi folosite la antrenarea modelului, în funcție de setările fiecărui utilizator, pe care firma nu le vede. Nimeni nu poate administra nimic: nici să dea acces, nici să îl retragă când un angajat pleacă. Și când omul pleacă, conversațiile pleacă cu el.
Recomandarea noastră este clară: dacă firma folosește AI, folosește un plan de echipă. Ambii furnizori mari, Anthropic (Claude) și OpenAI (ChatGPT), au planuri de acest tip, cu administrare centralizată și cu excluderea datelor de la antrenare. Diferența de cost față de conturile individuale este mică raportat la ce rezolvă.
Noi lucrăm pe Claude, atât intern, cât și în implementările pentru clienți, și îl recomandăm. Nu pentru că răspunde mai frumos, ci pentru trei lucruri care contează într-o firmă:
Cunoștințele sunt ale firmei, nu ale fiecărui om. Proiectele partajate au o bază de cunoștințe și instrucțiuni comune: procedurile, tonul, contextul firmei se pun o singură dată și toată echipa lucrează din ele. Fiecare om nu mai explică firma de la zero, de fiecare dată. Conversațiile rămân private, cunoștințele sunt comune.
Se poate delega lucru, nu doar pune întrebări. Cowork permite ca o sarcină pe fișiere și aplicații (un raport recurent, o consolidare de documente, o verificare de conformitate pe un set de contracte) să fie delegată, nu executată manual prin copy-paste dintr-un chat. Aici este diferența de productivitate reală, și aici are sens al doilea nivel de acces de mai sus.
Controlul este al administratorului. Verificare de domeniu și blocarea conturilor personale noi create pe domeniul firmei, autentificare unică (SSO) prin identitatea existentă a firmei, plafon de cheltuieli, date excluse de la antrenare implicit. Preluarea conturilor personale deja existente pe domeniu se face doar pe planul Enterprise. Iar planul de echipă pornește de la doi utilizatori, deci nu există un prag minim care să excludă firmele mici.
Într-o firmă care are deja Microsoft 365 sau Google Workspace, integrarea cu identitatea existentă înseamnă că accesul la AI se dă și se retrage la fel ca accesul la e-mail. Când omul pleacă din firmă, pleacă și din AI. Asta este ce înseamnă „sub control”.
Pasul 4: instruire de o oră și un ghid de o pagină
Nimeni nu citește o politică de zece pagini. Ce funcționează este un ghid de o pagină, cu exemple concrete de „da” și „nu”, și o sesiune scurtă în care oamenii văd cum se lucrează corect pe cazurile lor reale.
Ghidul trebuie să răspundă la întrebările pe care oamenii le au efectiv: pot pune o ofertă de client? (da, în contul de firmă, nu în cel personal), pot pune un CV primit la recrutare? (nu, fără acordul candidatului), pot cere să-mi rescrie un e-mail? (da), pot lăsa AI-ul să trimită e-mailul? (nu, fără verificare).
Formularea contează la fel de mult ca și conținutul. O regulă care sună ca o decizie personală a cuiva se negociază. O regulă care este politica firmei se respectă.
Pasul 5: verifică după trei luni
Setup-ul nu este un eveniment. După trei luni, trebuie să știi cine folosește, pentru ce, și unde au apărut situații pe care ghidul nu le acoperea. Aproape întotdeauna apar. Un caz de utilizare bun a fost descoperit de cineva din contabilitate, o regulă s-a dovedit prea strictă și oamenii au ocolit-o, un nivel de acces trebuie extins.
Revizuirea este cea care ține politica precisă. Iar o politică precisă este singura care se respectă.
Cum arată un setup făcut corect
Concret, pentru un IMM, un setup făcut corect înseamnă: clasificarea datelor stabilită împreună cu conducerea, planul de echipă configurat pe domeniul firmei și legat de identitatea existentă (Microsoft 365 sau Google Workspace), nivelurile de acces definite pe roluri, proiectele partajate construite cu cunoștințele firmei, ghidul de o pagină scris pe cazurile reale ale echipei și o sesiune de instruire. Plus revizuirea la trei luni.
Este exact ce facem noi, atât pentru firma noastră, cât și pentru clienți. Dacă în firma ta AI-ul este deja folosit, dar nimeni nu poate spune exact cum, unde și cu ce date, acesta este momentul potrivit pentru o discuție.
