Net Advice Solutions — Insights (RO)

NIS2: ce este și dacă se aplică firmei tale

Tiberiu Grigorescu — Fri, 11 Sep 2026 00:00:00 +0000

Din septembrie 2026, NIS2 nu mai este un subiect de conferință. DNSC a început procedurile de sancționare, deocamdată pentru firmele care nu s-au înregistrat. Amenzile din lege pornesc de la 1.000 de lei și pot ajunge la 10 milioane de euro sau la un procent din cifra de afaceri.

Majoritatea antreprenorilor cu care vorbim au auzit de NIS2 și au două întrebări: „se aplică și la mine?” și „ce trebuie să fac concret?”. Articolul răspunde la amândouă, în ordinea asta.

Un avertisment necesar: nu suntem avocați, iar încadrarea unei firme se face pe situația ei concretă. Ce urmează este un ghid de orientare, nu o opinie juridică.

Ce este NIS2, pe scurt

NIS2 este directiva europeană privind securitatea cibernetică a rețelelor și sistemelor informatice. Scopul ei este simplu de formulat: firmele de care depinde funcționarea economiei și a societății trebuie să aibă un nivel minim, verificabil, de securitate cibernetică, și trebuie să raporteze incidentele serioase.

În România, directiva a fost transpusă prin OUG 155/2024, în vigoare din 30 decembrie 2024, aprobată și modificată prin Legea 124/2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC), care ține registrul entităților, primește raportările de incidente și aplică sancțiunile.

Legea împarte firmele vizate în două categorii: entități esențiale (în general, firmele mari din sectoarele critice) și entități importante (firmele mari și mijlocii din sectoarele vizate care nu sunt esențiale). Obligațiile sunt asemănătoare, dar supravegherea și amenzile diferă.

Se aplică firmei tale? Trei întrebări

Cea mai mare dificultate practică a NIS2 este tocmai stabilirea domeniului de aplicare. Nu orice firmă care folosește calculatoare intră sub incidența legii. Verificarea se face în trei pași.

1. Activezi într-un sector din anexele legii?

Anexele 1 și 2 ale OUG 155/2024 listează sectoarele vizate. Printre ele: energie, transporturi, sectorul bancar și infrastructurile pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, comunicații electronice, servicii cloud și centre de date, servicii IT și de securitate gestionate, administrație publică, servicii poștale și curierat, gestionarea deșeurilor, producția și distribuția de alimente, industria chimică, anumite activități de producție (inclusiv dispozitive medicale, electronice, mașini și echipamente), piețe online, motoare de căutare, platforme sociale și organizații de cercetare.

Atenție la un detaliu: anexele descriu tipuri concrete de entități, nu doar sectoare. Codul CAEN principal nu este suficient pentru încadrare. Contează activitatea efectivă.

2. Ești întreprindere mijlocie sau mare?

Ca regulă generală, NIS2 se aplică firmelor din aceste sectoare care depășesc pragul de întreprindere mică: cel puțin 50 de angajați sau o cifră de afaceri și un bilanț anual de peste 10 milioane de euro. Microîntreprinderile și firmele mici sunt, în general, în afara domeniului de aplicare.

Două nuanțe care prind multe firme pe picior greșit. Prima: dimensiunea se calculează inclusiv cu întreprinderile partenere sau legate, deci o firmă mică dintr-un grup poate fi încadrată prin grup. A doua: legea trimite la criteriile din Legea 346/2004, iar pragurile de acolo nu se citesc întotdeauna intuitiv. Când cifrele sunt aproape de prag, merită o verificare atentă.

3. Ești un caz special?

Anumite categorii intră sub incidența legii indiferent de dimensiune: furnizorii de servicii DNS, registrele de nume de domenii, prestatorii calificați de servicii de încredere, administrația publică centrală. În plus, DNSC poate încadra o firmă drept esențială sau importantă dacă este unicul furnizor al unui serviciu critic sau dacă întreruperea serviciului ei ar afecta semnificativ sănătatea, siguranța publică sau economia.

Dacă răspunsul la primele două întrebări este „da”, sau dacă te afli într-o zonă gri, recomandarea DNSC este să completezi evaluarea prin instrumentele NIS2@RO și să transmiți notificarea. DNSC analizează și comunică dacă firma este esențială, importantă sau în afara domeniului de aplicare. Nu firma decide singură.

„Nu intru direct.” Bine, dar clienții tăi intră

Aici este partea pe care majoritatea IMM-urilor o ratează.

Printre măsurile obligatorii pentru entitățile esențiale și importante se află securitatea furnizorilor și a lanțului de aprovizionare. O firmă aflată sub NIS2 trebuie să gestioneze riscul pe care i-l aduc furnizorii ei. În practică, asta înseamnă că îți va cere: clauze de securitate în contract, obligația de a o notifica în caz de incident, dovezi că ai măsuri de bază implementate, uneori drept de audit.

Dacă furnizezi servicii IT, software, mentenanță, logistică, contabilitate sau orice altceva unei firme din sectoarele de mai sus, aceste cerințe ajung la tine prin contract, nu prin lege. Iar răspunsul „noi nu suntem sub NIS2” nu te scapă de ele. Te scoate din lista de furnizori.

Pentru un IMM, aceasta este expunerea reală la NIS2 în cele mai multe cazuri: nu amenda de la DNSC, ci contractul pe care nu-l mai poți semna sau prelungi.

Dacă intri: ce trebuie să faci

Obligațiile principale, în ordinea în care apar:

Înregistrarea la DNSC. Pentru firmele care se încadrau deja la momentul lansării procedurii, termenul general a expirat la 22 septembrie 2025. Depășirea lui nu a eliminat obligația; DNSC a avertizat că sancțiunea pentru neînregistrare poate ajunge la 500.000 de lei, iar primele proceduri de sancționare vizează exact aceste firme. Pentru firmele care intră ulterior sub incidența legii, notificarea se transmite în cel mult 30 de zile.

Responsabilul NIS2. Firma trebuie să desemneze o persoană responsabilă de securitatea cibernetică și să o declare la DNSC. Pentru firmele mici este acceptabil un model de responsabil extern sau partajat, dar persoana trebuie să existe și să fie instruită.

Evaluarea riscului și autoevaluarea maturității. După decizia DNSC de înscriere în registru, firma are 60 de zile să transmită evaluarea propriului nivel de risc, conform metodologiei DNSC, și încă 60 de zile pentru autoevaluarea maturității măsurilor de securitate. Termenele curg în lanț, deci nu există o dată-limită unică pentru toată lumea.

Măsurile tehnice și organizatorice. Legea cere măsuri proporționale cu riscul, care acoperă, printre altele: analiza și gestionarea riscurilor, prevenirea și gestionarea incidentelor, continuitatea activității și recuperarea în caz de dezastru, copii de siguranță realizate și testate, securitatea furnizorilor, controlul accesului și gestionarea activelor, autentificare multifactor, instruirea angajaților și evaluarea periodică a eficacității măsurilor. Nu sunt recomandări. Lipsa lor este contravenție.

Raportarea incidentelor semnificative. Avertizare timpurie în maximum 24 de ore de la luarea la cunoștință, raportarea incidentului în maximum 72 de ore, raport final în cel mult o lună. Pentru informațiile privind impactul transfrontalier, termenul este de 6 ore.

Responsabilitatea conducerii. Conducerea trebuie să aprobe și să supravegheze măsurile, iar membrii organelor de conducere au obligația de formare. Legea 124/2025 consolidează răspunderea personală a managementului. Concret: conformarea NIS2 nu poate fi delegată integral departamentului IT sau furnizorului de IT.

Amenzile

Pentru încălcările majore (neimplementarea măsurilor, nerespectarea obligațiilor de audit și raportare), plafoanele sunt de până la 10 milioane de euro sau 2% din cifra de afaceri pentru entitățile esențiale și până la 7 milioane de euro sau 1,4% pentru entitățile importante, luându-se în calcul valoarea mai mare. Legea 124/2025 precizează că procentul se aplică cifrei de afaceri globale, nu doar celei din România.

Pentru alte abateri, amenzile sunt între 1.000 și 300.000 de lei pentru entitățile importante și între 1.500 și 500.000 de lei pentru cele esențiale. În situații agravante, cuantumul poate fi dublat.

DNSC a indicat că, într-o primă etapă, va aplica valori din zona inferioară a grilelor. Ceea ce nu înseamnă că amenda nu vine, ci că vine gradual.

Ce facem practic, în ambele cazuri

Vestea bună este că lista de măsuri din NIS2 nu conține nimic exotic. Este lista pe care un setup IT corect ar trebui să o acopere oricum: identități administrate central cu autentificare multifactor, backup testat, nu doar configurat, acces pe roluri, inventar al sistemelor și al furnizorilor, un plan de răspuns la incidente pe care cineva l-a citit și exersat, clauze de securitate în contractele cu furnizorii.

Un studiu publicat în septembrie 2026 pe un eșantion de 211 organizații din România arată de ce testarea contează: 45% s-au declarat cu maturitate cibernetică ridicată, dar doar 27% au trecut de trei verificări practice, monitorizare permanentă, plan de răspuns testat și exerciții regulate. Multe firme au măsurile pe hârtie. Puține le-au probat.

Dacă intri sub NIS2, ordinea este: verifică încadrarea prin NIS2@RO, înregistrează-te, desemnează responsabilul, fă o analiză a diferențelor față de lista de măsuri, remediază în ordinea riscului și pregătește documentația pentru evaluările cerute de DNSC.

Dacă nu intri direct, ordinea este aceeași, fără înregistrare. Pentru că măsurile de bază sunt cele pe care ți le vor cere clienții, și sunt cele care contează efectiv în ziua în care ceva se întâmplă.

Asta facem noi: verificăm încadrarea, facem analiza diferențelor, punem în ordine identitățile, accesul, backup-ul și documentația, și pregătim firma pentru discuția cu DNSC sau cu clientul care cere garanții. Dacă ai primit deja un chestionar de securitate de la un client sau nu ești sigur în ce categorie intri, e momentul potrivit pentru o discuție.

Surse: OUG 155/2024, Legea 124/2025, Ordinele DNSC 1/2025, 2/2025 și 1/2026, comunicările DNSC (dnsc.ro). Verifică întotdeauna textul oficial și cere consultanță juridică pentru încadrarea concretă a firmei tale.

Ransomware: cum te protejezi de valul de atacuri din 2026

Dragoș Florea — Thu, 20 Aug 2026 00:00:00 +0000

Raportul de activitate al DNSC pentru 2025, publicat în august 2026, are o cifră care ar trebui să ajungă pe masa oricărui administrator de firmă: numărul atacurilor ransomware din România a crescut cu peste 153% față de anul anterior. DNSC a gestionat 256 de incidente majore de acest tip și a acordat sprijin pentru 119 firme, 22 de instituții publice și 115 persoane fizice. Printre cazurile publice: un atac care a perturbat activitatea Administrației Naționale Apele Române și a structurilor sale teritoriale aproximativ o săptămână.

Și acestea sunt doar cazurile în care a intervenit DNSC. Firmele care au plătit sau au refăcut totul în tăcere nu apar în statistică.

Nu scriem articolul ăsta ca să sperie. Îl scriem pentru că protecția împotriva ransomware nu este o tehnologie pe care o cumperi, ci un set de decizii pe care le iei înainte. Aproape toate sunt ieftine. Toate sunt plictisitoare. Și fiecare din ele decide dacă, în ziua în care se întâmplă, firma își revine în două zile sau își pierde datele.

Cum începe, de fapt, un atac

Imaginea din filme, cu hackerul care sparge un firewall, este cea mai puțin frecventă. Raportul DNSC arată foarte concret cât de simplu poate începe un atac: un email aparent obișnuit, o parolă refolosită, un cont de email preluat sau un program neactualizat. Conturile compromise au crescut de peste patru ori în 2025 față de anul anterior, iar atacurile de phishing cu peste 70%.

Tendința e confirmată și la nivel global: furtul de conturi și credențiale a depășit exploatarea vulnerabilităților ca principală metodă de lansare a atacurilor ransomware. Atacatorul nu mai sparge ușa. Intră cu cheia.

Modelul de business din spate e industrializat: grupări specializate pun instrumentele de atac la dispoziția altora, contra cost, așa-numitul „ransomware-as-a-service”. Asta înseamnă că nu trebuie să fii o țintă interesantă ca să fii lovit. E suficient să fii o țintă ușoară. Iar DNSC semnalează inclusiv o grupare de origine română, activă mai ales în zona financiar-contabilă.

Un detaliu care schimbă calculul: atacurile actuale nu doar criptează. Înainte de criptare, datele sunt copiate. Chiar dacă ai backup și refuzi să plătești, atacatorul amenință cu publicarea contractelor, a datelor angajaților, a datelor clienților. Backup-ul te salvează operațional. Nu te salvează de discuția cu clienții și cu autoritatea de protecția datelor.

Cinci decizii care fac diferența

1. Identități administrate central, cu autentificare multifactor peste tot

Dacă atacul începe cu o parolă, prima linie de apărare este să nu fie suficientă o parolă. DNSC indică explicit reutilizarea parolelor și lipsa autentificării multifactor printre factorii care favorizează atacurile. Asta înseamnă: MFA activat obligatoriu pe email, pe sistemele de gestiune, pe acces la distanță, pe conturile de administrator. Nu „recomandat”, nu „pentru cine vrea”. Impus din consolă, cu excepții zero.

Un pas mai departe, pentru conturile care contează: autentificare rezistentă la phishing (chei hardware sau passkeys), pentru că MFA-ul clasic prin cod SMS poate fi păcălit de o pagină de login falsă.

Și conturile de administrator sunt separate de conturile de zi cu zi. Omul care citește email cu drepturi de administrator pe tot domeniul este cel mai scurt drum de la un click greșit la o firmă blocată.

2. Backup izolat, cu versiuni, și testat prin restaurare

Ransomware-ul modern caută backup-urile înainte de a cripta. Un backup pe un disc conectat permanent, pe un share de rețea accesibil cu aceleași credențiale sau în același tenant cloud fără protecție separată este criptat odată cu restul.

Ce funcționează: cel puțin o copie izolată de rețeaua de producție, cu versiuni păstrate în timp și imposibil de șters pentru o perioadă definită (imutabilitate), cu credențiale diferite de cele din producție. Și, esențial, cu o restaurare făcută efectiv, periodic, cronometrată. Un backup pe care nu l-ai restaurat niciodată este o ipoteză. Vom reveni pe subiectul ăsta într-un articol separat, pentru că merită.

3. Actualizări la timp, pe tot ce e expus

„Program neactualizat” e în lista DNSC de cauze. Fiecare sistem accesibil din internet (VPN, acces la distanță, server de email, aplicații web) trebuie actualizat în zile, nu în luni, când apare o vulnerabilitate. La fel stațiile de lucru. Asta se face administrat, din consolă, cu raport de conformitate, nu prin „rugăm colegii să dea restart”.

4. Protecție pe stații și pe servere care detectează comportament, nu doar semnături

Antivirusul clasic recunoaște fișiere cunoscute. Ransomware-ul de azi e generat în variante noi pentru fiecare campanie. Ce contează este o soluție care vede comportamentul (criptare masivă, ștergere de backup-uri, escaladare de drepturi) și izolează stația automat, în secunde, fără să aștepte ca cineva să citească o alertă a doua zi dimineață.

La asta se adaugă principiul drepturilor minime: utilizatorii nu sunt administratori locali, accesul la fișiere este pe roluri, iar un cont compromis din vânzări nu poate ajunge la contabilitate.

5. Un plan pe care cineva l-a citit

Ce faci în prima oră? Cine deconectează ce? Cine sună la furnizorul de IT, cine anunță conducerea, cine notifică DNSC și, dacă sunt date personale, autoritatea de protecția datelor? Ce clienți trebuie anunțați și de cine? Din ce backup refaci și cât durează?

Dacă răspunsurile la întrebările astea se dau pentru prima dată în ziua atacului, se dau prost. Planul nu trebuie să aibă 40 de pagini. Trebuie să aibă o pagină, nume de oameni, numere de telefon și să fi fost exersat o dată, măcar pe hârtie.

Restul, care contează la fel de mult

Instruirea oamenilor, dar concretă: nu un curs anual despre „siguranța pe internet”, ci exemple reale de email-uri și mesaje pe care le primesc colegii voștri, inclusiv pe WhatsApp, pe care DNSC îl menționează ca vector de campanii. Un canal simplu prin care oricine poate semnala „am dat click pe ceva ciudat” fără să fie certat; primele minute contează mai mult decât vinovăția.

Inventarul: nu poți proteja ce nu știi că ai. Ce servere, ce aplicații, ce conturi de administrator, ce furnizori au acces în sistemele tale.

Furnizorii: firma de contabilitate, firma de IT, furnizorul de software cu acces la distanță. Fiecare dintre ei este o ușă în firma ta. Întreabă-i ce fac ei pentru punctele 1–5.

Dacă se întâmplă totuși

Deconectezi sistemele afectate de la rețea, dar nu le închizi și nu le ștergi; conțin probele. Nu plătești din reflex; plata nu garantează recuperarea și te marchează ca țintă care plătește. Notifici DNSC, care are experiență cu grupările active în România și poate avea chei de decriptare pentru anumite familii. Dacă sunt afectate date personale, ai 72 de ore pentru notificarea autorității de protecția datelor. Și restaurezi din backup-ul pe care l-ai testat.

Ce facem noi

Cele cinci decizii de mai sus sunt exact lista de măsuri pe care o cere și NIS2, și exact ce înseamnă un setup IT făcut corect, subiect pe care îl tratăm în articolele următoare. Nu e o coincidență. Protecția împotriva ransomware nu e un produs separat de restul IT-ului. E IT-ul făcut ca lumea.

Pentru clienții noștri, asta înseamnă: identități administrate central cu MFA impus, stații și servere gestionate din consolă, cu actualizări și protecție comportamentală, backup izolat cu restaurare testată periodic, drepturi de acces pe roluri și un plan de răspuns scris pe o pagină, cu oamenii voștri în el.

Dacă nu ești sigur unde stă firma ta la cele cinci puncte, o verificare durează câteva ore și răspunsul e, de obicei, foarte clar.

Surse: Raportul de activitate DNSC 2025 (versiunea publică, aprobată prin Hotărârea CSAT nr. 117/2026), Buletinul trimestrial statistic DNSC 2026, comunicările DNSC (dnsc.ro).

Cum introduci AI în firma ta fără să-ți scape de sub control

Tiberiu Grigorescu — Wed, 15 Jul 2026 00:00:00 +0000

Întrebarea pe care o auzim cel mai des nu este „ar trebui să folosim AI?”. Este „ce facem cu faptul că oamenii deja îl folosesc?”.

Pentru că asta se întâmplă în majoritatea firmelor în care intrăm. Cineva din vânzări a pus o ofertă de client într-un chat gratuit ca să o rescrie mai frumos. Cineva din contabilitate a lipit un extras de cont ca să-i explice un comision. Un coleg de la suport are un cont personal, plătit din banii lui, în care a copiat conversații întregi cu clienți. Nimeni nu a făcut ceva rău intenționat. Fiecare a rezolvat o problemă de moment.

Rezultatul este că firma are deja o adopție AI. Doar că nu o știe, nu o controlează și nu o poate arăta unui client sau unui auditor dacă cineva întreabă unde au ajuns datele.

De aici pornește orice discuție serioasă despre AI în firmă. Nu de la instrument.

Prima regulă: nu interzice, prescrie

Reflexul multor manageri, când realizează ce se întâmplă, este interdicția. „Nu se folosește AI cu date de firmă.” Sună responsabil și nu funcționează.

O interdicție generală nu oprește folosirea. O mută. Oamenii care au descoperit că termină o treabă de două ore în douăzeci de minute nu vor renunța la asta. Vor continua pe telefonul personal, în pauză, fără să mai spună nimănui. Ai transformat o problemă vizibilă într-una invizibilă.

O politică funcționează doar dacă este suficient de precisă încât să poată fi urmată. „Nu pune date de client în instrumente pe care firma nu le administrează” este o regulă pe care un om o poate aplica. „Folosiți AI responsabil” nu este.

Lecția asta s-a confirmat și într-o implementare într-un grup industrial cu operațiuni în mai multe țări: politica a mers doar când a fost tradusă în reguli concrete și în setări tehnice care le impun. Un document frumos, fără controale în spate, este o dorință, nu o politică.

Pasul 1: decide ce date au voie să intre

Înainte de orice alegere de instrument, firma trebuie să răspundă la o singură întrebare: ce categorii de informații avem și unde are voie să ajungă fiecare?

Pentru un IMM, trei niveluri sunt suficiente:

Public sau intern fără risc. Texte de marketing, documentație generală, proceduri interne fără date personale. Poate fi folosit cu orice instrument aprobat de firmă.
Confidențial. Oferte, contracte, date financiare, informații despre clienți și angajați. Poate fi folosit doar în instrumente administrate de firmă, unde datele nu sunt folosite la antrenarea modelului și există control de acces.
Restricționat. Date personale sensibile, date de sănătate, informații care intră sub clauze de confidențialitate specifice, date pentru care există obligații de rezidență în UE. Nu intră în niciun instrument fără o evaluare separată.

Această clasificare nu este birocrație. Este ce îți permite să spui unui client, cu argumente, ce se întâmplă cu datele lui. Și este singurul mod în care poți instrui oamenii fără să le ceri să ghicească.

Pasul 2: nu toată lumea are nevoie de același acces

A doua greșeală frecventă este să tratezi AI-ul ca pe un singur lucru. Nu este.

Un chat în care un om pune întrebări și primește răspunsuri este una. Un instrument care primește acces la fișierele firmei, la e-mail sau la calendar și execută sarcini este cu totul altceva. Un proces automat care rulează singur, fără un om în buclă, este a treia categorie.

Riscul crește de la un nivel la altul, și la fel ar trebui să crească și controlul. Cineva din marketing are nevoie de primul nivel. Cineva din operațiuni, care delegă rapoarte recurente, poate avea nevoie de al doilea. Al treilea nivel se activează doar acolo unde există un caz de utilizare clar, o persoană responsabilă și o limită definită pentru ce poate face sistemul.

Accesul pe niveluri rezolvă și o problemă de altă natură: elimină discuțiile de tipul „de ce el are și eu nu”. Răspunsul devine o regulă, nu o decizie personală a managerului.

Pasul 3: cont de firmă, nu conturi personale

Aici se decide, practic, dacă adopția AI este sub control sau nu.

Conturile personale, gratuite sau plătite, au trei probleme fundamentale. Datele pot fi folosite la antrenarea modelului, în funcție de setările fiecărui utilizator, pe care firma nu le vede. Nimeni nu poate administra nimic: nici să dea acces, nici să îl retragă când un angajat pleacă. Și când omul pleacă, conversațiile pleacă cu el.

Recomandarea noastră este clară: dacă firma folosește AI, folosește un plan de echipă. Ambii furnizori mari, Anthropic (Claude) și OpenAI (ChatGPT), au planuri de acest tip, cu administrare centralizată și cu excluderea datelor de la antrenare. Diferența de cost față de conturile individuale este mică raportat la ce rezolvă.

Noi lucrăm pe Claude, atât intern, cât și în implementările pentru clienți, și îl recomandăm. Nu pentru că răspunde mai frumos, ci pentru trei lucruri care contează într-o firmă:

Cunoștințele sunt ale firmei, nu ale fiecărui om. Proiectele partajate au o bază de cunoștințe și instrucțiuni comune: procedurile, tonul, contextul firmei se pun o singură dată și toată echipa lucrează din ele. Fiecare om nu mai explică firma de la zero, de fiecare dată. Conversațiile rămân private, cunoștințele sunt comune.

Se poate delega lucru, nu doar pune întrebări. Cowork permite ca o sarcină pe fișiere și aplicații (un raport recurent, o consolidare de documente, o verificare de conformitate pe un set de contracte) să fie delegată, nu executată manual prin copy-paste dintr-un chat. Aici este diferența de productivitate reală, și aici are sens al doilea nivel de acces de mai sus.

Controlul este al administratorului. Verificare de domeniu și blocarea conturilor personale noi create pe domeniul firmei, autentificare unică (SSO) prin identitatea existentă a firmei, plafon de cheltuieli, date excluse de la antrenare implicit. Preluarea conturilor personale deja existente pe domeniu se face doar pe planul Enterprise. Iar planul de echipă pornește de la doi utilizatori, deci nu există un prag minim care să excludă firmele mici.

Într-o firmă care are deja Microsoft 365 sau Google Workspace, integrarea cu identitatea existentă înseamnă că accesul la AI se dă și se retrage la fel ca accesul la e-mail. Când omul pleacă din firmă, pleacă și din AI. Asta este ce înseamnă „sub control”.

Pasul 4: instruire de o oră și un ghid de o pagină

Nimeni nu citește o politică de zece pagini. Ce funcționează este un ghid de o pagină, cu exemple concrete de „da” și „nu”, și o sesiune scurtă în care oamenii văd cum se lucrează corect pe cazurile lor reale.

Ghidul trebuie să răspundă la întrebările pe care oamenii le au efectiv: pot pune o ofertă de client? (da, în contul de firmă, nu în cel personal), pot pune un CV primit la recrutare? (nu, fără acordul candidatului), pot cere să-mi rescrie un e-mail? (da), pot lăsa AI-ul să trimită e-mailul? (nu, fără verificare).

Formularea contează la fel de mult ca și conținutul. O regulă care sună ca o decizie personală a cuiva se negociază. O regulă care este politica firmei se respectă.

Pasul 5: verifică după trei luni

Setup-ul nu este un eveniment. După trei luni, trebuie să știi cine folosește, pentru ce, și unde au apărut situații pe care ghidul nu le acoperea. Aproape întotdeauna apar. Un caz de utilizare bun a fost descoperit de cineva din contabilitate, o regulă s-a dovedit prea strictă și oamenii au ocolit-o, un nivel de acces trebuie extins.

Revizuirea este cea care ține politica precisă. Iar o politică precisă este singura care se respectă.

Cum arată un setup făcut corect

Concret, pentru un IMM, un setup făcut corect înseamnă: clasificarea datelor stabilită împreună cu conducerea, planul de echipă configurat pe domeniul firmei și legat de identitatea existentă (Microsoft 365 sau Google Workspace), nivelurile de acces definite pe roluri, proiectele partajate construite cu cunoștințele firmei, ghidul de o pagină scris pe cazurile reale ale echipei și o sesiune de instruire. Plus revizuirea la trei luni.

Este exact ce facem noi, atât pentru firma noastră, cât și pentru clienți. Dacă în firma ta AI-ul este deja folosit, dar nimeni nu poate spune exact cum, unde și cu ce date, acesta este momentul potrivit pentru o discuție.