Внедрение нейросетей в рабочие процессы неизбежно приводит к рискам: сотрудники загружают в открытые чаты коммерческую тайну, используют сгенерированные картинки без проверки прав или отправляют клиентам тексты с фактическими ошибками. Чтобы ИИ помогал бизнесу, а не создавал юридические и репутационные проблемы, компании нужен четкий регламент, который описывает, что можно делегировать алгоритмам, а что категорически нельзя.
| Что разберем | Что это даст |
| Как разделить данные по уровню секретности | Сотрудники перестанут сливать коммерческую тайну и персональные данные в открытые нейросети |
| Как регламентировать проверку генераций | Защитите компанию от штрафов и проблем с клиентами из-за «галлюцинаций» ИИ |
| Какие юридические риски учесть | Избежите проблем с авторскими правами на контент и программный код |
Базовое правило безопасной работы
Главный принцип, который должен быть закреплен в любом корпоративном регламенте: нейросеть – это инструмент черновика, а не финального результата. Вся ответственность за сгенерированный текст, код, расчет или изображение всегда лежит на сотруднике, который этот результат использует.
Чтобы правило работало, компания должна официально утвердить список разрешенных инструментов. Если списка нет, сотрудники будут использовать личные аккаунты в ChatGPT, YandexGPT или GigaChat, сливая туда рабочие данные без контроля со стороны службы безопасности.
Матрица доступа: какие данные можно передавать ИИ
Самый частый сценарий утечки – сотрудник просит нейросеть сделать выжимку из большого документа или написать ответ на жалобу клиента, копируя в чат исходник целиком. Разделите все корпоративные данные на три категории и пропишите для них жесткие правила.
1. Публичные данные (Зеленая зона)
К этой категории относятся пресс-релизы, статьи из блога, общие описания продуктов, маркетинговые материалы, которые уже опубликованы или готовятся к публикации.
- Где можно обрабатывать: В любых общедоступных нейросетях (бесплатные версии ChatGPT, Claude, GigaChat, YandexGPT, любые боты в Telegram).
- Что можно делать: Переписывать, сокращать, переводить, генерировать идеи на основе этих данных.
2. Внутренняя рабочая информация (Желтая зона)
Это регламенты, должностные инструкции, обезличенные куски кода, планы проектов без указания конкретных подрядчиков и бюджетов, шаблоны договоров.
- Где можно обрабатывать: Только в закрытых корпоративных контурах (локально развернутые модели на серверах компании) или через платные Enterprise-версии сервисов, где в договоре четко прописан отказ провайдера от использования ваших данных для обучения своих моделей (Zero Data Retention).
- Что нужно сделать перед отправкой: Обезличить текст. Заменить названия компаний на «Компания А», удалить конкретные суммы, даты и имена сотрудников.
3. Конфиденциальная информация (Красная зона)
Финансовая отчетность, персональные данные клиентов (ФИО, телефоны, адреса), пароли, API-ключи, базы данных, неопубликованные исходные коды ядра продукта, медицинские и юридические тайны.
- Где можно обрабатывать: Нигде. Передача таких данных в любые облачные ИИ-сервисы должна быть строго запрещена.
- Исключение: Обработка возможна только на полностью изолированных серверах компании (On-Premise) без доступа к интернету, если это одобрено службой информационной безопасности и соответствует требованиям ФЗ-152 «О персональных данных».
Правила работы по типам задач
Ограничения зависят не только от данных, но и от того, для чего используется нейросеть.
Генерация и редактура текстов
Языковые модели склонны к «галлюцинациям» – они уверенно выдумывают факты, законы, статистику и несуществующие кейсы.
- Обязательное действие: Любой факт, цифра, цитата или ссылка на закон, сгенерированные ИИ, должны проверяться в официальных источниках (КонсультантПлюс, Гарант, официальные сайты ведомств).
- Ограничение: Запрещено использовать ИИ для прямых расчетов (налогов, смет, зарплат). Нейросети работают с языком, а не с математикой, и часто ошибаются в простых арифметических действиях.
Написание программного кода
Использование AI-ассистентов (например, GitHub Copilot или аналогов) ускоряет разработку, но создает уязвимости.
- Риск лицензионной чистоты: Нейросеть может выдать кусок кода, защищенный лицензией GPL. Если вставить его в коммерческий проприетарный продукт, компания может получить иск и требование открыть весь свой исходный код.
- Риск безопасности: ИИ часто предлагает устаревшие библиотеки или код с известными уязвимостями (SQL-инъекциями, утечками памяти).
- Как избежать: Весь сгенерированный код должен проходить обязательное ревью живым Senior-разработчиком и автоматическую проверку статическими анализаторами (SAST) перед слиянием с основной веткой.
Создание изображений и дизайна
Российская и мировая судебная практика сходится в одном: у контента, полностью сгенерированного ИИ, нет автора. Вы не можете зарегистрировать исключительные права на чистую генерацию из Midjourney или Stable Diffusion.
- Ограничение: Не используйте немодифицированные генерации для логотипов, ключевых элементов брендбука или маскотов компании. Конкуренты смогут законно скопировать их, и вы не сможете защитить это в суде.
- Ошибка: Загружать в нейросеть (в режиме image-to-image) чужие защищенные авторским правом фотографии или работы художников «для референса». Итоговый результат может быть признан переработкой чужого произведения, что грозит штрафом от правообладателя.
Частые ошибки при внедрении ИИ-правил
Полный запрет на использование нейросетей.
Если выпустить приказ «запретить ChatGPT в компании», сотрудники просто начнут использовать его с личных смартфонов. Компания потеряет контроль над тем, какие данные туда утекают. Правильный подход – дать безопасную, санкционированную альтернативу (например, оплатить корпоративный API или развернуть локальную модель).
Отсутствие процедуры разбора инцидентов.
Если сотрудник случайно отправил в открытый бот клиентскую базу, он должен знать, кому об этом сообщить без страха увольнения. Если скрыть инцидент, компания не сможет вовремя предупредить клиентов или сменить скомпрометированные пароли.
Отказ от маркировки ИИ-контента при общении с клиентами.
Если вы используете ИИ для ответов в техподдержке, прямо указывайте это («Вам отвечает виртуальный помощник»). Если бот ошибется, недовольство клиента будет ниже, чем если он поймет, что его обманывали, выдавая робота за живого оператора.
Ограничения и граничные случаи
ФЗ-152 и облачные нейросети.
Даже если вы используете российские сервисы (YandexGPT, GigaChat) и они хранят данные на серверах в РФ, вы не имеете права передавать им персональные данные клиентов без явного согласия самих клиентов на передачу их данных конкретно этому третьему лицу. Обезличивание (замена ФИО на ID) – единственный законный способ работы с базами в облаке.
Скрытые ИИ-функции в привычных сервисах.
Сотрудники могут нарушать регламент непреднамеренно. Нейросети сейчас встроены в корпоративные мессенджеры, почтовые клиенты, текстовые редакторы (например, Notion AI) и сервисы для видеоконференций (автоматические транскрипции зумов). Регламент должен явно указывать, какие из этих встроенных функций можно включать, а какие – нет, особенно во время обсуждения NDA-проектов.
Коротко о главном
- Утвердите единый список разрешенных нейросетей для рабочих задач.
- Обучите сотрудников правилу светофора: публичные данные – в любые ИИ, внутренние – только в защищенные, конфиденциальные – никуда.
- Обяжите людей проверять все факты, цифры и ссылки за ИИ перед отправкой клиентам или руководству.
- Весь сгенерированный код пропускайте через ревью и сканеры уязвимостей.
- Не стройте бренд на немодифицированных ИИ-логотипах – их нельзя защитить авторским правом.
