AI-агенты и персональные данные: 5 правил безопасной работы для бизнеса

Искусственный интеллект перестал быть экспериментом. Сегодня AI-ассистенты и AI-агенты помогают анализировать документы, готовить отчеты, писать код, обрабатывать обращения клиентов и автоматизировать бизнес-процессы.

Но вместе с ростом популярности таких инструментов растет и количество юридических рисков.

Важно понимать: когда вы загружаете информацию в AI-сервис, вы не просто общаетесь с удобным помощником. Вы передаете данные стороннему поставщику услуг, который обрабатывает эту информацию по собственным правилам и через собственную инфраструктуру.

Поэтому безопасная работа с AI-агентами должна стать частью системы информационной безопасности компании.

Правило №1. Не загружайте персональные данные без необходимости

Самая распространенная ошибка — отправлять в AI-сервисы документы, содержащие персональные данные.

Например:

• ФИО клиентов;

• номера телефонов;

• адреса электронной почты;

• паспортные данные;

• сведения о сотрудниках;

• клиентские базы.

С точки зрения законодательства о персональных данных, передача такой информации стороннему сервису является обработкой персональных данных и требует оценки правовых оснований, целей обработки и мер защиты информации.

Если задача может быть решена без передачи персональных данных, используйте обезличенные данные.

Перед загрузкой документа задайте себе простой вопрос:

«Действительно ли искусственному интеллекту необходимо знать, кому принадлежат эти данные?»

В большинстве случаев ответ будет отрицательным.

Правило №2. Не отправляйте коммерчески чувствительную информацию

Помимо персональных данных существуют сведения, утечка которых может причинить компании значительный ущерб.

Я бы не рекомендовала загружать в AI-сервисы:

• коммерческие секреты;

• финансовые модели;

• стратегии развития бизнеса;

• исходный код программного обеспечения;

• внутренние отчеты;

• договоры без предварительной обработки;

• результаты внутренних аудитов;

• сведения об уязвимостях информационных систем.

Многие компании ошибочно воспринимают AI как внутренний корпоративный инструмент.

На практике это внешний сервис, который может использовать собственную инфраструктуру обработки данных, а иногда и сторонних подрядчиков.

Чем выше ценность информации для бизнеса, тем осторожнее следует подходить к ее передаче.

Правило №3. Изучайте политику обработки данных AI-сервиса

Перед внедрением любого AI-инструмента необходимо ответить на несколько вопросов:

• Кто является оператором сервиса?

• В каких странах осуществляется обработка данных?

• Какие субподрядчики участвуют в обработке?

• Используются ли запросы пользователей для обучения моделей?

• Какие меры защиты применяются поставщиком?

На практике один запрос может проходить через несколько компаний одновременно.

Поэтому юридическая проверка AI-сервиса сегодня становится такой же обязательной процедурой, как проверка облачного провайдера или CRM-системы.

Правило №4. Разработайте внутренние правила использования AI

Одна из главных проблем бизнеса заключается в том, что сотрудники начинают использовать AI-инструменты самостоятельно.

Без регламентов это быстро превращается в источник рисков.

В компании должны быть определены:

• разрешенные AI-сервисы;

• категории данных, которые можно передавать;

• категории данных, которые запрещено загружать;

• порядок проверки результатов работы AI;

• ответственность сотрудников за нарушение правил.

Если такой политики нет, организация фактически теряет контроль над информационными потоками.

Правило №5. Не доверяйте AI юридические и управленческие решения без проверки

AI может существенно ускорить работу специалиста.

Но AI не несет ответственности за результат.

Любой текст, отчет, юридическое заключение, аналитика или рекомендация, сформированные искусственным интеллектом, должны проходить проверку человеком.