Бабушкинский районный суд Москвы вынес решение, которое может стать важным ориентиром для компаний, внедряющих генеративный ИИ.
Суд рассмотрел дело об увольнении директора по продажам, которая выгружала корпоративные документы (лиды, панель РОПов, финансовые метрики по отделам) из внутренней системы Power BI в DeepSeek, а также пересылала служебные документы на личную почту и передавала конфиденциальную информацию поставщику. Служба ИБ поймала, работодатель провёл расследование и уволил.
Суд не требовал доказывать, что кто-либо действительно получил доступ к этой информации. Был применен подход, ранее сформулированный Конституционным Судом РФ (Постановление № 25-П от 26.10.2017), что уже само создание условий для неконтролируемого использования конфиденциальных данных может рассматриваться как нарушение режима коммерческой тайны.
.....Выгрузка сведений, составляющих коммерческую тайну, и (или) являющихся конфиденциальной информацией, в систему искусственного интеллекта Deepseek, является разглашением таких сведений. ......Угроза заключается в том, что возможно просматривать активность пользователя или перехватывать передаваемые данные
Работодатель заранее оформил режим коммерческой тайны: утвердил перечень конфиденциальных сведений, ознакомил сотрудника с внутренними политиками, получил обязательство о неразглашении и потом провел служебное расследование в соответствии с требованиями трудового законодательства.
Похожая тенденция прослеживается в других странах.
Напомню, про кейс в США United States v. Heppner, где суд пришел к выводу, что использование публичного генеративного ИИ может привести к утрате адвокатской тайны, поскольку информация добровольно передается третьей стороне. Хотя дело касалось юридической привилегии, а не коммерческой тайны, логика очень похожа: передача данных во внешний ИИ-сервис означает потерю контроля над конфиденциальной информацией (см пост здесь).
В Великобритании в кейсе Munir v Secretary of State for the Home Department суд также указывал на риски использования публичных генеративных моделей для обработки клиентских документов и противопоставил их корпоративным решениям с контролируемой средой обработки данных.
В Европейском союзе регуляторы неоднократно рекомендуют организациям не передавать персональные данные и иную чувствительную информацию в публичные генеративные модели без соответствующих мер защиты:
▪️ рекомендации французского регулятора CNIL,
▪️позиция британского ICO по генеративному ИИ,
▪️Руководящие принципы по веб-скрейпингу для генеративного ИИ.
❕Бездумная загрузка корпоративной информации в публичные генеративные модели может приводить как к рискам информационной безопасности, так и юридическим.
#LawAndDisorder
————
@pattern_ai | AI GDPR Navigator