Pattern AI

Регулирование ИИ уже в Узбекистане

Президент подписал закон № ЗРУ-1115, который вносит масштабные правки в законы «Об информатизации» и «Кодекс об административной ответственности».
👀 Вступил в силу со дня его официального опубликования 21 января 2026 года.

Искусственный интеллект - комплекс технологических решений, дающий возможность имитации знаний и навыков человека, самостоятельного обучения, поиска решений и получения результатов, сопоставимых с результатами умственной деятельности человека при выполнении конкретных задач.

🔹Решения, имеющие юридическое значение и влияющие на права и свободы человека, НЕ МОГУТ приниматься исключительно на основе выводов ИИ.

🔹Установлено требование, чтобы системы ИИ не наносили ущерб жизни, здоровью, чести, достоинству и свободе граждан и не должны нарушать его иные неотъемлемые права.

Изначально в проекте закона речь шла о введении обязательной маркировки контента. В итоговом тексте мы видим общую формулировку.
НО на практике, например, если контент, созданный ИИ, вводит человека в заблуждение (например, фейковая новость или дипфейк), это уже считается нарушением прав и достоинства граждан, что прямо запрещено новой статьей.
Конкретные требования увидим в подзаконных актах.

🔹Незаконная обработка персональных данных с использованием технологий искусственного интеллекта, их распространение в средствах массовой информации, сетях телекоммуникаций или всемирной информационной сети Интернет влечет:
▪️штраф от 50 до 100 базовых расчетных величин (примерно от 20,6 млн до 41,2 млн сумов);
▪️конфискацию технических средств, использованных при совершении правонарушения.

✏️ Примеры для бизнеса:
▪️Маркируйте контент. Если вы постите дипфейк или сгенерированное фото как реальное, то вы нарушаете закон. Пишите просто: «Создано нейросетью».
▪️ Проверьте основания сбора ПД, в том числе согласия. Например, если ваш бот собирает ФИО или телефоны клиентов для обработки через ИИ, то проверьте пользовательское соглашение.
▪️ Любой результат работы ИИ, который влияет на права других людей, должен проверять ваш сотрудник.


#LawAndDisorder
————
@pattern_ai

AI Incident Tracker от FireTail

Открытая база инцидентов безопасности, связанных с искусственным интеллектом ( утечки данных, уязвимости, слабые места в ИИ-системах).
Цель трекера - помочь специалистам по безопасности, разработчикам и исследователям видеть реальные случаи проблем, извлекать уроки и усиливать защиту.
Данные доступны в виде таблицы:
▪️название,
▪️тип события,
▪️описание проблемы,
▪️последствия,
▪️ссылки на сами кейсы.

📌 Пост со списком всех трекеров ИИ (регулирование, иски, галлюцинации, риски и т.п.)

#AIShelf

Grok под глобальным давлением: к расследованиям подключилась Бразилия

После отчёта AI Forensics и реакции ЕС, Великобритании, Индии (разбор в этом посте) к проверке Grok подключилась Бразилия.
Бразильское агентство по защите данных (ANPD) совместно с Министерством юстиции и органом по защите прав потребителей (Senacon) выпустили официальные рекомендации в адрес X в связи с генерацией Grok сексуализированных дипфейк-изображений без согласия людей ( Nota Técnica nº 1/2026/FIS/CGF/ANPD, рекомендации от ANPD + MPF + Senacon).

👀 Регуляторы потребовали:
▪️ предотвратить генерацию новых изображений, видео или аудио с сексуализированным содержанием, созданных через Grok без согласия.
▪️внедрить технические и операционные меры для выявления, проверки и удаления уже существующего нежелательного контента.
▪️ приостановить аккаунты пользователей, участвовавших в создании такого материала.
▪️создать механизмы для эффективного обращения субъектов данных, включая возможность подачи жалоб и требований по удалению контента.
▪️ представить отчёт и оценку воздействию на защиту данных по операциям Grok, где данные позволяют идентифицировать субъектов.

В рекомендациях подчёркивается, что при несоблюдении этих мер органы могут перейти к административным или судебным действиям против X.

Параллельно ANPD расширило расследование в отношении X, прямо указав:
"Cинтетические данные, созданные ИИ, считаются персональными, если они относятся к идентифицируемым лицам. Создание такого контента, особенно когда оно связано с биометрической информацией, является обработкой чувствительных персональных данных в рамках LGPD. Это означает, что все этапы создания, распространения и распространения синтетического контента подчиняются LGPD."

❕Бразильские регуляторы создают прецедент, рассматривая синтетический контент, создаваемый ИИ как персональные данные, и тем самым усиливают международное давление на платформы, использующие генеративный ИИ без должных гарантий прав субъектов данных.
Следим дальше....

#UXWatch #LawAndDisorder
————
@pattern_ai

Контролер vs процессор в AI-проектах: позиция ICO UK

Вопрос «кто контролер, а кто процессор» решается по фактическому контролю над целями и способами обработки данных.
Контролер - тот, кто определяет зачем и как обрабатываются персональные данные.
Процессор - тот, кто обрабатывает данные по инструкциям контролера.

👀 Смотрим разницу.
Например, сторонний поставщик предлагает британской компания (Business ABC) решение для глубокого обучения на базе ИИ:

1️⃣Если сторонний поставщик (разработчик ИИ) действует строго по инструкциям заказчика +НЕ использует данные для собственных целей = процессор.

2️⃣Если сторонний поставщик (разработчик ИИ) использует данные для обучения других моделей ИЛИ повторно применяет данные вне инструкций ИЛИ обрабатывает данные по собственной инициативе или по требованиям закона, то он становится контролером или совместным контролером для этой части обработки.

ICO подчёркивает: важно не кто физически видит данные, а кто принимает решения.
Если организация не получает персональные данные, но определяет цели и логику обработки, то она всё равно может быть контролером или совместным контролером.
Контракт важен, но не решающий. Реальная роль определяется фактической свободой принимать решения о целях и способах обработки.

❓Платформы и онлайн-сервисы (каталоги, маркетплейсы)

🔹Если платформа действует строго по инструкциям поставщиков услуг, то является процессором.
🔹Если решения принимаются совместно (что собирать, как использовать), то совместные контролеры.
🔹Если платформа сама решает, какие данные собирать и как использовать, то контролер.

Обратите внимание:
Даже, если платформа является процессором для клиентских данных, она всё равно будет контролером для аналитики, собственных бизнес-целей, данных о поставщиках услуг.

❓ Внешние мобильные приложения (например, health, monitoring, decision-support)
Пример, компания хочет использовать сторонние мобильные приложения для мониторинга и принятия клинических решений в отношении хронических заболеваний пациентов, имеет ограниченный контроль над тем, какая личная информация вводится в приложения.

🔹Если организация рекомендует приложение пациентам, использует данные из приложения для клинических решений, то является контролером, даже если не контролирует, какие именно поля заполняет пользователь.
🔹Поставщик приложения может являться:
▪️процессором, если он не использует данные для себя, а только их обрабатывает,
▪️совместным контролером, если цели и способы обработки определяются совместно;
▪️отдельным контролером, если он использует данные для собственных целей.

❓ ИИ - системы транскрипции и обработки контента
Пример, компания разрабатывает ИИ-продукты, которые можно использовать для создания расшифровок телефонных разговоров, хранит записи разговоров в своей системе, создает расшифровки, а затем удаляет записи. Расшифровки будут храниться до тех пор, пока клиент не запросит их удаление.

🔹Если поставщик ИИ-решения хранит записи, создает транскрипты, удаляет данные по условиям, выбранным клиентом, то клиент остаётся контролером, а поставщик ИИ-решения процессором, даже если он определяет технические детали (например, сроки хранения аудио).
Но:
🔹 Если поставщик ИИ-решения сам меняет условия обработки ИЛИ использует данные для обучения модели, то он становится контролером для этой обработки.

Практические выводы:
▪️Анализируйте каждую операцию обработки отдельно;
▪️Фиксируйте роли в договорах, но проверяйте фактическую модель;
▪️Обеспечьте прозрачность для субъектов данных;
▪️Пересматривайте роли при изменении ИИ-функциональности;
▪️Помните, что у процессора есть свои собственные обязанности по GDPR.

📌 Innovation advice service - Previously asked questions |ICO

#LawAndDisorder
————
@pattern_ai

Ошибки Eurostar AI: когда чат-бот «сошел с рельсов»

Исследователи Pen Test Partners проанализировали чат-бот Eurostar и показали, что даже при использовании языковой модели и защитных ограничений система может быть уязвимой из-за ошибок в архитектуре и процессе разработки.

👀 Обнаруженные проблемы:
▪️ Обход защитных ограничений ( проверки применялись только к последнему сообщению, а не ко всему контексту диалога, что позволяло изменять предыдущие сообщения и внедрять вредоносные инструкции)
▪️ Prompt injection (манипуляции с входными данными позволяли модели раскрывать служебную информацию (настройки, тип модели).
▪️HTML / self-XSS ( ответы бота отображались как HTML без экранирования, что позволяло внедрять скрипты в интерфейс чата).
▪️Отсутствие серверной проверки идентификаторов (идентификаторы сообщений и диалогов не проверялись на сервере, что позволяло подменять или повторно использовать контекст).

Там же и рекомендации для разработчиков чат-ботов:
▪️системные подсказки и ограничения использовать как механизм безопасности, а не как настройку поведения модели.
▪️чётко определять роли модели (что она может делать и какие действия запрещены).
▪️разделять инструкции и данные (любой пользовательский ввод, а также контент с сайтов и документов следует считать потенциально небезопасным и а не как дополнительную системную подсказку).
▪️применять принцип минимальных привилегий (предоставлять модели только те инструменты, данные и действия, которые ей действительно необходимы для конкретного сценария).
▪️проверять и очищать все входные данные (текст, идентификаторы, закодированные параметры, внешний контент), как при работе с любым API.
▪️не отображать вывод модели напрямую как HTML ( по умолчанию использовать обычный текст, а расширенный формат только через строго разрешённый список элементов без скриптов и обработчиков событий).
▪️контроль и проверку реализовывать только на сервере ( идентификатор сообщения, идентификатор диалога, содержимое сообщения и результат проверки должны объединяться в криптографически проверяемую подпись, которую сервер проверяет при каждом запросе). Идентификаторы сообщений и диалогов должны создаваться на сервере, быть привязаны к конкретной сессии, а любые попытки повторного использования или смешивания истории из разных чатов должны отклоняться.
▪️после развертывания вести журнал событий и мониторинг ( фиксировать все взаимодействия с моделью, решения механизмов защиты и использование функций, настраивать оповещения о подозрительной активности и иметь аварийный выключатель для быстрого отключения бота или его инструментов).

#BehindTheMachine
————
@pattern_ai

Когда ИИ ведёт себя как человек: проект стандартов управления и обслуживания от Китая

Китайский регулятор (CAC) предложил для обсуждения правила для ИИ-сервисов, которые общаются “по-человечески”, т.е. которые ведут диалог, проявляют эмоции, создают ощущение личности (антропоморфные интерактивные сервисы с использованием ИИ).
Будут применяться к продуктам или услугам, использующим технологии ИИ, для предоставления населению на территории КНР.

👀 Если кратко, то от ИИ-провайдеров будут требовать:
▪️ чётко обозначать, что перед пользователем AI, а не человек;
▪️ не вводить в заблуждение насчёт «личности», чувств или намерений системы;
▪️ не формировать эмоциональную зависимость и не подталкивать к долгому или навязчивому общению;
▪️не использовать стиль общения для манипуляции, давления или скрытого влияния;
▪️ учитывать уязвимые группы, включая несовершеннолетних ( в том числе получать явное согласие от их представителей);
▪️обеспечивать безопасность на протяжении всего жизненного цикла, представлять отчет об оценке в департамент кибербезопасности провинциального уровня в своей юрисдикции:
▪️соблюдать перечень требований для наборов данных;
▪️разработать механизмы реагирования на случаи чрезвычайных ситуаций, иметь шаблоны ответов и т.п.
Если вы разрабатываете такие сервисы, то внедрить предлагаемые стандарты будет полезно для любой юрисдикции, снижения рисков проекта и повышения своей ответственности.

Еще из интересного, предлагается обязать интернет-магазины приложений и другие платформы распространения приложений:
▪️ ежедневно осуществлять проверку размещенных приложений и реагировать на чрезвычайные ситуации,
▪️проверять безопасность и соответствие требованиям приложений, предоставляющих интерактивные услуги с использованием антропоморфных изображений;
▪️ при нарушении правил незамедлительно принимать соответствующие меры (запрет на размещение, вынесение предупреждений, приостановка предоставления услуг или удаление с платформы).

❕Китай одним из первых внедряет регулирование не только ИИ контента, но и модели поведения ИИ в общении с человеком. Такой подход почти неизбежно станет глобальным.

#LawAndDisorder
————
@pattern_ai

ЕС зафиксировал требования к безопасности ИИ

Европейский институт стандартов телекоммуникаций (ETSI) опубликовал стандарт EN 304 223, определяющий базовые требования к кибербезопасности для моделей и систем ИИ.
Стандарт определяет 13 принципов и 72 отслеживаемых требования, организованных по пяти фазам жизненного цикла системы ИИ:
▪️ дизайн;
▪️ разработка;
▪️ развёртывание;
▪️ эксплуатация;
▪️вывод из использования.
В начале каждого принципа приводятся ссылки на соответствующие стандарты и публикации для поддержки внедрения и гармонизации в рамках более широкой экосистемы ИИ.
Переобучение модели = повторное развертывание системы с точки зрения безопасности.
Ответственность возлагается на разработчиков, операторов систем, хранителей данных.

#AIShelf #LawAndDisorder
————
@pattern_ai

ИИ-транскрипция голоса и персональные данные (позиция Испанского регулятора (AEPD))

Использование ИИ для расшифровки речи - это обработка персональных данных, поскольку голос может прямо или косвенно идентифицировать человека (блог AEPD).

ИИ-транскрипция голоса - это фиксация информации.
ИИ для встреч - это инструменты для интерпретации и переработки информации.

Даже если вы используете транскрипцию исключительно для протоколов или заметок, голосовые данные нередко сопровождаются метаданными (номер телефона, IP-адрес, данные об устройстве), которые также являются персональными данными и должны учитываться при оценке рисков.

👀 AEPD подчёркивает, что необходимо чётко различать:
▪️Транскрипцию голоса с помощью ИИ (например, для подготовки протоколов встреч);
▪️Использование голосовых данных для обучения или донастройки модели, если провайдер применяет их для собственных целей.

Это две разные обработки данных, каждая из которых требует отдельной цели, собственного правового основания, прозрачного информирования субъектов данных.

Контролер при выборе провайдера обязан понимать:
▪️какие именно данные обрабатываются;
▪️используются ли они для обучения модели;
▪️сроки хранения;
▪️какие меры безопасности применяются.

Отдельное внимание AEPD рекомендует уделять функциям, которые могут выходить за рамки простой транскрипции, например, анализ эмоций, состояния здоровья или других чувствительных характеристик. Такие операции могут подпадать под усиленные ограничения или запреты по праву ЕС, включая AI Act.

Выбор правового основания зависит от контекста:
▪️ исполнение договора,
▪️легитимный интерес
▪️согласие.

До начала обработки необходимо уведомить людей о:
▪️ целях транскрипции;
▪️роли ИИ-провайдера;
▪️ возможном дополнительном использовании данных;
▪️ правах, включая право на доступ, исправление и удаление данных.

GDPR не применяется к синтетическим голосам или данным, которые не позволяют идентифицировать физическое лицо.
НО

Если содержание записи или метаданные относятся к конкретному человеку, такие данные по-прежнему считаются персональными, даже если используется искусственный или изменённый голос.

❕Требования регуляторов о чётком разделения целей обработки, прозрачности для пользователей и осознанного выбора провайдеров остаются неизменны.

#LawAndDisorder
————
@pattern_ai

ИИ для встреч (записи, саммари, заметки и черновики документов), а что с GDPR?

Хотите внедрить у себя AI-инструменты для:
▪️записи онлайн-встреч;
▪️ автоматического саммари;
▪️ ведения протоколов;
▪️ подготовки черновиков документов.

И кажется, что «мы же не используем ИИ для новых целей, не принимаем решений о людях и не передаём данные провайдеру для обучения модели», что может пойти не так?

Давайте разберёмся:

1️⃣Цели обработки и правовое основание
Если AI-инструмент не используется для новых целей и не создаёт новых видов обработки, организация может продолжать опираться на уже определённые правовые основания.

Если встречи и так записывались, то правовое основание уже есть (обычно legitimate interests или contract).
Если протоколы и так велись вручную, то ИИ лишь средство, а не новая цель.
Если обрабатываются специальные категории данные (например, здоровье, участие в профсоюзах), то новое основание не требуется, если цель та же.

⚠️А теперь "НО" на примерах:

Автоматическое саммари = переработка и интерпретация информации, т.к. ИИ решает, что «важно», а что нет, переформулирует высказывания, сжимает контекст и создаёт выводы.

Само по себе это ещё не новая обработка. Решающим становится дальнейшее использование выводов:
▪️Если саммари используется как вспомогательная заметка, хранится рядом с оригинальной записью, проверяется человеком, то цель обработки остаётся прежней.
▪️Если саммари используется HR для оценки сотрудников, включается в комплаенс-расследования, применяется для контроля эффективности или управленческих выводов, то меняется цель использования данных, а значит появляется новая обработка, даже если исходные данные те же.

Черновики документов. Используем ту же логику.
Если AI превращает обсуждение на встрече в проект мемо, полиси или письмо, структурирует данные под формальный документ, то информация переходит из контекста внутреннего общения в контекст потенциально "юридически или операционно" значимого текста. Меняется функция данных, может расшириться круг получателей, возрастает риск последствий для субъекта данных. С точки зрения закона это уже изменение контекста обработки, а не просто иной формат.

2️⃣ Если возникает «новая обработка» или новые цели, то каждую из них нужно отдельно описать, обосновать и легализовать ( новое правовое основание, возможно DPIA, обязателен пересмотр уведомлений субъектов данных).

3️⃣ Прозрачность и Privacy Notice

Даже если цели не меняются, то использование AI должно быть прямо отражено в Privacy Notice:
▪️факт использования AI-инструмента и какого;
▪️для каких задач (запись, саммари, черновики);
▪️кто получает доступ к результатам;
▪️используется ли ревью человеком.

Если данные планируется использовать по-новому ,то уведомление должно быть до начала обработки, а не постфактум.

4️⃣Точность данных и риск «галлюцинаций»

Организации обязаны проверять корректность ИИ-выходов и исправлять ошибки.

Последствия:
▪️ИИ-саммари не может считаться “истиной по умолчанию”;
▪️Ответственность за ошибки лежит на контролере, а не на модели;

5️⃣ Автоматизированные решения и профилирование

Регуляторы смотрят на фактический эффект, а не формулировки в политике.
Если ИИ-саммари влияет на оценку поведения, становится основанием для управленческих действий, то возможны ограничения (ст. 22 GDPR и т.д).

6️⃣ Передача данных провайдеру

Если данные не используются провайдером для обучения, нет вторичного использования, то это снижает риски, но не отменяет квалификацию отношений (processor / joint controller), DPA и инструкции по обработке, трансграничные трансферы (SCC и т.д.).

Если же данные передаются для обучения или улучшения модели, то:
▪️требуется отдельное правовое основание;
▪️для специальных категорий данных отдельные условия.


❕Использование ИИ - это не просто новых корпоративный инструмент. Риски появляются там, где незаметно расширяется контекст использования данных.

#LawAndDisorder #UXWatch
————
@pattern_ai

Разрабатываете agentic AI или только думаете о внедрении?

Смотрим аналитический отчёт о развитии agentic AI и советы от британского ICO в рамках инициативы ICO Tech Futures ( естественно про персональные данные пользователей...)

Agentic AI - автономные системы ИИ, способные самостоятельно принимать решения, планировать действия, взаимодействовать с окружающей средой и выполнять цепочки операций без постоянного вмешательства человека.

По оценке ICO, именно такие системы могут существенно изменить повседневную жизнь и бизнес-процессы уже в ближайшие пять лет ( от персональных ассистентов до автономных корпоративных агентов).

Ключевые регуляторные риски:

1️⃣ Нарушение принципа минимизации данных. Автономные ИИ-системы по своей архитектуре ориентированы на расширение контекста, что создаёт системный риск обработки персональных данных, не ограниченной необходимостью для конкретной цели обработки.
2️⃣ Неопределённость ролей контролёра и процессора. В агентных экосистемах (базовая модель, оркестратор, инструменты, плагины, внешние API) затрудняется установление, кто является контролёром персональных данных, кто действует как процессор, где возникает совместное контролирование.
3️⃣Повышенные риски информационной безопасности (несанкционированный доступ, утечки персональных данных, нарушения принципа целостности и конфиденциальности).

👀 Позиция регулятора:

Privacy by design и privacy by default должны быть встроены на уровне архитектуры автономного ИИ, а не добавляться постфактум

Автономность системы не освобождает от обязанностей:
▪️определить законное основание обработки;
▪️ограничить цели и объём данных;
▪️обеспечить подотчётность.

Даются четкие рамки при проектировании:
▪️соответствующие GDPR- агентные системы;
▪️ агентные механизмы контроля и управления доступами;
▪️автоматизированные инструменты управления приватностью и аудита.

Для разработчиков и компаний ICO предлагает практические механизмы взаимодействия:

🔹Regulatory Sandbox - программа для проектов любого масштаба, использующих персональные данные или новые технологии нестандартным образом. Участники получают практическую регуляторную поддержку на этапе разработки.
🔹 Innovation Advice - консультации по вопросам соответствия требованиям защиты данных на ранних стадиях продукта. И полезная часть, что можно посмотреть ответы на вопросы здесь.
🔹 ICO Innovation Hub - единая точка входа для компаний, работающих с ИИ, данными и новыми цифровыми решениями.

#LawAndDisorder #AIShelf
————
@pattern_ai

Как обеспечить безопасность при разработке ИИ-систем

Кроме этого CNIL опубликовал рекомендации по обеспечению безопасности ИИ-систем, особенно при обработке персональных данных и перечислил соответствующие меры, которые можно применять при обучении данных, разработке и эксплуатации систем, а также сквозные меры.

👀 Ключевые выводы:

1️⃣ Меры безопасности должны соответствовать современному уровню технологий, контексту обработки и влиянию на права и свободы субъектов данных.

2️⃣ Защита инфраструктуры, контроль доступа, резервное копирование и физическая безопасность остаются фундаментальными элементами.

3️⃣ Практики безопасной разработки, управление уязвимостями и процессы обновления должны быть встроены на всех этапах жизненного цикла ИИ.

4️⃣ Большие обучающие наборы данных, поведение модели и процессы дообучения создают новые факторы риска, которые необходимо оценивать отдельно.

5️⃣Цели безопасности: конфиденциальность, целостность и устойчивость ИИ-систем.

6️⃣ Оставшийся риск должен быть приемлемым. Рекомендованные меры помогают снизить риски, связанные с ИИ, до уровня, соответствующего ожиданиям GDPR.

#LawAndDisorder
————
@pattern_ai

Чек-лист по разработке ИИ-систем согласно GDPR: что проверить на старте (от CNIL)

Кроме рекомендаций французский CNIL еще опубликовал практический чек-лист для разработки ИИ-систем, соответствующих требованиям GDPR. Он адресован не только юристам, но прежде всего разработчикам, архитекторам, продакт-менеджерам, дизайнерам, DPO и др.

Чек-лист охватывает все этапы жизненного цикла ИИ-системы:
сбор данных → разметку данных → обучение модели → интеграцию и эксплуатацию.

Цель: обеспечить реализацию принципов GDPR с самого начала, а не постфактум (ограничение цели обработки, минимизация данных, безопасность обработки, информирование субъектов данных, реализация прав субъектов, прозрачность, ответственность).

Важно!

При разработке ИИ-систем также необходимо учитывать требования EU AI Act, однако они не входят в данный чек-лист и требуют отдельного анализа.

#LawAndDisorder
————
@pattern_ai

Как определить, подпадает ли модель ИИ под действие GDPR от CNIL

Французский регулятор (CNIL) выпустил разъяснения о статусе моделей ИИ с точки зрения GDPR. Берем схему и идем по стрелочкам.

Модель ИИ может подпадать под действие GDPR, если в результате обучения она сохраняет персональные данные или позволяет их извлечь.

🔹Оценка статуса модели обязательна.
Анализ извлечения персональной информации должен проводиться с использованием разумно вероятных средств, а не чисто теоретических атак.
🔹Если модель действительно анонимна и из неё нельзя разумно извлечь персональные данные, GDPR может не применяться.
🔹Выводы должны быть задокументированы (например, в рамках DPIA) и представимы регулятору.
Документация должна показывать, что риск повторной идентификации является незначительным.
🔹Смотрим с технической стороны, если реалистичны сценарии:
- воспроизведения фрагментов обучающих данных (регургитация данных);
- уязвимости к атакам (инверсия модели, membership inference).
ТО модель подпадает под сферу применения GDPR.

❕Соответствие GDPR определяется тем, что модель фактически способна делать, а не тем, как она описана в документации.

#LawAndDisorder
————
@pattern_ai

Гайд по информированию субъектов данных в контексте ИИ и GDPR от CNIL

Если вы разрабатываете, обучаете или внедряете системы ИИ для рынков ЕС, то наконец-то ряд подробных разъяснений от французского регулятора (CNIL).

В этих как должна выполняться обязанность по прозрачности:

1️⃣ Принцип прозрачности применим ко всем случаям обработки личных данных.
CNIL исходит из того, что обязанность по информированию субъектов данных применяется независимо от способа получения данных:
- при прямом сборе (first-party data);
- при косвенном получении (загрузка наборов данных, веб-скраппинг, API, партнёры, дата-брокеры, повторное использование существующих датасетов).

Отдельно подчёркивается, что это распространяется и на персональные данные, сгенерированные самим контроллером, со ссылкой на решение CJEU C-169/23.

2️⃣ Сроки уведомлений должны четко соблюдаться. Если данные получены не напрямую от субъекта, CNIL подтверждает требования статьи 14 GDPR:
- информирование должно быть осуществлено как можно скорее,
- и не позднее одного месяца с момента получения данных,
- либо при первом контакте с субъектом или первом раскрытии данных третьей стороне (если это происходит раньше).

При обработке особо чувствительных данных между уведомлением и началом обучения модели должен существовать разумный временной интервал. Это необходимо для того, чтобы субъект мог реализовать свои права до обучения, учитывая техническую сложность последующего «исправления» модели.

3️⃣ Информация должна быть ясной и понятной, легко доступной, адаптированной к целевой аудитории форме. Техническая сложность ИИ-систем не освобождает контроллера от обязанности предоставлять информацию.

Допускается и поощряется использование:
▪️ схем и диаграмм, поясняющих использование данных при обучении;
▪️ объяснений различий между обучающим набором данных, моделью и результатами (outputs);
▪️ многоуровневой подачи информации (краткое уведомление + расширенное разъяснение).

4️⃣Отказ от индивидуального уведомления, если оно невозможно или требует несоразмерных усилий. Однако подчёркивается, что такое решение НЕ может быть автоматическим.

Контролер обязан:
▪️ провести анализ конкретного случая;
▪️ сопоставить влияние на права и свободы субъектов с затратами и отсутствием контактных данных;
▪️задокументировать выводы и сопроводительные меры.

При применении дерогации должны быть внедрены компенсирующие меры, включая, при необходимости: DPIA, псевдонимизацию, сокращённые сроки хранения, усиленные меры безопасности и публичное раскрытие информации об обработке.

5️⃣ Уведомление для пользователей (субъектов данных) должно содержать:
▪️ кто является контролером и как с ним связаться;
▪️ цели и правовые основания обработки;
▪️ категории обрабатываемых данных;
▪️ источники данных (при косвенном получении);
▪️ получателей или категории получателей;
▪️ сроки хранения или критерии их определения;
▪️ перечень и порядок реализации прав субъектов, включая право на подачу жалобы регулятору.

6️⃣Прозрачность напрямую связана с реализацией прав субъектов

Надлежащее информирование = ключевое условием эффективного осуществления прав, особенно в контексте ИИ-моделей, где доступ к данным и их корректировка после обучения могут быть технически затруднены.

❗️И обратите внимание,
7️⃣Анонимная модель МОЖЕТ подпадать под действие GDPR, если в результате обучения модель «запоминает» персональные данные (позиция EDPB 28/2024). Поставщик обязан раскрывать стандартный набор информации (цели обработки, сведения о контролере, получателей и т. д.).

+ Best practices: указывать риски извлечения данных из модели (включая риск воспроизведения данных в генеративном ИИ), меры по их снижению и механизмы реагирования на инциденты.

📌 CNIL AI how-to sheets

❕Если персональные данные используются, запоминаются или могут быть воспроизведены моделью, то требования GDPR по прозрачности и информированию подлежат строгому применению независимо от источника данных и сложности технологии.

#LawAndDisorder
————
@pattern_ai

Google AI Overviews: «умные сводки» продолжают ошибаться

Пока Google продолжает встраивать везде AI, новое расследование The Guardian показало, что AI Overviews генерировали опасно неправильную информацию по медицинским запросам, что могло привести к риску для здоровья:
▪️В одном случае при запросе «нормальные диапазоны анализов печени» AI Overview выдал набор чисел без учёта пола, возраста и других ключевых параметров, что может внушить ложное чувство безопасности человеку с серьёзным заболеванием.
▪️Анализы по другим запросам о панкреатите или раке также содержали неправильные или упрощённые рекомендации, которые эксперты назвали опасными или вводящими в заблуждение.

В ответ на это Google удалил некоторые из таких AI Overviews, но эксперты предупреждают, что система всё ещё может формировать неправильные результаты на слегка изменённые запросы.

🔍 Предыдущие кейсы:
🔹Концерт канадского музыканта был отменён, потому что AI-сводка Google перепутала его с другим человеком и приписала ложную негативную информацию. Ошибка ИИ привела к прямым репутационным и финансовым последствиям.

🔹Анализ 101 запроса по личным финансам показал, что в ~37% случаев AI Overviews давали вводящую в заблуждение или неверную информацию (например, вопросы инвестировании, студенческих кредитах и страховании), что может повлечь финансовые потери, если воспринимать ответ как факт.
🔹Анализ Choice Mutual включал 1000 распространенных запросов по теме страхования здоровья/жизни и было обнаружено, что 57% ответов AI Overview содержали ошибки. Например, система утверждала, что пожилые люди старше 85 лет могут приобрести полисы без медицинского обследования, что не соответствует реальности, и давала неполные объяснения о правилах Medicare.
🔹Пользователи и журналисты сообщали о других случаях, где AI Overviews давал неправильные советы по видеоиграм, вводя игроков в заблуждение о механиках и стратегиях; путал год (например, утверждал, что сейчас 2024 или 2025 неверно); иногда изобретал факты или ссылался на несуществующие данные, использовал недостоверные или сатирические источники (например, шутки Reddit или Onion), выдавая их как факты, не всегда корректно интерпретировал контекст или нюансы языка, что приводило к ошибочным ответам.

❕AI Overviews создают эффект авторитетного «ответа от Google», но по факту остаются вероятностной генерацией. Чем глубже такие системы встраиваются в Gmail, Search и Workspace, тем выше риск, что мы доверяем ИИ больше, чем источникам. Не забывайте проверять информацию!

#UXWatch
————
@pattern_ai

Новые AI‑фичи Gmail и приватность

Google начал внедрение новых AI‑функций в Gmail, включая AI Overviews, AI Inbox, Help Me Write, Suggested Replies и Proofread, работающих на модели Gemini 3.

Эти функции помогают:
▪️автоматически создавать краткие резюме длинных цепочек писем,
▪️генерировать ответы на вопросы о содержимом почты,
▪️предлагать умные ответы и редактировать письма,
▪️сортировать письма и выделять важные задачи.

На старте функции доступны в США, глобальный запуск планируется в течение 2026 года.

👀 Что же с приватностью ваших данных?
Google утверждает, что содержание писем не используется для обучения глобальных AI-моделей.
Тем не менее, AI-функции анализируют ваши письма для генерации резюме, предложений ответов и других персонализированных функций.

Согласно политике конфиденциальности Google:

«Google не использует ваши данные ни для какой цели, кроме предоставления соответствующей службы Google Workspace».

Как отключить Smart Features:
1. Откройте Gmail.
2. В правом верхнем углу нажмите Настройки → Просмотреть все настройки → Общие.
3. Прокрутите до Smart Features и персонализация.
4. Снимите галочку «Включить умные функции в Gmail, Chat и Meet».
5. При желании отключите умные функции Google Workspace (опция ниже).

❗️НО при отключении AI Overviews, Help Me Write и Suggested Replies перестают работать, сортировка писем по категориям (основные, соцсети, акции) также отключается. То есть Gmail становится существенно менее функциональной, если вы решите полностью отключить Smart Features.

Ох, уж этот нелегкий выбор:
Разрешить Google обрабатывать письма, чтобы AI‑функции работали ИЛИ
Отключить Smart Features и потерять большинство AI‑возможностей и сортировку.

Как вариант, создать новый аккаунт/использовать другой сервис для полной приватности.

❕Даже несмотря на заявления Google о том, что данные не идут на обучение AI, пользователям стоит понимать, что AI-функции Gmail напрямую зависят от анализа персональной переписки.

#UXWatch
————
@pattern_ai

Реакция государств на нарушения Grok

🇫🇷 Франция
После официального обращения депутатов и сообщений трёх министров Франции, которые квалифицировали контент как «явно незаконный» и передали материалы в прокуратуру и на государственную платформу онлайн-мониторинга Pharos, французская прокуратура расширила уже идущее расследование в отношении платформы X, включив в него распространение несогласованных откровенно сексуальных дипфейков, созданных с помощью Grok.

По данным прокуратуры были сгенерированы тысячи изображений, на которых женщины и подростки «раздевались» с помощью ИИ,
без согласия изображённых лиц.

Речь идёт уже не о модерации контента, а о посягательстве на достоинство личности, за которое по французскому праву предусматривается уголовная ответственность:
- до 2 лет лишения свободы и штрафом до €60 000.

🇮🇹 Италия
Итальянское управление по защите данных выпустило предупреждение пользователям сервисов, основанных на ИИ, таких как Grok, ChatGPT и Clothoff ( была заблокирована еще в октябре прошлого года), а также других подобных онлайн-сервисов, позволяющих пользователям создавать и распространять контент на основе реальных изображений или голосов, даже «раздевая» людей без их согласия.

Поставщикам таких услуг НЕОБХОДИМО проектировать, разрабатывать и предоставлять приложения и платформы таким образом, чтобы пользователи могли использовать их в соответствии с правилами защиты персональных данных (пресс-релиз).

🇬🇧Великобритания
Министр технологий Лиз Кендалл назвала контент, создаваемый Grok, «абсолютно ужасающим», особенно в части сексуализации женщин и возможного вовлечения детей и озвучила главное:

🔹Online Safety Act предоставляет полномочия блокировать доступ к онлайн-сервисам, если они отказываются соблюдать британское законодательство.
🔹 В парламенте рассматривается законопроект о борьбе с преступностью и охране общественного порядка, предусматривающий запрет приложений для «цифрового раздевания».
🔹Планируется введение в действие норм, криминализирующих создание интимных изображений без согласия, а также усиление требований к платформам по выполнению рекомендаций Ofcom в сфере противодействия насилию в отношении женщин и девочек (VAWG). Срок- ближайшие недели.

Регулятор Ofcom вступил в срочный контакт с X и потребовал объяснить, как Grok допустил такую генерацию и как это соотносится с обязанностями платформы по Online Safety Act. Для Ofcom принципиален не статус Grok как ИИ-модели, а то, что он является частью сервиса X и создаёт предсказуемые риски вреда, которые платформа обязана выявлять и предотвращать.

Параллельно парламентские комитеты запросили у Ofcom разъяснения, какие меры принуждения могут быть применены, если платформа не докажет, что она эффективно снижает риски, связанные с ИИ-функциями.

🇮🇳 Индия

Министерство электроники и ИТ (MeitY) направило официальное уведомление X Corp, указав на нарушение обязательств в соответствии с IT Act и IT Rules, распространение непристойного и порнографического контента через Grok (полный текст здесь).

Власти потребовали немедленно прекратить генерацию такого контента, представить в течение 72 часов подробный отчет с перечнем принятых мер , объяснить, какие технические и организационные меры внедрены.

MeitY прямо напомнило, что невыполнение требований может привести к утрате платформой иммунитета от ответственности как посредника.

📱 А что насчет реакции X?
X ограничил функции генерации изображений Grok только для платных подписчиков и опубликовал предупреждение в аккаунте Safety, пообещав сотрудничать с правоохранительными органами. Илон Маск заявил, что пользователи, создающие незаконный контент, «понесут те же последствия, что и при его загрузке».

🔴 Последствия, которые стоит взять всем на заметку:
▪️функционал может быть принудительно отключен на уровне всего региона по решению суда.
▪️руководство платформы может стать фигурантом уголовных дел о харассменте и пособничестве в создании незаконного контента.
▪️бремя доказывания перекладывается на платформу.

И следим дальше за кейсом...

#UXWatch #LawAndDisorder
————
@pattern_ai

Grok под микроскопом: фактическая картина злоупотреблений

Некоммерческая организация AI Forensics опубликовала Flash Report: Grok, где провела исследование использования чат-бота Grok за период 25 декабря 2025 – 1 января 2026 года.

Масштаб исследования:

▪️50 000 запросов от пользователей;
▪️20 000 сгенерированных изображений;
▪️классификация с помощью Vision-моделей (Gemini) и ручной аудит.

Авторы подчёркивают, что доклад не является юридической оценкой, но отражает масштаб и характер использования инструмента.

Ключевые выводы:

🔹 53 % изображений люди в минимальной одежде (81% из них - женщины). Самые частые запросы: «remove» (удалить), «bikini» (бикини), «clothing» (одежда).
🔹2 % изображений лица, выглядящие младше 18 лет. В отчете задокументированы случаи генерации фото девочек (в том числе младше 5 лет) в купальниках по запросу пользователей.
🔹 6 % изображений дипфейки знаменитостей (Трамп, Макрон, Урсула фон дер Ляйен и др.). Около трети из них - политики, что создает прямую угрозу дезинформации.
🔹 Обнаружены нацистская символика и пропаганда ISIS (флаги, сцены казней)

Отдельно отмечено, что значительная часть контента остаётся доступной, несмотря на публичное признание проблемы со стороны X.

Как используется Grok:
🔹 97,5 % вызовов происходят в комментариях под чужими постами. Чаще всего это делает не автор фото, а «тролль», призывающий Grok «раздеть» или унизить человека на снимке.
🔹не менее 25 % запросов - генерация изображений.

Исследователи подтвердили, что Grok игнорирует элементарные этические барьеры на входе (промпты) и на выходе (результат). Именно такой материал и превращает абстрактные разговоры о рисках ИИ в конкретный предмет контроля по DSA и не только.

➡️Эта ситуация уже перешла в плоскость уголовного преследования на уровне отдельных государств.

#UXWatch
————
@pattern_ai

Еврокомиссия обязала X сохранить данные Grok: что происходит на самом деле

Европейская комиссия выдала платформе X обязательный приказ о хранении всех данных, связанных с ИИ чат-ботом Grok, включая внутреннюю документацию, данные обучения и сведения об алгоритмической работе системы до конца 2026 года.

Формально это расширение уже действующего приказа о сохранении данных в рамках Digital Services Act (DSA). Фактически, это создание процессуальной базы для последующей проверки и возможного расследования. Приказ не означает автоматического начала дела, но гарантирует, что ключевые доказательства не будут удалены или изменены.

Поводом для расширения приказа стали многочисленные жалобы на использование Grok для генерации незаконного контента, включая изображения сексуального характера.


✏️ Закон о цифровых услугах (DSA) возлагает на очень крупные онлайн-платформы обязанность выявлять, оценивать и снижать системные риски, связанные с распространением незаконного и вредоносного контента, обеспечивать алгоритмическую прозрачность, а также сотрудничать с регуляторами и позволяет им требовать не только удаление контента, но и предоставление доступа к внутренним данным и документации ( логике работы, настройкам фильтров, данным, влияющим на распространение вредного контента).

Напомню, что X в декабре уже был оштрафован на 120 млн. евро за нарушение обязательств по обеспечению прозрачности в соответствии с (DSA):
▪️ обманчивый дизайн «синей галочки» для обозначения «подтвержденных аккаунтов»,
▪️ недостаточная прозрачность хранилища рекламных материалов (чрезмерные задержки в обработке, отсутствие содержания и тем объявлений, юридических лиц, оплачивающих его размещение)
▪️ непредоставление исследователям доступа к общедоступным данным ( запрет в условиях предоставления услуг на самостоятельное получение доступа к общедоступным данным, в том числе путем сбора данных).

Как видим, регуляторы усиливают практику проверки ИИ-систем «изнутри». Это может стать прецедентом для других платформ, работающих на европейском рынке.

➡️ В следующих постах разберем, что именно обнаружили независимые исследователи в работе Grok и почему регуляторная реакция оказалась столь жёсткой.

#UXWatch
————
@pattern_ai