Генеративный ИИ в бизнесе. Риски и внутренняя политика
Утечка данных через промпты, ответственность за неточный вывод, лицензии провайдеров. Что должно быть в политике использования ИИ.
Большие языковые модели проникли в бизнес быстрее, чем регулирование. Сотрудники массово используют ChatGPT, Claude, GigaChat и YandexGPT для рабочих задач, не задумываясь о том, что отдают наружу и кто отвечает за результат.
Утечка коммерческой тайны через промпты
Это самый недооценённый риск. Менеджер вставляет в чат с моделью кусок договора, базу клиентов, фрагмент финансовой отчётности или код продукта, чтобы получить помощь в анализе. С точки зрения провайдера ИИ это пользовательский ввод, который может использоваться для дообучения моделей и хранится на серверах вне периметра компании.
Что отдают чаще всего:
- условия сделок с контрагентами
- кадровые данные сотрудников
- финансовые показатели
- исходный код и архитектуру систем
- персональные данные клиентов
Если у компании есть режим коммерческой тайны и подписаны соглашения о конфиденциальности переписки, сотрудник нарушает их в момент отправки промпта. Доказать инцидент сложно, предотвратить - возможно.
Ответственность за неточный вывод
ИИ галлюцинирует. Это не баг, а свойство технологии. Модель уверенно сочиняет несуществующие судебные дела, выдумывает статьи закона, придумывает несуществующих сотрудников и контрагентов.
Если на основе такой галлюцинации:
- сделана публикация в маркетинге - возможны претензии за недостоверную рекламу
- подготовлен документ для контрагента - риск договорной ответственности
- принято кадровое или финансовое решение - убытки взыщут с того, кто решение принял
Юридическая ответственность лежит на компании и конкретном работнике, не на провайдере модели. Лицензионные соглашения OpenAI, Anthropic и российских аналогов прямо снимают с провайдера ответственность за достоверность вывода.
Лицензионные ограничения
Условия использования генеративных моделей содержат пункты, которые большинство пользователей не читает:
- запрет на использование для определённых отраслей (медицина, юридические консультации конечному клиенту в ряде сервисов)
- ограничения по территории
- запрет на использование для тренировки конкурирующих моделей
- ограничения коммерческого применения для бесплатных тарифов
Использование платного корпоративного тарифа (Team, Enterprise) даёт больше гарантий по данным, но не отменяет ответственности за контент.
Внутренняя политика использования
Минимальный документ, который должен быть в каждой компании, использующей ИИ. Его задача - не запретить, а ввести правила.
В политике фиксируются:
- Какие сервисы разрешены. Один-два корпоративных тарифа вместо личных аккаунтов сотрудников.
- Какие данные нельзя отправлять. Персональные данные, коммерческая тайна, исходный код продукта, финансовые данные.
- Где обязательна проверка человеком. Любой текст для внешней публикации, расчёты, юридические формулировки, цитирование закона и практики.
- Маркировка ИИ-контента. Внутренняя метка о том, что материал создан с помощью ИИ, помогает потом найти источник.
- Логирование. Корпоративные тарифы дают админ-панель с историей запросов, это инструмент расследования инцидентов.
- Запрет на использование ИИ в внутренних расследованиях и других чувствительных процессах без согласования.
Договорная сторона
Если ИИ встраивается в продукт компании или в договор IT-разработки, нужны отдельные пункты:
- какая модель используется и на каком тарифе
- кто отвечает за дообучение и валидацию вывода
- ограничения ответственности перед конечным клиентом
- порядок раскрытия пользователю факта работы с ИИ
Что делать сейчас
Если в компании уже используют ИИ без правил - не запрещайте, это не сработает. Сделайте опрос, что и зачем используют, и стройте политику от реального применения. Запретительная политика на бумаге без контроля и инструментария создаёт ложное ощущение безопасности и юридический риск одновременно.