Как безопасно внедрить нейросети в компанию и соблюсти закон о персональных данных

Если компания передаёт персональные данные в зарубежный ИИ-сервис, сначала нужно соблюсти требования к трансграничной передаче: уведомить Роскомнадзор и проверить, в какой стране будет происходить обработка. Для государств, которые не входят в перечень стран с адекватной защитой ПД, требования строже: до истечения срока рассмотрения уведомления передавать данные нельзя, а Роскомнадзор вправе такую передачу запретить или ограничить. Если передача в принципе допустима, компании дополнительно нужно иметь законное основание для передачи персональных данных ИИ-провайдеру — одного упоминания нейросетей в политике обработки ПД для этого недостаточно.

На практике безопаснее либо разворачивать ИИ локально, чтобы персональные данные не покидали инфраструктуру компании, либо предварительно обезличивать информацию. Например, использовать локальное приложение, которое перед отправкой запроса заменяет ФИО, телефоны и другие идентификаторы, а после получения ответа возвращает их обратно. Такой подход уже используют крупные компании: он позволяет применять публичные ИИ-инструменты в рабочих задачах, не передавая им исходные персональные данные. Однако внедрение и сопровождение таких решений остаются достаточно затратными, что ограничивает их распространение: малый и средний бизнес, как правило, пока редко использует подобные инструменты.

При этом сами ИИ-сервисы могут вводить дополнительные ограничения на работу с персональными данными. Например, в условиях использования «Нейроюриста» Яндекса указано, что пользователь должен иметь законное основание для передачи данных третьих лиц, а также отдельно запрещена загрузка персональных данных, специальных категорий персональных данных и сведений, составляющих коммерческую или иную тайну третьих лиц.

В компании должно быть назначено лицо, ответственное за организацию обработки персональных данных. Это не обязательно генеральный директор: такую функцию могут возложить, например, на руководителя информационной безопасности, юриста или отдельного специалиста по ПД. Он должен контролировать соблюдение требований по персональным данным, доводить правила до сотрудников и следить за тем, чтобы внутри компании были актуальные регламенты и понятные инструкции.

Если происходит нарушение требований по персональным данным со стороны сотрудника, к ответственности могут привлечь либо компанию, либо должностное лицо — например, если нарушение связано с его действиями или бездействием. Кто именно будет отвечать, зависит от обстоятельств конкретного случая.

Если штраф назначен именно должностному лицу, это его личная административная ответственность — такой штраф он уплачивает сам.

В первые часы после обнаружения возможной утечки главное — не отправить уведомление как можно быстрее, а оперативно установить, что именно произошло.

Сотрудники должны знать, кому внутри компании сообщать о подобных инцидентах: как правило, информация сразу передаётся ответственному за обработку персональных данных, службе информационной безопасности и руководству. Техническая команда должна прежде всего остановить продолжающуюся утечку — например, закрыть уязвимость, отозвать доступ или ключи — и одновременно сохранить доказательства: логи, время и источник передачи, содержание запроса в ИИ-сервис, перечень и категории переданных данных, сведения об аккаунте и сервисе, количество затронутых пользователей и принятые меры.

После этого компания должна юридически квалифицировать инцидент. Обязанность уведомить Роскомнадзор возникает, когда установлен факт неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, который повлёк нарушение прав субъектов. В таком случае первое уведомление нужно направить в течение 24 часов с момента выявления инцидента, а в течение 72 часов — сообщить результаты внутреннего расследования.

Поэтому важно не путать подозрение на утечку с уже установленным инцидентом: сначала компания фиксирует факты и оценивает, подпадает ли ситуация под критерии закона. Но если обязанность уведомить Роскомнадзор уже возникла, игнорировать её рискованно: за неуведомление или нарушение срока для юрлица предусмотрен отдельный штраф от 1 до 3 млн рублей (ч. 11 ст. 13.11 КоАП РФ), помимо возможной ответственности за саму утечку.

Внедрение политики по ИИ — это полноценная менеджерская задача по управлению изменениями. Недостаточно написать правила и провести один инструктаж: нужно провести сотрудников через изменение привычек и закрепить новое поведение.

Сначала сформировать принятие: объяснить, зачем нужны правила и почему они не должны восприниматься только как запреты.

Создать условия для нового поведения: дать разрешённые инструменты, возможность экспериментировать, задавать вопросы и предлагать изменения в самой политике.

Показать быстрые результаты: сотрудники должны увидеть, что работа по новым правилам действительно удобна и полезна.

Не считать первые успехи победой: после первоначального внедрения почти неизбежен откат к старым привычкам, поэтому нужны контроль, обратная связь и повторное закрепление правил.

Довести изменение до уровня нормы: встроить новые подходы в процессы, действия руководителей и корпоративную культуру — только тогда политика перестаёт существовать «на бумаге».