Безопасность клиентских данных при использовании ИИ: статья Дмитрия Кафанова на Zakon.ru

На фоне волны восторженных публикаций в профессиональных соцсетях — «загрузил договор в ИИ и получил полный анализ за две минуты», «настроил агента, и он сам разбирает клиентскую переписку» — за рамками обсуждения остаются риски безопасности данных при использовании ИИ, последствия которых для компаний и их клиентов могут оказаться кратно выше выигрыша в продуктивности. Этому расхождению между скоростью внедрения технологии и зрелостью правовых процессов посвящена новая публикация Дмитрия Кафанова.

В материале выделены шесть направлений, требующих, по мнению автора, немедленной реакции корпоративных юристов и специалистов по информационной безопасности:

— обработка персональных данных языковыми моделями и необходимость пересмотра клиентских соглашений с конкретизацией используемых моделей и провайдеров;

— риски прямого нарушения части 5 статьи 18 Закона № 152-ФЗ при использовании зарубежных LLM в процессах с данными граждан РФ, а также архитектурные пути снижения этих рисков — токенизация и обезличивание до передачи в модель либо переход на российские решения;

— защита коммерческой тайны и корпоративного режима оборота информации, выходящая за рамки только персональных данных;

— ИИ-агенты как отдельный класс правовых рисков, для которого в законодательстве пока нет устоявшегося регулирования: статус агента в корпоративном правовом поле, разграничение ответственности между сотрудником, работодателем и провайдером, регламенты санкционирования и ограничения доступа;

— использование ИИ через Telegram-ботов и сторонние «обёртки», в которых конечный пользователь не контролирует ни модель, ни инфраструктуру, ни политику обработки данных;

— потенциальная уголовно-правовая квалификация неосторожных действий сотрудников, в том числе по части 3 статьи 274.1 УК РФ, при работе с системами, относящимися к значимым объектам критической информационной инфраструктуры.

Статья адресована корпоративным юристам, инхаус-командам, руководителям ИБ-департаментов и партнёрам юридических фирм, выстраивающим внутреннюю политику использования ИИ. Автор формулирует не отказ от ИИ-инструментов как решение, а конкретный набор организационно-правовых мер: обновление форм согласий, внутренние политики с перечнем разрешённых моделей и сценариев, регламенты для ИИ-агентов, разграничение ответственности между ИБ и юридическим департаментом.

Полный текст публикации доступен на Zakon.ru.

Юридическая фирма Инмар консультирует клиентов по вопросам защиты персональных данных, включая правовые аспекты внедрения систем искусственного интеллекта в корпоративные процессы.