Разобрать задачу

Разбор

Безопасность данных при внедрении ИИ: что проверить

Главный вопрос при внедрении ИИ звучит просто: куда физически уходят ваши данные и кто их там видит. Ответ зависит от того, где работает модель — в чужом облаке или в вашем контуре. Разница между этими вариантами определяет и стоимость, и то, какие данные вообще можно доверить агенту.

Что требует закон

Для персональных данных граждан России закон прямо указывает, где должна находиться первичная база. Это статья 18 закона 152-ФЗ: сбор персональных данных, включая запись и хранение, ведётся с использованием баз, находящихся на территории России.

Ответственность несёт оператор данных — то есть ваша компания, а не подрядчик
Персональные данные — это не только паспорт: имя вместе с телефоном уже подпадают
Обработка за границей не запрещена полностью, но первичная запись должна быть в России
Согласие на обработку и понятная политика на сайте нужны независимо от ИИ

Практический вывод: прежде чем обсуждать модели, определите, попадают ли в процесс персональные данные вообще. Часто оказывается, что агенту они не нужны — достаточно артикулов и остатков.

Где оказываются данные: облако или ваш контур

Два варианта отличаются не качеством ответов, а тем, кто держит данные в руках.

граница вашего контура ОБЛАЧНАЯ МОДЕЛЬ ваши данные → уходят наружу: кто их видит — по условиям поставщика дёшево на старте зависимость полная МОДЕЛЬ В ВАШЕМ КОНТУРЕ ваши данные модель наружу не уходит ничего дороже: нужно железо вопрос 152-ФЗ снимается по существу
Облачная модель уводит данные за границу контура, локальная оставляет их внутри
Что сравниваемОблачная модельМодель в вашем контуре
Где обрабатываются данныеНа стороне поставщика сервисаНа вашем сервере
Кто может их видетьПо условиям поставщика, вплоть до проверки людьмиТолько вы
Затраты на стартеНизкие, платите за обращенияВыше: нужно железо
Подходит для персональных данныхТребует отдельной проработкиВопрос снимается по существу
Зависимость от внешних сервисовПолная: отключение ломает процессНет

Отдельно проверьте тарифы облачных сервисов: у ряда из них в условиях прямо написано, что данные могут использоваться для обучения и просматриваться людьми. Для рабочих документов это неприемлемо, даже когда очень удобно.

Что спросить у подрядчика до начала работ

Эти вопросы отсекают большинство рискованных решений на этапе разговора.

Через какие сервисы проходят наши данные — назовите поимённо
Что из наших данных вообще покидает наш контур и в каком объёме
Используются ли наши данные для обучения моделей
Какие доступы к нашим системам вы запрашиваете и почему именно эти
Что произойдёт с доступами и данными после окончания работ

Что должно быть зафиксировано письменно

Устные заверения здесь не работают: спор возникает ровно тогда, когда что-то пошло не так.

Соглашение о неразглашении — до того, как вы показали первый документ
Перечень систем и объём доступа, а не общая формулировка «доступ к учёту»
Порядок передачи и удаления данных после завершения проекта
Кто отвечает за инцидент и как о нём сообщают

Отдельный признак: подрядчик, который сам поднимает эти вопросы до вас, обычно уже проходил через них на других проектах.

Из практики

Как это выглядело на проектах

Вопросы

Что обычно спрашивают

Можно ли вообще использовать зарубежные ИИ-сервисы в российской компании?

Вопрос решается по типу данных и условиям конкретного сервиса, а не общим правилом. Если в процессе есть персональные данные граждан России, первичная запись должна вестись в базах на территории страны. Многие задачи при этом обходятся обезличенными данными, и вопрос снимается.

Что даёт локальная модель на нашем сервере?

Данные не покидают ваш контур, и вопрос передачи наружу закрывается по существу. Платите за это железом и тем, что качество моделей, работающих на разумном оборудовании, ниже топовых облачных.

Как понять, что подрядчик не сливает данные в чужой сервис?

Спросите список сервисов, через которые проходит обработка, и зафиксируйте его в договоре. Если список не дают или отвечают общими словами про безопасность — это ответ.

Нужно ли предупреждать клиентов, что с ними общается ИИ?

Скрывать не стоит, и не только по юридическим причинам: обман вскрывается на второй-третьей реплике и бьёт по доверию сильнее, чем честная пометка.

Дальше

Что почитать по теме

Условия

Что у вас на руках после расчёта утечки

Расчёт — рабочий документ о вашем процессе, а не презентация обо мне. Он остаётся у вас, даже если работать не станем.

01Цифра потери

Сколько денег уходит в месяц и на чём: часы людей, ошибки, недоведённые заявки. С основанием, а не с потолка.

02Что чинить первым

Порядок: что закрывать сейчас, что подождёт, что не окупится вовсе. Последнее говорю прямо.

03Ответ, нужен ли я

Если задача решается без ИИ или без меня — так и скажу. Дешевле узнать это на расчёте, чем через три месяца.

Как снимается ваш риск
  • Если внедрение по расчёту не окупается — скажу это до начала работ, а не после.
  • Работа делится на этапы: каждый принимаете и оплачиваете отдельно. Не устроил результат этапа — следующий не начинаем.
  • Проекты веду сам, по очереди: дату старта называю на расчёте, а не «как-нибудь».
От вас на расчёт нужны 30–40 минут и человек, который знает, как процесс устроен сейчас.

Следующий шаг

Расчёт утечки за 30–40 минут

Если задача из статьи — про вас, расскажите детали. Разберу и честно скажу, стоит ли за неё браться. Назову цифру потери. Ни к чему не обязывает.

Оставить заявку

Опишите задачу в одной строке — свяжусь и скажу, решается это ИИ или нет.

Отвечу в тот же рабочий день — в мессенджер или на почту, что укажете. 23 проекта в портфолио, NDA подписываю до того, как вы что-то покажете.

Telegram Позвонить Заявка