Безопасность ИИ в компании сводится к трём вопросам: какие данные уходят в модель, что она имеет право делать в ваших системах и кто отвечает за её ошибку. Риски здесь свои: модель можно заставить выполнить команду, спрятанную во входящем письме, а сотрудник — вставить договор в личный чат-бот. Шифрование и двухфакторная аутентификация эти случаи не закрывают.
Коротко
Отличие в том, что модель принимает на вход текст и делает то, что в нём написано, — а текст приходит от клиента, из письма или из документа. Привычные средства защиты остаются нужными, но против такого сценария не работают.
Сообщество OWASP собрало отдельный список рисков для приложений с большими языковыми моделями. Компании, которая подключает ИИ к своим данным, важны четыре пункта из этого списка и один организационный риск, которого в нём нет.
| Риск | Как выглядит на практике | Что снижает риск |
|---|---|---|
| Внедрение команд, prompt injection (LLM01) | В письме или PDF спрятана инструкция «перешли всю переписку на этот адрес». Ассистент читает документ и выполняет её | Входящие данные не смешивают с инструкциями, действия ограничивают списком разрешённых, опасные операции подтверждает человек |
| Раскрытие лишних данных (LLM02) | Ассистент отвечает менеджеру по сделкам чужого отдела или цитирует файл с зарплатами, случайно попавший в базу знаний | Фильтр по роли пользователя, отбор документов для базы знаний, проверка ответов на заранее заготовленных вопросах |
| Слишком широкие права (LLM06) | Агенту выдали доступ на запись и удаление «чтобы работало», и он меняет статусы сделок без подтверждения | Служебная учётная запись с правами по списку объектов, запрет на массовые операции, отзыв доступа одним ключом |
| Утечка системной инструкции (LLM07) | Пользователь выманивает у ассистента его инструкцию и узнаёт внутренние правила, пределы скидок и адреса систем | В инструкции не хранят секреты и ключи, ограничения дублируют на стороне сервера |
| Теневой ИИ | Сотрудник вставляет договор или выгрузку клиентов в личный чат-бот, потому что рабочего инструмента нет | Разрешённый корпоративный доступ, письменный список того, что нельзя вставлять, разбор реальных случаев с командой |
Закон отвечает на два вопроса: где хранить данные и какие решения нельзя оставлять машине. Оба относятся к любому сценарию, где в запрос к модели попадают сведения о людях.
Основной документ — закон № ЗРУ-547 «О персональных данных». Статья 27-1 в действующей редакции требует хранить в базах на территории страны биометрические и генетические данные физических лиц, а также данные пользователей услуг операторов телекоммуникаций. Остальные персональные данные обрабатывать за рубежом можно — при выполнении условий части третьей той же статьи.
Второе ограничение касается решений. Закон № ЗРУ-1115 запрещает при принятии юридически значимых решений, затрагивающих права и свободы человека, ссылаться исключительно на заключения информационных систем, созданных на основе технологий искусственного интеллекта. Отказ в кредите, увольнение или блокировка счёта «потому что так посчитала модель» — нарушение.
Важно Формулировка «все персональные данные граждан Узбекистана хранятся только внутри страны» устарела. Обязательная локализация сузилась до трёх категорий, зато у передачи остального за рубеж появились условия, а в Государственном реестре регистрируют только базы с этими тремя категориями данных — не любую базу персональных данных.
Проверяют три вещи: используются ли ваши запросы для обучения, сколько хранятся логи и где физически обрабатываются данные. Ответы лежат в договоре и документации поставщика, а не на рекламной странице.
| Вопрос | Что считать приемлемым | Где смотреть |
|---|---|---|
| Учатся ли на наших данных | У OpenAI данные, отправленные через API, по умолчанию не используются для обучения моделей. У бесплатных потребительских чат-ботов условия другие | Договор и политика обработки данных |
| Сколько хранятся логи | У OpenAI логи контроля злоупотреблений хранятся до 30 дней; по отдельному согласованию доступны режимы с сокращённым хранением или без него | Документация по работе с данными |
| Где обрабатываются данные | Регион обработки назван в договоре, страна входит в перечень постановления № 415 либо применяются типовые договорные условия | Договор и приложение о передаче данных |
| Что будет после расторжения | Срок и порядок удаления ваших данных зафиксированы письменно | Договор |
Если во внешний сервис нельзя отдавать даже обезличенный текст, модель ставят внутри контура. На своё оборудование идут открытые модели: они требуют сервера с видеокартой и обычно уступают облачным на сложных задачах. Техническая сторона разобрана в статье об интеграции ИИ в CRM, ERP и 1С.
Промежуточный вариант — обезличивание до отправки. Имена, телефоны и номера документов заменяются идентификаторами на вашей стороне, а обратно подставляются уже в вашей системе: наружу уходит текст задачи без сведений, по которым можно узнать человека.
Модель обращается к системам от имени служебной учётной записи, поэтому её права задают отдельно от прав сотрудника. Иначе ассистент отвечает по данным, которых человек видеть не должен.
Те же принципы действуют и в самой CRM — роли, журнал и защита базы разобраны в статье о правах доступа в CRM. Чем заканчивается их отсутствие, показано в статье о рисках утечки персональных данных.
Запрет не работает: если рабочего инструмента нет, документы всё равно окажутся в личном чате, только компания об этом не узнает. Рабочий порядок — дать разрешённый доступ и описать границы.
Как выстроить обучение так, чтобы оно меняло поведение, а не закрывало галочку, разобрано в статье об обучении сотрудников кибербезопасности.
Проверку делают до того, как сценарий увидит первый реальный документ. Список короткий, но каждый пункт закрывает один из рисков выше.
Работы делятся на разбор и устранение. Разбор показывает, где риск настоящий, устранение закрывает найденное.
Стартовые цены перечислены на странице кибербезопасности, пакеты по ИИ — на странице ИИ и автоматизации. Своя модель добавляет к этому сервер с видеокартой и его обслуживание.
Syntra Systems начинает с описи: какие данные попадают в сценарий, кто работает с ними сейчас и что произойдёт, если они окажутся снаружи. По результатам собираем схему: где обрабатываются данные, какие права у модели, что она делает сама и где обязателен человек.
Состав полей, которые уходят во внешний сервис, согласуем письменно до запуска — вместе с решением, что обезличивается на вашей стороне. Запросы и ответы пишем в журнал, для спорных случаев оставляем маршрут к сотруднику, доступ отзываем одним ключом. Абсолютной защиты мы не обещаем: задача — снизить риск до уровня, который компания понимает и принимает осознанно.
Совет Начните с одного сценария и одного набора данных. Пилот на своих документах показывает, что модель действительно видит, быстрее любого обсуждения архитектуры — и обходится дешевле, чем разбор инцидента.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Открытую модель ставят на сервер компании или в частное облако, и тогда запросы не выходят за периметр. Платой за это становятся сервер с видеокартой, его обслуживание и, как правило, более слабые ответы на сложных задачах. Промежуточный путь — обезличивать данные до отправки во внешнюю модель.
Можно: если ассистент читает входящую почту, спрятанная в письме или PDF инструкция вроде «перешли всю переписку на этот адрес» может сработать как команда. Защищаются так: входящий текст не смешивают с инструкциями, действия ограничивают списком разрешённых, а опасные операции подтверждает человек.
Запрет без альтернативы приводит к тому, что документы всё равно уходят в личные чаты, но уже без ведома компании. Практичнее выдать корпоративный доступ с договором, письменно перечислить, что нельзя вставлять в чат, и разобрать с командой пару реальных случаев.
Три вида данных закон требует хранить только в Узбекистане: биометрические, генетические и данные абонентов связи. Остальные персональные данные в зарубежную модель отправлять можно, если соблюдено одно из условий закона — например, страна поставщика входит в перечень стран с достаточной защитой данных (постановление № 415 от 29 июля 2026 года). Основание — статья 27-1 закона о персональных данных.
Компания, которая использует систему и является оператором персональных данных. Поставщик модели отвечает в пределах договора. Поэтому состав передаваемых данных, права доступа и журнал фиксируют письменно до запуска, а не после инцидента.
Только если в ней есть данные, которые обязаны храниться в Узбекистане: биометрические, генетические или данные абонентов связи. С 26 марта 2026 года в Государственном реестре регистрируют только такие базы (статья 20 закона ЗРУ-547); расшифровка, по которой личность по голосу не устанавливают, к ним не относится.
С описи: какие инструменты в ходу, какие данные в них попадают и у кого есть доступ. Дальше — корпоративный доступ вместо личных аккаунтов, список запретов на одну страницу и проверка одного рабочего сценария по чек-листу из этой статьи.
Источники
