Политика использования инструментов искусственного интеллекта в компании
Использование сотрудниками инструментов на базе искусственного интеллекта для решения производственных задач стало ежедневной реальностью для компаний самого разного профиля во многих странах мира. В связи с чем практика принятия формализованных правил использования таких инструментов становится все более актуальной. На что обратить внимание и от чего вообще отталкиваться при решении этой задачи?
База для такой работы — анализ требований применимого законодательства. Существуют ли уже такие требования, является ли их соблюдение обязательным для всех компаний или же только для, например, отдельной отрасли.
Следующий уровень — анализ с точки зрения отраслевых стандартов. На законодательном уровне требования могут отсутствовать или быть достаточно общими. Но в ряде сфер это может заменяться рекомендациями, выпущенными различными ассоциациями и отраслевыми союзами. Даже если разработка политики ИИ — это превентивная инициатива самой компании, анализ как минимум «best practice» более крупных игроков рынка может быть полезен.
Таким образом, можно выделить три уровня регулирования вопроса:
1. Государственное законодательство — устанавливает обязательные требования к использованию ИИ;
2. Отраслевые и профессиональные правила — дополнительные требования для банков, медицинских организаций, юристов, разработчиков ПО и других категорий бизнеса;
3. Корпоративные политики — определяют, как конкретная компания и ее работники могут применять ИИ в ежедневной работе, какие инструменты разрешены, какую информацию запрещено передавать моделям и кто отвечает за результаты.
Для юридической практики это особенно интересная тема: внутренние правила использования ИИ могут стать частью системы управления юридическими рисками, информационной безопасности и защиты коммерческой тайны.
Разберем, какие компании уже работают в этой области, что происходит в России и за рубежом и какие законодательные модели существуют.
База для такой работы — анализ требований применимого законодательства. Существуют ли уже такие требования, является ли их соблюдение обязательным для всех компаний или же только для, например, отдельной отрасли.
Следующий уровень — анализ с точки зрения отраслевых стандартов. На законодательном уровне требования могут отсутствовать или быть достаточно общими. Но в ряде сфер это может заменяться рекомендациями, выпущенными различными ассоциациями и отраслевыми союзами. Даже если разработка политики ИИ — это превентивная инициатива самой компании, анализ как минимум «best practice» более крупных игроков рынка может быть полезен.
Таким образом, можно выделить три уровня регулирования вопроса:
1. Государственное законодательство — устанавливает обязательные требования к использованию ИИ;
2. Отраслевые и профессиональные правила — дополнительные требования для банков, медицинских организаций, юристов, разработчиков ПО и других категорий бизнеса;
3. Корпоративные политики — определяют, как конкретная компания и ее работники могут применять ИИ в ежедневной работе, какие инструменты разрешены, какую информацию запрещено передавать моделям и кто отвечает за результаты.
Для юридической практики это особенно интересная тема: внутренние правила использования ИИ могут стать частью системы управления юридическими рисками, информационной безопасности и защиты коммерческой тайны.
Разберем, какие компании уже работают в этой области, что происходит в России и за рубежом и какие законодательные модели существуют.
В каких странах использование ИИ уже регулируется законом
Наиболее интересны Европейский союз, США и Россия. Они используют разные модели регулирования.
Европейский союз и попытка комплексного регулирования ИИ. Один из наиболее комплексных примеров регулирования искусственного интеллекта — это Закон Е С об искусственном интеллекте (EU AI Act). В нем приведены несколько уровней требований к практикам использования организациями и бизнесами ИИ технологий, в зависимости от степени потенциального риска такого использования для прав и свобод. Для бизнеса этот документ важен тем, что во-первых регулирует не только деятельность компаний-разработчиков ИИ, но и тех, кто внедряет и использует ИИ в своих бизнес-процессах. А при условии, что AI Act, по аналогии с GDPR, имеет экстерриториальное действие, — этот закон может быть применим к значительному числу компаний.
США и лоскутное одеяло регулирования. Как и во многих других сферах, в США регулирование ИИ развивается по нескольким направлениям: федеральное законодательство и решения органов власти, законы отдельных штатов, а также специальные отраслевые требования. В штате Колорадо приняты законы об автоматизированных системах принятия решений, о безопасности чат-ботов. В Айове существует политика использования генеративного ИИ государственными служащими и подрядчиками. Она регулирует разрешенные инструменты, ответственность за результаты, а также использование ИИ при работе с программным кодом. Это не общенациональный закон, касающийся всего бизнеса, а правила для соответствующей государственной организации. Но его положения могут лечь в основу соответствующих корпоративных политик.
Россия — специальный закон и взаимодействие с другими нормами. В России действует Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Он сосредоточен на отдельных аспектах развития и применения технологий ИИ, прежде всего больших фундаментальных моделей. То есть имеет отношение далеко не ко всем бизнесам, использующим в работе инструменты ИИ.
Кроме того, многие тонкие моменты, такие как взаимодействие ИИ с конфиденциальной информацией, персональными данными и интеллектуальной собственности третьих лиц, этим законом никак не регулируются, так как эти вопросы уже в полной мере разрешаются уже существующим профильным законодательством.
Европейский союз и попытка комплексного регулирования ИИ. Один из наиболее комплексных примеров регулирования искусственного интеллекта — это Закон Е С об искусственном интеллекте (EU AI Act). В нем приведены несколько уровней требований к практикам использования организациями и бизнесами ИИ технологий, в зависимости от степени потенциального риска такого использования для прав и свобод. Для бизнеса этот документ важен тем, что во-первых регулирует не только деятельность компаний-разработчиков ИИ, но и тех, кто внедряет и использует ИИ в своих бизнес-процессах. А при условии, что AI Act, по аналогии с GDPR, имеет экстерриториальное действие, — этот закон может быть применим к значительному числу компаний.
США и лоскутное одеяло регулирования. Как и во многих других сферах, в США регулирование ИИ развивается по нескольким направлениям: федеральное законодательство и решения органов власти, законы отдельных штатов, а также специальные отраслевые требования. В штате Колорадо приняты законы об автоматизированных системах принятия решений, о безопасности чат-ботов. В Айове существует политика использования генеративного ИИ государственными служащими и подрядчиками. Она регулирует разрешенные инструменты, ответственность за результаты, а также использование ИИ при работе с программным кодом. Это не общенациональный закон, касающийся всего бизнеса, а правила для соответствующей государственной организации. Но его положения могут лечь в основу соответствующих корпоративных политик.
Россия — специальный закон и взаимодействие с другими нормами. В России действует Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Он сосредоточен на отдельных аспектах развития и применения технологий ИИ, прежде всего больших фундаментальных моделей. То есть имеет отношение далеко не ко всем бизнесам, использующим в работе инструменты ИИ.
Кроме того, многие тонкие моменты, такие как взаимодействие ИИ с конфиденциальной информацией, персональными данными и интеллектуальной собственности третьих лиц, этим законом никак не регулируются, так как эти вопросы уже в полной мере разрешаются уже существующим профильным законодательством.
Частный бизнес
Крупный бизнес также обращает внимание на переход от «де-факто» использования инструментов ИИ в регламентированном процессе и статус «де-юре». Примечательно, что AI Policy есть не только и ИТ-гигантов — Microsoft, Google, OpenAI и других, но и у достаточно традиционных, таких как, например Linde (химпром), Colgate-Palmolive (средства для дома, косметика).
В России подобные политики тоже есть. Например, Политика допустимого использования ИИ-сервисов ПАО Сбербанк или Стандарт безопасности для внедрения и эксплуатации ИИ-систем в Yandex Cloud. Однако, эти документы — про собственные сервисы. Они не регламентируют правила использования сотрудниками этих компаний публичных ИИ-сервисов, таких как ChatGPT, Claude, GitHub Copilot и так далее.
В России подобные политики тоже есть. Например, Политика допустимого использования ИИ-сервисов ПАО Сбербанк или Стандарт безопасности для внедрения и эксплуатации ИИ-систем в Yandex Cloud. Однако, эти документы — про собственные сервисы. Они не регламентируют правила использования сотрудниками этих компаний публичных ИИ-сервисов, таких как ChatGPT, Claude, GitHub Copilot и так далее.
Практическое использование Политики ИИ, в том числе для юристов
Тем не менее нельзя отрицать, что общие базовые положения о допустимых практиках применения в том числе публичных инструментов ИИ можно и нужно внедрять и использовать. В качестве базы следует определить статус инструментов ИИ в компании, допустимые ситуации их использования работниками, способы такого использования, а также обязательные ограничения. Также, в ряде случаев компании немаловажно явным образом донести до сведения своих клиентов факт применения ИИ и, когда это применимо, получить соответствующее согласие клиента. Особенно актуальным такое декларирование представляется для юридических услуг.
В Политике И И следует внести ясность и в вопрос пределов использования ИИ, а также ответственности за результат. Работники должны однозначно понимать, что ответственность за качество (достоверность, актуальность, применимость и т. д.) остается лично и исключительно на них. ИИ — всего лишь инструмент в их руках.
Применительно к юридическому бизнесу речь идет о подготовке документов, правовых позиций, консультаций и аналитики. Юрист обязан провести независимую от данного инструмента ИИ проверку полученного результата, в том числе перепроверить все содержащиеся в таком результате факты, цифры, цитаты, юридические формулировки, ссылки на законодательные акты и судебную практику, иное.
Важны и технические моменты. Все инструменты ИИ можно условно разделить на две части: общедоступные (универсальные) ИИ-сервисы (например ChatGPT, Claude, Grok, Deepseek, GigaChat и др.) и специализированные (созданные специально для решения какой-то отраслевой или бизнес задачи). Первые для рабочих задач использовать вполне допустимо, но исключительно в качестве вспомогательного инструмента для стилистической и лингвистической правки текстов, реферирования общедоступных материалов, компиляции открытых данных и подготовки первичных проектов документов, не содержащих коммерческую тайну, персональные данные или иную конфиденциальную информацию.
Кроме того важно соблюдать строгие правила:
А вот профильные задачи (если мы говорим о юридических сервисах, то это автоматизированная правовая экспертиза, выявление юридических рисков, анализ судебных споров и так далее) — это уже работа для специализированных ИИ-сервисов. Которые, если они уже внедрены в компании, полностью соответствуют локальным требования в области защиты информации.
В Политике И И следует внести ясность и в вопрос пределов использования ИИ, а также ответственности за результат. Работники должны однозначно понимать, что ответственность за качество (достоверность, актуальность, применимость и т. д.) остается лично и исключительно на них. ИИ — всего лишь инструмент в их руках.
Применительно к юридическому бизнесу речь идет о подготовке документов, правовых позиций, консультаций и аналитики. Юрист обязан провести независимую от данного инструмента ИИ проверку полученного результата, в том числе перепроверить все содержащиеся в таком результате факты, цифры, цитаты, юридические формулировки, ссылки на законодательные акты и судебную практику, иное.
Важны и технические моменты. Все инструменты ИИ можно условно разделить на две части: общедоступные (универсальные) ИИ-сервисы (например ChatGPT, Claude, Grok, Deepseek, GigaChat и др.) и специализированные (созданные специально для решения какой-то отраслевой или бизнес задачи). Первые для рабочих задач использовать вполне допустимо, но исключительно в качестве вспомогательного инструмента для стилистической и лингвистической правки текстов, реферирования общедоступных материалов, компиляции открытых данных и подготовки первичных проектов документов, не содержащих коммерческую тайну, персональные данные или иную конфиденциальную информацию.
Кроме того важно соблюдать строгие правила:
- не использовать личные аккаунты, то есть зарегистрированные на личные контактные данные работника и/или оплачиваемые им с использованием личных платежных инструментов. Разрешено использование только корпоративных аккаунтов (Team/Enterprise/API) Использование личных бесплатных аккаунтов для рабочих задач строго запрещено.
- провести предварительную анонимизацию (деперсонализацию) вводимых данных. Перед загрузкой любого текста (пункта договора, претензии, позиции оппонента) в окно запроса (промпт) универсального ИИ, работник обязан удалить все идентифицирующие маркеры (персональные данные, наименования клиента, уникальные названия продуктов и т.п.) или заменить их на нейтральные.
- использовать соответствующие настройки приватности. При работе с универсальным ИИ разрешено их использование только с принудительно отключенной функцией сохранения истории для обучения моделей (Data Training).
А вот профильные задачи (если мы говорим о юридических сервисах, то это автоматизированная правовая экспертиза, выявление юридических рисков, анализ судебных споров и так далее) — это уже работа для специализированных ИИ-сервисов. Которые, если они уже внедрены в компании, полностью соответствуют локальным требования в области защиты информации.
Конкретное содержание документа — Политики использования инструментов искусственного интеллекта — может меняться и зависеть от бизнеса и размера конкретной компании. Базовые же рекомендации и положения уже включены в шаблон, который может послужить вам основой для разработки соответствующего ЛНА внутри вашей компании.