Коммерческая тайна и искусственный интеллект: загружать ли рабочие документы в нейросеть

Искусственный интеллект стремительно входит в корпоративную повседневность. Нейросети стали для сотрудников таким же привычным инструментом, как электронная почта, мессенджеры или поисковые системы. Однако вместе с ростом популярности ИИ компании столкнулись с новой угрозой: работники всё чаще загружают в чат‑боты внутренние документы, не задумываясь, куда в итоге попадают эти данные. Рассмотрим связанные с этим риски и пути их минимизации.

Правовой режим коммерческой тайны

Важно понимать, что, с юридической точки зрения, загрузка документа или сведений, содержащих коммерческую тайну, в публичный ИИ‑сервис представляет собой акт передачи информации третьей стороне без надлежащих правовых оснований.

Это прямое нарушение режима, установленного законом, и влечёт как дисциплинарную, так и материальную ответственность работника, а для компании — риски утраты конкурентных преимуществ и материальную ответственность.

Технические алгоритмы обработки информации в нейросетях

Даже при наличии соглашения о конфиденциальности сам факт передачи данных третьей стороне создаёт риски. Промты, документы и стратегии сохраняются на сторонних серверах и часто используются для обучения моделей, а также могут использоваться и злонамеренно. Полностью исключить риск утечки информации, загруженной в публичную нейросеть, невозможно.

Категории информации, запрещённой к загрузке в публичные нейросети:

• коммерческая тайна — финансовые отчёты, стратегические документы, коммерческие предложения, сведения о продуктах, информация о сделках и контрагентах и т.п.;
• персональные данные;
• внутренняя переписка и служебная документация;
• сведения о системах безопасности, пароли;
• материалы под NDA, адвокатская или иная профессиональная тайна.

Юридические последствия для компании и сотрудников

Для компании — это нарушение закона № 98‑ФЗ, а зачастую и № 152‑ФЗ «О персональных данных». Меры ответственности весьма значительные, вплоть до полностью разорительных.

Как выстроить правила внутри компании

Полный запрет использования нейросетей неэффективен — сотрудники находят обходные пути. Задача — не запретить, а сделать применение ИИ безопасным и контролируемым.

Рекомендуем следующие шаги:

Создание рабочей группы и инвентаризация данных. Назначьте ответственного за разработку политики обращения с ИИ и внешними информационными ресурсами. Сформируйте рабочую группу с участием юристов, ИТ‑специалистов, HR и представителей ключевых бизнес‑подразделений. Проведите инвентаризацию всех массивов информации, которыми оперирует компания, составьте реестр.

Классификация данных и разграничение доступа. Реестр классифицирует информацию по уровням критичности:

1. А — строго конфиденциально (коммерческая тайна, ноу‑хау, персональные данные). Запрещено передавать в любые внешние ИИ‑сервисы без исключений.
2. Б — внутреннего пользования (непубличные, но не составляющие тайны данные). Допускается обработка только в корпоративных ИИ‑решениях с согласования.
3. В — публичные данные (можно использовать в любых сервисах).

Разработка политики использования ИИ. Формализуется в виде локального нормативного акта (приказа или положения). Рекомендуемые разделы:

• область применения (категории сотрудников, цели и виды сведений);
• разрешённые и запрещённые ИИ‑сервисы;
• порядок согласования;
• требования к анонимизации;
• обязанности сотрудников;
• ответственность.

Внесение изменений в трудовые договоры и локальные акты. Чтобы иметь правовое основание для привлечения к ответственности, необходимо дополнить трудовые договоры или отдельные соглашения пунктами об обязанности соблюдать политику использования ИИ и о запрете загрузки конфиденциальных данных в сторонние сервисы. Также следует актуализировать Перечень сведений, составляющих коммерческую тайну, и Положение о коммерческой тайне, включив в них упоминание о недопустимости передачи таких данных в ИИ‑системы без письменного разрешения. Все изменения должны быть согласованы с профсоюзом (при наличии) и доведены до каждого работника под роспись.

Внедрение технических средств контроля. Без технической поддержки политика останется декларацией. Какие именно меры предпринять (DLP, AI‑шлюзы, корпоративные модели или др.), следует решать коллегиально: менеджерам по ИБ, IT и юристам.

Обучение и регулярное информирование сотрудников. Разработайте программу обучения по безопасному использованию ИИ. Она должна включать:

• разбор реальных кейсов утечек (например, когда нейросеть выдала коммерческие данные другому пользователю);
• практические занятия по анонимизации данных;
• тестирование знаний политики с обязательной сдачей зачёта;
• регулярные напоминания (рассылки, плакаты) о недопустимости загрузки внутренних документов.

Реагирование на инциденты. Утвердите порядок действий при обнаружении факта загрузки конфиденциальных данных в ИИ:

• немедленная блокировка доступа сотрудника к ИИ‑сервисам;
• служебное расследование комиссией;
• оценка ущерба и принятие мер (предупреждение, выговор, увольнение, взыскание ущерба в судебном порядке);
• обязательное уведомление руководства и, при необходимости, Роскомнадзора (если затронуты персональные данные).

Заключение

Коммерческая тайна — ключевой нематериальный актив. В эпоху развития ИИ угрозы её сохранности приобретают новые формы, требующие системного противодействия. Ответственность за защиту лежит не только на службе безопасности, но и на каждом сотруднике, включая руководителя.

Только комплексный подход — сочетание правовых механизмов, технических средств и постоянного обучения — способен обеспечить надёжную защиту конфиденциальной информации.

Предложенный пошаговый алгоритм позволит любой компании выстроить прозрачные и действенные правила, минимизируя риски при сохранении всех преимуществ искусственного интеллекта для бизнеса.