Автор: Сергей Воробьёв, Руководитель внедрения ИИ Extyl.
Короткий ответ: Регламент использования нейросетей: какие данные можно передавать в ИИ-сервисы, в каком контуре и кто отвечает за проверку результата. Матрица данных, список одобренных сервисов и структура документа.
Что включить в регламент использования нейросетей: матрица данных, публичный и закрытый контур, структура документа, ответственные и типичные ошибки.
Что включить в регламент использования нейросетей: матрица данных, одобренные сервисы, публичный и закрытый контур, ответственные.
Запрет не работает: без правил компания либо теряет контроль, либо блокирует ИИ после первого инцидента.
Матрица данных, список одобренных сервисов, порядок согласования новых инструментов, проверка результата.
GigaChat и YandexGPT — локальное размещение. Есть и агрегаторы с on-premise для компаний, например Сатурн-ИИ.
Цель, матрица данных, список сервисов, согласование, проверка результата, порядок при инциденте, дата пересмотра.
Согласование за ИБ и юристами, содержание — за спонсором внедрения и куратором. С чего начать внедрение ИИ.
Регламент без участия сотрудников, общие формулировки, забытый пересмотр. 7 ошибок внедрения ИИ.
За неделю: матрица по одному отделу, 2–3 одобренных сервиса, согласование с ИБ. Корпоративный практикум Extyl · Аудит.
Запрет не работает: сотрудники продолжают пользоваться ИИ на личных устройствах без контроля. Регламент не запрещает нейросети, а определяет, какие данные можно передавать, в каких сервисах и кто отвечает за проверку результата. Это снижает риск утечки персональных данных и коммерческой тайны при том же объёме работы с ИИ.
С матрицы данных: какие категории информации есть в компании (публичные, персональные, финансовые, коммерческая тайна) и в каком контуре с ними можно работать. Дальше фиксируют список одобренных сервисов, ответственного за согласование новых инструментов и порядок проверки результата перед публикацией или отправкой клиенту.
В публичном контуре запрос уходит во внешний сервис (ChatGPT, Claude, Gemini), и по умолчанию нельзя гарантировать, что данные не используются для дообучения модели. Закрытый контур: российские модели с локальным размещением (GigaChat, YandexGPT) или развёртывание платформы на серверах компании, где данные не покидают инфраструктуру заказчика.
Да, для публичных задач без персональных данных и коммерческой тайны (черновики текстов, аналитика открытых источников, генерация изображений) публичные сервисы допустимы по регламенту. Персональные данные, финансовую информацию и условия сделок в такие сервисы направлять не следует.
Финальное согласование обычно за информационной безопасностью и юридическим отделом, инициатива и содержание — за спонсором внедрения ИИ и куратором со стороны бизнеса. Без участия ИБ документ не защитит компанию при проверке, без участия бизнеса регламент окажется слишком строгим и его будут игнорировать.
Пересматривайте документ при подключении нового сервиса, изменении состава данных в работе или после инцидента. Плановый пересмотр раз в 6–12 месяцев достаточен для большинства компаний, если список одобренных инструментов не меняется чаще.
Не начинать с наказаний. Сначала зафиксировать, какие сервисы и данные реально используются, объяснить риски на конкретных примерах и предложить одобренную альтернативу под ту же задачу. Дисциплинарные меры вводят после того, как у сотрудников появился рабочий и понятный вариант действовать по правилам.
Нужен регламент под вашу компанию? Бесплатный ИИ-аудит Extyl.