Александр Костин – ИИ на работе без рисков: корпоративные правила и проверка качества (страница 1)

Александр Костин

ИИ на работе без рисков: корпоративные правила и проверка качества

Глава 1. Зачем компании политика ИИ: управляемая безопасность и качество вместо хаоса

В большинстве компаний ИИ появляется не как проект, а как привычка. Сотрудник пробует «помощника» ради скорости, затем делится удачной формулировкой с коллегой, кто-то подключает расширение в браузер, кто-то начинает прогонять через модель письма клиентам, а кто-то – фрагменты внутренних документов. Через несколько недель ИИ уже участвует в работе отдела продаж, маркетинга, HR и руководства, хотя формально его «не внедряли». Этот сценарий почти неизбежен: инструменты доступны, эффект виден сразу, а цена ошибки ощущается позже.

Политика ИИ нужна именно в этот момент – когда полезность уже очевидна, а правила ещё не сформированы. Это документ не про запрет технологий. Это управленческий каркас, который превращает «самодеятельность» в повторяемый процесс: понятные границы, ответственность, проверка качества, контроль рисков и единый язык внутри компании.

Ниже – зачем политика действительно нужна и как сделать её рабочей, а не декоративной.

Почему хаотичное использование ИИ опасно: утечки, ошибки, репутационные риски

Хаос с ИИ опасен не тем, что «кто-то где-то использует нейросеть», а тем, что компания теряет управляемость на трёх уровнях: данные, качество, ответственность.

Первый уровень – данные. Когда нет правил, сотрудники отправляют в ИИ то, что удобнее отправить: кусок переписки, фрагмент договора, описание клиента, файл с коммерческими условиями, таблицу с цифрами. При этом один и тот же материал может быть безопасен в обезличенном виде и категорически опасен в исходном. В хаотичном режиме сотрудник редко отличает одно от другого, потому что не обучен, не знает критериев и, самое важное, не чувствует персональной ответственности. Результат – риск утечки, который может проявиться не как «взлом», а как банальная передача чувствительной информации стороннему сервису, куда она не должна попадать.

Второй уровень – качество решений. ИИ ускоряет создание текста и идей, но не гарантирует истинность фактов, корректность выводов и применимость рекомендаций к вашей ситуации. Без правил проверки появляются документы и письма, в которых всё звучит уверенно, но часть утверждений не подтверждается, цифры «плывут», а формулировки могут быть юридически неаккуратными. Ошибка в черновике – нормальна. Ошибка в отправленном клиенту письме или в публичном материале – уже репутационный риск.

Третий уровень – ответственность. При хаосе возникает опасная психологическая подмена: «так написала модель». Сотрудник начинает относиться к результату как к внешнему источнику, а не как к собственному продукту. Это разрушает дисциплину управления качеством: непонятно, кто проверял, кто утверждал, кто подписал. В момент инцидента выясняется, что «никто не отвечал», потому что никто не знал, где граница ответственности.

Политика ИИ закрывает все три уровня одним принципом: ИИ – инструмент, а не автор и не источник истины; данные – ресурс компании, а не расходный материал; ответственность – всегда на человеке и системе контроля.

Цель политики: безопасно ускорять работу, а не тормозить команду

Хорошая политика ИИ не воспринимается как «свод запретов». Она воспринимается как ускоритель. Если документ делает работу медленнее, его начнут обходить, и вы получите «теневое использование». Поэтому цель политики формулируется так, чтобы команда видела выгоду.

Политика нужна, чтобы:

– сократить время на типовые задачи за счёт разрешённых сценариев использования;

– снизить число ошибок за счёт обязательных проверок;

– убрать страх сотрудников «а вдруг нельзя» и дать ясные правила;

– защитить данные компании и клиентов;

– стандартизировать подход: одинаковые принципы во всех отделах.

Важно сразу заложить правильный управленческий тезис: политика не запрещает ИИ, она определяет безопасные режимы использования. Запреты в документе нужны, но как «красные линии» для данных и действий, а не как общая философия.

Что покрывает документ: люди, данные, доступы, инструменты, процессы, контроль

Чтобы политика работала, она должна охватывать весь контур, а не только «что можно писать в чат». Практически полезный документ всегда включает пять блоков.

Люди и роли. Кто отвечает за правила, кто администрирует инструменты, кто обучает, кто контролирует соблюдение, кто разбирает инциденты.

Данные. Классификация данных по чувствительности и разрешённые действия с ними: что можно давать ИИ, в каком виде, с каким обезличиванием, в каких инструментах, при каких условиях.

Доступы и инструменты. Какие инструменты разрешены, какие запрещены, какие ограничены. Какие аккаунты можно использовать, как выдаются права, что с расширениями и плагинами, как хранится история, кто может подключать интеграции.

Процессы использования. Для каких задач ИИ разрешён, как оформляются запросы, как проверяется результат, что требует согласования, как выглядит «публикационный» контур для клиентских материалов и публичных текстов.

Контроль и метрики. Что логируется минимально, как фиксируются ошибки и инциденты, какие показатели смотрит руководство, как пересматриваются правила.

Если вы пропустите хотя бы один блок, политика будет «дырявой». Например, можно описать, что нельзя отправлять персональные данные, но если не определить инструменты и доступы, сотрудник всё равно будет пользоваться любым сервисом и считать, что «если я осторожно, то можно».

Что политика не делает: не заменяет ИБ и юриста, но задаёт правила поведения

Политика ИИ – управленческий документ, а не юридический трактат и не стандарт информационной безопасности. Это важно проговорить прямо, чтобы ожидания были реалистичными.

Политика не заменяет:

– требования ИБ к устройствам, паролям, корпоративным системам;

– юридическую экспертизу договоров, претензий, документов;

– внутренние регламенты по коммерческой тайне и персональным данным.

Но политика делает то, что часто отсутствует даже при сильной ИБ: переводит принципы в ежедневное поведение сотрудников. Она отвечает на вопросы «что делать в конкретной ситуации», «как безопасно ускорить задачу», «что точно нельзя», «кто должен проверить», «что делать при сомнении». Это мост между теорией и практикой.

Основные принципы: минимизация данных, ответственность человека, проверка фактов

У политики должно быть короткое ядро – несколько принципов, которые не меняются от отдела к отделу и от инструмента к инструменту. Практически применимы три.

Принцип минимизации данных. В ИИ отправляется только то, что необходимо для выполнения задачи. Не «всё письмо целиком», а выжимка. Не «полный договор», а пункт и контекст. Не «таблица с клиентами», а агрегированные показатели. Чем меньше данных уходит наружу, тем меньше поверхность риска.

Принцип ответственности человека. Результат ИИ – это черновик или вариант. Ответственность за конечный текст, цифры, решения и отправку всегда на сотруднике и на руководителе по цепочке утверждения. Нельзя «ссылаться на модель» как на оправдание.

Принцип проверки фактов и логики. Любое утверждение, которое влияет на решение, деньги, сроки, репутацию или клиента, проходит проверку. Факты – проверяются. Цифры – пересчитываются. Выводы – сверяются с исходными данными. Инструкции – тестируются в безопасном контуре.

Эти три принципа и создают ту самую «управляемую безопасность», которая не парализует работу.

Роли: владелец политики, админ инструментов, руководители подразделений

Чтобы политика не была бумажной, у неё должен быть владелец. Владелец политики – это не обязательно ИБ или юрист. Это человек, который отвечает за то, что документ живёт, обновляется и реально применяется.

Минимальный набор ролей:

Владелец политики. Определяет рамки, запускает обновления, собирает обратную связь, утверждает изменения, ведёт реестр правил и приложений. Обычно это операционный руководитель, руководитель комплаенса, руководитель ИБ или выделенный ответственный за AI governance, если компания крупная.

Администратор инструментов. Управляет корпоративными аккаунтами, доступами, настройками, хранением истории, списком интеграций, запретом расширений, если это требуется. В небольших компаниях это часто ИТ-администратор.

Руководители подразделений. Переводят общие правила в практику отдела: определяют разрешённые сценарии, вводят обязательные проверки, назначают тех, кто утверждает материалы, и несут ответственность за соблюдение командой.

Дополнительно полезны: ответственный за обучение (может быть HR/внутренний тренер), ответственный за инциденты (часто ИБ), редактор/фактчекер для публичных материалов (маркетинг/PR).

Уровни допуска: кто и что может делать с ИИ

Одинаковая политика для всех сотрудников часто не работает. Разным ролям нужны разные режимы. Поэтому вводятся уровни допуска, которые привязаны к типам данных и видам задач.

Простой и практичный подход – три уровня:

Базовый уровень. Разрешены общие задачи без чувствительных данных: черновики писем, структура документа, улучшение ясности текста, идеи, шаблоны, резюме публичных материалов, переводы без конфиденциального контента. Запрещены любые клиентские идентификаторы и внутренние финансовые детали.