Безопасность ИИ в компании: персональные данные, 152-ФЗ и корпоративная нейросеть

Что такое теневой ИИ и почему это главный риск

Теневой ИИ — это нейросети, которыми сотрудники пользуются без ведома компании: через личные аккаунты, браузеры и телефоны. Такие запросы не видит служба безопасности, и по ним сложно расследовать утечку.

Сотрудник хочет сделать работу быстрее: вставляет в бесплатный чат-бот договор, выгрузку из CRM или кусок кода. Злого умысла нет — но данные уже у стороннего сервиса.

Проблема растёт. По данным IBM (2026), сотрудники с неодобренными AI-сервисами фигурируют в 43% инцидентов безопасности против 20% годом ранее, а почти семь из десяти пострадавших компаний не имеют политики использования ИИ. Средняя стоимость утечки данных в мире достигла рекордных $4,99 млн.

Инциденты становятся серийными. По опросу McKinsey в Stanford AI Index 2026, среди компаний с AI-инцидентами доля тех, у кого их было три–пять за год, выросла с 30% до 50%. Ответственность за ИИ всё чаще переходит к информационной безопасности: она названа главным владельцем темы в 21% компаний.

Запрет не работает: люди продолжают пользоваться нейросетями с телефона. Работает удобная корпоративная альтернатива, в которой данные защищены по умолчанию.

Нейросети и персональные данные: что требуют 152-ФЗ и 98-ФЗ

Для нейросетей в России важны три нормы: локализация персональных данных, правила трансграничной передачи и режим коммерческой тайны. Нарушить первые две можно одним запросом с данными клиентов в зарубежный сервис.

Поэтому мы строим защищённый контур с PII-прокси и обработкой данных в России или на серверах компании: так компания пользуется нейросетями и соблюдает закон.

Раздел носит справочный характер. Правовой режим обработки данных в вашей компании согласуйте с юристом — мы строим технический контур с учётом его требований.

Публичный ChatGPT или корпоративная нейросеть: в чём разница для компании

Публичный чат-бот удобен для личных задач, но компания не контролирует, куда уходят данные. В корпоративной нейросети те же возможности работают по правилам компании и с учётом требований 152-ФЗ.

Модель в обоих случаях может быть одна и та же. Меняется другое: кто контролирует данные и кто за них отвечает.

Как устроен защищённый ИИ-контур: PII-прокси, SSO и соблюдение 152-ФЗ

Запрос сотрудника проходит шесть шагов. Ключевой — PII-прокси: он убирает персональные данные до того, как текст попадёт в модель, и возвращает их в готовый ответ. Модель получает текст, в котором ФИО, телефоны, паспорта и номера договоров заменены метками.

1. Запрос сотрудника

   Сотрудник работает в привычной среде: корпоративный мессенджер, Telegram-бот или CRM. Ему не нужно переключаться в специальные «безопасные» окна или помнить сложные правила — он пишет запрос обычным языком. Защита работает незаметно для него. Это критично: так люди пользуются системой и не ищут обходных путей.

2. Вход по ролям (SSO / RBAC)

   Система авторизации определяет, кто делает запрос и какие у него права. Разным ролям доступны разные данные и разные модели: менеджер по продажам не увидит кадровые документы, а сотрудник HR не получит доступ к коммерческим условиям крупных клиентов. Это первый обязательный фильтр безопасности. Если ассистент отвечает по базе знаний, те же права действуют на уровне документов: в ответ попадают только те документы, которые сотрудник может открыть в исходной системе.

3. PII-прокси — ключевой слой

   До того как текст попадёт в языковую модель, прокси находит и заменяет персональные данные: ФИО, телефоны, паспортные данные, номера договоров, суммы, адреса электронной почты. Вместо реальных значений подставляются нейтральные метки: [КЛИЕНТ_1], [ДОГОВОР_14], [СУММА_3].

   Модель работает с обезличенным текстом. Это главный технический механизм защиты персональных данных при работе с языковыми моделями. Правила распознавания настраиваются под типы данных конкретной компании и проверяются на пилоте.

4. Языковая модель (LLM)

   Обезличенный запрос обрабатывает модель. Два основных варианта: модель развёрнута на серверах компании (on-premise) или используется внешний корпоративный API с запретом на хранение истории запросов и дообучение на этих данных. Выбор зависит от чувствительности данных и внутренней политики безопасности клиента.

5. Возврат данных сотруднику

   После генерации ответа PII-прокси выполняет детокенизацию — подставляет исходные значения вместо меток. Сотрудник получает готовый понятный результат с реальными данными. Модель при этом работала с метками вместо реальных значений.

6. Журнал аудита (DLP / SIEM)

   Действия в контуре фиксируются: кто сделал запрос, когда, какие данные были обезличены, какой ответ вернула модель. Эти метаданные уходят в системы DLP и SIEM компании. Так можно проводить аудит, расследовать инциденты и предоставлять данные о работе системы при проверках.

Термины

PII

Personally Identifiable Information — персональные данные, по которым можно идентифицировать человека: ФИО, телефон, паспорт, email, номер договора.

PII-прокси

Посредник между сотрудником и моделью: убирает персональные данные перед отправкой в модель (токенизация) и возвращает их в готовый ответ (детокенизация).

Токен, метка

Временная безопасная замена персональных данных, например [КЛИЕНТ_1] вместо ФИО.

Детокенизация

Подстановка реальных значений вместо меток в готовый ответ модели.

SSO

Single Sign-On — единый вход: сотрудник один раз авторизуется и получает доступ ко всем разрешённым сервисам.

RBAC

Role-Based Access Control — управление доступом по ролям: разные сотрудники видят разные данные.

Корпоративная нейросеть

Языковая модель, которой сотрудники пользуются по правилам компании: через корпоративный вход, с журналом запросов и защитой персональных данных.

RAG

Retrieval-Augmented Generation — ответ по документам компании: система находит подходящие фрагменты в базе знаний и передаёт их модели вместе с вопросом.

Prompt injection

Атака на ИИ-систему: в текст, который читает модель (письмо, документ, веб-страницу), встраивают инструкцию, и модель выполняет её как команду.

Галлюцинация

Уверенный, но неверный ответ модели: несуществующий факт, цифра или пункт документа.

On-premise

Модель и данные находятся на серверах самой компании, без облака внешнего провайдера.

DLP

Data Loss Prevention — системы, которые предотвращают утечку конфиденциальной информации.

SIEM

Security Information and Event Management — сбор и анализ событий безопасности для аудита и расследований.

152-ФЗ

Федеральный закон «О персональных данных» — основной российский закон о работе с персональными данными.

Три варианта корпоративной нейросети: российский API, PII-прокси или нейросеть на своём сервере

Выбор зависит от того, какие данные обрабатывает система. Для задач без персональных данных хватает облачного API; для клиентских баз и документов — обезличивание или модель на своих серверах.

Версию модели подбираем под задачу и доступное железо. Часто решение комбинированное: типовые запросы — через российский API, чувствительные документы — на своих серверах.

Prompt injection (промпт-инъекции), чужие документы и ошибки модели: другие риски корпоративного ИИ

Обезличивание закрывает главный риск — утечку персональных данных. Когда ИИ-ассистент получает доступ к документам компании и сам выполняет действия, появляются ещё три риска: скрытые команды в тексте (prompt injection), показ документов сотруднику без прав и уверенные неверные ответы модели. Каждый закрывается отдельной мерой в архитектуре.

Prompt injection, или промпт-инъекция: чужая команда внутри документа

Prompt injection — атака, при которой в текст, который обрабатывает нейросеть, встраивают инструкцию для неё. OWASP ставит prompt injection на первое место в списке рисков приложений на языковых моделях (OWASP Top 10 for LLM Applications, 2025). Сильнее всего она угрожает ИИ-агентам, которые читают почту, документы или сайты и сами выполняют действия.

В проектах мы закладываем меры из рекомендаций OWASP: агент получает минимально необходимые права, внешний контент помечается и отделяется от инструкций, формат ответа проверяется, входные и выходные данные фильтруются. Отправку писем, изменение данных в CRM и платежи агент выполняет только после подтверждения сотрудника. Ни одна технология сегодня полностью не исключает prompt injection, поэтому защита строится в несколько слоёв и проверяется тестовыми атаками на пилоте.

Права доступа к документам в RAG-ассистенте

RAG-ассистент отвечает по документам компании: перед ответом система находит подходящие фрагменты в базе знаний и передаёт их модели. Если права проверяются только при входе в систему, ассистент может процитировать сотруднику документ, который тот не открыл бы в исходной системе.

Поэтому права на документы переносятся в базу знаний вместе с самими документами — из 1С, Битрикс24 и файловых хранилищ. Фильтр работает на этапе поиска фрагментов: в модель попадает только то, что этому сотруднику разрешено видеть.

Ошибки модели: как проверять ответы

Языковая модель может уверенно сформулировать неверный ответ. Для бизнеса это риск решения, принятого на основе несуществующего пункта договора или устаревшей цены.

Риск снижают три меры. Ассистент отвечает по документам компании и даёт ссылку на источник. Если нужного документа в базе нет, ассистент так и отвечает. Ответы по договорам, ценам и решениям о персонале проверяет сотрудник. На пилоте качество проверяем на наборе реальных вопросов с эталонными ответами.

Чек-лист защиты ИИ в компании: 7 пунктов для проверки основных рисков

Отметьте, что уже сделано. Семь пунктов помогают оценить основные риски — от регламента до закрытого контура и защиты ИИ-агентов.

Чек-лист — экспресс-самооценка. Он не является аудитом информационной безопасности или юридическим заключением, и его результат не подтверждает соответствие вашей компании требованиям законодательства.

Аудит безопасности ИИ и внедрение корпоративной нейросети: этапы, сроки, цены

Начинаем с аудита: выясняем, какие нейросети уже используют сотрудники и какие данные туда попадают. Затем проектируем контур и запускаем пилот на одном процессе.

Стоимость аудита безопасности ИИ — от 180 000 ₽. Цены на другие этапы зависят от объёма и сложности, точный расчёт — после аудита. Цены указаны как ориентир и не являются публичной офертой. Актуальные цены на другие услуги — на странице услуг и цен.

Что получат служба безопасности и юрист

• Схему контура: какие данные куда передаются и где хранятся.
• Перечень типов данных, которые обезличиваются, и правила обезличивания.
• Описание угроз и мер защиты, включая prompt injection и права доступа к документам.
• Формат журнала запросов для передачи в DLP и SIEM.
• Черновик регламента использования ИИ для согласования с юристом.

Пример: голосовой бот в закрытом контуре

Ещё проекты — в кейсах внедрения ИИ.

Читайте также