По данным «Солара», в 2025 году объём конфиденциальных данных, которые сотрудники российских компаний загрузили в бесплатные нейросети, вырос в 30 раз, а 46% таких файлов прошли через ChatGPT. Запреты здесь не помогают: люди уходят в личные аккаунты, и компания теряет контроль. Работает короткая политика из 10 пунктов: какие сервисы разрешены, какие данные туда нельзя загружать, кто отвечает за результат, как маркировать контент и где хранятся промпты. Ниже шаблон для отдела маркетинга с учётом 243-ФЗ и статьи 50 EU AI Act.
Зачем политика, если закон её не требует
243-ФЗ не обязывает бизнес иметь политику использования ИИ. Риски от этого не исчезают. Коммерческая тайна и персональные данные клиентов уходят в чужие сервисы, по данным «Солара» в большинстве компаний нет правил работы сотрудников с нейросетями. За утечку данных работодателя в ChatGPT или за непроверенный ИИ-отчёт, который привёл к убыткам, сотрудника вполне могут уволить.
Есть и менее заметный риск: наработки уходят вместе с человеком. Если сотрудник работал в личном аккаунте нейросети, его промпты, проекты и история уйдут с ним. Компании, которые работают с пользователями из ЕС, вдобавок обязаны раскрывать применение ИИ по статье 50 AI Act.
10 пунктов шаблона
- Разрешённые сервисы. Список нейросетей для рабочих задач и через какие аккаунты ими пользоваться. Всё остальное по согласованию.
- Корпоративные аккаунты. Рабочие задачи только в аккаунтах компании, чтобы промпты, проекты и история оставались у компании.
- Классы данных. Публичные материалы можно загружать куда угодно из списка. Внутренние документы без персональных данных только в одобренные сервисы. Персональные данные клиентов, коммерческая тайна и финансы только в модель в своём контуре.
- Персональные данные. Перед отправкой в модель имена и контакты заменяются на внутренние номера, обработка идёт с учётом 152-ФЗ.
- Ответственность. За результат, сделанный с ИИ, отвечает человек, который его выпустил.
- Проверка фактов. Цифры, цитаты, юридические формулировки и названия перепроверяются до публикации.
- Маркировка. Где команда ставит пометку о применении ИИ: сгенерированные фото товаров, синтетические голоса и лица, чат-боты. Для пользователей из ЕС пометка обязательна по статье 50 AI Act.
- Реклама. Креативы, сделанные ИИ, маркируются как реклама так же, как любые другие.
- Права. Кому принадлежат результаты, сделанные с ИИ, и что об этом сказано в договорах с подрядчиками.
- Библиотека промптов. Общее хранилище промптов и ToV-файлов, у которого есть владелец и порядок обновления.
Как внедрить без запретительного тона
Теневой ИИ появляется там, где у сотрудника нет удобного разрешённого способа сделать работу. Поэтому политика начинается со списка того, что можно, и с корпоративного доступа к хорошим инструментам. Запреты идут вторым абзацем.
На внедрение хватит одной встречи на час: что разрешено, какие данные нельзя загружать, кто отвечает и куда писать, если что-то пошло не так. Политику на 30 страниц никто не прочитает, одну страницу запомнят.
Как обновлять
У политики должен быть владелец, чаще всего руководитель маркетинга вместе с ИБ. Пересматривай её раз в квартал и при изменениях закона: подзаконные акты к 243-ФЗ ожидаются до 1 марта 2027 года. Каждый инцидент, например загрузку клиентской базы в публичный чат, записывай и превращай в правило.
Что осталось в записи и презентации
Как распределить роли, инфраструктуру и юридику при внедрении ИИ, обсуждали на Open Talk «Культура изменений» с модератором Михаилом Петровым (QRact). Его тезис: ИИ уже делает от 50 до 70% разработки, и крупные компании выращивают своих вайб-кодеров внутри. Значит, политика нужна каждому, кто собирает инструменты сам, а юристы лишь один из её адресатов. Разговор целиком есть в записи.
Получить запись и материалы конференции →
Читайте по теме: Безопасность ИИ: закрытый контур и 152-ФЗ · Культура изменений при внедрении ИИ · EU AI Act с 2 августа 2026