Абсолютный дайджест

Многомиллионные штрафы — вот что бывает, если компания внедряет ИИ, не думая об этике. Как не попасть под штрафы и превратить ИИ из нагрузки в конкурентное преимущество? Рассказывает Егор Сапун («Рег.облако»)

Бизнес все активнее внедряет ИИ — уже 45% российских компаний используют его в маркетинге и аналитике. Регуляторы внимательно следят за тем, чтобы при этом они руководствовались законом и этикой.

Как избежать штрафов?

Оценка и классификация рисков

Законодательство в сфере ИИ в России еще формируется, однако риски реальны и вытекают из других нормативных актов. Вот основные:

• Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ — ключевой регуляторный риск: персональные данные россиян должны первично храниться в РФ, даже если для их обработки используется зарубежный ИИ или иностранный API. С 30 мая 2025 года ответственность за нарушения в области персональных данных ужесточились: щтрафы для юридических лиц теперь могут достигать 6 млн руб., а при повторных нарушениях — 18 млн;
• отраслевые нормы. Использование ИИ в финансах, медицине или госуслугах накладывает повышенные отраслевые требования и привлекает внимание контролирующих органов, таких как ЦБ, и Росздравнадзор;
• дискриминация и конкуренция. Алгоритм, необоснованно ограничивающий доступ к услугам или предлагающий разные условия, может быть расценен как инструмент нарушения федерального закона «О защите конкуренции» от 26.07.2006 № 135-ФЗ.

Приведу шаги, которые стоит проделать компаниям для снижения этих рисков.

1. Проведите инвентаризацию бизнес-процессов.

Выявите все процессы, где задействованы ИИ-сервисы, особенно те, которые используют персональные данные. Например, интернет-магазин электроники заметил, что его чат-бот в Telegram не только отвечает на вопросы, но и сохраняет для анализа историю диалогов с именами и номерами телефонов клиентов. Это обработка персональных данных с помощью алгоритма.

2. Классифицируйте риски по уровню угрозы.

Присвойте каждому сервису категорию риска.

• Высокий. Обрабатывает чувствительные персональные данные (биометрию, финансы) или влияет на права в регулируемых отраслях (к примеру, кредитный скоринг в банке, использующий ИИ для анализа транзакций и соцсетей заемщика).
• Средний. Использует персональные данные пользователей для маркетинга или техподдержки. Это может быть чат-бот службы поддержки интернет-магазина, обрабатывающий историю покупок и контакты клиентов.
• Низкий. Использует анонимные или публичные данные для творческих или внутренних задач. Пример: ИИ-генератор идей для рекламных креативов, работающий только с обезличенными трендами.

3. Создайте внутренний реестр сервисов.

Зафиксируйте для каждого сервиса назначение, категорию риска, тип данных, ответственного и план аудита.

Например, розничная сеть указала: система — «Умный подбор товаров», категория риска — средний: назначение — персонализированные рекомендации на сайте, тип данных — история покупок и просмотров клиентов, ответственный — начальник отдела аналитики, план аудита — раз в полгода проверять логи на предмет корректности.

Технические меры

По итогам оценки рисков вы поймете, где нужны дополнительные меры защиты — технические настройки и правила работы. Направлений три.

Работа с данными: безопасность с первого шага

Основное правило — берите только минимум необходимых данных и надежно их защищайте.

Перед обучением моделей обезличивайте данные. Для отдельных задач можете создавать искусственные наборы данных, которые не содержат информации о реальных людях.

Помните: вы должны четко понимать, какие данные где хранятся, зачем нужны и когда их следует удалить.

Развитие алгоритмов: честность и прозрачность

Чтобы ИИ принимал справедливые решения, «воспитывайте» его.

Перед запуском ответственных систем (например, для кредитования или найма) тестируйте алгоритмы на наличие скрытых предубеждений, которые могут необоснованно ухудшать условия для отдельных групп людей. Для критически важных решений модель должна объяснять, почему пришла к тому или иному выводу.

В чувствительных сценариях сохраняйте за человеком право окончательного вердикта. Например, банк тестировал кредитную скоринговую модель, аналитики обнаружили, что при прочих равных заявки от соискателей, указавших в качестве места жительства определенные районы, систематически получают более низкий балл. Банк устранил этот нежелательный паттерн, чтобы не нарушать права граждан.

Защита системы: ИИ — объект для атаки

ИИ-модель — не просто код, а актив, который нуждается в особой охране. Стандартных проверок безопасности недостаточно. Оценивайте, насколько алгоритм устойчив к манипуляциям входными данными и защищен от утечки конфиденциальной информации.

Храните модели и их обучающие данные в условиях конфиденциальности, обеспечивая им правовой и технический статус коммерческой тайны.

Регулярно мониторьте работу модели, чтобы вовремя заметить падение качества работы.

Управление и культура

Технические меры — каркас, но без правильных процессов и людей он останется пустым. Суть ответственности в сфере ИИ — сделать этику естественной частью рабочего потока, а не дополнительной нагрузкой. Это вопрос управления и корпоративной культуры.

1. Закрепите ответственность.

Определите, кто отвечает за конечный результат работы ИИ-системы, кто следит за соблюдением закона о данных, а кто готов разбирать сложные этические дилеммы.

Пример: за конечный результат работы системы отвечает владелец продукта или бизнес-руководитель — он определяет цели и несет ответственность за итоговый эффект и ценность. За соблюдение закона о данных отвечает юрист — он обеспечивает легальность сбора и обработки данных, следуя регуляторным нормам. За этические дилеммы отвечает технический руководитель или руководитель продукта.

2. Разработайте этическую хартию.

Хартия — не сложный юридический документ, а набор простых принципов на языке бизнеса: кто и за что несет ответственность, как обеспечивает справедливость и почему человек всегда остается в контуре важных решений. Документ станет общим ориентиром для всех отделов.

Пропишите в хартии, что решения, влияющие на жизнь и права людей, всегда принимаются или окончательно утверждаются человеком. Или, например, что сбор и обработка данных всегда происходят легально, прозрачно и с уважением к приватности пользователей.

3. Встройте принципы из хартии в процессы.

Сделайте оценку этических рисков обязательным этапом перед запуском любого ИИ-проекта. Это поможет предвидеть не только технические, но и репутационные последствия.

Обучайте работе с ИИ всех сотрудников, а не только технических специалистов. К примеру, разработчикам нужны практические навыки по выявлению предвзятости, а руководителям и заказчикам из бизнеса — понимание, как их запросы могут невольно создать проблемный алгоритм. Когда каждый сотрудник компании осознает свою роль, ИИ перестанет быть нагрузкой и станет конкурентным преимуществом.

Ответственный ИИ — уже не философская концепция, а практический инструмент управления рисками и создания конкурентных преимуществ. Компании, которые внедряет этичные практики первыми, превращают ИИ из потенциальной угрозы в стратегический актив.

Автор: Егор Сапун, руководитель направления сертификации инфраструктуры «Рег.облака»

Источник: Как пользоваться ИИ и не нарушить закон: руководство для бизнеса