Регламент использования ИИ в компании: что прописать и как ввести

Зачем нужна политика использования ИИ, если сотрудники уже пользуются нейросетями

По данным исследовательского центра SuperJob, опубликованным в июле 2026 года, искусственный интеллект в работе используют 44% офисных сотрудников, причём 3% делают это скрытно. Полный запрет на ИИ, по ответам работодателей, действует в 5% компаний. В остальных сотрудники используют нейросети каждый по своим правилам.

Первый риск касается данных. Менеджер вставляет в публичный чат-бот договор с ценами, бухгалтер просит свести таблицу с именами и телефонами клиентов. Текст уходит на серверы разработчика модели, часто зарубежного. В 2023 году Samsung Electronics подтвердила CNBC, что временно ограничила генеративный ИИ на рабочих компьютерах: по данным Bloomberg, сотрудники загрузили в ChatGPT внутренний исходный код.

Вторая проблема — ошибки модели, которые уходят наружу. В июне 2023 года федеральный суд Южного округа Нью-Йорка по делу Mata v. Avianca оштрафовал на 5 000 долларов двух адвокатов и их фирму: они подали ссылки на несуществующие судебные решения, которые сгенерировал ChatGPT.

С правами на результат тоже не всё ясно. По статье 1228 Гражданского кодекса автор — гражданин, творческим трудом которого создан результат. Если логотип или текст целиком сделала модель, автора-человека у него может не оказаться, и защищать такой результат как свой компании будет сложнее.

Что требуют законы в 2026 году

С 1 сентября 2026 года действует Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Он регулирует разработку и применение больших фундаментальных моделей, а внутреннего регламента на использование ИИ в компании не требует. Часть его норм вступит в силу 1 марта 2027 года, и три из них стоит учесть заранее:

• статья 9: у автора аудио- и визуальных материалов должна быть возможность поставить пометку о применении ИИ, ставить ли её, он решает сам;
• статья 10: сервис обязан сообщить пользователю, кому принадлежат права на созданный с его помощью результат и на каких условиях к нему есть доступ;
• статья 5: Правительство определит случаи, когда разрешены только суверенные или национальные модели; для уже работающих систем с данными в России требование отложено до 1 сентября 2032 года.

Закон о персональных данных № 152-ФЗ про нейросети отдельно не говорит, но работают его общие нормы. Статья 7 запрещает раскрывать персональные данные третьим лицам без согласия человека. Выгрузка клиентов, отправленная в зарубежный сервис, подходит под определение трансграничной передачи из статьи 3: данные получает иностранное юридическое лицо. Для такой передачи статья 12 требует заранее уведомить Роскомнадзор и получить от получателя сведения о защите данных. Если передача обернётся утечкой, штраф по статье 13.11 КоАП считают по числу людей в базе: юрлицу от 3 до 5 млн рублей за данные от 1 000 до 10 000 человек и до 15 млн рублей за базу больше 100 000 человек, при повторном нарушении — от 1 до 3% выручки.

Третий закон — о коммерческой тайне № 98-ФЗ. По его статье 10 режим тайны считается установленным, только когда компания утвердила перечень сведений, ограничила к ним доступ и ведёт учёт допущенных. Регламент по ИИ должен ссылаться на этот перечень, иначе сотрудник не знает, что именно ему запретили отправлять.

Какие разделы включить в регламент использования ИИ

Хороший регламент читается за 15 минут. Разделы:

1. Область действия: сотрудники, подрядчики, стажёры и личные устройства, если на них решают рабочие задачи.
2. Разрешённые сервисы: тип доступа (корпоративный или личный аккаунт) и задачи для каждого. Новый сервис добавляют после проверки службой ИБ.
3. Данные, которые нельзя передавать, с рабочей заменой для каждого запрета (таблица ниже).
4. Проверка человеком: цифры, даты, ссылки на законы и цитаты сверяют всегда, договоры и публикации смотрит второй проверяющий.
5. Пометка ИИ-контента: где компания ставит её по своему решению, например на изображениях людей и в материалах для клиентов.
6. Права на результат: что делать с логотипами и текстами, которые компания будет защищать как свои.
7. Инциденты и ответственность: куда сообщить, если данные ушли в сервис по ошибке, за сколько часов и какие меры последуют.
8. Обучение и пересмотр: кто учит новичков и когда документ обновляют.

Какие данные нельзя отправлять в нейросети

Классификацию лучше составлять вместе с руководителями отделов на реальных документах: юрист редко знает, что лежит в выгрузках отдела продаж.

У каждого запрета должна быть рабочая замена, иначе сотрудник решит задачу в обход правил. Обезличивание занимает пару минут: ФИО заменяют на «Клиент 1», «Клиент 2», телефоны и номера договоров удаляют, суммы округляют, если для задачи важна только структура таблицы.

Кто пишет регламент и как его ввести

Документ пишут вместе: юрист отвечает за персональные данные, тайну и права, служба ИБ за список сервисов, HR за ознакомление, руководитель направления за то, какие задачи нейросети решают в отделе. Владельцем назначьте одного человека, например руководителя ИБ.

1. Узнайте, кто и какими сервисами пользуется сейчас. Опрос без санкций за ответы даст честную картину.
2. Напишите черновик и проверьте его на одном отделе в течение двух-четырёх недель, например в маркетинге или поддержке.
3. Поправьте по итогам пилота: какие запреты мешали работать, каких сервисов не хватило.
4. Утвердите регламент приказом и ознакомьте сотрудников под подпись. Этого требует статья 22 ТК.
5. Проведите обучение на задачах отделов.

Без пятого шага регламент остаётся бумагой: сотрудник знает, что выгрузку клиентов отправлять нельзя, но не умеет обезличить её за две минуты. Мы в Robotext проводим обучение сотрудников нейросетям с отдельным модулем про безопасность: что можно передавать модели и какие правила снимают возражения службы ИБ. А в курсе по противодействию ИИ-угрозам есть модуль «Корпоративная политика: как пользоваться ИИ безопасно» с черновиком правил для согласования со службой безопасности.

Ошибки при внедрении правил использования нейросетей

Формулировку «пользуйтесь ИИ осторожно» нельзя проверить, и спросить за неё тоже нельзя. Пишите так: «таблицы с ФИО клиентов отправлять только после обезличивания».

Список сервисов без владельца устаревает: сервисы меняют условия хранения данных, и разрешённый вчера инструмент сегодня может хранить запросы за рубежом.

Чек-лист перед утверждением документа

• Есть перечень разрешённых сервисов с типом доступа и задачами
• Данные разделены на категории, у каждого запрета есть рабочая замена
• Регламент ссылается на перечень сведений, составляющих коммерческую тайну
• Описано, кто и что проверяет перед отправкой клиенту
• Есть порядок действий при утечке и срок, за который о ней сообщают
• Назначен владелец документа и дата пересмотра
• Сотрудники ознакомлены под подпись и прошли обучение