Любой промпт или прикрепленный файл, отправленный во внешнюю облачную LLM напрямую, покидает контролируемый периметр компании. Как только сотрудник нажал кнопку «Отправить», компания как оператор персональных данных теряет контроль над тем, где физически хранятся эти сведения, кто имеет к ним доступ и попадут ли они в выборку для дообучения модели.
152-ФЗ и LLM: ПДн в нейросети и как защитить компанию от штрафов
6 ноября 2026
17 мин
Рекрутер загружает резюме кандидата в ChatGPT, чтобы составить краткое саммари для нанимающего менеджера. Юрист копирует в Claude проект договора с реквизитами индивидуального предпринимателя для проверки рисков. Разработчик вставляет в DeepSeek фрагмент рабочего лога с ошибкой авторизации клиента.
Для бизнеса это ускорение рутины, но для Роскомнадзора каждый такой запрос — прямое нарушение Федерального закона № 152-ФЗ «О персональных данных» (далее - 152-ФЗ). С точки зрения регулятора отправка персональных данных во внешнюю языковую модель (LLM) квалифицируется как передача третьему лицу без правовых оснований, а при использовании зарубежных нейросетей — как нарушение правил локализации и незаконная трансграничная передача.
Главное правило безопасности при работе с ИИ
Почему отправка промпта в публичную LLM — это нарушение 152-ФЗ
Ввод текста в диалоговое окно облачной нейросети не является «личным использованием программы» по аналогии с локальным текстовым редактором или калькулятором. Технически запрос передается по сети на серверы вендора ИИ, сохраняется в оперативной и постоянной памяти, логируется для мониторинга безопасности и, в большинстве пользовательских тарифов, используется для дообучения алгоритмов.
В терминах 152-ФЗ в этот момент происходит полноценная обработка персональных данных (запись, накопление, хранение, извлечение, использование и передача), которая приводит к критическому нарушению — невозможности уничтожения данных (ст. 21 152-ФЗ). Если клиент отзовет согласие на обработку ПДн, компания обязана уничтожить данные в течение 30 дней и подтвердить это актом. Однако удалить скомпрометированные сведения из весов (weights) обученной языковой модели или из резервных копий стороннего облака технически невозможно.
Передача данных третьим лицам и отсутствие согласия субъекта
Чтобы компания имела право передать персональные данные (ПДн) клиента, сотрудника или контрагента внешнему сервису, должны одновременно выполняться два жестких юридических условия:
- Наличие согласия субъекта (ст. 6 и 9 152-ФЗ) на передачу своих данных конкретному третьему лицу. Неоднозначная формулировка в политике и в согласии, например, «мы используем современные ИИ-технологии», не имеет юридической силы. В согласии должны быть ясно указаны лица, которым передаются персональные данные, и лица, обрабатывающие их по поручению оператора, а также конкретная цель передачи данных.
- Наличие договора поручения обработки ПДн (ч. 3 ст. 6 152-ФЗ) между вашей компанией и владельцем языковой модели. Поручение устанавливает обязанность вендора LLM соблюдать конфиденциальность, требования ст. 18.1 и ст. 19 152-ФЗ и обеспечивать безопасности данных при обработке.
Использование зарубежных публичных сервисов, таких как OpenAI, Anthropic, Gemini и DeepSeek, для обработки персональных данных считается трансграничной передачей. Помимо условий, указанных выше, необходимо соблюдать требования ст.12 152-ФЗ. Также важно проверить, не нарушается ли требование локализации (ч. 5 ст. 18) при работе с этими сервисами.
Пример нарушение 152-ФЗ при работе с нейросетями
- Сотрудник компании копирует данные клиента в промпт
- Передача данных во внешний контур. Нарушение ч. 3 ст. 6 и ст. 9 152-ФЗ (нет согласия субъекта и поручения обработки)
- Сервер LLM в США / ЕС / Китае. Нарушение ст. 12 152-ФЗ (незаконная трансгран + локализация)
- Логирование и дообучение модели. Нарушение ст. 21 152-ФЗ (невозможно уничтожить данные по запросу)
Локализация баз данных (ч. 5 ст. 18) и трансграничная передача ПДн (ст. 12 152-ФЗ)
Даже если абстрагироваться от договора поручения, прямая отправка ПДн в иностранные нейросети упирается в территориальные ограничения:
- Требование локализации (ч. 5 ст. 18 152-ФЗ): при сборе персональных данных граждан РФ запись, систематизация, накопление и хранение должны осуществляться с использованием баз данных, находящихся на территории России.
- Трансграничная передача (ст. 12 152-ФЗ): перед отправкой любых ПДн на серверы иностранного государства оператор обязан провести оценку иностранного контрагента и предварительно подать уведомление в Роскомнадзор. Для стран, не обеспечивающих адекватную защиту прав субъектов ПДн (куда входят США и большинство стран со штаб-квартирами крупнейших ИИ-лабораторий), действуют особые ограничения, а РКН вправе запретить такую передачу.
Важно для DPO и юристов
Нарушение фиксируется в момент самого HTTP-запроса с реальными ПДн к зарубежному серверу. Даже если в настройках аккаунта ChatGPT отключена история чатов (Chat History & Training), технические логи на стороне провайдера сохраняются до 30 дней для предотвращения злоупотреблений, что уже образует факт трансграничной передачи.
Что именно нельзя отправлять в языковые модели: классификация данных и опасные сценарии
Согласно п. 1 ст. 3 152-ФЗ, персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. На практике сотрудники считают персональными данными только паспорт и ФИО, регулярно отправляя в нейросети десятки других идентификаторов.
Персональные данные в ежедневных задачах (HR, продажи, юристы, поддержка)
ПДн, не попадающие в категорию специальных и биометрических, чаще всего утекают через корпоративное и теневое использование ИИ (Shadow AI). К ним относятся: ФИО, дата и место рождения, адреса проживания, номера телефонов, адреса электронной почты, ИНН, СНИЛС, паспортные данные и т.д.
Матрица рисков по отделам: какие задачи приводят к компрометации ПДн
| Подразделение | Типовая задача в LLM | Какие ПДн попадают в промпт | Уровень риска по 152-ФЗ |
|---|---|---|---|
| HR и рекрутинг | Суммаризация резюме, оценка кандидатов, составление офферов и характеристик | ФИО, телефоны, email, ссылки на соцсети, полная история трудоустройства, желаемый доход, возраст, фото | Критический (систематическая передача ПДн кандидатов и сотрудников) |
| Юридический отдел | Вычитка договоров, составление допсоглашений, анализ судебных претензий физлиц и ИП | Паспортные данные подписантов и ИП, адреса регистрации, ИНН, банковские реквизиты, суть имущественных споров | Высокий (обработка без согласия на передачу + коммерческая тайна) |
| Отдел продаж и маркетинг | Анализ CSV-выгрузок из CRM, сегментация базы, генерация персонализированных писем | Клиентские базы с ФИО, телефонами, email, историей заказов, суммами чеков | Критический (массовая компрометация базы данных) |
| Клиентская поддержка (Support) | Генерация ответов на сложные тикеты и жалобы, перевод обращений | Переписка с клиентом, содержащая номера заказов, телефоны, адреса доставки | Высокий (систематическая передача ПДн клиентов) |
| Бухгалтерия и финансы | Помощь с формулами Excel на реальных таблицах, сверка актов | Табели учета рабочего времени, зарплатные ведомости, ФИО, СНИЛС, ИНН сотрудников и подрядчиков-самозанятых | Критический (компрометация финансовых данных, коммерческой тайны и кадровых ПДн) |
Специальные и биометрические категории данных (ст. 10 и ст. 11 152-ФЗ)
Обработка этих данных жестко регламентирована законом, а их утечка влечет максимальные штрафы:
- Специальные категории (ст. 10 152-ФЗ): сведения о состоянии здоровья, диагнозах, инвалидности, результатах медицинских анализов, а также данные о национальной принадлежности, религиозных убеждениях и судимости. Частый сценарий нарушения — загрузка в ИИ сканов листков нетрудоспособности, медицинских заключений в частных клиниках или материалов проверок кандидатов службой безопасности.
- Биометрические данные (ст. 11 152-ФЗ): физиологические и биологические особенности человека, на основании которых можно установить его личность (голос, изображение лица).
Косвенные и технические идентификаторы в работе IT и ИБ-отделов
Разработчики, QA-инженеры, DevOps и системные администраторы активно используют LLM (GitHub Copilot, Cursor, ChatGPT) для отладки кода, написания SQL-запросов и разбора инцидентов. При этом в промпты регулярно отправляются фрагменты продуктовых баз данных и сырые логи серверов.
Позиция Роскомнадзора и судебная практика однозначны: технические данные, которые позволяют прямо или косвенно выделить конкретного пользователя и связать его с действиями в системе, относятся к персональным данным.
Пример фрагмента лога, который разработчик вставляет в промпт для поиска ошибки:
JSON
{
"timestamp": "2026-10-14T14:22:09Z",
"level": "ERROR",
"service": "payment-gateway",
"user_id": "usr_8849201",
"email": "a.smirnov@corp-client.ru", // <-- Прямой идентификатор ПДн
"phone": "+79161234567", // <-- Косвенный идентификатор ПДн
"client_ip": "95.165.112.44", // <-- Косвенный идентификатор ПДн
"device_fingerprint": "dfp_99281a04b", // <-- Технический идентификатор
"session_token": "eyJhbGciOiJIUzI1Ni...", // <-- Критический риск ИБ (перехват сессии)
"error_msg": "Card validation failed for holder SMIRNOV ALEXEY"
}Отправка такого фрагмента во внешнюю модель одновременно нарушает 152-ФЗ и создает прямую угрозу информационной безопасности компании за счет утечки сессионных токенов, ключей API и структуры внутренней БД.
Спасает ли удаление ФИО и переход на российские нейросети? Разбор частых заблуждений
Попытки обойти ограничения 152-ФЗ «малой кровью» без выстраивания технических процессов защиты обычно приводят к ложному чувству безопасности. Разберем два главных мифа, с которыми мы сталкиваемся на аудитах.
Почему ручная замена имени на «Клиент №1» не считается обезличиванием по требованиям РКН
В компаниях часто издают устное распоряжение: «Перед отправкой договора или текста в нейросеть просто сотрите фамилию». С точки зрения закона и практики это не работает по трем причинам:
- Сохранение косвенной определяемости: если из документа убрать ФИО, но оставить должность, название организации, адрес объекта недвижимости, номер телефона, ИНН или уникальные параметры сделки, субъект остается определяемым. По 152-ФЗ такие данные не теряют статуса персональных.
- Требования регулятора к процедуре обезличивания: легальное обезличивание ПДн — это строго регламентированная процедура, исключающая возможность без использования дополнительной информации определить принадлежность данных конкретному субъекту. Ручное удаление слов через Ctrl+F таковым не признается.
- Человеческий фактор: в договоре на 40 страниц сотрудник удалит ФИО в преамбуле, но неизбежно пропустит его в реквизитах, колонтитулах, приложениях или таблицах.
Визуальное сравнение: почему ручная очистка не работает
| Что хотел сделать сотрудник | Текст промпта после «ручной» очистки | Почему это все еще нарушение 152-ФЗ |
|---|---|---|
| Проверить трудовой договор топ-менеджера без указания его имени | «Проверь риски в договоре с Клиентом №1, назначаемым на должность коммерческого директора ООО "ТехноПромЛогистик" (ИНН 7701234567), проживающим по адресу г. Москва, ул. Профсоюзная, д. 42, кв. 118, оклад 650 000 руб.» | По должности, ИНН компании и домашнему адресу физическое лицо однозначно устанавливается за 30 секунд. Объем переданных сведений полностью подпадает под 152-ФЗ. |
Единственный надежный способ убрать из текста как прямые, так и косвенные идентификаторы без участия человека — использовать автоматизированное потоковое маскирование данных на базе специализированного шлюза безопасности для ИИ, который вырезает чувствительные сущности до того, как запрос покинет контур компании.
Публичный чат-бот против корпоративного API и российских LLM (Алиса AI , GigaChat)
Второе популярное заблуждение: «Мы запретили зарубежный ChatGPT и разрешили сотрудникам пользоваться Алису AI и GigaChat — теперь мы полностью соблюдаем 152-ФЗ».
Переход на российские языковые модели действительно закрывает риски трансграничной передачи (ст. 12) и локализации баз данных (ч. 5 ст. 18), так как серверы расположены на территории РФ. Однако проблема незаконной передачи данных третьему лицу остается в полном объеме, если сотрудники используют публичные веб-интерфейсы с личных аккаунтов.
ООО «Яндекс» или ПАО “Сбербанк” по отношению к вашей компании являются сторонними юридическими лицами. Чтобы легально передавать в их облачную инфраструктуру сырые персональные данные ваших клиентов или сотрудников, необходимо:
- Использовать коммерческую облачную версию (B2B API), а не бесплатный пользовательский чат-бот.
- Заключить с провайдером договор поручения на обработку ПДн (ч. 3 ст. 6 152-ФЗ).
- Включить соответствующего облачного провайдера в перечень третьих лиц в согласиях на обработку ПДн, которые подписывают все ваши клиенты и сотрудники.
Если же компания подключает внешние модели через контур автоматического маскирования данных, проблема передачи ПДн третьим лицам и трансграничной передачи снимается архитектурно: во внешнюю нейросеть (как российскую, так и зарубежную) уходит только очищенный текст с синтетическими токенами, который не содержит персональных данных.
Статус соблюдения 152-ФЗ при разных вариантах работы с LLM
| Параметр комплаенса 152-ФЗ | Публичные зарубежные LLM напрямую | Публичные российские LLM (веб-чаты) | Российские LLM по B2B-договору | Любые LLM через шлюз маскирования ai.itgsecurity.ru | Локальные модели в контуре (On-Premise LLM) |
|---|---|---|---|---|---|
| Локализация ПДн в РФ (ч. 5 ст. 18) | ❌ Нет | ✅ Да | ✅ Да | ✅ Да (ПДн остаются в контуре) | ✅ Да |
| Отсутствие незаконного трансграна (ст. 12) | ❌ Нарушение | ✅ Соблюдено | ✅ Соблюдено | ✅ Соблюдено (в облако уходят токены) | ✅ Соблюдено |
| Соблюдение правил передачи 3-м лицам (ч. 3 ст. 6) | ❌ Нет поручения | ❌ Нет поручения | ✅ При сборе согласий | ✅ Не требуется (ПДн не передаются) | ✅ Передачи нет |
| Защита от дообучения на ваших данных | ❌ Обучаются | ❌ Логируются | ✅ Отключается | ✅ Чувствительные данные скрыты | ✅ Полный контроль |
| Затраты на внедрение и GPU-серверы | Минимальные | Минимальные | Низкие | Низкие (быстрый запуск) | Очень высокие (CAPEX на GPU) |
| Итоговый статус по 152-ФЗ | Запрещено | Нарушение ст. 6 | Требует юр. согласий | Полностью безопасно | Полностью безопасно |
Цена ошибки в 2026 году: штрафы и ответственность за передачу ПДн в нейросети
С ужесточением законодательства о персональных данных неконтролируемое использование ИИ сотрудниками перешло из разряда репутационных рисков в категорию прямых финансовых убытков.
Н3: Финансовые риски: от штрафов за нарушение правил обработки до оборотных штрафов за утечки (ст. 13.11 КоАП РФ)
В зависимости от того, как именно произошел инцидент и какой объем данных был отправлен в нейросеть, действия компании квалифицируются по нескольким частям ст. 13.11 КоАП РФ:
| Состав правонарушения при работе с LLM | Норма КоАП РФ | Штраф для должностных лиц | Штраф для юридических лиц |
|---|---|---|---|
| Обработка ПДн без оснований / передача в ИИ вразрез с целями сбора | ч. 1, ч. 1.1 ст. 13.11 | от 50 000 до 100 000 ₽ | от 150 000 до 300 000 ₽ |
| Обработка ПДн без письменного согласия субъекта (когда оно обязательно) | ч. 2, ч. 2.1 ст. 13.11 | от 100 000 до 300 000 ₽ | от 300 000 до 700 000 ₽ |
| Нарушение локализации баз данных ПДн граждан РФ (хранение в зарубежных ИИ-сервисах) | ч. 8, ч. 9 ст. 13.11 | от 100 000 до 200 000 ₽ | от 1 000 000 до 6 000 000 ₽ (повторно — до 18 000 000 ₽) |
| Неуведомление Роскомнадзора о неправомерной или случайной передаче ПДн в течение 24 часов с момента выявления. | ч. 11 ст. 13.11 | от 400 000 до 800 000 ₽ | от 1 000 000 до 3 000 000 ₽ |
| Неправомерная передача ПДн | ч. 12 - 14 ст. 13.11 | от 200 000 до 600 000 ₽ | от 3 000 000 до 15 000 000 ₽ |
| Неправомерная передача специальных категорий ПДн | ч. 16 ст. 13.11 | от 1 000 000 до 1 300 000 ₽ | от 10 000 000 до 15 000 000 ₽ |
| Неправомерная передача биометрических ПДн или специальных категорий ПДн | ч. 17 ст. 13.11 | от 1 300 000 до 1 500 000 ₽ | от 15 000 000 до 20 000 000 ₽ |
| Повторная утечка персональных данных (оборотный штраф) | ч. 15, ч. 18 ст. 13.11 | от 800 000 до 2 000 000 ₽ | от 1% до 3% годовой выручки ( не менее 20 млн ₽ и не более 500 млн ₽) |
Уголовная ответственность (ст. 272.1 УК РФ) и репутационный ущерб при компрометации данных
Помимо административных штрафов, в России действует ст. 272.1 УК РФ, устанавливающая уголовную ответственность за незаконное использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные. Примечательно, что ч. 4 ст. 272.1 УК РФ выделяет в качестве отягчающего квалифицирующего признака трансграничную передачу таких данных (с наказанием вплоть до лишения свободы на срок до 8 лет со штрафом до 2 млн рублей).
Например
Издать приказ «О запрете использования ChatGPT» недостаточно. Если сотрудник в обход бумажного запрета загрузит базу клиентов в зарубежную нейросеть и произойдет утечка, регулятор проверит фактическое наличие технических средств защиты (ст. 19 152-ФЗ). Отсутствие шлюзов маскирования, контроля трафика и DLP-политик будет расценено как непринятие оператором обязательных мер по защите ПДн.
Как легально и безопасно использовать LLM в бизнесе: 3 уровня защиты
Тотальная блокировка нейросетей неэффективна, сотрудники начинают пересылать рабочие файлы в личный Telegram или на личную почту, чтобы обработать их через смартфон с мобильным интернетом. В результате ИБ-служба полностью теряет видимость происходящего.
Чтобы сохранить продуктивность бизнеса и защитить компанию от штрафов за нарушение 152-ФЗ, безопасность выстраивается на трех взаимосвязанных уровнях.
1. Организационно-правовой уровень: аудит 152-ФЗ, регламенты и обучение сотрудников
Первым шагом компания приводит в порядок юридический контур и правила игры для персонала:
- Аудит процессов обработки ПДн и ИИ-инструментов: выявление подразделений, которые уже используют нейросети в работе, инвентаризация передаваемых категорий данных и проверка подрядчиков.
- Разработка корпоративного регламента использования ИИ: закрепление в локальных нормативных актах (ЛНА) перечня разрешенных корпоративных точек доступа к ИИ и прямого запрета на ввод ПДн, коммерческой тайны и исходного кода в публичные модели.
- Актуализация договорной базы и согласий: заключение договоров поручения обработки ПДн (ч. 3 ст. 6 152-ФЗ) с вендорами и обновление политик.
- Практическое обучение (Security Awareness): проведение тренингов для сотрудников HR, юристов, продаж и IT с разбором безопасной работы с промптами.
5 обязательных пунктов корпоративного регламента по работе с LLM:
- Белый список (Whitelist) разрешенных корпоративных ИИ-инструментов (единый корпоративный шлюз) и порядок получения доступа к ним.
- Четкий классификатор информации, запрещенной к отправке в открытые внешние промпты (все категории ПДн, токены, пароли, финансовая отчетность, документы с грифом КТ).
- Правила валидации (проверки человеком) любых результатов работы ИИ перед их отправкой клиентам или включением в код.
- Запрет на подключение сторонних ИИ-ботов (транскрибаторов, саммаризаторов) к корпоративным звонкам в Zoom, Контур.Толк, Яндекс Телемост или Teams без согласования с ИБ.
- Порядок действий сотрудника при случайной отправке чувствительных данных во внешнюю нейросеть.
2. Технический контроль периметра: выявление Shadow AI и блокировка ПДн через DLP и NGFW/CASB
Чтобы сотрудники не использовали обходные пути, периметр компании оснащается техническими средствами контроля:
- Контроль сетевого трафика (NGFW / SWG / CASB). Межсетевые экраны нового поколения и веб-шлюзы позволяют провести аудит теневого ИИ (Shadow AI) — увидеть, какие именно сотрудники, с каких хостов и в каком объеме передают трафик к сотням существующих ИИ-доменов. На уровне NGFW блокируются прямые обращения к публичным зарубежным чат-ботам, а трафик перенаправляется только через защищенный корпоративный шлюз.
- Предотвращение утечек на уровне контента (DLP-системы). Современные DLP-решения с агентами на рабочих станциях и HTTPS-инспекцией контролируют сетевую отправку форм в браузере, буфер обмена и прикрепление файлов, блокируя попытки загрузить клиентские базы в неавторизованные веб-интерфейсы.
- Круглосуточный мониторинг инцидентов (SOC). Интеграция алертов от DLP, NGFW и корпоративного ИИ-шлюза в центр мониторинга кибербезопасности (SOC) позволяет аналитикам оперативно реагировать на аномальную активность и пресекать утечки.
3. Архитектурный уровень: автоматическое маскирование данных и локальные модели
Что делать, если юристам, HR, аналитикам и разработчикам нужно ежедневно обрабатывать реальные договоры, резюме, таблицы и код с помощью самых мощных мировых и российских моделей (ChatGPT, Claude, DeepSeek, GigaChat, Алиса AI ), не нарушая 152-ФЗ и не тратя десятки миллионов рублей на закупку собственных GPU-серверов?
Для решения этой задачи мы разработали сервис потокового маскирования данных и безопасного доступа к нейросетям — AI PromptShield (ai.itgsecurity.ru.)
Как работает маскирование данных
Решение работает как интеллектуальный прокси-шлюз безопасности (AI Security Proxy) между сотрудниками вашей компании и любыми внешними языковыми моделями:
- Перехват запроса на лету: сотрудник работает в удобном едином интерфейсе (или через корпоративный API) и загружает рабочий документ — договор, резюме, таблицу или кусок кода с логами.
- Распознавание и маскирование: до того как запрос покинет контур компании, алгоритмы на базе специализированных ML-моделей распознавания именованных сущностей (NER) и регулярных выражений автоматически находят в тексте все прямые и косвенные ПДн (ФИО, паспорта, ИНН, СНИЛС, телефоны, email, адреса, номера карт и счетов), а также коммерческую тайну (названия компаний, суммы сделок, IP-адреса, API-ключи).
- Замена на синтетические токены: все чувствительные данные вырезаются и заменяются на безопасные контекстные плейсхолдеры (например, [PERSON_1], [INN_1], [COMPANY_A], [AMOUNT_1]). Таблица соответствия сохраняется строго внутри защищенного контура в РФ.
- Безопасная обработка во внешней LLM: во внешнюю нейросеть (ChatGPT, Claude, DeepSeek и др.) отправляется полностью обезличенный промпт. Поскольку в запросе физически отсутствуют персональные данные и секреты компании, факта передачи ПДн третьему лицу или трансграничной передачи не возникает.
- Обратная подстановка: когда языковая модель возвращает готовый ответ, шлюз—- за миллисекунды подставляет реальные ФИО, реквизиты и суммы обратно на места токенов. Сотрудник получает готовый к работе документ, даже не замечая технической трансформации.
Для организаций со сверхжесткими требованиями к закрытости контура (объекты КИИ, госсектор, оборонная промышленность) мы также разворачиваем локальные языковые модели (On-Premise LLM) на серверах заказчика в связке со шлюзом AI PromptShield для разграничения ролевого доступа сотрудников к данным внутри самой компании.
Наглядный пример трансформации промпта в AI PromptShield
- Что вводит юрист в рабочее окно:
«Проверь пункт об ответственности в договоре подряда с ИП Смирновым Алексеем Викторовичем (ИНН 771509876543, тел. +7 916 555-44-33, г. Москва, ул. Ленина, д. 15) на сумму 1 450 000 рублей». - Что реально уходит по сети во внешнюю LLM после маскирования:
«Проверь пункт об ответственности в договоре подряда с ИП [PERSON_1] (ИНН [TAX_ID_1], тел. [PHONE_1], [ADDRESS_1]) на сумму [AMOUNT_1]». - Что видит юрист на экране после ответа модели:
Полностью осмысленный юридический разбор с автоматически возвращенными на место ФИО и реквизитами ИП Смирнова А. В. Ни один байт персональных данных или коммерческой тайны не покинул периметр компании.
Чек-лист для руководителя и ИБ-специалиста: проверьте компанию на уязвимость к ИИ-утечкам
Оцените текущую защищенность вашей инфраструктуры по 7 контрольным вопросам:
- Видимость трафика (Shadow AI): Вы точно знаете, сколько сотрудников вашей компании прямо сейчас используют ChatGPT, Claude, DeepSeek или Copilot с рабочих устройств?
- Автоматическое маскирование ПДн: Проходят ли запросы ваших сотрудников через шлюз маскирования данных, который автоматически вырезает ФИО, ИНН, телефоны и суммы до отправки текста во внешнюю нейросеть?
- Контроль контента (DLP): Ваша DLP-система умеет перехватывать и блокировать прямую отправку текстовых промптов и файлов в неавторизованные веб-интерфейсы ИИ в обход корпоративного шлюза?
- Правовой контур: Со всеми используемыми в бизнесе облачными подрядчиками заключены договоры поручения на обработку персональных данных, а базы локализованы в РФ? Со всех субъектов персональных данных взяты согласия на передачу персональных данных?
- Локальные нормативные акты: Сотрудники под подпись ознакомлены с регламентом допустимого использования технологий искусственного интеллекта и перечнем данных, запрещенных к вводу в открытые нейросети?
- Готовность к инцидентам: В компании выстроен процесс мониторинга и реагирования, позволяющий выявить факт компрометации ПДн и при необходимости уведомить Роскомнадзор в установленные законом 24 часа?
Если вы ответили «Нет» хотя бы на один пункт — бизнес находится в зоне риска штрафов по ст. 13.11 КоАП РФ и потери контроля над чувствительными данными.
Легализуйте работу с нейросетями и защитите персональные данные с ITG Security
Не выбирайте между скоростью бизнеса и соблюдением закона. Команда ITG Security поможет перевести использование искусственного интеллекта в вашей компании в полностью безопасное и легальное русло:
- Подключим сервис автоматического маскирования данных: дадим вашим сотрудникам безопасный доступ к передовым языковым моделям. Все персональные данные (152-ФЗ), финансовые показатели и коммерческая тайна будут автоматически маскироваться на лету внутри вашего контура без потери смысла ответов.
- Проведем аудит по 152-ФЗ и обследование трафика на Shadow AI: покажем реальную картину того, какие данные и в какие ИИ-сервисы отправляют сотрудники прямо сейчас, и подготовим полный пакет регламентов и ЛНА, необходимых по требования 152-ФЗ.
- Настроим техническую защиту периметра (DLP, NGFW, SOC): закроем прямые обходные пути к неавторизованным нейросетям и выстроим круглосуточный мониторинг инцидентов информационной безопасности.
