Генеративный искусственный интеллект (ИИ) все чаще применяется для решения рабочих задач. Сотрудники используют его для подготовки документов, анализа информации, написания программного кода, создания презентаций и автоматизации рутинных процессов.

Эмилия Феер

Консультант отдела систем менеджмента кибербезопасности Infosecurity

Содержание

Почему ИИ становится вопросом информационной безопасности
Основные риски генеративного ИИ
Как обеспечить безопасную работу с ИИ в компании
Типичные ошибки компаний при работе с искусственным интеллектом
С чего начать
Читайте также

ИИ помогает быстрее выполнять многие задачи и работать с большими объемами информации. При этом его использование требует новых подходов к защите и контролю данных.

Почему ИИ становится вопросом информационной безопасности

Работа с ИИ связана с передачей и обработкой данных. При использовании внешних сервисов информация может выходить за пределы корпоративной среды. В таком случае компания не всегда может контролировать, где хранятся данные и как они используются.

Дополнительные риски возникают, когда сотрудники самостоятельно выбирают ИИ-сервисы для рабочих задач. Если такие инструменты не согласованы с подразделением информационной безопасности или ИТ-службой, их относят к Теневому ИИ. В результате компания может не знать, какие сервисы используют сотрудники и какие данные в них передают. Это создает дополнительные риски для информационной безопасности.

Основные риски генеративного ИИ

1. Утечка конфиденциальной информации

При работе с публичными ИИ-сервисами сотрудники могут случайно передать:

внутренние документы;
персональные данные;
коммерческую тайну;
программный код;
финансовую информацию.

После передачи данных организация зачастую уже не может полностью контролировать их дальнейшую обработку. Поэтому необходимо заранее определить, какую информацию можно передавать внешним ИИ-сервисам. Остальные данные должны оставаться внутри корпоративного контура.

2. Промпт-инъекция

Промпт-инъекция (Prompt Injection) – это способ воздействия на искусственный интеллект с помощью специально подготовленных инструкций. Они заставляют его выполнять нежелательные действия или игнорировать установленные ограничения.

Такие инструкции могут передаваться напрямую или находиться в документах, веб-страницах и других материалах, которые обрабатывает ИИ. В результате система может выдать неверный ответ, раскрыть конфиденциальную информацию или выполнить нежелательное действие.

3. Нарушение требований законодательства и договорных обязательств

Работа с внешними ИИ-сервисами может привести к нарушению требований по защите персональных данных и коммерческой тайны. Также могут быть нарушены условия договоров с заказчиками. Это возможно, если сотрудник передает в сервис сведения, которые запрещено раскрывать третьим лицам.

Как обеспечить безопасную работу с ИИ в компании

Многие организации уже пришли к выводу, что полностью запретить генеративный ИИ практически невозможно. Поэтому международные организации и ведущие технологические компании рекомендуют выстраивать систему управления ИИ. Она позволяет применять преимущества технологии и снижать риски информационной безопасности.

1. Разработайте понятные правила работы с ИИ

Одной из частых причин появления Теневого ИИ является отсутствие понятных внутренних правил. Сотрудники должны знать, какие сервисы разрешены, какие данные можно передавать и в каких случаях допустимо применять ИИ. Иначе им приходится принимать такие решения самостоятельно.

Необходимо определить:

категории разрешенных ИИ-сервисов, например локальные модели, корпоративные решения и публичные облачные сервисы, а также правила для каждой категории;
перечень ИИ-сервисов, которые сотрудники могут применять в работе;
категории данных, которые запрещено передавать во внешние сервисы;
ответственных за подключение новых ИИ-инструментов.

Политика должна быть понятна всем сотрудникам. В ней следует привести практические примеры допустимой и недопустимой работы с ИИ.

2. Классифицируйте данные перед передачей в ИИ

Безопасная работа с ИИ начинается с классификации данных. Она помогает определить, какую информацию можно передавать в соответствующие сервисы.

Необходимо определить, какие данные:

разрешено использовать без ограничений;
можно передавать только после обезличивания;
запрещено передавать внешним поставщикам.

3. Оценивайте риски ИИ

Искусственный интеллект может создавать различные риски для организации. Поэтому оценку необходимо проводить не только перед внедрением нового инструмента, но и во время его работы. Уровень риска зависит от решаемых задач, обрабатываемых данных и возможностей конкретного сервиса.

При оценке рекомендуется определить:

какие ИИ-сервисы и системы применяются в организации;
для каких задач они нужны и какие данные обрабатывают;
какие угрозы связаны с их работой;
к каким последствиям они могут привести;
какие меры нужны для снижения рисков;
как будет проходить дальнейший контроль и пересмотр рисков.

4. Обучайте сотрудников безопасной работе с ИИ

Большинство инцидентов связано не с техническими уязвимостями моделей, а с ошибками пользователей.

Поэтому обучение сотрудников должно охватывать не только возможности генеративного ИИ, но и вопросы информационной безопасности:

какие данные запрещено загружать;
как распознавать недостоверные ответы;
как проверять полученные результаты;
какие сервисы разрешены компанией;
куда обращаться при возникновении вопросов.

5. Используйте технические средства защиты

При работе с корпоративными ИИ-системами одних организационных мер может быть недостаточно. Для дополнительной защиты можно применять специальные решения, например LLM Firewall.

Такие средства позволяют контролировать данные, которые передаются в ИИ и поступают от него. Они также помогают выявлять потенциально опасные запросы и ограничивать нежелательные действия. В частности, их можно применять для обнаружения промпт-инъекций и предотвращения передачи чувствительной информации.

Типичные ошибки компаний при работе с искусственным интеллектом

Практика показывает, что многие проблемы с генеративным ИИ возникают не из-за недостатков самой технологии, а из-за отсутствия процессов управления. Во многих организациях такие инструменты внедряются быстрее, чем появляются внутренние правила работы с ними.

Ошибка №1. Запрет вместо управления

После появления генеративного ИИ многие организации пытались полностью запретить ChatGPT и аналогичные сервисы. Однако практика показала, что подобные запреты редко работают.

По данным исследования Deloitte, 65% сотрудников используют бесплатные внешние сервисы генеративного ИИ или самостоятельно оплачивают подписку. При этом только 35% работают в организациях, которые предоставляют корпоративные ИИ-инструменты.

Ошибка №2. Отсутствие Политики ИИ

Одной из главных проблем остается отсутствие формализованной политики. Без нее организации не могут эффективно контролировать работу с ИИ и управлять связанными рисками. Также становится сложнее предотвращать применение сотрудниками несанкционированных ИИ-инструментов.

Согласно IBM Cost of a Data Breach Report 2025:

97% организаций, пострадавших от инцидентов, связанных с ИИ, сообщили об отсутствии надлежащих механизмов контроля доступа к ИИ;
63% из 600 опрошенных организаций не имеют политики, которая регулирует работу сотрудников с ИИ.

Ошибка №3. Отсутствие контроля Теневого ИИ

Применение сотрудниками несанкционированных ИИ-сервисов приводит к потере контроля над передаваемыми данными. Это повышает риск утечки конфиденциальной информации и может привести к нарушению законодательных и договорных требований.

Ошибка №4. Отсутствие проверки результатов ИИ

Пользователи могут переоценивать достоверность ответов генеративного ИИ. Поэтому полученные результаты необходимо проверять перед дальнейшим применением. Особенно это важно при подготовке документов, анализе информации и принятии решений.

Ошибка №5. Отсутствие технических мер защиты

При работе с корпоративными ИИ-системами одних организационных мер недостаточно. Необходимо разграничивать права доступа и применять принцип минимальных привилегий. Технические средства защиты также помогут контролировать данные и выявлять потенциально опасные запросы.

С чего начать

Безопасное использование ИИ начинается с понимания того, как такие инструменты уже применяются в компании. Прежде чем определять ограничения и внедрять меры защиты, важно получить представление о существующих сценариях работы с ИИ и связанных с ними рисках.

В качестве первых шагов можно:

определить, какие ИИ-сервисы уже используются сотрудниками и подразделениями, например путем проведения интервью с работниками, анализа данных DLP, NGFW и других средств мониторинга;
описать основные направления и сценарии использования ИИ: работу с документами и программным кодом, автоматизацию процессов, выполнение пользовательских запросов и другие задачи;
установить, где используются ИИ-системы: в локальном контуре, корпоративной внешней инфраструктуре или публичных облачных сервисах;
проанализировать, какие данные передаются в ИИ и какие риски могут при этом возникать;
сформировать матрицу допустимого использования ИИ, в которой установить, какие типы ИИ-систем можно использовать для различных рабочих задач;
установить перечень разрешенных ИИ-инструментов;
выбрать необходимые организационные и технические меры защиты.

Определение правил и мер защиты рекомендуется проводить на основе полученной выше информации с учетом реальных сценариев использования ИИ и связанных с ними рисков. Такой подход сделает применение ИИ более безопасным и контролируемым, упростит работу сотрудников, сократит время на выполнение рутинных задач и позволит эффективнее использовать возможности ИИ.

Остались вопросы?

Оставьте свои контактные данные, чтобы мы могли связаться с вами для дальнейших шагов.

КИИ

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Постановление № 92 от 06.02.2026: новые правила категорирования КИИ в банках, ежегодная отчётность, штрафы по ст. 13.12.2 КоАП и что делать банкам.

06.11.2026

Читать

Законодательство

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Когда cookie считаются персональными данными, какие можно без согласия, что указать в cookie-баннере и почему мало политики конфиденциальности.

07.11.2026

Читать

Ai / Безопасность ИИ

Этапы подготовки к сертификации ISO/IEC 42001

Что такое ISO/IEC 42001 и как подготовиться к сертификации: структура стандарта, 5 этапов от обследования до аудита, цикл PDCA.

10.11.2026

Читать

Сертификация ISO

10 шагов по внедрению ISO/IEC 27001

Пошаговый план внедрения ISO/IEC 27001 в 10 шагов: от области применения СУИБ до внутреннего аудита. Типовой срок подготовки — 5–12 месяцев.

05.11.2026

Читать

Другие статьи

Все статьи

Получайте новости из мира кибербезопасности, полезные материалы и специальные предложения для бизнеса. Отправляем только актуальную информацию — без лишних писем.

Оставайтесь на шаг впереди

Дайджесты

Акции

Чек-листы

Памятки

Новые услуги

Как безопасно использовать искусственный интеллект в компании

Содержание

Почему ИИ становится вопросом информационной безопасности

Основные риски генеративного ИИ

1. Утечка конфиденциальной информации

2. Промпт-инъекция

3. Нарушение требований законодательства и договорных обязательств

Как обеспечить безопасную работу с ИИ в компании

1. Разработайте понятные правила работы с ИИ

2. Классифицируйте данные перед передачей в ИИ

3. Оценивайте риски ИИ

4. Обучайте сотрудников безопасной работе с ИИ

5. Используйте технические средства защиты

Типичные ошибки компаний при работе с искусственным интеллектом

Ошибка №1. Запрет вместо управления

Ошибка №2. Отсутствие Политики ИИ

Ошибка №3. Отсутствие контроля Теневого ИИ

Ошибка №4. Отсутствие проверки результатов ИИ

Ошибка №5. Отсутствие технических мер защиты

С чего начать

Читайте также:

Остались вопросы?

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Этапы подготовки к сертификации ISO/IEC 42001

10 шагов по внедрению ISO/IEC 27001

Другие статьи

feeds:title