ИИ в бизнесе: как внедрять автоматизацию без нарушений законодательства

Интерес бизнеса к искусственному интеллекту продолжает расти. Компании внедряют чат-ботов, голосовых помощников, системы обработки обращений клиентов, автоматизируют продажи и внутренние процессы. Однако вместе с технологическими преимуществами появляются и юридические риски.

На практике многие компании уделяют внимание функциональности решения, но не всегда анализируют вопросы хранения данных, передачи информации и соблюдения требований законодательства о персональных данных. Именно эти аспекты нередко становятся источником претензий со стороны контролирующих органов.

Почему использование ИИ связано с юридическими рисками

Само по себе применение искусственного интеллекта не запрещено и не требует получения специальных разрешений. Основные риски возникают не из-за технологии как таковой, а из-за того, каким образом организована работа системы.

Большинство ИИ-сервисов функционирует через облачную инфраструктуру. Для обработки запросов пользователей информация может передаваться на серверы третьих лиц, расположенные за пределами России. Если вместе с запросом передаются сведения, позволяющие идентифицировать человека, компания должна учитывать требования законодательства о персональных данных.

Проблема заключается в том, что многие организации не всегда понимают, какие именно данные фактически передаются в нейросеть. Даже обычный диалог с клиентом может содержать фамилию, номер телефона, адрес электронной почты, сведения о заказе или иную информацию, относящуюся к персональным данным.

Особое внимание — к трансграничной передаче данных

Одним из наиболее чувствительных вопросов остается передача персональных данных за пределы Российской Федерации.

Если ИИ-решение использует зарубежную инфраструктуру или иностранные сервисы обработки данных, компании необходимо заранее оценить законность такой передачи и соблюдение всех обязательных процедур.

При отсутствии надлежащей правовой подготовки использование внешних сервисов может привести к нарушениям требований законодательства о персональных данных, административным штрафам и предписаниям об устранении нарушений.

Поэтому перед запуском ИИ-проектов рекомендуется проводить предварительный аудит используемых информационных систем и каналов передачи данных.

Архитектура решения имеет значение

С юридической точки зрения ключевое значение имеет не название нейросети, а архитектура конкретного решения.

На практике можно выделить несколько вариантов организации работы ИИ-систем.

Использование внешних облачных сервисов. В этом случае информация пользователей передается стороннему поставщику услуг для обработки. Такой подход обычно наиболее прост в реализации, но связан с максимальным количеством правовых вопросов.

Смешанная модель. Данные частично хранятся внутри компании, а отдельные запросы направляются во внешние сервисы для генерации ответов. Риски в такой модели ниже, однако они сохраняются и требуют дополнительного анализа.

Локальное развертывание. Модель и база данных размещаются в собственной инфраструктуре организации либо на серверах, полностью контролируемых компанией. Такой подход обеспечивает наибольший уровень контроля над информацией и позволяет существенно снизить юридические риски.

Что проверить перед заключением договора с подрядчиком

При выборе поставщика ИИ-решений важно оценивать не только стоимость внедрения и перечень функций.

До подписания договора целесообразно выяснить:

• где физически размещаются серверы и оборудование;
• кто получает доступ к обрабатываемым данным;
• используются ли зарубежные облачные сервисы;
• возможно ли развернуть систему в инфраструктуре заказчика;
• какие меры информационной безопасности применяются;
• предусмотрены ли в договоре гарантии соблюдения требований законодательства о персональных данных.

Если подрядчик не может четко объяснить схему обработки данных и место их хранения, это может свидетельствовать о недостаточной проработке решения с юридической точки зрения.

Какие документы стоит подготовить компании

Для снижения рисков одного технического решения недостаточно. Необходимо также обеспечить надлежащее документальное сопровождение процессов обработки данных.

В зависимости от особенностей проекта компании могут потребоваться:

• актуализированная политика обработки персональных данных;
• локальные акты, регулирующие использование информационных систем;
• соглашения с подрядчиками об обработке данных;
• документы, подтверждающие соблюдение требований при передаче информации третьим лицам;
• внутренние регламенты использования ИИ-инструментов сотрудниками.

Наличие такой документации позволяет подтвердить, что организация контролирует процессы обработки данных и принимает необходимые меры для соблюдения законодательства.

Внедрение искусственного интеллекта сегодня становится не только технологическим, но и юридическим проектом. Перед запуском автоматизации важно оценить не только эффективность решения, но и порядок обработки данных, место их хранения, а также распределение ответственности между компанией и подрядчиком.

Чем раньше эти вопросы будут проработаны, тем ниже вероятность столкнуться с претензиями регуляторов, финансовыми потерями и необходимостью срочно перестраивать уже внедренную систему.