Почему запрет иностранных нейросетей не защитит данные компании

Рост популярности генеративных нейросетей поставил перед бизнесом новую дилемму: запретить сотрудникам использовать ИИ или разрешить, но с оговорками. Практика показывает, что первый путь не работает — персонал находит обходные способы, а данные всё равно утекают. При этом риски не исчезают и после внедрения корпоративного ИИ: сотрудники продолжают обращаться к внешним сервисам для решения отдельных задач. На вебинарах Directum специалисты компании регулярно отвечают на вопросы о том, как защитить чувствительную информацию и при этом не отказываться от передовой технологии. Ниже — ключевые тезисы, которые стоит учитывать при выстраивании политики безопасности ИИ в организации.

Подробности

Проблема носит системный характер. Сотрудники российских компаний используют нейросети для решения рабочих задач, проводят пилотные внедрения и проверяют гипотезы — и в процессе нередко «сливают» корпоративные данные. Риски возникают в двух сценариях:

• Использование ИИ в обход ИТ-контура компании. Сотрудник обращается к внешнему сервису напрямую, минуя корпоративные средства контроля. Данные уходят за пределы периметра без ведома службы ИБ.
• Использование внешних нейросетей даже при наличии корпоративного ИИ. Даже после внедрения внутреннего решения часть персонала продолжает работать с публичными сервисами — например, потому что они удобнее или функциональнее.

Прямой запрет иностранных нейросетей проблему не решает: сотрудники либо находят обходные пути, либо теряют в продуктивности. Кроме того, полный запрет не учитывает, что ИИ уже стал рабочим инструментом, а не экспериментом. В материале Directum отмечается, что количество уязвимостей в системе безопасности организаций растёт вместе с ростом популярности технологии. Это означает, что политику безопасности нужно пересматривать синхронно с распространением ИИ-инструментов, а не постфактум.

Что делать

Организациям, которые хотят сохранить контроль над данными и не потерять преимущества ИИ, стоит рассмотреть следующие шаги:

• Предложить легитимную альтернативу. Если у сотрудников есть удобный корпоративный инструмент с сопоставимой функциональностью, потребность во внешних сервисах снижается.
• Выстроить прозрачные правила использования ИИ. Вместо тотального запрета — понятные регламенты: какие данные можно передавать во внешние сервисы, а какие категорически нельзя.
• Обучать персонал. Сотрудники должны понимать, какие риски создаёт загрузка документов и фрагментов кода в публичные нейросети.
• Контролировать каналы утечки. Средства защиты от утечек данных (DLP), контроль сетевого трафика и мониторинг обращений к внешним ИИ-сервисам помогают выявить инциденты на ранней стадии.
• Учитывать риски и после внедрения корпоративного ИИ. Наличие внутреннего решения не отменяет необходимости следить за тем, куда ещё обращаются сотрудники.

Итог: запрет иностранных нейросетей — не решение проблемы, а её маскировка. Устойчивая безопасность ИИ для бизнеса строится на сочетании удобной корпоративной альтернативы, прозрачных регламентов и технического контроля каналов передачи данных.

Источник: Хабр — Информационная безопасность