Что должно быть в регламенте использования ИИ в компании?

В рабочем регламенте использования ИИ шесть блоков: термины (что считаем ИИ-сервисом, конфиденциальной информацией, Shadow AI); список разрешённых и запрещённых нейросетей; прямой запрет вводить персональные данные, коммерческую тайну и служебную информацию; правила проверки результатов ИИ человеком; ответственность за нарушение; порядок ввода в действие. К нему прилагаются приказ, лист ознакомления под подпись и памятка сотруднику. Ознакомление под подпись – ключевое доказательство при взыскании: без него привлечь сотрудника к ответственности значительно сложнее, хотя обязанность соблюдать правила может следовать и из трудового договора, NDA или других локальных актов.

Можно ли запретить сотрудникам пользоваться ChatGPT?

Да. Работодатель вправе ограничить сторонние сервисы на рабочих устройствах и во внутренних процессах – это часть режима защиты информации и коммерческой тайны. Но полный запрет обычно проигрывает: люди уходят в Shadow AI с личных устройств, и контроль теряется совсем. Разумнее разрешить проверенные варианты (например, локальную модель в корпоративном контуре на своих мощностях или enterprise-развёртывание по договору с вендором) и жёстко запретить ввод чувствительных данных в публичные и облачные сервисы. Такую разрешительную модель мы и закладываем в регламент.

Как контролировать, что сотрудники не сливают данные в нейросети?

Контроль держится на двух уровнях. Организационный – регламент, лист ознакомления под подпись, обучение, памятка: сотрудник знает правила и отвечает за нарушение. Технический – DLP-системы и корпоративный шлюз доступа к ИИ: они помогают выявлять и ограничивать отправку персональных данных, кода и документов в публичные сервисы. Регламент – обязательная основа: он даёт службе ИБ основания для взыскания и увязывает технический контроль с правилами использования ИИ. Кредо-С делает организационный слой, а при необходимости подключает технические средства защиты от утечек.

Кто отвечает за ошибки ИИ в работе?

За результат отвечает сотрудник и компания, а не нейросеть. ИИ – инструмент, он способен уверенно сгенерировать несуществующие данные (это называют галлюцинациями). Поэтому регламент прямо закрепляет: любой результат ИИ человек проверяет перед использованием, а ответственность за итоговый документ, расчёт или решение несёт работник. В споре с клиентом или регулятором это работает на компанию: списать промах на программу не выйдет.

Обязательна ли по закону политика использования ИИ?

Отдельного закона, который обязывал бы каждую компанию иметь политику использования ИИ, пока нет. Требования появляются точечно и в основном для госсектора: приказ ФСТЭК России №117 (действует с 1 марта 2026) обновляет требования к защите государственных информационных систем. Рамочный закон о поддержке развития технологий ИИ уже принят – Федеральный закон от 26.07.2026 № 243-ФЗ, он вступает в силу с 1 сентября 2026 года, но иметь такой регламент компании не обязывает: его предмет – суверенные и национальные большие модели ИИ и поддержка разработчиков. Тренд очевиден: требований со временем становится больше. Разумнее подготовить документ спокойно сейчас, чем спешно наверстывать под проверку.

Чем политика использования ИИ отличается от политики ИБ?

Политика ИБ описывает защиту информации в целом – доступы, пароли, антивирус, реагирование на инциденты. Регламент использования ИИ – документ про один конкретный канал риска: работу сотрудников с нейросетями. Он отвечает на вопросы, которых нет в классической политике ИБ: какими ИИ-сервисами можно пользоваться, что в них нельзя вводить, как проверять результат. Мы пишем регламент ИИ так, чтобы он не противоречил вашей политике ИБ, а дополнял её и ссылался на неё.

Регламент и правила использования нейросетей и ИИ

Сотрудники уже пользуются ChatGPT, GigaChat и DeepSeek – загружают в них договоры, клиентские базы, куски кода, внутренние отчёты. Регламент использования ИИ превращает этот бесконтрольный канал утечки в управляемый процесс.

Кредо-С разрабатывает такой регламент (он же положение об использовании ИИ или политика использования нейросетей) под ключ: какими сервисами можно пользоваться, что в них запрещено вводить, кто отвечает за нарушение. На выходе – готовый комплект организационно-распорядительной документации (ОРД) и обученные сотрудники.

Получить точный расчёт Чек-лист: что запретить

Лицензия ФСТЭК России на ТЗКИ

Политики и регламенты ИБ – ежедневная практика

Договор с юрлицами, закрывающие документы

Зачем компании регламент использования ИИ

Нейросети ускоряют работу, и полный запрет на практике обычно не срабатывает – сотрудники находят обходной путь. Опасность создаёт бесконтрольный вывод данных за пределы компании. Это называют Shadow AI.

Shadow AI – использование сотрудниками сторонних ИИ-сервисов (ChatGPT, DeepSeek, GigaChat и других) для рабочих задач без ведома и контроля службы ИБ. Данные при этом покидают контролируемый периметр компании. Сохранит ли сервис введённое, использует ли его для обучения модели – зависит от правил конкретного провайдера, тарифа и настроек аккаунта; в пользовательских соглашениях публичных версий обработка введённых данных нередко прямо допускается.

Чем Shadow AI опасен для бизнеса

Утечка данных через нейросеть. Сотрудник вставляет в промпт персональные данные клиентов, реквизиты сделки или исходный код – и информация уходит на серверы вендора. Компания теряет прямой контроль над ней: сроки хранения и возможность удаления определяются уже политиками и договорными условиями провайдера.
Коммерческая тайна и публичный ChatGPT плохо совместимы. Загрузка документа в публичный сервис – это передача сведений третьему лицу без мер конфиденциальности: это может ослабить режим коммерческой тайны и осложнить защиту информации (98-ФЗ, ст.10–11). Доказать разглашение и взыскать ущерб становится намного сложнее. Ответственность самого работника-нарушителя при этом сохраняется.
Слабая доказательная база для взыскания. Обязанность беречь конфиденциальную информацию может вытекать из трудового договора, NDA и закона, но без локального акта с конкретным запретом и ознакомления под подпись доказать нарушение и соблюсти процедуру дисциплинарного взыскания заметно сложнее.

Публичные ИИ-сервисы стали массовым рабочим инструментом – и новым каналом утечки. Регламент определяет разрешённые сервисы, запрещает ввод конфиденциальных данных и назначает ответственных.

Оставить заявку

Что регулирует регламент работы с нейросетями

Регламент переводит размытое «пользуйтесь аккуратно» в конкретные правила.

Раздел регламента	Что описывает
Общие положения и термины	Что считается ИИ-сервисом, конфиденциальной информацией, Shadow AI; область действия документа
Разрешённые и запрещённые сервисы	«Белый» и «чёрный» списки нейросетей, порядок добавления новых
Правила ввода данных	Что категорически нельзя вводить в ИИ: ПДн, коммерческая тайна, служебная информация
Проверка результатов ИИ	Обязанность проверять ответ нейросети человеком, ответственность за галлюцинации
Ответственность сотрудников	Дисциплинарные, административные и уголовные последствия нарушений
Порядок ввода в действие	Приказ, ознакомление под подпись, пересмотр документа

Белые и чёрные списки

В разрешённые попадают решения, развёрнутые в корпоративном контуре, – локальные open-source модели на собственных мощностях и инсталляции по договору с вендором в формате on-premise или выделенного облака (такие варианты размещения предлагают для GigaChat и YandexGPT). Останутся ли данные внутри периметра, определяют конкретная модель размещения и условия договора – пометка «enterprise» в тарифе сама по себе этого не гарантирует. Облачные сервисы передают данные вендору, поэтому их допуск определяется договором и категорией данных – бренд сервиса здесь второстепенен. Публичные ChatGPT и DeepSeek либо запрещаем, либо оставляем только для неконфиденциальных задач. Заодно фиксируем порядок согласования новых сервисов.

Запрет ввода ПДн и тайны

Прямой запрет вводить в публичные нейросети персональные данные (включая специальные категории по ст.10 152-ФЗ), сведения, составляющие коммерческую тайну (98-ФЗ), служебную и иную конфиденциальную информацию. Формулировки стыкуем с вашим действующим режимом коммерческой тайны и политикой обработки ПДн.

Проверка ИИ-результатов

Нейросеть уверенно выдумывает факты, ссылки и цифры. Регламент обязывает проверять результат перед использованием и прямо закрепляет: за итоговый документ отвечает сотрудник, а не ИИ. Это защищает компанию в спорах с клиентами и регуляторами – ошибку не спишешь на алгоритм.

Ответственность за нарушение

Дисциплинарная ответственность вплоть до увольнения за разглашение охраняемой законом тайны (ст.192, ст.81 ТК РФ). В тяжёлых случаях – административная (ст.13.11 КоАП за нарушения с ПДн – для оператора-компании; ст.13.14 КоАП за разглашение информации ограниченного доступа – для работника-физлица) и уголовная (ст.183 УК за разглашение коммерческой тайны). Ознакомление с регламентом под подпись – ключевое доказательство того, что работник знал о запрете; для законности взыскания также требуются вина работника, соблюдение установленной Трудовым кодексом процедуры и соразмерность наказания проступку.

Как внедрить регламент ИИ за 4 шага

Аудит текущего использования ИИ

Смотрим, кто и какими сервисами уже пользуется и какие данные туда попадают. На этом шаге вскрывается настоящий масштаб Shadow AI – как правило, он больше, чем ожидает руководство.

Разработка регламента

Пишем документ под ваши процессы и роли, увязываем с политиками ИБ, режимом коммерческой тайны и обработкой ПДн.

Внедрение

Готовим приказ о вводе в действие и лист ознакомления, встраиваем регламент в систему ОРД, назначаем ответственных.

Обучение персонала

Разбираем правила с сотрудниками на понятном языке и живых примерах – чтобы каждый понимал запреты и применял их в ежедневной работе.

Что входит в пакет ОРД

Регламент (политика) использования ИИ

Основной документ со всеми правилами.

Приказ о вводе в действие

Юридически вводит регламент и назначает ответственных.

Лист ознакомления

Подписи сотрудников – ваша доказательная база для взысканий.

Памятка сотруднику

Короткая выжимка «что можно / что нельзя» на одну страницу.

Чек-лист: что запретить сотрудникам в ИИ-сервисах

Базовый перечень запретов для типовых рабочих документов и данных.

Ввод персональных данных клиентов и сотрудников – ФИО, телефоны, паспорта, сведения о здоровье.
Загрузку документов с грифом коммерческой тайны и договоров.
Вставку исходного кода, ключей API, паролей и токенов.
Передачу финансовой отчётности и реквизитов сделок.
Использование результатов ИИ без проверки человеком.
Работу через непроверенные сервисы и браузерные расширения с ИИ.
Установку ИИ-плагинов и автономных агентов на рабочие устройства без согласования.
Ввод сведений, составляющих служебную и профессиональную тайну.
Использование личных аккаунтов в нейросетях для рабочих задач.
Выдачу нейросети прав доступа к корпоративной почте, дискам и мессенджерам.

Читайте также: Аудит безопасности ИИ-систем – следующий шаг зрелости.

Регуляторный контекст: куда движется регулирование ИИ

Регулирование ИИ в России пока только складывается. Прямой обязанности иметь регламент для коммерческих компаний нет – нормы ниже адресованы госсистемам и служат для бизнеса ориентиром. При этом общие требования – 152-ФЗ о персональных данных, режим коммерческой тайны, трудовое законодательство – применяются к работе с ИИ уже сейчас.

Приказ ФСТЭК России №117 (действует с 1 марта 2026, пришёл на смену приказу №17) обновляет требования к защите государственных информационных систем. На коммерческие компании напрямую не распространяется, но задаёт вектор для всего рынка.
Рамочное регулирование. Обсуждается рамочный законопроект о поддержке развития технологий ИИ. Он может закрепить базовые понятия и правила работы с ИИ, но иметь регламент компании не обязывает.

Обязательного требования «иметь политику ИИ для всех» пока нет. Практика последних лет показывает: регуляторных требований к работе с данными постепенно становится больше. Оформить регламент заранее дешевле и спокойнее, чем наверстывать под проверку в аврале.

От чего зависит стоимость

Размер компании

Число сотрудников и подразделений, для которых пишем правила.

Число ИИ-сценариев

Сколько задач и сервисов нужно охватить – от одного отдела до всей компании.

Интеграция с политиками ИБ

Есть ли действующий режим коммерческой тайны, политика ПДн, политика ИБ, к которым документ нужно «пришить».

Наличие ГИС / ИСПДн

Если ИИ соприкасается с персональными данными или государственными системами, требования выше.

Формат обычно один из двух: фикс-пакет ОРД (регламент + приказ + лист ознакомления + памятка) для типовой задачи – фиксированная цена, известная заранее, срок от нескольких рабочих дней; или смета под проект – с аудитом и интеграцией в вашу систему ИБ.

Оставьте заявку – и получите точный расчёт стоимости и сроков.

Оставить заявку

Почему Кредо-С

Лицензия ФСТЭК России на ТЗКИ

№ Л024-00107-00/00581724 – работаем в правовом поле защиты информации, документы опираются на требования регуляторов и практику.

ОРД-компетенция

Разработка политик и регламентов ИБ, режима коммерческой тайны, документов по 152-ФЗ – наша ежедневная практика. Регламент ИИ – прямое продолжение этой работы.

Комплексный подход

Аудит соответствия 152-ФЗ, аттестация ГИС, категорирование КИИ, защита конфиденциальной информации и DLP, пентест – регламент ИИ встраивается в общую систему безопасности компании.

Реквизиты и договор

ООО «КРЕДО-С», ИНН 7106014366, ОГРН 1027100747596. Работаем по договору с юрлицами, с закрывающими документами.

ФСТЭК

Лицензия ФСТЭК России на ТЗКИ № Л024-00107-00/00581724Политики, регламенты и аудиты ИБ – ежедневная практика компании

Возьмите Shadow AI под контроль за один проект

Регламент использования ИИ устанавливает список разрешённых сервисов, запрещает ввод охраняемых данных и формирует доказательную базу для дисциплинарных мер. Начнём с короткого аудита – по его итогам назовём фикс-цену и срок, без обязательств.

Получить точный расчёт

Работаем по договору с юрлицами. Отправляя форму, вы даёте согласие на обработку персональных данных.

Разработаем регламент использования ИИ и нейросетей в компании под ключ