Эксперты обсудили контроль корпоративных данных в ИИ-сервисах

Форум прошёл 27–28 октября 2026 года в рамках Российской недели кибербезопасности. Участники дискуссии говорили о том, как контролировать передачу корпоративной информации внешним ИИ-поставщикам и учитывать вложения компаний в информационную безопасность при разборе утечек.

Директор по стратегическим проектам Ассоциации больших данных Ирина Левова предложила оценивать защиту и по требованиям законодательства, и по тому, как компания обеспечивает безопасность процессов на практике. По её словам, отраслевой стандарт АБД включает балльную оценку зрелости мер ИБ, в том числе безопасного использования ИИ. Левова также считает, что инвестиции в защиту следует учитывать при смягчении ответственности уже за первую утечку персональных данных. Сейчас соответствующие обстоятельства — соблюдение законодательства и вложения в ИБ на уровне 0,1% от оборота — учитываются при второй утечке в течение года.

Федоров обратил внимание, что пользователи нередко сами решают, какую информацию включать в запрос к ИИ, поэтому контролировать нужно весь передаваемый контекст. Генеральный директор УЦСБ Валентин Богданов предложил начинать с политики использования ИИ, оценки рисков и юридического закрепления ответственности с поставщиком. После этого, по его словам, можно внедрять технические меры: обезличивание и маскировку данных, а при необходимости — блокировку обращений к внешним системам.

Для контроля подрядчиков Богданов рекомендовал выдавать им временные учётные записи с ограниченными правами и сроком действия, а работу сопровождать мониторингом и сквозным аудитом. Проверка операций поставщика до подключения сервиса помогает оценить, можно ли восстановить его действия. По наблюдениям Богданова, не менее 30% серьёзных инцидентов ИБ в практике интегратора связаны с поставщиками.

Директор по информационной безопасности Циана Евгений Радько назвал одним из инструментов защиты шлюз безопасности, который анализирует запросы и блокирует передачу запрещённых данных. Эффективность, по его словам, можно оценивать по доле запросов, проходящих через шлюз, соответствию интеграций политикам компании и удовлетворённости пользователей. Богданов добавил, что компаниям нужно стремиться к доверенному ИИ: риски, помимо теневого использования сервисов, включают отравление модели через ненадёжные источники в RAG и подмену данных или весов.