Только 5% сотрудников знают о письменных правилах использования нейросетей в компаниях
Это следует из данных исследования АО "Кибердом". Авторы опросили сотрудников компаний, а также руководителей и специалистов в сфере ИБ, ИТ и HR.
Сотрудники часто загружают данные в нейросети для выполнения рабочих обязанностей. Так, 18% опрошенных с помощью нейросетей ускоряют выполнение сложных задач, 11% - анализируют большой объем информации, 7% - готовят или редактируют документы.
При этом каждый пятый сотрудник не знает, какие рабочие данные можно передавать искусственному интеллекту. А 9% не понимают, что сведения, которые они загружают в нейросети, являются конфиденциальными.
Но часть сотрудников соблюдают меры безопасности при работе с нейросетями. Почти четверть (23%) при отправке файлов удаляют из них персональные и конфиденциальные данные. Каждый пятый просит разрешения у руководителя, 14% обращаются в ИТ- или ИБ-отдел. При этом 8% опрошенных не делают дополнительных действий перед загрузкой.
Одна из причин, почему сотрудники загружают во внешние нейросети внутренние корпоративные данные, - отсутствие подходящих корпоративных ИИ-сервисов. Об этом заявили 16% респондентов. А 13% указали на то, что руководство поощряет использование нейросетей.
Руководители и специалисты в сфере ИБ, ИТ и HR также считают, что для безопасной работы с нейросетями необходим корпоративный ИИ-сервис для внутренних данных - об этом заявили 30% опрошенных. Также 14% руководителей, ИБ-, ИТ- и HR-специалистов сообщили о нехватке обучения сотрудников и дополнительных ресурсов для контроля, а 12% - о нехватке понятных правил использования ИИ.
Что мешает созданию правил использования ИИ
Только 5% сотрудников сообщили, что в их компании есть письменные правила использования нейросетей. Представители ИТ-консалтинга и ИИ-компаний, давшие комментарии ComNews, подтвердили, что у многих организаций таких правил нет. Однако они отметили, что 5% - это только процент сотрудников, которые знают о существовании письменных правил в своих компаниях. В других организациях правила могут быть, но сотрудники о них просто не знают. По данным ГК "Солар", формальных правил работы с ИИ-сервисами нет у 60% организаций.
Управляющий партнер ООО "О2 Консалтинг" (O2Consulting) Анна Никитченко отметила, что появился разрыв: сотрудники начали использовать нейросети раньше, чем компании успели осознать риски и выработать правила.
Руководитель направления по консалтингу и обучению ООО "Майнд Крафт" (Just AI) Ольга Конарева сообщила ComNews, что среди причин, которые мешают внедрению правил использования ИИ в компаниях, - отсутствие компетенций: мало специалистов, которые понимают одновременно темы ИБ и ИИ. Эту же причину назвала Анна Никитченко.
Еще один барьер - отсутствие бюджетов: запрос на разработку правил часто появляется в течение года, когда деньги уже распределены.
Также сказывается отсутствие исходных данных. "Чтобы написать правила, нужно знать, какими сервисами уже пользуются и какие данные туда уходят. Реестра обычно нет", - отметила Ольга Конарева.
Бизнес-архитектор проектов ИИ экосистемы "Авандок" ГК "Корус Консалтинг" Алексей Борщов считает, что главный барьер в том, что у политики использования ИИ нет одного владельца: зачастую с ней работают одновременно ИБ- и ИТ-специалисты, юристы, HR-службы, бизнес.
Кроме того, некоторые организацции считают, что передавать данные вовне у них запрещено по умолчанию и дополнительно регулировать это не нужно.
Анна Никитченко также отметила, что компании не успевают за "теневым" использованием. "Один из частых ключевых показателей эффективности в ИИ-стратегиях - Shadow AI. Многие руководители ошибочно полагают, что неформальных инструкций достаточно. Однако, как правило, сотрудники подтверждают, что правила им объясняли лишь устно, а кому-то и вовсе сообщили о полном запрете на любые рабочие материалы в ИИ. Но такой запрет часто приводит к обратному эффекту - сотрудники начинают скрывать использование нейросетей, уходя в "тень", - отметила Анна Никитченко.
Согласно исследованию "Кибердома", устно сообщали о правилах использования ИИ 17% опрошенных сотрудников. А 18% указали, что в их компаниях определены категории данных, которые нельзя передавать ИИ. При этом 22% отметили, что компании запрещают загружать любые рабочие материалы во внешние нейросети.
Эксперты, опрошенные ComNews, заявили, что внедрение политик использования ИИ в компаниях идет неравномерно. Ольга Конарева отметила, что дальше всего в этом направлении продвинулись банки и крупные финансовые группы. Анна Никитченко считает, что в основном разработкой правил занимаются крупные корпорации и компании из чувствительных отраслей.
При этом, по словам Анны Никитченко, большая часть рынка находится на стадии осознания проблемы: компании видят инциденты и даже применяют отдельные правила, но системного подхода нет. Значительная часть рынка пока не воспринимает тему ИИ как приоритетную с точки зрения управления рисками.
Какие ошибки совершают компании при создании правил
Согласно исследованию "Кибердома", 18% руководителей, ИБ-, ИТ- и HR-специалистов отслеживают использование нейросетей на рабочих устройствах, 23% - не отслеживают.
Но одна из самых частых ошибок, которые допускают компании при создании политики использования ИИ, - полный запрет на использование нейросетей. Это ведет к тому, что сотрудники продолжают работать в публичных сервисах скрытно.
Также эксперты сообщили ComNews, что в политиках использования ИИ часто содержатся общие формулировки - например, если есть запрет на "загрузку конфиденциальных данных", то нет объяснения, какие конкретно данные подразумеваются.
Управляющий партнер O2Consulting Анна Никитченко отметила, что самая распространенная ошибка при создании политики по взаимодействию с ИИ - использование типового шаблона. Так как потребности разных компаний отличаются, типовые документы часто регулируют несуществующие риски и не затрагивают реальные.
Также проблема, по мнению Анны Никитченко, - в отсутствии технического контроля. "Политика, которая полагается только на сознательность сотрудников, неэффективна. Необходимо сочетать организационные меры с техническими: DLP-системы, ИИ-шлюзы для маршрутизации запросов, фильтры по обезличиванию, мониторинг", - отметила она.
Руководитель направления по консалтингу и обучению Just AI Ольга Конарева считает, что документ с политикой по использованию ИИ в компании должен быть коротким: тогда его смогут прочитать все сотрудники. Или же к нему должна прилагаться короткая памятка с ответами на вопросы, что можно и нельзя делать с ИИ, где решение остается за человеком, какие есть уровни допуска, куда обращаться при сбое.
Анна Никитченко добавила, что политика должна быть интегрирована в рабочие процессы, подкреплена регулярным обучением и понятными примерами.
Почти четверть (23%) опрошенных руководителей, ИТ-, ИБ- и HR-специалистов заявили, что при нарушении правил ограничивают доступ к ИИ-сервисам, 20% отметили, что индивидуально рассматривают ситуацию, 11% дополнительно разъясняют правила работы с данными, а 8% применяют дисциплинарные меры.
Только 2% заявили, что в таких ситуациях рассматривают вопрос об увольнении.
Случаи уже были. Топ-менеджера ООО "ГК "Энергопроф"" уволили за то, что она пересылала служебную переписку на личную почту и загружала охраняемые сведения в DeepSeek. Суд признал увольнение законным - согласно его решению, действия сотрудницы нарушили режим конфиденциальности и создали угрозу перехвата данных.