Сотрудники сливают данные в чужой ИИ. Разбираемся чем это грозит

За последний год я провёл серию корпоративных тренингов по использованию ИИ для рабочих офисных задач — в разных по размеру компаниях. И очень часто в перерыве кто‑нибудь из участников подходит и вполголоса спрашивает — «а ничего, что я договор с клиентом закидывал в ChatGPT, чтобы он мне выжимку сделал?»

Ничего хорошего. Хотя человека понять можно: быстро, удобно, качественный результат. Проблема в том, что вместе с текстом договора в чужой дата‑центр уезжают ФИО, паспорта, ИНН, реквизиты — и обычно об этом не знает вообще никто, включая того, кто за персональные данные в компании формально отвечает.

Масштаб у явления нешуточный. ГК «Солар» проанализировала трафик 150 организаций из госсектора, финансов, промышленности, ритейла, телекома и ИТ — и насчитала, что за год объём данных, которые сотрудники сливают в публичные ИИ‑сервисы, вырос примерно в тридцать раз. При этом около 60% компаний вообще не имеют внутренних правил на этот счёт: процесс не контролируется ни технически, ни на бумаге [1, 2].

Давайте разложим по полочкам: что здесь регулирует закон, где реальный риск, где только «страшилки», а где могут быть и штрафы для компании, и как в итоге делать правильно.