Сотрудник загружает договор клиента в общедоступный ИИ-сервис, чтобы получить краткое резюме. Еще до появления ответа возникает вопрос: вправе ли компания передавать сервису этот текст? Договор может содержать персональные данные, коммерческую тайну и материалы, использование которых ограничено соглашением с клиентом. Удобство инструмента не дает разрешения на передачу.
У работы с ИИ нет единого правового режима: приходится учитывать правила обработки информации и персональных данных, интеллектуальную собственность, договорные обязательства и ответственность за конечный продукт. Поэтому оценку лучше привязывать к задаче: кто вводит данные, где они обрабатываются, что получает пользователь и какое решение принимает на основе ответа.
С чего начинается правовая оценка ИИ-системы
Для начала определите роль компании. Она может покупать доступ к готовому сервису, разрабатывать собственную систему или предоставлять ИИ-функцию клиентам. Часто эти роли совмещаются: компания использует внешнюю модель, создает для нее интерфейс и продает клиентам сервис генерации текстов. При этом договор с поставщиком модели не заменяет обязательств компании перед пользователями.
Следующий вопрос — для чего нужна система: искать сведения во внутренних документах, помогать редактору, отвечать клиентам, сортировать обращения или готовить рекомендации. Если результат влияет на права и интересы человека, например на доступ к услуге или условия договора, особенно важно проверять исходные данные, оставлять ответственному сотруднику возможность вмешаться и сохранять возможность объяснить решение.
В России нет универсального разрешения «на использование ИИ», которое отменяло бы отраслевые требования. Федеральный закон № 123-ФЗ установил специальный экспериментальный режим для разработки и внедрения технологий ИИ в Москве, но не освободил все компании от правил о данных и авторских правах. Если проект работает на нескольких рынках, право каждой затронутой юрисдикции оценивают отдельно. Например, справочная статья об EU AI Act поможет составить общее представление о европейском регулировании, но применимость конкретных требований нужно проверять по официальному тексту и обстоятельствам проекта.
Данные для запросов и обучения: разные основания использования
Отправить документ в модель и использовать его для дополнительного обучения — разные операции. Правомерность первой не означает, что правообладатель или субъект персональных данных разрешил вторую. Перед подключением сервиса составьте перечень материалов, которые сотрудники могут загружать: общедоступные сведения, собственные материалы компании, обезличенные данные, документы клиентов. Ограничения для этих категорий будут различаться.
Персональные данные и конфиденциальная информация
Если в запросе есть сведения о человеке, компании нужно определить цель и правовое основание обработки, состав передаваемых данных и роли участников. Для российского оператора важны требования Федерального закона № 152-ФЗ «О персональных данных», в том числе правила поручения обработки, обеспечения безопасности и, когда применимо, трансграничной передачи. Заявление сервиса о том, что запросы «не сохраняются», проверьте по договору и техническому описанию: отдельно могут храниться журналы, сведения для контроля злоупотреблений или резервные копии.
Удалить имя не всегда достаточно. Человека можно узнать по должности, адресу, обстоятельствам сделки или сочетанию других деталей. Прежде чем отправлять данные во внешний сервис, уберите лишнее и оцените, исключает ли обезличивание идентификацию именно в этом контексте.
Защита коммерческой тайны тоже не сводится к настройкам модели. Имеют значение перечень охраняемых сведений, ограничения доступа, правила для сотрудников и обязательства контрагентов. Если внутренний регламент запрещает передавать исходный код внешним сервисам, нельзя делать исключение ради отладки без согласования. Для такой задачи следует использовать разрешенную среду с согласованными параметрами хранения данных.
Датасеты, чужие тексты и лицензии
Если компания разрабатывает модель или настраивает поиск по документам, нужно установить происхождение каждого массива данных. То, что сайт открыт для просмотра, еще не дает права копировать его материалы для обучения или размещать их в базе. Тексты, фотографии, программы и базы данных могут охраняться разными правами; проверить следует и условия доступа к площадке.
В реестре источников фиксируйте правообладателя или поставщика, документальное основание использования, разрешенные способы обработки, срок хранения и порядок удаления. Отдельно выясните, допускается ли передача подрядчику, вывод фрагментов в ответах и использование материалов в коммерческом продукте. Разрешение показать документ человеку не стоит автоматически считать разрешением включить его в обучающий набор.
Кому принадлежат права на результат генерации
Российское авторское право исходит из творческого труда человека. Поэтому оплаченная подписка сама по себе не дает пользователю исключительного права на любой текст или изображение, полученные по короткому запросу. Но результат может охраняться, если человек внес собственный творческий вклад: разработал оригинальную композицию, существенно переработал материал или самостоятельно создал охраняемые элементы. Важен фактический процесс работы, а не пометка «создано ИИ» на файле.
Условия сервиса могут распределять договорные права на результаты между пользователем и поставщиком, а также ограничивать их использование. Однако договор не создаст авторское право, если по применимому закону для него нет оснований. В коммерческом проекте сохраняйте историю существенных правок, исходные материалы и согласования: так проще установить вклад участников и понять, какие права компания получила от работников или подрядчиков.
Еще один риск — сходство результата с чужими произведениями, персонажами, товарными знаками или фирменным стилем. Генерация не делает материал свободным для публикации. Перед выпуском рекламы, обложки или интерфейса проверьте узнаваемые элементы и основания для их использования. Здесь важно выяснить и то, возникли ли права на новый материал, и то, не нарушит ли его публикация чужие права.
Что закрепить в договоре с поставщиком ИИ-сервиса
Обозначения «корпоративный тариф» в описании сервиса недостаточно. Договор должен соответствовать тому, какие данные компания передает поставщику и что обещает своим клиентам. Проверьте прежде всего:
- Цели обработки запросов: использует ли поставщик введенные данные и ответы для обучения, оценки качества или других собственных целей; можно ли это отключить.
- Хранение и доступ: сроки удаления, расположение инфраструктуры, доступ сотрудников и субподрядчиков, порядок сообщения об инцидентах.
- Права на результаты: условия коммерческого использования, ограничения на публикацию и распределение ответственности при претензиях третьих лиц.
- Работу сервиса: доступность, порядок изменения моделей и функций, возможность выгрузить данные при прекращении договора.
- Распределение рисков: пределы ответственности, порядок предъявления претензий, применимое право и разрешение споров.
Если компания встраивает чужую модель в свой продукт, сопоставьте договор с поставщиком с условиями для клиентов. Не стоит обещать немедленное удаление всех данных, если поставщик хранит запросы дольше и не дает механизма удаления. Так же осторожно следует относиться к гарантии уникальности каждого сгенерированного текста: обычные условия генеративного сервиса, как правило, не дают для нее оснований.
Ответственность за ответы и решения
ИИ-система способна уверенно изложить ошибку, сослаться на несуществующий документ или воспроизвести персональные данные. Компании нужно заранее решить, кто проверяет такие ответы. Если чат-бот сообщает цену, срок оказания услуги или юридически значимое условие, выясните, может ли его сообщение считаться предложением компании и как исправлять ошибку. Пометка «ответ создан ИИ» сама по себе не всегда устраняет последствия недостоверной информации.
Там, где ошибка дорого обойдется, нужен понятный маршрут проверки: модель готовит черновик, сотрудник сверяет факты с первоисточником, уполномоченное лицо утверждает публикацию или решение. В регламенте прямо укажите, что нельзя делать автоматически. Например, отправлять окончательный ответ по спорной претензии клиента или публиковать утверждения о конкретном лице без проверки.
Если ИИ используют для оценки людей, проверьте возможные дискриминационные последствия и порядок оспаривания результата. Система сортировки резюме или обращений может повторять перекосы исходных данных. Сохраняйте критерии оценки, проверяйте их на типовых случаях и назначьте сотрудника для рассмотрения жалоб и исправления ошибок. Какие процедуры обязательны, зависит от сферы деятельности и применимого права.
Как оформить использование ИИ внутри компании
Внутренние правила удобнее строить вокруг конкретных задач, а не общего запрета или безусловного разрешения. Сначала перечислите используемые сервисы, владельцев процессов и категории данных, которые попадают в системы. Затем определите, кто может подключать новые инструменты. Иначе рабочие документы рискуют оказаться в личных аккаунтах сотрудников до проверки договора и настроек безопасности.
- Составить карту сценариев: входные данные, поставщик, место обработки, получатели результата.
- Для каждого сценария проверить основания работы с данными и материалами третьих лиц.
- Закрепить допустимые категории запросов и сведения, которые нельзя вводить без отдельного согласования.
- Установить порядок проверки результата перед публикацией, отправкой клиенту или использованием при принятии решения.
- Назначить ответственных за договоры, доступы, инциденты и пересмотр правил при изменении сервиса.
Начать можно с правила, по которому легко проверить соблюдение требований: «В общедоступный ИИ-сервис не загружаются неопубликованные клиентские документы; исключение возможно только после согласования конкретного сервиса и состава передаваемых данных». Сотрудник поймет, где проходит граница, а ответственное лицо — что именно требуется проверить. Материал носит информационный характер и не заменяет индивидуальную юридическую консультацию: правовая оценка зависит от данных, договора, сферы применения и юрисдикции.