Политика использования ИИ в компании — это внутренний документ и набор процедур, которые определяют, какие ИИ-сервисы разрешены, какие данные в них можно передавать, кто отвечает за каждый ИИ-сценарий, как проверяются результаты и как измеряется, что правила соблюдаются. Хорошая политика не запрещает нейросети, а делает их использование управляемым: сотрудники знают, что можно, руководство видит, где ИИ уже работает, а риски по персональным данным и ошибкам модели закреплены за конкретными людьми.
Материал подготовлен AIrassvet по открытым источникам, проверенным 9 октября 2026 года. Он адресован владельцам бизнеса, генеральным и ИТ-директорам, руководителям по информационной безопасности и юристам российских компаний малого и среднего бизнеса. Статья не является юридической консультацией: текст политики и порядок обработки данных нужно согласовать с юристом. AIrassvet не аффилирован с упомянутыми компаниями и исследователями, а раздел в конце описывает услуги издателя.
Содержание
- Почему тема стала горячей в октябре 2026 года
- Что такое политика использования ИИ и чем она не является
- Кратко: из чего состоит политика
- Роли: кто отвечает за ИИ в компании
- Какие данные можно отправлять в ИИ
- Реестр ИИ-сценариев
- Как ИИ-агентам выдавать доступы
- Что учесть по 243-ФЗ
- Метрики: как понять, что политика работает
- План внедрения политики за 30 дней
- Типичные ошибки
- Частые вопросы
- Первоисточники и метод проверки
Почему тема стала горячей в октябре 2026 года
5 октября 2026 года CNews опубликовал результаты исследования «К2Тех» среди промышленных предприятий. В опросе участвовали 150 представителей руководящего состава крупных промышленных компаний. Главные цифры по управлению ИИ:
- у 79% участников ожидания руководства от ИИ превышают реальные возможности компании: 30% отмечают сильный разрыв, 49% — частичное соответствие; полное соответствие назвали 5%, ещё 16% не смогли оценить;
- в 19% компаний формально не закреплена ответственность за риски использования генеративного ИИ;
- у 23% нет системного управления ИИ с политиками, ролями и контролем;
- ещё 30% оценивают эффективность управления ИИ без формальных метрик — «по тому, как идёт процесс»;
- в 37% компаний бюджет на управление данными и ИИ не выделяется отдельно, работы идут в рамках текущих ИТ-задач.
Исследование касается крупной промышленности, и переносить проценты на малый бизнес напрямую нельзя. Но картина узнаваема для компаний любого размера: нейросетями уже пользуются, а правила, ответственные и метрики появляются позже — обычно после первого инцидента.
Параллельно растёт масштаб использования. По данным исследования Selectel, которое компания привела в сообщении от 8 октября 2026 года, 55% компаний уже активно проводят пилоты и запускают точечные ИИ-проекты, а 23% вышли на стадию промышленной эксплуатации. Методика и выборка этого опроса в сообщении не раскрыты, поэтому эти цифры стоит читать как ориентир, а не как статистику рынка.
Что такое политика использования ИИ и чем она не является
Политика использования ИИ — это не список запретов для сотрудников, а описание системы управления: роли, правила по данным, реестр сценариев, порядок проверки результатов и метрики исполнения. Документ на две страницы со словами «не загружайте конфиденциальные данные в ChatGPT» закрывает лишь малую часть задачи.
Чем политика не является:
- Не запретом. Полный запрет обычно уводит использование в личные аккаунты и телефоны сотрудников, где компания уже ничего не видит.
- Не инструкцией к конкретному сервису. Сервисы меняются быстрее документа; политика описывает принципы и классы данных, а перечень разрешённых сервисов живёт в отдельном приложении.
- Не документом только для ИТ. Сценарии ИИ появляются в продажах, маркетинге, HR, бухгалтерии и юридическом отделе — отвечать за них должны владельцы процессов.
В политике удобно различать три уровня: личная продуктивность (сотрудник пишет черновик письма в чат-ассистенте), процессный сценарий (ИИ-агент отвечает клиентам или разбирает входящие документы) и автоматическое решение (ИИ сам меняет статус заявки, цену или отказывает). Чем выше уровень, тем строже правила.
Кратко: из чего состоит политика
| Блок | Что в нём фиксируется | Кто владелец |
|---|---|---|
| Цели и область действия | Какие подразделения, сервисы и типы задач охватывает политика | Руководитель компании |
| Роли и ответственность | Ответственный за ИИ, владельцы сценариев, безопасность, юрист | Руководитель компании |
| Классы данных | Что можно, что можно после обезличивания, что нельзя передавать в ИИ | Безопасность и юрист |
| Разрешённые сервисы | Перечень моделей и сервисов, где они работают, на каких условиях | ИТ и безопасность |
| Реестр сценариев | Каждый процессный сценарий ИИ с владельцем, данными и метрикой | Ответственный за ИИ |
| Проверка результатов | Где обязателен человек, как фиксируются ошибки | Владельцы сценариев |
| Инциденты | Что считать инцидентом, куда сообщать, как разбирать | Безопасность |
| Обучение | Кто и чему обучен, как часто повторять | HR и ответственный за ИИ |
| Метрики и пересмотр | Как измерять исполнение политики, как часто её обновлять | Ответственный за ИИ |
Дальше — по каждому блоку подробнее.
Роли: кто отвечает за ИИ в компании
Исследование «К2Тех» показывает самую частую дыру: ответственность за риски генеративного ИИ формально не закреплена. Для компании малого и среднего бизнеса не нужен отдельный комитет — достаточно четырёх ролей, которые можно совмещать.
- Ответственный за ИИ. Ведёт реестр сценариев, согласует новые сервисы, собирает метрики и раз в квартал докладывает руководителю. В небольшой компании это может быть ИТ-директор или руководитель по цифровизации.
- Владелец сценария. Руководитель подразделения, где работает ИИ: он отвечает за качество результата и за то, чтобы сотрудники проверяли ответы там, где это требуется.
- Безопасность и защита данных. Определяет классы данных, проверяет, где физически обрабатываются запросы, и разбирает инциденты.
- Юрист. Проверяет согласия на обработку персональных данных, договоры с поставщиками ИИ и сценарии, где решение затрагивает права людей.
Полезное правило: у каждого процессного сценария ИИ должен быть один названный владелец. Если владельца назвать не получается, сценарий не готов к запуску.
Какие данные можно отправлять в ИИ
Классы данных — центральная часть политики. Без них сотрудник сам решает, можно ли вставить в чат договор с клиентом или выгрузку из CRM.
| Класс данных | Примеры | Правило по умолчанию |
|---|---|---|
| Открытые | Тексты с сайта, публичные прайсы, общие вопросы | Можно в любом разрешённом сервисе |
| Внутренние | Регламенты, шаблоны, внутренняя переписка без персональных данных | Только в сервисах из перечня, с отключённым обучением на данных |
| Конфиденциальные | Договоры, финансовые показатели, коммерческие условия | Только в сервисах, развёрнутых в контуре компании или у провайдера с договором и обработкой в России |
| Персональные данные | ФИО, телефоны, резюме, данные клиентов | Только при наличии правового основания и в сервисах, где выполнены требования 152-ФЗ; по возможности обезличивать |
| Особо чувствительные | Данные о здоровье, биометрия, коммерческая тайна партнёров | Не передавать во внешние сервисы без отдельного решения юриста и безопасности |
Подробно о том, когда клиентские данные можно отправлять в нейросети и как их обезличивать, мы писали в статье «Можно ли отправлять клиентские данные в ИИ».
Отдельное правило нужно для автоматических решений о людях. Статья 16 152-ФЗ запрещает принимать решения, порождающие юридические последствия для человека или иным образом затрагивающие его права, исключительно на основании автоматизированной обработки его персональных данных — кроме случаев письменного согласия или прямо предусмотренных законом. В политике это удобно записать так: ИИ может рекомендовать отказ клиенту или кандидату, но подтверждает решение человек.
Реестр ИИ-сценариев
Реестр ИИ-сценариев — это таблица, в которой у каждого процессного применения ИИ есть владелец, источник данных, используемая модель, место обработки, уровень автономности и метрика качества. Он отвечает на вопрос руководителя «где у нас уже работает ИИ» и на вопрос безопасности «куда уходят наши данные».
Минимальный набор полей:
- название сценария и подразделение;
- владелец сценария;
- какие данные поступают на вход и какого они класса;
- какая модель или сервис используется и где физически обрабатываются запросы;
- уровень автономности: подсказка человеку, действие с подтверждением или самостоятельное действие;
- где обязательна проверка человеком;
- метрика качества и дата последней проверки;
- запасной вариант, если сервис недоступен.
Последнее поле часто забывают. Если ИИ-ассистент поддержки перестанет отвечать, владелец сценария должен заранее знать, кто и как принимает обращения вручную.
Как ИИ-агентам выдавать доступы
Для ИИ-агентов, которые не просто отвечают, а действуют в системах компании, политика должна описывать доступы так же, как для сотрудников. Агенту выдаётся отдельная учётная запись, минимально необходимые права и журнал действий. Подробно этот подход разобран в статье «ИИ-агент как цифровой сотрудник: учётная запись и права».
Практичные правила для агентов:
- агент работает под своей учётной записью, а не под учётной записью сотрудника;
- права ограничены одной задачей: читать заявки не значит менять цены;
- действия, которые нельзя отменить (платёж, удаление, отправка клиенту), требуют подтверждения человеком, пока метрики сценария не доказали обратное;
- журнал действий агента хранится и доступен владельцу сценария и безопасности.
Что учесть по 243-ФЗ
Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» действует с 1 сентября 2026 года и регулирует большие фундаментальные модели — от 1 миллиарда параметров. Для компании, которая просто пользуется нейросетями, прямых новых обязанностей сейчас немного, но два момента стоит заложить в политику уже сейчас:
- Место обработки данных. С 1 марта 2027 года правительство определит случаи, когда допускаются только суверенные или национальные модели. Для систем, которые уже работают на эту дату, закон даёт переходный период до 1 сентября 2032 года при условии, что данные обрабатываются и хранятся в России. Поле «где обрабатываются запросы» в реестре сценариев — прямой ответ на этот вопрос.
- Права на результаты генерации и пометка ИИ-контента. С 1 марта 2027 года вступают нормы об уведомлениях пользователей о правах на результаты генерации и о возможности маркировки аудио- и визуальных материалов. В политике стоит определить, кто в компании следит за условиями сервисов и решает, ставить ли пометку на сгенерированные видео и изображения.
Подробный разбор закона по статьям — в материале «Закон об ИИ 243-ФЗ: что он значит для бизнеса».
Метрики: как понять, что политика работает
Исследование «К2Тех» отмечает, что 30% компаний оценивают управление ИИ без формальных метрик. Ниже — набор метрик, которые можно собирать без отдельной системы, по реестру и журналам.
| Метрика | Как считать | Зачем |
|---|---|---|
| Покрытие реестра | Сценарии с владельцем / все известные сценарии | Видно, сколько ИИ работает «в тени» |
| Доля сценариев с метрикой качества | Сценарии с метрикой / все сценарии в реестре | Без метрики нельзя решить, расширять ли сценарий |
| Доля сотрудников, прошедших обучение | Обученные / все, у кого есть доступ к ИИ | Политика без обучения не исполняется |
| Инциденты с данными | Число случаев передачи данных не того класса за квартал | Показывает, работают ли классы данных |
| Ошибки ИИ, дошедшие до клиента | Число подтверждённых случаев за квартал | Показывает, работает ли проверка человеком |
| Время согласования нового сервиса | Дни от заявки до решения | Если долго, сотрудники идут в обход |
Последняя метрика важнее, чем кажется. Если согласование нового сервиса занимает месяц, политика начинает работать против себя.
План внедрения политики за 30 дней
- Неделя 1. Инвентаризация. Опросите руководителей подразделений: какие ИИ-сервисы используют сотрудники, для каких задач, с какими данными. Составьте первую версию реестра, даже неполную.
- Неделя 2. Роли и классы данных. Назначьте ответственного за ИИ и владельцев сценариев. Вместе с юристом и безопасностью утвердите классы данных и правило по автоматическим решениям о людях.
- Неделя 3. Перечень сервисов и правила проверки. Определите разрешённые сервисы для каждого класса данных и места, где обязателен человек. Опишите порядок согласования нового сервиса с понятным сроком.
- Неделя 4. Обучение и запуск. Проведите короткое обучение для сотрудников с примерами «можно / нельзя», опубликуйте политику и назначьте дату первого пересмотра через квартал.
Если данные для ИИ-сценариев не готовы, политика быстро упрётся в этот барьер: в исследовании «К2Тех» полностью готовыми свои данные назвали лишь 5% компаний. О подготовке данных — в статье «Подготовка данных для внедрения ИИ», а о том, как выбрать процессы для первых сценариев, — в материале «Аудит бизнес-процессов перед внедрением ИИ».
Типичные ошибки
- Полный запрет. Использование уходит в личные аккаунты; риски растут, а видимость пропадает.
- Политика без реестра. Документ есть, но никто не знает, где ИИ уже работает.
- Ответственный без полномочий. Ответственный за ИИ не может остановить сценарий или потребовать метрику.
- Одинаковые правила для всего. Черновик письма и автоматический отказ клиенту требуют разного уровня контроля.
- Нет запасного режима. При сбое сервиса процесс останавливается, потому что ручной порядок никто не описал.
- Документ без пересмотра. Сервисы, модели и законы меняются; политика, которую не обновляли полгода, устарела.
Частые вопросы
Что такое политика использования ИИ в компании?
Это внутренний документ и набор процедур, которые определяют разрешённые ИИ-сервисы, классы данных, ответственных за каждый ИИ-сценарий, порядок проверки результатов и метрики исполнения. Её цель — сделать использование нейросетей управляемым, а не запретить его.
Нужна ли политика использования ИИ малому бизнесу?
Да, если сотрудники уже пользуются нейросетями для работы с клиентами, договорами или персональными данными. Для небольшой компании достаточно короткого документа: роли, классы данных, перечень разрешённых сервисов и реестр сценариев.
Кто должен отвечать за ИИ в компании?
Нужен один ответственный за ИИ, который ведёт реестр и согласует новые сервисы, и владельцы сценариев в подразделениях, которые отвечают за качество результата. Безопасность определяет классы данных, юрист проверяет согласия и договоры.
Можно ли сотрудникам пользоваться ChatGPT и другими зарубежными сервисами?
Это решает политика по классам данных. Открытые данные обычно можно обрабатывать в любом разрешённом сервисе, а персональные и конфиденциальные — только там, где выполнены требования 152-ФЗ и понятно, где физически обрабатываются запросы.
Может ли ИИ сам принимать решения о клиентах или кандидатах?
Статья 16 152-ФЗ запрещает решения, порождающие юридические последствия для человека, исключительно на основании автоматизированной обработки его персональных данных, кроме случаев письменного согласия или прямо предусмотренных законом. Безопаснее, чтобы ИИ рекомендовал, а решение подтверждал человек.
Как часто пересматривать политику использования ИИ?
Раз в квартал и после каждого значимого события: нового сервиса, инцидента с данными, изменения закона. С 1 марта 2027 года вступают новые нормы 243-ФЗ, поэтому пересмотр до этой даты стоит запланировать заранее.
Первоисточники и метод проверки
Проверено 9 октября 2026 года:
- CNews, 5 октября 2026 — исследование «К2Тех» среди 150 руководителей крупных промышленных компаний: ожидания от ИИ, ответственность за риски, управление ИИ, данные и бюджеты.
- CNews, 8 октября 2026 — данные опроса Selectel о доле компаний на стадии пилотов и промышленной эксплуатации ИИ.
- КонсультантПлюс, 243-ФЗ — закон о поддержке развития технологий ИИ, сроки вступления норм в силу и переходный период.
- КонсультантПлюс, 152-ФЗ, статья 16 — решения на основании исключительно автоматизированной обработки персональных данных.
Цифры исследований приведены по пересказу CNews, а не по полным отчётам. Структура политики, таблицы классов данных и метрик, план на 30 дней и перечень ошибок — редакционный анализ AIrassvet; собственных опросов и результатов проектов статья не приводит.
Как AIrassvet помогает навести порядок в использовании ИИ
Если нейросетями в компании уже пользуются, а правил, ответственных и реестра пока нет, задачу можно разобрать по шагам. На сайте AIrassvet, который также использует название «AI студия Владимира Ломтева», описаны направления, применимые к ней:
- Аудит процессов, где сотрудники уже применяют ИИ: какие сервисы, какие данные, где нужен владелец и метрика.
- Корпоративное рабочее пространство с ИИ, где сотрудники работают с согласованными моделями, а не с личными аккаунтами.
- Развёртывание языковой модели на серверах компании или в защищённом облаке для сценариев с конфиденциальными и персональными данными.
- Обучение команды: как пользоваться ИИ по правилам политики и проверять результаты.
Первый шаг — выбрать один процесс, где ИИ уже используется, описать его текущие показатели, источники данных, ограничения и критерий, по которому вы признаете правила работающими.
Итог: политика делает ИИ управляемым
Исследование «К2Тех» показывает, что у заметной части крупных компаний ИИ уже работает, а ответственность, правила и метрики отстают. Для малого и среднего бизнеса разрыв обычно ещё больше: нейросети приходят через сотрудников, а не через проект.
Рабочая политика использования ИИ — это четыре роли, классы данных, реестр сценариев, проверка человеком там, где решение затрагивает людей, и несколько метрик, которые пересматриваются раз в квартал. Начните с инвентаризации того, что уже используется, — так вы увидите реальные риски и точки, где ИИ даёт пользу, прежде чем писать запреты.
