Политика использования ИИ в организации: структура документа и ключевые пункты

Политика использования ИИ — это внутренний документ, который отвечает на три вопроса: какие ИИ-сервисы сотрудникам разрешены, какие данные в них можно передавать и кто отвечает за результат. Хорошая политика умещается в 5–10 страниц, содержит понятную классификацию данных, список одобренных инструментов, роли и порядок проверки, а к ней прилагается одностраничная памятка для сотрудников. Без такого документа каждый пользуется нейросетями по-своему, и риски утечек и ошибок растут незаметно.

Ниже — структура политики, которую можно взять за основу и адаптировать под компанию, госорганизацию или учебное заведение, а также советы по внедрению.

Зачем нужна политика, если можно просто запретить

Полный запрет кажется самым безопасным решением, но на практике он редко работает. Сотрудники всё равно пользуются нейросетями — с личных телефонов и аккаунтов, без правил и без контроля. В итоге организация не знает, какие данные куда уходят, и не получает пользы от технологии.

Политика решает обе задачи: снижает риски и легализует полезное использование. Она даёт людям понятную рамку: «вот это можно, вот так нельзя, вот к кому идти с вопросами». Если для вашей организации ещё не сформулированы базовые принципы, начните с материала о правилах использования ИИ для госслужащих — он подходит и для частных компаний.

Структура документа: 10 разделов

1. Цель и область действия. Зачем принята политика, на кого распространяется: штатные сотрудники, подрядчики, стажёры. Какие инструменты считаются ИИ: чат-боты, генераторы изображений, функции ИИ внутри офисных программ, переводчики.
2. Термины. Коротко и без жаргона: что такое генеративный ИИ, промпт, персональные данные, конфиденциальная информация.
3. Принципы. Человек отвечает за результат; ИИ — помощник, а не источник истины; прозрачность; защита данных; уважение к авторским правам.
4. Классификация данных. Какие категории информации можно передавать в какие сервисы (подробнее ниже).
5. Разрешённые инструменты. Перечень одобренных сервисов и режимов работы с ними. Всё, что не входит в список, требует согласования.
6. Допустимые и запрещённые сценарии. Примеры задач, для которых ИИ рекомендован, и задач, где он запрещён.
7. Проверка результатов. Кто и как проверяет тексты, расчёты, переводы и изображения, созданные с помощью ИИ, перед использованием.
8. Раскрытие использования ИИ. Когда нужно сообщать коллегам, клиентам или гражданам, что материал подготовлен с участием ИИ.
9. Роли и ответственность. Владелец политики, ответственный за инструменты, порядок обращения с вопросами и сообщения об инцидентах.
10. Обучение и пересмотр. Как сотрудники знакомятся с политикой и как часто документ обновляется.

Классификация данных: сердце политики

Большинство рисков связано не с самим ИИ, а с тем, какие данные в него попадают. Поэтому классификация должна быть простой и понятной без юриста. Например, четыре уровня:

• Открытые — опубликованная информация, общедоступные материалы, тексты для сайта. Можно использовать в любых одобренных сервисах.
• Внутренние — шаблоны, внутренние инструкции, рабочие черновики без персональных данных. Только в корпоративных сервисах с отключённым обучением на данных пользователя.
• Конфиденциальные — персональные данные клиентов и сотрудников, финансовая информация, коммерческие условия. Только в контролируемой среде или после обезличивания.
• Строго ограниченные — служебная тайна, данные, на которые действуют особые требования. ИИ запрещён или допускается только локальная модель внутри периметра.

При составлении раздела учитывайте законодательство. Закон «О персональных данных» (ЗРУ-547 от 02.07.2019) в редакции 2026 года (ЗРУ-1125) требует хранить в Узбекистане биометрические и генетические данные и данные пользователей местных телеком-сервисов, а передачу других персональных данных за рубеж допускает в страны из утверждённого перечня или при соблюдении других условий закона. Поэтому перед включением зарубежного сервиса в список одобренных стоит проверить, где он обрабатывает данные, вместе с юристом.

Допустимые и запрещённые сценарии: примеры

Абстрактные правила люди забывают, а примеры запоминают. Включите в политику короткие списки.

Рекомендуется:

• черновики писем, постов и описаний на основе открытой информации;
• структурирование идей, планы презентаций и отчётов;
• сжатые пересказы опубликованных документов;
• проверка грамматики и стиля;
• генерация вариантов заголовков и формулировок.

Запрещено:

• загружать в публичные сервисы документы с персональными данными, договоры, финансовую отчётность;
• публиковать текст или изображение от ИИ без проверки ответственным сотрудником;
• принимать с помощью ИИ решения, влияющие на права людей, без участия человека;
• использовать ИИ для создания материалов, имитирующих реальных людей без их согласия;
• вводить пароли, ключи доступа и коды в любые ИИ-сервисы.

Отдельно пропишите правила для изображений, видео и логотипов. Сгенерированные картинки удобны для черновиков и внутренних презентаций, но для публичных материалов важно понимать условия использования конкретного сервиса, не копировать чужие узнаваемые образы и товарные знаки и не создавать фото реальных людей и событий, которых не было. Если материал выходит от имени организации, у него должен быть ответственный, который проверил, что изображение не вводит аудиторию в заблуждение и не нарушает чужих прав.

Хорошая политика не пугает сотрудников, а снимает с них неопределённость. Когда человек знает, что можно, он перестаёт пользоваться ИИ тайком.

Памятка на одну страницу

Полный документ прочитают юристы и руководители. Остальным нужна короткая памятка, которую можно повесить рядом с рабочим местом или закрепить в корпоративном чате. В ней пять–семь правил простым языком:

1. Пользуйтесь только сервисами из списка одобренных.
2. Не вставляйте персональные данные, договоры и внутренние цифры в публичные чат-боты.
3. Проверяйте каждый факт, цифру и ссылку в ответе ИИ.
4. Вы отвечаете за результат, даже если его написала нейросеть.
5. Сомневаетесь — спросите ответственного до отправки данных.
6. Заметили, что данные ушли не туда, — сообщите сразу, это не наказуемо.

Форма здесь так же важна, как содержание. Памятка с понятной иерархией, крупными заголовками и иконками читается за минуту; сплошной текст мелким шрифтом не читается никогда.

Как внедрить политику, чтобы она работала

1. Соберите рабочую группу: руководитель, юрист, специалист по информационной безопасности, представители подразделений, которые активно пользуются ИИ.
2. Проведите опрос: какие сервисы сотрудники уже используют и для чего. Реальная картина обычно отличается от ожиданий.
3. Подготовьте проект и обсудите его с подразделениями. Политика, написанная без пользователей, быстро превращается в формальность.
4. Обеспечьте инструменты. Если запрещаете публичные сервисы для внутренних данных, дайте альтернативу — корпоративный тариф или локальное решение.
5. Обучите сотрудников на практических примерах из их работы. Как построить такое обучение, мы описали в статье об обучении госслужащих работе с ИИ.
6. Пересматривайте документ хотя бы раз в полгода: сервисы и законодательство меняются быстро.

Типичные ошибки при составлении политики

• Слишком общий текст. Фразы вроде «использовать ИИ ответственно» ничего не объясняют. Нужны конкретные примеры.
• Только запреты. Если документ ничего не разрешает, его будут обходить.
• Нет ответственного. Без владельца политика устаревает через несколько месяцев.
• Нет порядка сообщения об инцидентах. Если сотрудник боится наказания, он скроет утечку, и последствия станут серьёзнее.
• Документ никто не видит. Политика, которая лежит в папке и не доведена до людей, не работает.

Если вам нужно оформить политику, памятку и обучающие материалы так, чтобы их действительно читали, команда Dasta Creative может помочь с вёрсткой и визуальными материалами в рамках дизайн-поддержки.