- Можно ли загружать договоры и документы клиентов в нейросети? Правовые риски использования ИИ
Нейросети всё активнее используются в работе компаний и частных специалистов.
С их помощью составляют письма, анализируют договоры, готовят коммерческие предложения и обрабатывают большие объёмы информации.
Кажется, что всё просто: достаточно загрузить документ и попросить искусственный интеллект проверить его содержание.
Но что происходит, если в таком документе указаны паспортные данные, адреса, номера телефонов, сведения о зарплате или коммерческая информация?
Здесь возникают вопросы не только информационной безопасности, но и соблюдения законодательства о персональных данных.
Передача документа нейросети может означать передачу информации третьему лицу
Представим ситуацию: сотрудник компании загружает в облачный ИИ-сервис договор с клиентом, содержащий его персональные данные.
При использовании внешнего сервиса информация может поступать в информационные системы поставщика соответствующей технологии.
А это уже требует правовой оценки: кто получает данные, для каких целей они используются, как долго хранятся и кому могут быть доступны.
В соответствии со ст. 6 Федерального закона № 152-ФЗ обработка персональных данных должна иметь законное основание.
Кроме того, статья 7 указанного закона устанавливает требования к конфиденциальности персональных данных.
Наличие у компании права обрабатывать сведения клиента не означает автоматически, что эти сведения можно передавать любому стороннему сервису.
Нужно ли получать согласие клиента?
Универсального ответа нет.
Закон предусматривает несколько оснований обработки персональных данных. Согласие — лишь одно из них.
При использовании стороннего сервиса необходимо определить его правовую роль: обрабатывает ли он данные по поручению компании либо самостоятельно определяет цели и способы обработки.
Если речь идёт об обработке по поручению оператора, должны соблюдаться требования ч. 3 ст. 6 Федерального закона № 152-ФЗ, в том числе к оформлению поручения, конфиденциальности и безопасности информации.
В предусмотренных законом случаях требуется согласие субъекта персональных данных.
Следовательно, перед подключением ИИ-сервиса необходимо не просто проверить наличие согласия клиента, а установить правовые основания конкретного способа обработки.
Отдельный риск — использование иностранных сервисов
Если сведения передаются иностранному получателю, могут применяться правила о трансграничной передаче персональных данных, установленные ст. 12 Федерального закона № 152-ФЗ.
В зависимости от государства получателя и обстоятельств передачи могут потребоваться предварительное уведомление Роскомнадзора, получение необходимой информации об обеспечении защиты данных и соблюдение установленных законом ограничений.
Кроме того, сохраняют значение требования о локализации персональных данных граждан Российской Федерации.
Поэтому использование зарубежного ИИ-сервиса для обработки клиентской базы требует отдельной правовой проверки.
Что делать с коммерческой тайной и конфиденциальными документами?
Предположим, работник загружает в нейросеть внутренний договор компании, содержащий сведения о ценах, условиях сотрудничества и финансовых показателях.
Даже если документ не содержит персональных данных, его передача внешнему сервису может нарушать предусмотренный договором режим конфиденциальности.
Если сведения составляют коммерческую тайну, необходимо учитывать требования Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне».
Поэтому организации целесообразно заранее определить, какие документы сотрудники вправе использовать при работе с ИИ, а какие сведения не могут передаваться сторонним сервисам.
Можно ли обезличить документы?
Во многих случаях — да.
Например, для проверки структуры договора необязательно указывать реальные фамилии, паспортные данные, адреса и реквизиты сторон.
Вместо этого можно использовать условные обозначения: «Заказчик», «Исполнитель», «Общество А», «Общество Б».
Однако простая замена фамилии не всегда обеспечивает обезличивание.
Если из совокупности оставшихся сведений можно установить конкретного человека, риск идентификации сохраняется.
Обезличивание должно исключать возможность определения принадлежности персональных данных конкретному субъекту без использования дополнительной информации.
Кому принадлежат права на результат работы нейросети?
Это ещё один вопрос, который часто упускают.
Согласно ст. 1257 ГК РФ автором произведения признаётся гражданин, творческим трудом которого оно создано.
Поэтому сам факт генерации текста, изображения или программного кода нейросетью не гарантирует возникновения исключительного права у пользователя сервиса.
Юридическая оценка зависит от характера участия человека в создании результата, условий использования сервиса и наличия охраняемых элементов чужих произведений.
Особенно важно учитывать эти обстоятельства, если результат предполагается использовать в рекламе, программном продукте или ином коммерческом проекте.
Как бизнесу организовать безопасную работу с ИИ?
Я рекомендую начать с определения допустимых сценариев использования искусственного интеллекта.
Для подготовки обычных писем и редактирования обезличенных текстов риски могут быть существенно ниже, чем при загрузке клиентских документов или кадровых баз.
Необходимо проверить условия выбранного сервиса, определить допустимые категории информации, ограничить доступ сотрудников к конфиденциальным сведениям и установить порядок проверки результатов работы нейросети.
Для организаций, которые регулярно используют ИИ, целесообразно закрепить соответствующие правила во внутреннем документе.
Вывод
Искусственный интеллект действительно способен ускорить выполнение многих задач. Но использование современных технологий не отменяет обязанностей по защите персональных данных и соблюдению договорной конфиденциальности.
Главный принцип: прежде чем передавать информацию нейросети, необходимо установить, какие именно сведения она получит, на каком правовом основании и какие последствия может повлечь такая передача.
Правовая основа: Федеральный закон от 27.07.2006 № 152-ФЗ (ст. 6, 7, 12, 18, 19); Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне»; ГК РФ (ст. 1257).
