Новый доклад MIT The GenAI Divide: State of AI in Business 2025, спровоцировавший снижение котировок ИТ-компаний, содержит ценные выводы для специалистов по инфобезопасности, несмотря на отсутствие прямого фокуса на защите данных. В исследовании не упоминаются термины security, cybersecurity и safety, однако его результаты полезны для формирования корпоративных политик регулирования ИИ.
Основной инсайт: только 40% участников опроса приобрели корпоративные подписки на языковые модели, тогда как 90% сотрудников регулярно применяют персональные ИИ-сервисы для рабочих целей. Эксперты называют это «скрытой ИИ-экономикой», которая демонстрирует большую эффективность, чем официальные решения. Лишь 5% компаний фиксируют прибыль от запущенных ИИ-проектов, в отличие от сотрудников, успешно улучшающих личную производительность.
Иерархический подход к внедрению ИИ часто проваливается. Авторы рекомендуют перед закупками корпоративных инструментов «изучать теневые практики использования и ценность персональных сервисов». Как это соотносится с задачами безопасности?
Блокировка неконтролируемого ИИ
Типичная стратегия для руководителей ИБ: внедрить проверенные решения (или создать собственные) с полным запретом альтернатив. Однако такая позиция может снижать конкурентоспособность и трудно реализуется технически. Для высокорегулируемых отраслей или подразделений с критичными данными это единственный вариант. Реализация включает:
- Блокировку популярных ИИ-сервисов через NGFW или аналогичные системы фильтрации трафика;
- Настройку DLP для предотвращения передачи данных в ИИ-приложения, включая ограничения на копирование объемных текстов;
- Внедрение политики «белого списка» ПО на корпоративных устройствах;
- Запрет на использование личных гаджетов для рабочих задач;
- Ограничение съемки экранов через системы видеоаналитики;
- Юридическое закрепление разрешенных ИИ-инструментов с обязательным обучением сотрудников.
Либеральная модель использования ИИ
Для отделов без доступа к чувствительной информации возможен гибкий режим работы с минимальными ограничениями. Это позволяет анализировать практики применения ИИ для дальнейшего планирования. Даже в таком сценарии необходимо:
- Обучать персонал основам безопасной работы с ИИ;
- Вести детальный мониторинг ИИ-активности для анализа паттернов использования;
- Обеспечить наличие EPP/EDR-решений на рабочих и личных устройствах;
- Проводить регулярные опросы о целях применения ИИ для оценки рисков.
Гибкая регулировка ИИ-активности
Для большинства организаций оптимален дифференцированный подход, учитывающий типы обрабатываемых данных. Реализация требует:
- Внедрения «ИИ-прокси» для автоматического удаления конфиденциальных данных из запросов;
- Создания ИТ-портала для декларирования используемых ИИ-сервисов;
- Использования CASB, DLP и NGFW для контроля активности;
- Модификации процессов CI/CD и инструментов SAST/DAST для проверки ИИ-генерируемого кода;
- Регулярного обучения персонала и защиты устройств.
Совокупность этих мер позволяет создать политику для различных категорий данных:
| Тип данных | Личные устройства/аккаунты | Внешние сервисы через корпоративный прокси | Локальные или доверенные облачные решения |
| Публичные материалы | Допустимо с декларированием | Разрешено (с журналированием) | Разрешено (с журналированием) |
| Внутренняя информация | Нежелательно (требуется декларация) | Разрешено (с журналированием) | Разрешено (с журналированием) |
| Конфиденциальные сведения | Запрещено (блокируется) | Допустимо по согласованию с руководством | Разрешено (с контролем данных) |
| Регулируемые данные | Запрещено | Запрещено | Допустимо с разрешения ИБ-службы |
| Сверхважная информация | Запрещено | Запрещено | Запрещено (кроме исключений) |
Для эффективной реализации политики требуется комплекс мер:
- Обязательное обучение сотрудников рискам (утечки данных, промпт-инъекции);
- Спецкурсы для руководителей по оценке ИИ-рисков;
- Регулярная корректировка политик на основе анализа данных;
- Внедрение системы постепенного реагирования на нарушения:
- Автоматизированные уведомления и микрообучение;
- Личные встречи с представителями ИБ;
- Временная блокировка доступа к ИИ-инструментам;
- Дисциплинарные взыскания.
Комплексное управление ИИ-рисками
Представленные стратегии охватывают базовые аспекты безопасности. Для разработки всеобъемлющей политики рекомендуем изучить методические материалы от «Лаборатории Касперского», созданные совместно с отраслевыми экспертами.
