Теневой ИИ – рабочие данные в личных AI-аккаунтах сотрудников. Запрет его не останавливает, а прячет. Управляет им связка мер: правила, контроль каналов и маршрут, при котором тайна остается внутри контура.
Главное
- У клиентов LayerX генеративным AI пользуются почти 45% сотрудников. 82% вставок данных в такие сервисы идут через неуправляемые личные аккаунты (LayerX).
- В пилотах DLP Solar Dozor в 150 крупных российских организациях 38% из 12 000 взаимодействий с публичными AI-сервисами содержали конфиденциальную информацию (ГК «Солар»).
- Наша сверка политик восьми сервисов, 18.10.2026. В 6 из 8 сервисов запросы из личного аккаунта по умолчанию идут на обучение моделей или на «улучшение» сервиса: ChatGPT, Claude, Gemini, DeepSeek, Алиса AI, Perplexity. Выключить это может только сам сотрудник.
- Наш замер на hh.ru, 18.10.2026. Фразы о работе с нейросетями есть в 779 открытых вакансиях. Фраза «запрещено использовать» рядом с ChatGPT или нейросетями не встретилась ни разу.
- Что делать. Не одну меру, а связку: инвентаризация, правила на одну страницу, разрешенный сервис и пилот маршрутизации в одном подразделении. Повторная утечка по 420-ФЗ стоит 1-3% выручки, по нашему расчету – от 3,7 до 11 дней выручки.
Содержание
- Почему запрет ChatGPT сотрудникам не останавливает теневой ИИ
- Что сервисы делают с запросом из личного аккаунта
- Чем отличаются запрет, DLP, корпоративный тариф и AI-шлюз
- Как корпоративный AI-шлюз решает, куда уйдет запрос
- Что 152-ФЗ, 420-ФЗ, закон об AI и приказ ФСТЭК значат для выбора модели
- Чего не закроет даже шлюз
- Что сделать
- Частые вопросы
Почему запрет ChatGPT сотрудникам не останавливает теневой ИИ
Запрет закрывает корпоративные устройства и сеть. Разрешенного канала он не создает, журнала запросов у компании не появляется, а личный телефон сотрудника остается в кармане.
Масштаб привычки видно по телеметрии браузеров у клиентов LayerX. Генеративный AI используют почти 45% сотрудников, 77% из этих пользователей вставляют в запросы данные. 82% вставок идут через неуправляемые личные аккаунты, в 22% есть персональные или платежные данные. Это клиенты одного вендора, но порядок цифр понятен.
ГК «Солар» разобрала 12 000 взаимодействий сотрудников с публичными AI-сервисами, которые DLP Solar Dozor зафиксировала в пилотах в 150 крупных российских организациях за январь-июнь 2026 года. Конфиденциальная информация нашлась в 38% из них (ГК «Солар»).
Подставьте свою численность, и калькулятор переведет эти доли в людей.
Самый известный запрет ввела Samsung: в 2023 году после трех утечек кода и внутренних материалов через ChatGPT записка от 1 мая закрыла генеративный AI на корпоративных устройствах. В июне 2026 года OpenAI сообщила, что ChatGPT Enterprise получат все сотрудники Samsung Electronics в Южной Корее – после двухмесячного пилота на 2 500 сотрудниках. Запрет оказался паузой перед корпоративным продуктом.
18.10.2026 мы искали на hh.ru по описаниям открытых вакансий в регионе «Россия» (наш замер). Хотя бы один AI-инструмент упоминают 3 957 вакансий. ChatGPT встречается в 1 064 описаниях, GigaChat и YandexGPT вместе – в 296, в 3,6 раза реже. Фразы «корпоративный ChatGPT», «корпоративной нейросети», «корпоративный AI» или «корпоративный ИИ» нашлись в 73 вакансиях, около 2% от вакансий с AI-инструментами.
Это упоминания, а не обязательные требования, и срез одного дня. Но вывод виден: работодатель просит владеть нейросетями и почти никогда не говорит, через какой корпоративный инструмент. Новый сотрудник откроет тот сервис, к которому привык.
Так уже было с BYOD: свое приносят раньше, чем появляются правила. По Work Trend Index 2024 от Microsoft и LinkedIn 78% пользователей AI приносят на работу свои инструменты.
Иногда запрет оправдан: на объектах КИИ и в системах с жесткими требованиями ФСТЭК – пока нет внутреннего контура. К любому запрету я задаю два вопроса: какой у него срок и куда сотрудник пойдет вместо запрещенного сервиса.
Что сервисы делают с запросом из личного аккаунта
Шесть сервисов из восьми по умолчанию используют запросы из личного аккаунта для обучения моделей или «улучшения» сервиса, а выключатель живет в аккаунте сотрудника. Это наша сверка на 18.10.2026: политики конфиденциальности, соглашения и справка для бесплатных и индивидуальных платных тарифов, каждое сведение – по цитате из первоисточника.
| Сервис | Использование по умолчанию | Хранение | Поставщик и место обработки |
|---|---|---|---|
| ChatGPT | обучение, пока не выключить | до удаления; удаленные чаты стираются в течение 30 дней, кроме ранее обезличенных и случаев безопасности или закона | OpenAI, США; хранение в США и других странах |
| Claude | обучение, пока не выключить, с 28.08.2025 | при включенном обучении до 5 лет в обезличенном виде | Anthropic, США; серверы в США |
| Gemini | обучение, Keep Activity включена для 18+ | автоудаление через 18 месяцев; прочитанные проверяющими чаты – до 3 лет | Google, США; серверы по всему миру |
| Microsoft Copilot, новое приложение | базовые модели не обучаются с 18.08.2026; запросы идут на улучшение сервисов, включая рекламу | до удаления, срок не подтвержден | Microsoft, США; регион пользователя, США и другие страны |
| DeepSeek | обучение, пока не выключить | «сколько необходимо» | Hangzhou DeepSeek; хранение в КНР |
| GigaChat | не подтверждено; Банк получает безвозмездную лицензию на контент | не подтверждено | Сбербанк; обработка «на сервере Банка», страна серверов не названа |
| Алиса AI | «улучшение сервисов», отказ в Яндекс ID | срок для чатов не подтвержден | Яндекс; данные граждан РФ в базах на территории РФ |
| Perplexity | обучение, AI Data Retention включен | пока активен аккаунт, после удаления – до 30 дней | Perplexity, обработка включая США |
Выключенная настройка закрывает не все. В ChatGPT после оценки ответа пальцем вверх или вниз весь связанный диалог может пойти в обучение, даже если пользователь от обучения отказался.
Личный аккаунт российской модели для рабочих данных тоже не годится. Соглашение GigaChat прямо запрещает загружать персональные данные, коммерческую, банковскую и иную охраняемую законом тайну. Алиса AI по условиям предназначена только для некоммерческого использования. Сотрудник, который перешел с ChatGPT на отечественный сервис, нарушает уже его условия.
Чего в первоисточниках нет, в таблице не заполнено. Политики меняются, поэтому сверку стоит повторять раз в квартал.
Чем отличаются запрет, DLP, корпоративный тариф и AI-шлюз
Это меры разных уровней, и работают они вместе. Проверенных цен на DLP для AI и шлюзы нет, поэтому в таблице – из чего складываются затраты.
| Мера | Что контролирует | Где граница | Персональные данные | Из чего затраты | Когда оправдана |
|---|---|---|---|---|---|
| Запрет внешних сервисов | Корпоративные устройства и сеть | Личные телефоны и аккаунты; разрешенного канала нет | Нет ни маршрута, ни журнала | Блокировки, потерянная польза от AI | КИИ и жесткие требования: временно, со сроком и альтернативой |
| DLP | Каналы с агентом: почта, файлы, при настройке браузер и приложения | Устройства без агента, личные телефоны | Находит нарушение; блокировка зависит от настройки | Лицензии, правила под AI, разбор событий | Почти всегда, как слой поверх других мер |
| Корпоративный чат на западной модели | Учетные записи; обработка по договору продукта | Личные аккаунты; встроенный помощник видит все, к чему у сотрудника есть доступ | Трансграничная передача остается | Подписки, проверка договора | Обезличенные задачи, открытые данные |
| Корпоративный тариф российской модели | Учетные записи, обработка по договору с российским поставщиком | Личные аккаунты; выбора модели по типу данных нет | Условия смотреть в договоре | Подписка или оплата по использованию | Компания без персональных данных и тайны в запросах |
| AI-шлюз с тремя контурами | Запросы из чата и подключенных систем: правила по ролям, маскирование, журнал, бюджет | Неподключенные системы, личный телефон, фото экрана | По правилу идут во внутренний контур | Серверы, модели, интеграции, правила, сопровождение | Много подразделений, систем и классов данных; нужен журнал |
С DLP все решает настройка. Если она смотрит только почту, папки и облако, запрос из вкладки браузера уходит к провайдеру мимо нее – так описывает механику вендор браузерной защиты. У своей DLP я бы проверил, какие браузеры и устройства она видит, читает ли содержимое запроса и умеет ли блокировать, а не только записывать.
С корпоративным тарифом путают две вещи: чат, куда сотрудник сам вставляет текст, и встроенный помощник с доступом к документам. По оценке вендора Aona AI, Microsoft Copilot может выдать сотруднику чувствительные файлы через уже существующие права в Microsoft 365. Помощник наследует все ошибки доступа, накопленные за годы. У зарубежной модели в любом тарифе остается трансграничная передача.
Мой вердикт зависит от сценария:
- небольшой компании без персональных данных и тайны в запросах хватит тарифа российской модели и правил на одну страницу;
- если персональные данные, код и коммерческая тайна идут через несколько систем, нужен шлюз поверх DLP и правил;
- для КИИ подходит временный запрет до запуска внутреннего контура.
Контроль доступа решает многое: 97% организаций, переживших AI-инцидент, его не имели.
Включите меры, которые уже работают у вас, и посмотрите, какие пути запроса остались в темноте. Личный телефон на мобильном интернете не закрывает ни одна.
Как корпоративный AI-шлюз решает, куда уйдет запрос
Шлюз – одна точка входа к моделям для чата, офисных приложений, CRM, 1С и документооборота. Он распознает в запросе персональные данные, коммерческую тайну, код или открытые данные, маскирует их или оставляет внутри, выбирает модель по задаче и цене и пишет в журнал, кто, из какого подразделения, в какую модель отправил запрос и сколько это стоило. Такую архитектуру предлагает AppCraft.
Контуров три. Внутренний – открытые модели на серверах компании. Российский – GigaChat, YandexGPT и другие модели с обработкой в России. Международный – GPT, Claude, Gemini. Проект шлюза мы начинаем с правил по умолчанию из нашей методики:
- открытые данные и открытый код – любой контур;
- внутренние документы без персональных данных и тайны – российские модели или внутренний контур;
- персональные данные, коммерческая тайна, собственный код – только внутренний контур;
- пароли, токены и ключи доступа – никуда, их вырезают из запроса.
Распознавание ошибается, поэтому в пилоте его проверяют на контрольных примерах, а сомнительный запрос отправляют в более строгий контур.
Звучит просто, пока не раскладываешь живые запросы. Попробуйте на семи примерах: тренажер покажет контур и правило для каждого.
Смета шлюза для финансового директора – шесть строк: серверы внутреннего контура, оплата внешних моделей, интеграции, настройка распознавания, сопровождение и обучение. Для оценки нужны число пользователей, задачи, классы данных и объем запросов.
Что 152-ФЗ, 420-ФЗ, закон об AI и приказ ФСТЭК значат для выбора модели
Запрос с персональными данными в зарубежную модель – это трансграничная передача, а повторная утечка стоит процент выручки. Ниже – что нормы значат для компании; оценку своей системы дает юрист.
Часть 5 статьи 18 152-ФЗ с 01.07.2025 запрещает при сборе персональных данных граждан России записывать и хранить их в базах за рубежом. Передачу уже собранных данных за границу регулируют правила трансграничной передачи.
По правилам Роскомнадзора, в течение 10 рабочих дней после уведомления данные нельзя передавать в страны без адекватной защиты, кроме случаев защиты жизни, здоровья и иных жизненно важных интересов. По итогам рассмотрения регулятор вправе запретить или ограничить передачу. США в перечень стран с адекватной защитой не входят.
Минцифры считает трансграничной передачей даже счетчики вроде Google Analytics, если они обрабатывают персональные данные (письмо Минцифры). О нейросетях в письме ничего нет, но вывод по аналогии прямой: паспорт клиента в запросе к американской модели – тем более передача. Gartner прогнозирует, что к 2027 году больше 40% утечек, связанных с AI, будут вызваны трансграничным использованием генеративного AI.
420-ФЗ с 30.05.2025 наказывает повторное нарушение, которое повлекло неправомерную передачу персональных данных, штрафом от 1% до 3% выручки за прошлый год, но не меньше 20 млн и не больше 500 млн рублей. Для биометрии и специальных категорий нижняя граница – 25 млн, у банков база – собственные средства. Мы перевели санкцию в дни выручки: 1% – около 3,7 дня, 3% – почти 11 дней. При выручке 5 млрд рублей это 50-150 млн. Калькулятор посчитает штраф для вашей выручки, данных и случая.
В официальном тексте закона (с. 7-8) мы нашли условие, о котором пишут редко. По части 3.4-2 статьи 4.1 КоАП повторный штраф можно назначить в размере одной десятой минимального по санкции, но не меньше 15 млн и не больше 50 млн рублей (текст 420-ФЗ). Условий три:
- оператор три года тратил на информационную безопасность не меньше 0,1% выручки через лицензиатов (420-ФЗ);
- он подтвердил соблюдение требований за последние 12 месяцев (420-ФЗ);
- отягчающих обстоятельств нет.
Как суды применяют эту норму, пока не видно, но расходы на ИБ здесь работают как страховка с понятной ценой.
Мировой ориентир дает IBM. Утечка у организаций с высоким уровнем теневого AI стоила в среднем 4,74 млн долларов, с низким или нулевым – 4,07 млн, разница – 670 тыс. долларов (IBM). Это мировая выборка и корреляция, а не прогноз для вашей компании.
Закон об AI 243-ФЗ действует с 01.09.2026, а случаи, когда допустимы только суверенные или национальные модели, вводятся с 01.03.2027. Системы, созданные к этой дате, освобождены до 01.09.2032 – если данные обрабатываются и хранятся в России. Система, которая отправляет данные в зарубежную модель, по нашему прочтению это условие не выполняет.
Приказ ФСТЭК №117 действует с 01.03.2026 и касается государственных информационных систем, систем госорганов, ГУП и госучреждений. Пункт 60 запрещает передавать разработчику модели информацию ограниченного доступа и требует доверенных технологий AI, пункт 61 – контролировать запросы и ответы пользователей. Маршрутизация закрывает часть этого: данные не уходят наружу, журнал ведется. Доверенность моделей и недостоверные ответы она не решает.
Чего не закроет даже шлюз
Шлюз не видит личный телефон на мобильном интернете и фото экрана. Снимок договора, отправленный в свой ChatGPT, инфраструктура не перехватит. Эту зону закрывают люди: объясняют, какие запросы допустимы, дают разрешенный сервис и разбирают нарушения.
Обучение отстает от использования. По Work Trend Index 2024 обучение работе с AI в своей компании прошли только 39% его пользователей.
Удобство корпоративного канала – проектное требование. Наша гипотеза: медленный и неудобный канал проиграет личному аккаунту. Проверьте ее на интервью с сотрудниками.
Шлюзу нужен владелец: он меняет правила, разбирает блокировки и попытки обхода. Журнал сам хранит текст запросов, поэтому заранее решите, кто его читает и сколько он хранится.
Что сделать
Шаги 1-4 не требуют закупок, только времени сотрудников и журналов прокси или DLP. Журналов нет – начните с короткого опроса подразделений: какими сервисами пользуются, через какой аккаунт и для каких задач.
| Шаг | Владелец | Результат |
|---|---|---|
| 1. Инвентаризация: какие AI-сервисы открывают, с каких учетных записей и где слепые зоны | Директор по ИБ | Карта каналов и пробелов контроля |
| 2. Проверка своей DLP: браузеры, устройства, содержимое запросов, блокировка | Директор по ИБ | Список того, что DLP закрывает, а что нет |
| 3. Правила на одну страницу: классы данных и маршрут для каждого | ИБ и юрист | Документ, который сотрудник прочитает за две минуты |
| 4. Повторить наш замер на своих вакансиях | HR-директор | Видно, к каким инструментам компания подталкивает кандидатов |
| 5. Разрешенный канал: российская модель для документов без персональных данных и тайны; запрет – только временный и со сроком | Директор по ИТ | Сотрудникам есть куда уйти из личных аккаунтов |
| 6. Расчет повторного штрафа в днях выручки и проверка условий смягчения | Финансовый директор | Цифра для бюджета на ИБ |
| 7. Пилот маршрутизации в одном подразделении с критериями приемки: распознавание на контрольных примерах, ложные блокировки, обходы, задержка, стоимость | ИТ и руководитель подразделения | Решение, расширять ли пилот |
| 8. Обучение: что и куда можно отправлять, с примерами из своих задач | HR и ИБ | Сотрудники проходят проверку на контрольных примерах |
Для шага 3 – шаблон. Отметки по умолчанию взяты из нашей методики: поправьте под себя, впишите ответственных и заберите текст.
По той же логике устроена наша экспресс-диагностика: несколько недель интервью с ИТ, ИБ и бизнесом, инвентаризация AI-инструментов и доступов, проверка того, какие данные уже уходят во внешние сервисы. Затем пилот на одном контуре и план на 12 месяцев.
Запрет показывает, чего компания боится. Журнал запросов показывает, чем она уже пользуется.
Частые вопросы
Все зависит от данных в запросе. Без персональных данных вопроса трансграничной передачи не возникает. С ними это передача в США: OpenAI хранит данные в США и других странах, а США не входят в перечень стран с адекватной защитой. В течение 10 рабочих дней после уведомления Роскомнадзора такая передача запрещена, кроме случаев защиты жизненно важных интересов, а регулятор вправе ее запретить или ограничить (Роскомнадзор).
420-ФЗ не выделяет нейросети отдельно: наказывают за повторное нарушение, которое повлекло неправомерную передачу персональных данных. Юрлицу грозит от 1% до 3% выручки, но не меньше 20 млн и не больше 500 млн рублей. Для биометрии и специальных категорий нижняя граница – 25 млн рублей, у банков базу считают от капитала (420-ФЗ). При выполнении условий по расходам на ИБ закон допускает штраф от 15 до 50 млн рублей.
Новые чаты перестают использоваться для обучения моделей. Но после оценки ответа пальцем вверх или вниз весь связанный диалог может пойти в обучение. Вопрос трансграничной передачи настройка не решает. Включена она или нет, компания не видит: это личный аккаунт сотрудника.
DLP контролирует каналы, на которых установлена, и находит в них нарушения; при настройке может блокировать передачу. Шлюз стоит на пути запроса к моделям: применяет правила по ролям, маскирует данные, отправляет тайну во внутренний контур и ведет журнал с расходами. Чаще всего их ставят вместе.
Приказ касается государственных информационных систем, систем госорганов, ГУП и госучреждений (приказ №117). Применимость определяет конкретная система, а не только статус компании, поэтому подрядчику госсектора стоит проверить это с профильным специалистом. Остальным пункты 60 и 61 полезны как ориентир для контроля запросов к AI.
Источники
- go.layerxsecurity.com — LayerX
- rt-solar.ru — ГК «Солар»
- help.openai.com — ChatGPT
- anthropic.com — Claude
- support.google.com — Gemini
- cdn.deepseek.com — DeepSeek
- yandex.ru — Алиса AI
- perplexity.ai — Perplexity
- hh.ru — 779 открытых вакансиях
- hh.ru — не встретилась ни разу
- publication.pravo.gov.ru — 420-ФЗ
- bloomberg.com — записка от 1 мая
- openai.com — OpenAI сообщила
- hh.ru — 3 957 вакансий
- hh.ru — 1 064 описаниях
- hh.ru — 296
- hh.ru — 73 вакансиях
- news.microsoft.com — Work Trend Index 2024
- help.openai.com — стираются в течение 30 дней
- openai.com — OpenAI, США; хранение в США и других странах
- privacy.anthropic.com — при включенном обучении до 5 лет в обезличенном виде
- support.google.com — прочитанные проверяющими чаты – до 3 лет
- policies.google.com — Google, США; серверы по всему миру
- support.microsoft.com — базовые модели не обучаются с 18.08.2026
- microsoft.com — идут на улучшение сервисов, включая рекламу
- cdn.deepseek.com — «сколько необходимо»
- developers.sber.ru — безвозмездную лицензию на контент
- yandex.ru — данные граждан РФ в базах на территории РФ
- perplexity.ai — пока активен аккаунт, после удаления – до 30 дней
- perplexity.ai — США
- reasoncore.dev — так описывает механику
- aona.ai — Aona AI
- ibm.com — 97% организаций
- publication.pravo.gov.ru — Часть 5 статьи 18 152-ФЗ
- pd.rkn.gov.ru — Роскомнадзора
- rulaws.ru — письмо Минцифры
- gartner.com — Gartner
- ibm.com — IBM
- publication.pravo.gov.ru — Закон об AI 243-ФЗ
- publication.pravo.gov.ru — Приказ ФСТЭК №117
