Які дані компанії не можна віддавати хмарним AI-сервісам: практичне розмежування

Коли власник бізнесу розглядає AI, перше питання — скільки це коштує. Друге — чи буде це працювати у нас. Третє, яке часто залишається невиказане, аж поки не виникне проблема: які дані ми можемо безпечно віддати хмарному сервісу, а які — ні. Якщо ви не розмежуєте це заздалегідь, ви ризикуєте не лише гроши, а й репутацію, клієнтів, можливо — свободу.

Коротко

• Персональні дані клієнтів і працівників — категорично не віддавати без анонімізації або згоди.
• Комерційна таємниця (ціни, márжі, списки постачальників) — передавати лише в зашифрованому вигляді або після оцінки ризиків вендора.
• Фінансові дані та банківські реквізити — ніколи не завантажувати у публічні AI-чати без перевірки SLA та шифрування вендора.

Визначення: персональні дані

Визначення: Персональні дані — будь-яка інформація про識фіковану або ідентифіковану людину: ім’я, телефон, e-mail, адреса, ІПН, дані про здоров’я, перегляди сторінок, історія покупок.

Визначення: комерційна таємниця

Визначення: Комерційна таємниця — інформація, яка має економічну цінність, не є загальнодоступною і її власник підприєм заходи для її збереження (наприклад, формули цін, списки клієнтів, технологічні процеси).

Визначення: фінансові дані

Визначення: Фінансові дані — інформація про доходи, витрати, остатки на рахунках, кредитні ліміти, банківські реквізити, податкові декларації.

Хмарні AI-сервіси (ChatGPT, Claude, Gemini) за замовчуванням не гарантують, що ваші дані не будуть використані для навчання моделей або збережені в журналах. Якщо ви вставляєте у чат список клієнтів з телефонними номерами — ви поширюєте персональні дані. Якщо ви вставляєте розрахунок маржі по продукту — ви розкриваєте комерційну таємницю. Якщо ви вставляєте виписку з банківського рахунку — ви передаєте фінансові дані.

Перший крок — зрозуміти, що саме ви плануєте віддати AI. Для цього корисно побудувати оргсхему компанії: вона показує департаменти, задачі і рутину, яку можна поступово віддати AI-агентам. Зайдіть на безкоштовний інструмент, введіть адресу сайту і кількість людей — сервіс малює оргсхему по департаментах із задачами і позначає рутину, яку можна віддати AI. Це дозволяє бачити, які дані задіяні в кожному процесі.

Після того як оргсхема готова, перейдіть до списку сенシティвних даних. Запишіть, які саме дані використовуються в кожному з вибраних процесів. Наприклад, якщо ви хочете автоматизувати генератор комерційних пропозицій, вам потрібні дані про продукти, ціни, шаблони — це комерційна таємниця. Якщо ви хочете аналізувати запити служби підтримки, вам потрібні історії спілкування з клієнтами — це може містити персональні дані.

Для чутливих даних є три варіанти безпечного використання AI:

1. Анонімізація перед завантаженням: видалити або замінити ПІБ, телефони, e-mail, номера договорів.
2. Використання локальних або саморозгорнутих моделей: дані не виходять за межі вашої інфраструктури.
3. Вибір вендора з чіткими гарантіями: шукайте у договору положення про невикористання даних для навчання, збереження в євросоюзному jurisdicciónі, можливість вилучення даних за запитом.

Якщо ви не можете забезпечити жодного з цих варіантів — не віддавайте дані хмарному AI. Знайдіть інший спосіб: наприклад, використовуйте AI лише для генерації структури, а дані підставляйте локально.

Часті питання

Чи можна віддавати дані у ChatGPT, якщо вимикати історію чату? Ні. Вимикання історії чату не зупиняє можливе використання вашого вводу для навчання моделей, якщо це не заборонено умовами використання. Для бізнес-акаунтів (Team, Enterprise) таке використання може бути виключено — перевіряйте DPA вендора.

Чи достатньо_sign NDA з AI-підрядником, щоб безпечно передавати дані? Ні. NDA захищає від розкриття даних третьою стороною, але не регулює, як сам AI-вендор використовує ваші вхідні дані для покращення своїх моделей. Потрібен окремий пункт у договорі або у умовах використання про невикористання даних для навчання.

**Чи можна передавати дані у AI, якщо вони вже публічні (наприклад, з веб-сайту компанії)? Так, якщо дані дійсно публічні і не містять чутливої інформації (персональні дані клієнтів, внутрішні ціни). Але перевірте: часто на сайтах публікуються лише агреговані дані, а деталі залишаються закритими.

Як перевірити, чи вендор AI використовує ваші дані для навчання? Шукайте розділ «Data Usage» або «Training Data» в умовах використання або DPA (Data Processing Agreement). Надійні вендори чітко заявляють, чи використовують вони дані клієнтів для покращення моделей, і надають можливість відмовитися.

Чи потрібна згода клієнта на використання його даних в AI-агентах для підтримки? Так, якщо AI-агент обробляє персональні дані клієнта (ім’я, історія замовлень) і це робиться не для виконання договору, а для покращення сервісу через зовнішній AI-сервіс, потрібна згода. Якщо обробка відбувається всередині ваших систем з анонімізованими даними — згода може не потрібна.

Висновок: розмежування даних — це не технічна задача, а питання ризик-менеджменту. Завтра зробіть один крок: соберите список трьох процесів, які ви плануєте автоматизувати, і запишіть, які саме дані в них використовуються. Позначте, які з них є персональними, комерційною таємницею або фінансовими. Це фундамент для безпечного впровадження AI.

Наступний крок: якщо хочете розібрати цю задачу на прикладі власної компанії — запишіться на безкоштовну 30-хвилинну консультацію-діагностику: https://course.aiadvisoryboard.me/corporate?utm_source=blog&utm_medium=article_body&utm_campaign=corporate