Правила использования ИИ для сотрудников – памятка на одну страницу

Сотрудники пользуются нейросетями, даже если в организации нет об этом ни слова в регламентах. Они пишут письма, сокращают тексты, готовят презентации и разбирают таблицы. Запрет в такой ситуации обычно не работает, потому что инструмент удобен и доступен с личного телефона. Работает ясное правило, которое объясняет, что можно, что нельзя и к кому обратиться при сомнении. В статье собраны элементы такой памятки и порядок ее внедрения, чтобы она не лежала в папке без дела.

Зачем нужна памятка

У памятки три задачи. Она защищает организацию от утечки данных, защищает сотрудника от ошибки, о которой он не знал, и дает честный ответ тем, кто боится спрашивать. Мнение автора состоит в том, что самое вредное состояние – когда пользуются все, но никто не говорит об этом вслух. Тогда ошибки происходят скрытно, а опыт хороших практик не передается.

Памятка не заменяет локальные акты организации по защите информации и обработке персональных данных. Она их дополняет простым языком и примерами.

Что можно отдавать ИИ

Безопасные категории материалов выглядят так.

Тексты, которые уже опубликованы или предназначены для публикации.
Общие вопросы без привязки к конкретным людям и клиентам.
Черновики писем, где фамилии и названия заменены условными метками.
Структуры документов, планы, шаблоны таблиц без реальных данных.
Задачи на форматирование, сокращение и проверку стиля для нейтральных текстов.

Замена фамилий метками помогает, но не гарантирует безопасность. Если по остальным сведениям человека все равно можно узнать, данные остаются персональными. Перед отправкой перечитайте текст глазами постороннего.

Что нельзя отдавать ИИ

Запретные категории стоит назвать прямо.

Персональные данные клиентов, пациентов, студентов и коллег без обезличивания. Основание – Федеральный закон 152-ФЗ «О персональных данных».
Пароли, ключи доступа, внутренние адреса систем.
Договоры и финансовые документы, содержащие коммерческую тайну (режим коммерческой тайны определяет Федеральный закон 98-ФЗ).
Сведения о здоровье – они относятся к специальным категориям персональных данных (статья 10 закона 152-ФЗ).
Биометрические данные, то есть сведения о физиологических и биологических особенностях человека, по которым можно установить личность (статья 11 закона 152-ФЗ).
Данные детей. Отдельной категорией в законе они не названы, но на практике требуют повышенной осторожности. Порядок получения согласия на их обработку уточните у юриста.
Любые материалы, которые вам запрещено передавать третьим лицам по договору.

Есть и еще одно ограничение для организации. По части 5 статьи 18 закона 152-ФЗ при сборе персональных данных граждан России их запись, хранение и извлечение выполняются с использованием баз данных на территории России, с исключениями, которые закон перечисляет. Поэтому выбор зарубежного сервиса для работы с персональными данными – вопрос не только удобства, но и закона. Как это применить в вашем случае, решает юрист.

Для сомнительных случаев работает простое правило. Если вы не отправили бы этот текст незнакомому человеку на улице, не отправляйте его и в чат. Это мнение автора, а не норма закона, но оно помогает принять решение за секунду.

Какие сервисы разрешены

Памятка должна содержать конкретный список. Какие сервисы разрешены для общих задач, какие для работы с внутренними документами, а какие запрещены вовсе. Список составляет ответственный за информационную безопасность вместе с юристом. Критерии выбора обычно такие. Где расположены серверы, куда уходят данные, используются ли запросы для дальнейшего обучения модели, можно ли заключить договор. Если сервис передает данные за границу, это отдельный вопрос, который решает юрист с учетом статьи 12 закона 152-ФЗ и требований Роскомнадзора.

Список нужно пересматривать не реже раза в квартал, потому что условия сервисов меняются. Срок в один квартал – рекомендация автора, закон его не устанавливает.

Как проверять ответы

Языковая модель может написать убедительное, но неверное. Поэтому в памятке нужен раздел проверки.

Факты, цифры, даты и ссылки проверяются по первоисточнику.
Цитаты и номера статей законов сверяются с официальным текстом.
Расчеты пересчитываются отдельно.
Если модель сослалась на документ, его нужно открыть и прочитать нужное место.
Ответственность за текст, ушедший вовне, остается за автором, а не за программой.

Как оформлять использование ИИ

В некоторых организациях принято отмечать, что документ подготовлен с участием ИИ. Общего требования для всех документов в законе мы не нашли, в сомнительных случаях уточните у юриста. Требования зависят от жанра. Для научных статей, учебных работ и отчетов в вышестоящие органы действуют собственные правила издателей и учредителей, их нужно уточнять. В памятке достаточно одной строки о том, где необходима отметка и кого спрашивать.

Как сделать, чтобы памятку читали

Короткая памятка работает лучше длинного положения. Одна страница, примеры вместо абстракций, контакт человека, которому можно задать вопрос без последствий. Хорошо работает практикум на два–три часа, на котором сотрудники решают свои рабочие задачи с помощью ИИ и сразу видят границы. После практикума каждый уносит рабочие шаблоны запросов и понимает, чем рискует. Через месяц полезно собрать вопросы и обновить памятку.

Что делать, если сотрудник ошибся

Ошибки неизбежны, и реакция на них определяет, будут ли о них сообщать. Рекомендуется простой порядок из четырех шагов. Сотрудник сообщает ответственному в тот же день. Ответственный выясняет, какие данные и в какой сервис ушли. Юрист или специалист по безопасности решает, нужны ли дальнейшие действия, например обращение к сервису или уведомления. Если ушли персональные данные, у оператора могут быть обязанности по уведомлению Роскомнадзора об инциденте, и сроки могут быть короткими, поэтому юриста подключают сразу (порядок определяет статья 21 закона 152-ФЗ). Затем команда обновляет памятку или обучение, чтобы ситуация не повторилась. Наказывать за честное сообщение не стоит, иначе в следующий раз о проблеме узнают случайно. Мнение автора такое. Чем спокойнее организация реагирует на первую ошибку, тем реже случается вторая.

Отдельно стоит предусмотреть случаи, когда сотрудник не уверен, что именно отправил. Для них нужна возможность задать вопрос без формальностей, например в общем чате с ответственным. Ответы на вопросы, которые повторяются, потом попадают в памятку как новые примеры.

Чек-лист для руководителя

Подготовлена памятка на одну страницу.
В ней есть список разрешенных сервисов и дата последнего пересмотра.
Названы запретные категории данных с примерами.
Описан порядок проверки результатов.
Назначен человек, к которому можно обратиться при сомнении.
Определен порядок действий при ошибке, включая подключение юриста в день сообщения.
Проведено обучение на рабочих задачах, а не лекция.
Назначена дата пересмотра памятки.

Чего не делает ИИ

Не знает, какие данные в вашей организации считаются закрытыми.
Не предупреждает вас, что вы отправили лишнее.
Не отвечает за юридические последствия утечки.
Не заменяет ответственного за безопасность информации.
Не отличает вымышленный источник от настоящего, пока вы не проверите.
Не гарантирует, что внешний сервис не сохранит ваш запрос.

Пример на вымышленной организации

Пример вымышленный, организации и люди в нем не существуют, цифры не приводятся. Представим вымышленную бухгалтерию небольшой фирмы. Сотрудница вставила в чат с нейросетью выписку со счета клиента, чтобы быстро сформировать сводку. После практикума она знает, что так делать нельзя. Теперь она заменяет названия контрагентов метками, оставляет суммы и даты и просит выделить повторяющиеся платежи. Результат она сверяет с исходной выпиской и пересчитывает итог отдельно. Когда ей непонятно, можно ли отправить документ, она обращается к ответственному за безопасность информации, чей контакт указан в памятке. Через месяц команда собирает вопросы и добавляет в памятку два новых примера.

Частые вопросы

Нужно ли запрещать личные аккаунты сотрудников?

Запрет без альтернативы часто не работает. Мнение автора состоит в том, что лучше предложить разрешенный сервис и объяснить причины, чем бороться с привычкой. Для рабочих данных личные аккаунты допускать нельзя.

Что делать, если данные уже отправлены?

Сообщить ответственному без наказания, оценить, какие данные ушли и в какой сервис, и решить вместе с юристом, нужны ли дальнейшие шаги. Важно, чтобы сообщать было безопасно.

Как часто обновлять памятку?

Не реже раза в квартал и после любого заметного изменения условий сервисов или законодательства.

Нужно ли обучать всех?

Чем шире охват, тем меньше слепых зон. Начните с подразделений, где больше всего работы с документами и данными.

Что предлагает Интелликс

Для команд есть практикум «ИИ-агент для сотрудника» – три часа на реальных задачах группы, шаблоны запросов и памятка в итоге. Стоимость практикума – 60 000 ₽. Практикум не является образовательной программой и не выдает документ об обучении. Для технической защиты подходит шлюз персональных данных, а для вопросов закона – консультация по 152-ФЗ.

Источники

Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» – КонсультантПлюс. Название, статьи 10, 11 и часть 5 статьи 18 сверены 25.10.2026. Статьи 12 и 21 упомянуты без деталей. Действующую редакцию сверяйте на КонсультантПлюс.
Федеральный закон от 29.07.2004 N 98-ФЗ «О коммерческой тайне» – КонсультантПлюс, название и дата сверены 25.10.2026.
Содержание памятки, критерии выбора сервисов, квартальный срок пересмотра, правило «незнакомца на улице» – мнение автора.
Описание практикума – страница продукта на сайте Интелликс.
Раздел «Пример на вымышленной организации» – иллюстрация, реальные организации и данные не использованы.
Раздел «Частые вопросы» – мнение автора, не юридическая консультация.

Автор – команда Интелликс