Холдингте AI-ны қалай енгізу керек және деректерді бақылауды жоғалтпау керек

Халықаралық тәжірибе нені көрсетіп отыр және Қазақстанда қандай мәселелерді шешу қажет екенін заңгер келісім жобасын тілдік үлгіге жүктеп, тәуекелдерді табуды сұрайды. Әзірлеуші ​​AI агентін корпоративтік репозиторийге қосады. HR маманы қызметке үміткерлердің түйіндемелерін салыстыруды тапсырады. Әрбір қызметкер үшін бұл басқа жұмыс құралын пайдалану сияқты көрінеді. Ірі компания үшін мұндай әрбір транзакция құжаттарды, бастапқы кодты, жеке деректерді немесе коммерциялық құпия ақпаратты сыртқы жеткізушіге беруді қамтуы мүмкін. Сондықтан холдингтерде тілдік үлгілерді енгізу көбінесе бизнес күткеннен баяу жүреді. Құқықтық функция, ақпараттық қауіпсіздік, жеке деректерді қорғау, сатып алу, АТ архитектурасы және бизнес-процесс иелері бір жобада қиылысады. Әрбір бөлім өз тәуекелін көреді, бірақ ешқайсысы бүкіл жүйе бойынша келісе алмайды. Алайда мәселе тіл үлгілерінің ірі немесе реттелетін ұйымның жұмысымен түбегейлі үйлеспеуінде емес. Халықаралық заң фирмалары, банктер және технологиялық компаниялар оларды қауіпсіз корпоративтік ортада пайдалануда. Олар барлық тәуекелдерді жоймады және қызметкерлерге мемлекеттік қызметтерге шексіз қол жеткізуге мүмкіндік бермеді. Олар қандай деректерді өңдеуге болатынын, қандай техникалық схема арқылы, қандай шарттық жағдайларда және кімнің жауапкершілігінде екенін анықтады. Дәл осы тәсіл қазақстандық компанияларға қажет. Сұрақты «Мен ChatGPT, Claude, Codex немесе басқа модельді пайдалана аламын ба?» Деп қоюға болмайды. Дұрыс сұрақ: компания қандай ақпаратты белгілі бір жүйеге бере алады, қандай мақсатта, бұл ақпарат қайда өңделеді және компания қандай бақылауды жүзеге асырады? Неліктен тыйым салу әдетте мәселені шешпейді Компанияда екі қарапайым, бірақ бірдей әлсіз сценарий бар. Біріншісі - сыртқы AI қызметтеріне толығымен тыйым салу. Мұндай тыйым қызметкерлердің құралға ие болу қажеттілігін жоймайды. Ресми балама болмаса, жұмыстың бір бөлігі жеке шоттарға және бақыланбайтын қосымшаларға ауысады. Компания қандай құжаттардың жүктелгенін, олардың қайда сақталғанын және қызметті жақсарту үшін пайдаланылғанын көрмейді. Екіншісі - корпоративтік жазылымдарды сатып алу және мәселені жабық деп санау. Кәсіпорынның мөлшерлемесі әдетте келісім-шарт шарттарын, қол жеткізуді басқаруды және ақпарат қауіпсіздігін жақсартады, бірақ өзі компанияға кез келген деректерді тасымалдау құқығын бермейді. Заңның шектеулері, клиенттермен және контрагенттермен келісім-шарттар, коммерциялық немесе кәсіби құпиялар режимі, сондай-ақ ішкі қолжетімділік ережелері бөлек. Демек, бақыланатын іске асыру бір тыйым салуды немесе бір лицензияны емес, төрт элементті біріктіруді талап етеді: 1. ақпаратты өңдеу мен берудің құқықтық негізі; 2. қолайлы сәулет және өңдеу орны; 3. жеткізушінің және оның қосалқы мердігерлерінің бүкіл тізбегінің шарттық кепілдіктері; 4. ішкі ережелер, техникалық шектеулер және нәтижені адам тексеруі. АҚШ пен Еуропадағы компаниялар мұны қалай шешеді Ірі заң фирмаларының тәжірибесі дәлелді, өйткені олар күнделікті клиенттік құжаттармен, кәсіби құпиялармен және құпия коммерциялық деректермен айналысады. Allen & Overy, қазір A&O Shearman, қызметкерлерге Harvey-ге рұқсат берді, содан кейін Harvey және Microsoft-пен Azure OpenAI негізінде ContractMatrix әзірлеу үшін жұмыс істеді. Linklaters және White & Case Legora пайдаланады. Clifford Chance және Freshfields сыртқы үлгілерге өздерінің қауіпсіз кіру нүктелерін жасады. Бұл шешімдер арасындағы айырмашылықтар айтарлықтай, бірақ жалпы дизайн бірдей. Қызметкер жеке жазылым арқылы емес, бекітілген корпоративтік платформа арқылы жұмыс істейді. Пайдаланушы мен үлгі провайдері арасында қол жеткізуді, журналды тіркеуді, сақтау кезеңдерін, өңдеу аймағын таңдауды және қолжетімді функциялар жинағын басқаратын басқарылатын деңгей пайда болады. Бұл үшін өзіңіздің іргелі үлгіңіз қажет емес. Мысалы, Харви көп жеткізушілер үлгілерін пайдаланады, бірақ олардан жіберілген сұраулардың нөлдік сақтауын, тұтынушы деректері бойынша оқытудың болмауын және адам тексеруінің болмауын талап етеді. Тұтынушы деректері логикалық түрде бөлінеді, пайдаланушы құқықтары сараланады, қосалқы мердігерлер мен өңдеу орындарының тізімі алдын ала ашылады. Мұнда маңызды нәрсе платформаның нақты бренді емес, басқару моделі: ұйым өңдеуге қандай жеткізушілер қатысатынын біледі; оқытуға тыйым салу шарттары интерфейс параметрлерінде ғана емес, келісімшартта бекітілген; сақтау және жою мерзімдері алдын ала анықталады; рұқсат рөл бойынша беріледі және оны қайтарып алуға болады; пайдаланушы әрекеттері тіркеледі; жаңа функциялар бөлек бағалауға жатады, өйткені бұрыннан келісілген платформа әр түрлі сақтау режимдерін немесе жаңа қосалқы мердігерлерді алуы мүмкін; қорытынды құжатты немесе шешімді оған кәсіби жауапты адам тексереді. Дәл осындай тәсілді кәсіби реттеушілердің ұсыныстарынан да көруге болады. Американдық адвокаттар қауымдастығының № 512 пікірі құпиялылықты, құзыретті, қадағалауды және нәтижелерді тексеруді талап етеді. Егер белгілі бір құралды пайдалану тұтынушы туралы ақпаратты ашуды көздейтін болса және елеулі тәуекелді тудыратын болса, ақпараттандырылған келісім қажет болуы мүмкін; Бұл үшін жалпы формальды тармақ әрқашан жеткіліксіз. Ұлыбританияның адвокаттар реттеушісі сонымен қатар қауіпсіз ортаны, шектеулі сақтауды, рұқсат етілмеген оқытуға тыйым салуды және адвокаттың нәтижелер үшін жауапкершілігін атап көрсетеді. Сондықтан халықаралық тәжірибе толық тыйым салу идеясын да, тегін пайдалану идеясын да қолдамайды. Бұл үшінші жолды растайды: AI қызметкердің жеке өтініші ретінде емес, корпоративтік ақпараттық жүйе ретінде жүзеге асырылады. Іске қосу алдында қандай мәселелерді шешу керек? Заңды және техникалық тексеруді үлгі атауының айналасында емес, белгілі бір пайдалану жағдайының айналасында құру ыңғайлы. Жүйе қандай деректерді алады? Құжат түрін ғана емес, нақты мазмұнын да анықтау қажет. Бір келісім-шарт бір мезгілде жеке мәліметтерді, коммерциялық құпияларды, банктік деректемелерді, клиент туралы ақпаратты және ішкі құқықтық жағдайды қамтуы мүмкін. Репозиторий тек бастапқы кодты ғана емес, сонымен қатар кіру кілттерін, журналдарды, пайдаланушы деректерін тексеруді және инфрақұрылым конфигурациясын қамтуы мүмкін. Компанияның бұл деректерді беруге құқығы бар ма? Жабдықтаушы кепілдігі тасымалдау өкілеттігін алмастырмайды. Ешбір оқыту, шифрлау және нөлдік сақтау провайдер ақпаратты алғаннан кейін не істейді деген сұраққа жауап бермейді. Олар клиентпен жасалған шарттағы тыйым салуды, кәсіби құпияны сақтау міндетін немесе жеке деректер субъектісінің келісімін алу қажеттілігін жоймайды. Деректер қайда және қалай өңделеді. Сұранысты сақтау, трансшекаралық беру және техникалық өңдеу арасында айырмашылық жасалуы керек. Сеанс аяқталғаннан кейін деректерді провайдер сақтамауы мүмкін, бірақ бәрібір шетелге тасымалданады және өңделеді. Нөлдік сақтау тәуекелді азайтады, бірақ шетелдік өңдеуді жергілікті өңдеуге айналдырмайды. Жеткізу тізбегінде кім бар? Корпоративтік платформа бұлттық инфрақұрылымды, бірнеше үлгілерді, құжаттарды тану қызметін, іздеу модулін және бақылау құралдарын пайдалана алады. Негізгі контрагентті ғана емес, сонымен қатар қолданылатын қосалқы мердігерлерді, олардың жұмыс аймақтарын, оларды ауыстыру мүмкіндігін және клиентті хабардар ету тәртібін тексеру қажет. Құрал қандай күштерге ие? Тұрақты чат пайдаланушы қолмен енгізген мәтінді алады. AI агенті қалталар мен репозитарийлерді оқи алады, пәрмендерді орындай алады, файлдарды өзгерте алады, сыртқы ресурстарға қол жеткізе алады және өндіріс ортасынан құпияларды пайдалана алады. Әрбір әрекет үшін оқу, жазу, пәрмендерді орындау және желіге кіру құқықтары бөлек анықталуы керек. Нәтижені кім тексереді және шешімге жауап береді. Тілдік үлгі келісім-шарт жобасын, түйіндемені немесе ұсынысты жасай алады, бірақ шолудың ресми болуы қажет емес. Нәтиженің адам құқықтарына, компанияның ақшасына немесе жүйе қауіпсіздігіне әсері неғұрлым көп болса, адам қадағалауы соғұрлым мағыналы болуы керек. Пайдаланушы модельдің шектеулерін түсінуі және жауабы тексерілетін негізгі материалдарға қол жеткізуі керек. Қазақ заңы, нені ескеру керек? Келісімшарттың құпиялылығы мен коммерциялық құпия бір нәрсе емес. Шектеулердің бірінші деңгейі келісім-шарт жасайды. Егер клиенттік келісім ақпаратты үшінші тұлғаларға ашуға тыйым салса немесе алдын ала мақұлдауды талап етсе, құжатты сыртқы AI жеткізушісіне беру ақпараттың коммерциялық құпияға жатқызылғанына қарамастан, келісім-шартты бұзуы мүмкін. Екінші деңгей – компания белгілеген коммерциялық құпия режимі. Азаматтық кодекстің 126-бабына сәйкес ақпарат үшінші тұлғаларға белгісіз болғандықтан коммерциялық құндылыққа ие болуы, еркін қол жетімді болмауы және оның иесімен қорғалуы тиіс. Кәсіпкерлік кодекстің 28-бабы компания мұндай ақпараттың тізбесін, рұқсат етілген адамдар шеңберін және оны өңдеу тәртібін анықтайды деп болжайды. Қызметкерлерге құжаттарды жеке қызметтерге шектеусіз жүктеуге рұқсат беру компанияның ақпаратты шын мәнінде қорғағанын дәлелдеудегі ұстанымын әлсіретуі мүмкін. Сондықтан, АИ пайдалану ережелері құпиялылық режимінің бөлігі болуы керек: олар рұқсат етілген қызметтерді, қолайлы және тыйым салынған деректер санаттарын, иесіздандыру тәртібін және қате жіберілген жағдайда әрекеттерді анықтауы керек. Жаңа келісімшарттарда дәлелденген жеткізушілерді тарту үшін технологияға бейтарап құқықты алдын ала қарастыру пайдалы. Мысалы: Тарап сенімді технология провайдерлеріне, бұлттық қызметтерге, процессорларға және қосалқы мердігерлерге келісім-шартта көзделгеннен кем емес құпиялылық және қауіпсіздік міндеттемелерін қабылдау, ақпаратты тәуелсіз пайдалануға тыйым салу және мұндай тұлғалардың осындай әрекеттері үшін жауапкершілікте қалған жағдайда ғана келісім-шартты орындау үшін қажетті көлемде беруге құқылы. Мұндай тармақ заңның міндетті талаптарын, кәсіптік құпия режимін және ауыстыруға ерекше тыйым салуды жоймайды. Қолданыстағы келісім-шарттарда оны компанияның ішкі саясатымен ауыстыруға тырыспастан, алдымен келісілген режимді тексеру керек. Ашық жабық және жергілікті жүйенің құқықтық категориялары «Жасанды интеллект туралы» Қазақстан Республикасы Заңының 17-бабында жүйелер пайдалану режиміне қарай ашық, жабық және жергілікті болып бөлінеді. Ашық жүйе – архитектурасы мен параметрлері тегін пайдалануға, өзгертуге және таратуға болатын жүйе. Жабық жүйеде архитектура мен параметрлерге рұқсат иесі немесе иесімен шектеледі. Сондықтан ChatGPT немесе Клод интернет арқылы пайдалануға болатындықтан «ашық» емес, жабық жүйелер ретінде дұрысырақ қарастырылады. Локальды - оқыту және пайдалану жалпы пайдаланудағы телекоммуникация желілеріне қосылмай меншік иесінің немесе оператордың инфрақұрылымы шеңберінде жүзеге асырылатын жүйе. Шетелдік бұлттық қызметке арналған корпоративтік жоспар қоғамдық тіркелгіге қарағанда әлдеқайда қауіпсіз болуы мүмкін, бірақ бұл оны жергілікті жүйеге айналдырмайды. Заң жергілікті жүйелерді қол жеткізу заңмен шектелген деректерді өңдеумен және жалпыға ортақ желілерге қосылған жүйелерді пайдалану мүмкін болмайтын басқа жағдайлармен байланыстырады. Сондықтан «жеке» немесе «кәсіпорын» маркетингтік сипаттамасы жеткіліксіз: нақты архитектураны бағалау керек. Жеке деректерді сақтау және тасымалдау бөлек тексеріледі. «Дербес деректер және оларды қорғау туралы» Заңның 12-бабының 2-тармағы жеке деректерді Қазақстан аумағында орналасқан дерекқорда және (немесе) цифрлық объектіде сақтауды талап етеді. Норма нақты сақтау орнына қолданылады. Ол негізгі база Қазақстанда орналасқандықтан тұрақты шетелдік көшірмені қолайлы деп санауға қауіпсіз негіз бермейді. Жеке деректері бар сұрау салу шетелдік жеткізушіге жіберілген жағдайда 16-бапқа сәйкес трансшекаралық беру мәселесі бөлек туындайды. Нөлдік сақтау шетелге беру және өңдеу фактісін жоққа шығармайды. Жеке деректерді қорғауды қамтамасыз етпейтін мемлекеттер үшін заң субъектінің келісімін қоса алғанда, ерекше негіздер, сондай-ақ басқа да тікелей көрсетілген жағдайларды қарастырады. Сондықтан құпиялылық саясатындағы шетелдік бұлтты жалпы еске түсіру жеткіліксіз болуы мүмкін. Келісім өңдеуге негіз болған кезде расталуға және заңмен талап етілетін ақпаратты, оның ішінде үшінші тұлғаларға берудің бар немесе жоқтығын және трансшекаралық беруді, сондай-ақ базаның немесе цифрлық объектінің орналасқан жерін қамтуы тиіс. Практикалық қорытынды барлық шетелдік модельдерге тыйым салынбаған. Компания әрбір сценарий бойынша анықтауы керек: сұрауда жеке деректер бар ма; оларсыз мақсатқа жету мүмкін бе; олар қандай негізде өңделеді және беріледі; негізгі сақтау жүйесі қайда орналасқан? жеткізуші сұраныстарды сақтайды ма және қанша уақытқа; өңдеуге қандай мемлекеттер мен қосалқы мердігерлер қатысады; Ауыстыру алдында нақты иесіздандыруды жүзеге асыруға болады ма? Сонымен қатар, жай ғана толық аты-жөнін немесе ЖСН-ді таңбамен ауыстыру әрқашан заңды мағынада иесіздандыруды білдірмейді. Заң деректердің белгілі бір субъектіге тиесілілігін анықтау мүмкін еместігіне негізделген. Егер адамды контекст, транзакция сомасы, позиция немесе сақталған корреспонденциялар кестесі бойынша қайта құруға болатын болса, біз тек тәуекелді азайту немесе псевдонимизация туралы айта аламыз. Бір әмбебап қол жеткізудің орнына үш схема Үлкен ұйым үшін барлық қызметтерді «рұқсат етілген» және «тыйым салынған» деп бөлмей, бірнеше пайдалану режимдерін орнату тиімдірек. Схема 1. Жалпыға қолжетімді және қауіпсіз анонимделген деректер. Сыртқы жеткізушінің корпоративтік жоспары компания деректері бойынша оқытуға тыйым салу, шектеулі сақтау, орталықтандырылған шоттарды басқару және журналдарды тіркеу жағдайында осы жерде қолданылуы мүмкін. Жұмыс тапсырмалары үшін жеке кабинеттерге тыйым салынады. Бұл схема көпшілік алдында сөйлеу құрылымын дайындауды, субъектілерді анықтау немесе қорғалған ақпаратты ашу мүмкіндігін шынымен алып тастайтын жарияланған материалдармен және құжаттармен жұмыс істеуді қамтиды. 2-ші схема: Басқарылатын корпоративтік өңдеу. Бұл режим ішкі және құпия ақпарат үшін, сондай-ақ компания өңдеу мен берудің заңды негізін растаған жеке деректер сценарийлері үшін қолайлы. Сізге корпоративтік шлюз немесе дәлелденген платформа, рөлге негізделген қол жеткізу, журнал жүргізу, деректерді азайту, өңдеу келісімі, оқытуға және тәуелсіз пайдалануға тыйым салу, келісілген жою күндері, қосалқы мердігерлер мен аймақтардың тізімі және компанияның шарттардағы өзгерістерді бақылау құқығы қажет. Егер өңдеу шетелде болса, трансшекаралық тасымалдау талаптары тариф атауына қарамастан қолданылады. Коммерциялық құпия әрқашан автоматты түрде толығымен жергілікті үлгіні қажет етпейді. Сыртқы өңдеу мүмкіндігі заңға, шарттарға, белгіленген режимге, ақпараттың құндылығына және жеткізушінің кепілдіктеріне байланысты. Ең құпия ақпарат үшін компания қатаңырақ ішкі тыйым салуға құқылы. Схема 3. Жергілікті өңдеу. Қолжетімділігі заңмен шектелген деректер үшін арнайы қауіпсіздік талаптары бар жүйелер және сыртқы тасымалдауға рұқсат етілмеген сценарийлер үшін Жасанды интеллект туралы заңның мағынасында жергілікті жүйе пайдаланылады. Бұл жалпыға ортақ желілерге қосылмай-ақ Қазақстанда компанияның жеке немесе басқарылатын инфрақұрылымында орналастырылған ашық параметрлері бар модель болуы мүмкін. Жергілікті орнату өздігінен барлық мәселелерді шеше алмайды. Қол жеткізуді басқару, журналды қорғау, жүктелген үлгілер мен жаңартуларды бақылау, бағдарламалық құрал құрамдастарына құқықтарды тексеру, агент әрекеттерін бақылау және оқиғаға жауап беру процедуралары қажет. Іске асырудың практикалық дәйектілігі Холдингке әмбебап саясатты бірнеше ай бойы әзірлеуден бастау қажет емес. Жобаны сегіз дәйекті қадамға бөлуге болады. 1. Бірнеше пайдалы сценарийді таңдаңыз. Мысалы, құжаттар жобаларын дайындау, ішкі білім қорын іздеу немесе әзірлеушілерге көмектесу. 2. Карта деректері мен өкілеттіктері. Жүйеге қандай ақпарат кіретінін және компания оны қандай негізде иелік ететінін анықтаңыз. 3. Әрбір сценарийді схемаға тағайындаңыз. Бір қызметті пайдалана отырып, заңды қолжетімділік шектеулері бар жалпыға қолжетімді материалдар мен ақпаратты бір уақытта өңдеуге тырыспаңыз. 4. Жеткізушіні және бүкіл өңдеу тізбегін тексеріңіз. Үлгілерді, қосалқы мердігерлерді, аймақтарды, сақтауды, оқытуды, адамның қол жеткізуін және жою процедураларын жазу. 5. Келісімшарттар бойынша келісіңіз. Құпиялылықты, жеке деректерді, аудитті, оқиға туралы хабарлауды, қосалқы мердігерлерді өзгертуді және қызметті тоқтатуды шешіңіз. 6. Техникалық шектеулерді орнату. Бір рет кіруді, рөлге негізделген рұқсаттарды, журналды тіркеуді, құпия сүзуді, анонимизациялауды және әдепкі бойынша қауіпті агент әрекеттеріне тыйым салуды қамтамасыз етіңіз. 7. Ішкі тәртіп ережелерін қабылдап, қызметкерлерді оқытыңыз. Қысқа, анық нұсқаулар әдетте бірнеше беттерге жалпы тыйым салудан гөрі пайдалырақ. 8. Шектеулі пилотты іске қосыңыз және тәуекелдерді қайта қарастырыңыз. Жауаптардың сапасын ғана емес, сонымен қатар пайдаланушылар жеткізуге тырысқан нақты деректерді, модель қателерін және бақылау шараларының орындалуын бағалау қажет. Қорытындының орнына Тілдік модельдер компанияның ресми мақұлдауын аяқтағанына қарамастан, корпоративтік процестердің бөлігі болып табылады. Сондықтан, кейінге қалдыру статус-кводы сақтамайды: ол жиі AI пайдалануды басқарылатын ортадан көлеңкелі ортаға ауыстырады. Әлемдік тәжірибе көрсеткендей, іске асыру өзінің іргелі моделін қажет етпейді. Бізге басқарылатын жүйе қажет: деректердің нақты санаттары, оларды өңдеу құқығы, дәлелденген жеткізу тізбегі, корпоративтік кіру нүктесі, өкілеттіктерді бөлу және нәтиже үшін адамның жауапкершілігі. Қазақстанда бұл жеке деректердің қайда сақталатынына, трансшекаралық тасымалдауларға, жергілікті жүйелерге, шектеулі деректерге және толық автоматтандырылған шешімдерге қатысты арнайы талаптармен толықтырылған. Бұл талаптар іске асыруды мүмкін емес тапсырмаға айналдырмайды. Олар құрал жұмыс құжаттары мен жүйелеріне қол жеткізе алмас бұрын жабуды қажет ететін мәселелерді анықтайды. Мұндай жобадағы заңгердің міндеті - технологияны тоқтатпау және дерексіз рұқсат бермеу. Оның жұмысы - деректердің әрбір түрі үшін қолайлы бағытты анықтау үшін АТ, ақпараттық қауіпсіздік және бизнеспен жұмыс істеу. Сонда AI корпоративтік ережелерден ерекшелік емес, инфрақұрылымның басқа басқарылатын бөлігіне айналады. Материал 2026 жылдың 8 қазанында дайындалған және тек жалпы ақпараттық мақсаттарға арналған. Ол белгілі бір жүйені талдауды, келісімшартты немесе деректерді өңдеу сценарийін алмастырмайды.