Регламент использования ИИ в компании: образец и как его внедрить
Образец регламента использования ИИ сотрудниками: восемь основных положений, структура полного документа, таблица классов данных и пять шагов внедрения — чтобы нейросети работали на компанию без утечек и штрафов по 152-ФЗ.
Ключевые тезисы:
- ✓ Регламент определяет разрешённые ИИ-инструменты, допустимые данные и ответственность сотрудников
- ✓ Название не важно — регламент, политика или положение; важно утверждение приказом и ознакомление под подпись
- ✓ Без регламента компании сложно доказать меры защиты персональных данных и коммерческой тайны
- ✓ Регламент работает только вместе с разрешённым корпоративным ИИ-инструментом
- ✓ Образец — основа для юриста, а не готовый локальный акт
Регламент использования ИИ в компании: образец и как его внедрить
Сотрудники уже пользуются нейросетями: пишут письма, разбирают договоры, считают таблицы, готовят презентации. Вопрос не в том, разрешать ли ИИ, а в том, какие данные уходят в чат-боты и где они потом хранятся. Если правил нет, каждый решает сам — и однажды в публичный сервис попадает выгрузка клиентов или договор с паспортными данными.
Регламент использования ИИ отвечает на три вопроса: какими ИИ-инструментами можно пользоваться, какие данные в них можно отправлять и кто отвечает за результат. Ниже — образец основных положений из нашей методички, структура полного документа и порядок внедрения.
Коротко
- Регламент использования ИИ — локальный документ компании, который определяет разрешённые ИИ-инструменты, допустимые данные и ответственность сотрудников.
- Название не важно: «регламент», «политика» или «положение об использовании ИИ» — важно содержание, утверждение приказом и ознакомление сотрудников под подпись.
- Без регламента компании сложно доказать, что она приняла меры по защите персональных данных и коммерческой тайны.
- Регламент работает, только если у сотрудников есть разрешённый корпоративный ИИ-инструмент. Один запрет приводит к тому, что нейросетями пользуются тайно, с личных телефонов.
- Образец ниже — основа для вашего юриста, а не готовый локальный акт.
Зачем компании регламент использования ИИ
Персональные данные. С 1 июля 2025 года запись и хранение персональных данных граждан РФ в базах за рубежом запрещены, а за утечки введены штрафы, которые зависят от числа пострадавших и при повторном нарушении считаются от выручки. Когда сотрудник вставляет данные клиентов в зарубежный чат-бот, отвечает компания-оператор, а не сотрудник.
Коммерческая тайна. По закону о коммерческой тайне режим действует, только если компания приняла меры его охраны: определила перечень сведений, ограничила доступ, урегулировала отношения с работниками. Если в правилах ничего не сказано про нейросети, доказать разглашение после отправки договора в чат-бот будет сложно.
Качество решений. Нейросети ошибаются уверенно. Регламент закрепляет, что ответ ИИ проверяет человек, а решения, влияющие на клиентов и сотрудников, принимает тоже человек.
Ответственность. Сотрудника можно привлечь к дисциплинарной ответственности только за нарушение правил, с которыми он ознакомлен. Работодатель обязан знакомить работников под подпись с локальными нормативными актами, связанными с их трудовой деятельностью (ст. 22 ТК РФ).
Образец: регламент использования ИИ сотрудниками (основные положения)
Эти положения — из раздела «Документы и образец регламента» нашей методички «ИИ в компании без штрафов».
- Для рабочих задач сотрудники используют только корпоративный ИИ-помощник, указанный в приложении к регламенту.
- В публичные ИИ-сервисы запрещено отправлять персональные данные, сведения, составляющие коммерческую тайну, и любые внутренние документы.
- В корпоративный ИИ-помощник разрешено отправлять данные только в объёме, необходимом для задачи.
- Ответы ИИ проверяет сотрудник, который их использует; решения, влияющие на клиентов и сотрудников, принимает человек.
- Результаты ИИ, содержащие персональные данные, хранятся только в корпоративных системах.
- О случайной отправке данных во внешний сервис сотрудник сообщает ответственному в течение одного рабочего дня.
- Нарушение регламента рассматривается как нарушение режима коммерческой тайны и правил обработки персональных данных.
- Ответственный за ИИ ежеквартально пересматривает перечень разрешённых инструментов и задач.
Формулировки — основа для вашего юриста, а не готовый локальный акт.
Структура полного регламента
Основные положения стоит развернуть в документ из нескольких разделов:
| Раздел | Что в нём |
|---|---|
| Общие положения | Цель, на кого распространяется, связь с политикой обработки персональных данных и положением о коммерческой тайне |
| Термины | Что считается ИИ-сервисом, корпоративным ИИ-помощником, публичным сервисом, запросом и результатом |
| Разрешённые инструменты | Перечень в приложении: какие сервисы и для каких задач разрешены, где они размещены |
| Классы данных | Какие данные можно отправлять в какой инструмент — удобно оформить таблицей |
| Правила работы | Минимизация данных, обезличивание, запрет загрузки документов целиком без необходимости |
| Проверка результатов | Кто и как проверяет ответы ИИ, где обязательна проверка человеком |
| Инциденты | Что делать, если данные ушли не туда: кому сообщить, в какой срок, как фиксируется |
| Ответственность | Связь с дисциплинарной ответственностью и режимом коммерческой тайны |
| Пересмотр | Кто отвечает за регламент и как часто обновляет перечень инструментов |
Пример таблицы классов данных:
| Класс данных | Примеры | Куда можно отправлять |
|---|---|---|
| Открытые | Тексты с сайта, опубликованные материалы | Любой разрешённый ИИ-сервис |
| Внутренние | Регламенты, переписка, планы без персональных данных | Только корпоративный ИИ-помощник |
| Конфиденциальные | Персональные данные клиентов и сотрудников, коммерческая тайна, договоры | Только корпоративный ИИ-помощник в российском контуре, в минимальном объёме |
| Особые | Биометрия, специальные категории персональных данных, сведения о здоровье | Запрещено, если иное не согласовано с ответственным |
Как внедрить регламент: пять шагов
1. Узнать, что уже используется. Короткий анонимный опрос и анализ сетевого трафика покажут, какими ИИ-сервисами сотрудники пользуются на самом деле и для каких задач. Обычно список оказывается длиннее, чем ожидает руководство.
2. Дать разрешённый инструмент. Регламент без корпоративного ИИ-помощника превращается в запрет, который тихо нарушают. Варианты — российская модель (GigaChat MAX, YandexGPT) в защищённом облаке, открытая модель на серверах компании или обезличивание данных перед отправкой во внешнюю модель. Подробно о трёх архитектурах — в статье «Корпоративный ИИ в закрытом контуре».
3. Утвердить документы. Регламент утверждается приказом. Одновременно стоит обновить политику обработки персональных данных и положение о коммерческой тайне, а с облачным провайдером модели заключить договор поручения обработки.
4. Ознакомить и обучить. Ознакомление под подпись — обязательная часть. Но работает короткое обучение на примерах: что можно спросить у ИИ, что нельзя отправлять и как обезличить документ перед запросом.
5. Контролировать и пересматривать. Журналы запросов в корпоративном инструменте, правила для сетевых средств защиты, ответственный за ИИ и пересмотр перечня инструментов раз в квартал.
Типичные ошибки
- Только запрет. «Не пользоваться ChatGPT» без разрешённой альтернативы — сотрудники продолжат пользоваться нейросетями с личных устройств, а компания потеряет даже возможность это видеть.
- Скопированный чужой документ. Регламент должен ссылаться на ваши инструменты, ваши классы данных и ваших ответственных.
- Нет перечня инструментов. Формулировка «разрешённые сервисы» без приложения со списком не работает.
- Не ознакомили сотрудников. Без подписи об ознакомлении привлечь к ответственности за нарушение не получится.
- Документ без владельца. ИИ-сервисы меняются каждые несколько месяцев — без ответственного регламент устаревает за полгода.
Итог
Регламент использования ИИ — недорогой и быстрый способ снизить риск штрафов и утечек, но только вместе с разрешённым корпоративным инструментом. Начните с основных положений из образца, разверните их в полный документ с таблицей классов данных и утвердите приказом.
В методичке «ИИ в компании без штрафов» — полный шаблон регламента с приложениями (перечень инструментов, классы данных, формы заявки и сообщения об инциденте), шаблоны приказа, листа ознакомления, обязательства о конфиденциальности и согласия работника, а также таблица штрафов, чек-лист ИИ-контура из 24 пунктов и план внедрения на 90 дней. Получить её можно бесплатно по ссылке ниже. А если нужен корпоративный ИИ-помощник, которым сотрудники будут пользоваться по регламенту, — посмотрите, как мы делаем ИИ-агентов для бизнеса в российском контуре.
Вопросы и ответы
Что такое регламент использования ИИ в компании?
Это локальный документ, который определяет, какими ИИ-сервисами сотрудники могут пользоваться для рабочих задач, какие данные в них можно отправлять, кто проверяет результаты и что делать, если данные ушли не туда. Он связывает работу с нейросетями с политикой обработки персональных данных и положением о коммерческой тайне. Регламент утверждается приказом, а сотрудников знакомят с ним под подпись. Без такого документа каждый сотрудник решает сам, что можно отправить в чат-бот.
Чем регламент отличается от политики или положения об использовании ИИ?
По сути ничем: «регламент», «политика» и «положение об использовании ИИ» — разные названия одного локального документа. Важно не название, а содержание: перечень разрешённых инструментов, классы данных, правила проверки результатов, порядок действий при инцидентах и ответственность. Иногда компании делают короткую политику для всех сотрудников и подробный регламент для ИТ-службы и службы безопасности. Главное, чтобы документы не противоречили друг другу и были утверждены.
Обязательно ли знакомить сотрудников с регламентом под подпись?
Да. Работодатель обязан знакомить работников под подпись с локальными нормативными актами, непосредственно связанными с их трудовой деятельностью (ст. 22 Трудового кодекса). Без подписи об ознакомлении привлечь сотрудника к дисциплинарной ответственности за нарушение регламента не получится. Кроме того, ознакомление — часть мер охраны коммерческой тайны. На практике его удобно совместить с коротким обучением на примерах.
Можно ли просто запретить сотрудникам пользоваться ChatGPT и другими нейросетями?
Формально можно, но на практике запрет почти не работает: сотрудники продолжают пользоваться нейросетями с личных телефонов, а компания теряет возможность видеть, какие данные уходят наружу. Надёжнее дать удобный корпоративный ИИ-инструмент — российскую модель в защищённом облаке, открытую модель на своих серверах или сервис с обезличиванием данных — и описать в регламенте, что и куда можно отправлять. Тогда регламент становится правилами работы, а не запретом.
Можно ли взять готовый образец регламента использования ИИ?
Образец удобен как основа: он показывает, какие положения должны быть в документе. Но регламент должен ссылаться на ваши инструменты, ваши классы данных, ваших ответственных и ваши документы о персональных данных и коммерческой тайне. Скопированный чужой документ с перечнем сервисов, которыми вы не пользуетесь, не защитит компанию. Поэтому образец стоит адаптировать вместе с юристом и службой безопасности.
