Часть шестая. Разрешить, но с условиями: как консультанту работать с ИИ под NDA

Консультант из пятой части прочитал про логи ChatGPT и выдуманные ссылки Deloitte и сделал вывод. Таблицы клиента в чат он больше не загружает. Теперь у него агент: программа запускается на его компьютере, в папке проекта, сама открывает файлы, пишет расчётную модель и считает.

«Файлы же лежат у меня на диске», говорит он клиенту. И это правда. Вопрос в том, что при этом всё-таки уходит наружу.

Чат и агент: что на самом деле уходит

Главная поправка к интуиции проста: модель по-прежнему работает в облаке. Агент на ноутбуке только посредник, а думает сервер провайдера. Значит, на сервер уходит всё, что агенту понадобилось показать модели.

Документация Claude Code описывает это прямо. По сети отправляются промпты пользователя и ответы модели, а в контекст модели попадают история разговора, содержимое прочитанных файлов и вывод выполненных команд. Claude Code: как используются данные, как устроен Claude Code

Выгружать проект целиком агент не обязан. Он ищет нужные файлы и читает их. Но всё, что он открыл, и всё, что вывел на экран скрипт, модель увидела, а значит, и провайдер получил.

У OpenAI то же разделение. Локальный Codex CLI выполняет команды на компьютере пользователя, а в облачном режиме Codex создаёт контейнер на серверах OpenAI и выкачивает туда репозиторий.

Состояние такого контейнера хранится до 12 часов. Codex: облачная среда, справка OpenAI о локальном и облачном Codex

У Kimi тоже есть агент для терминала, Kimi Code CLI. Kimi Code на GitHub Отдельного документа о данных для него найти не удалось, а общие условия Kimi говорят о хранении в КНР и использовании запросов для улучшения моделей. Политика конфиденциальности Kimi

Есть и то, что остаётся на компьютере, но само становится риском. Claude Code по умолчанию 30 дней хранит транскрипты сессий открытым текстом в папке пользователя, а туда попадает всё, что прошло через инструменты агента. Claude Code: папка .claude Украденный ноутбук консультанта превращается в архив чужих секретов.

Есть и неочевидные каналы. Если отправить разработчику отчёт об ошибке через встроенную команду обратной связи, копия переписки вместе с кодом хранится у Anthropic пять лет. Внешние подключения к сервисам, так называемые MCP-серверы, Anthropic не проверяет, и данные уходят их владельцам. Claude Code: безопасность, Claude Code: MCP

Если свести всё вместе, картина выглядит так.

Код к данным, а не данные к модели

Из этой таблицы вытекает приём, который серьёзно снижает риск. Модели не нужно видеть клиентскую базу, чтобы написать скрипт, который её посчитает. Ей достаточно структуры таблицы и нескольких выдуманных строк.

Схема получается такая. Агент видит описание полей и синтетический пример, пишет код, код запускается локально на настоящих данных, а модель получает только итоговые цифры: сколько клиентов вернулось, какая маржа по каналам, где ошибка в распределении затрат.

Честности ради: ни Anthropic, ни OpenAI такой рецепт в своей документации прямо не предлагают, это практика, а не официальная рекомендация. Близкий аналог давно работает в медицинской статистике.

В проекте OpenSAFELY исследователи пишут код на фиктивных данных, а выполняется он внутри защищённой среды с настоящими медицинскими записями. OpenSAFELY: документация

У приёма есть предел. Итоговые цифры и сообщения об ошибках тоже попадают в контекст модели. Если скрипт упал и напечатал первую строку таблицы с фамилией покупателя, эта фамилия ушла на сервер.

Поэтому агенту нужно прямо запрещать смотреть сырые данные, а скрипты писать так, чтобы они печатали только агрегаты.

Запрет чтения папки в настройках агента помогает, но не абсолютно. Документация Claude Code сама предупреждает, что такой запрет не мешает скрипту на Python открыть файл самостоятельно.

Жёсткую изоляцию даёт песочница, а на обычном Windows её нет, только через подсистему Linux. Claude Code: права доступа, Claude Code: песочница

Чем агент опаснее чата

У агента больше возможностей, и в этом его главный риск. Чат видит то, что вы в него вставили. Агент видит всё, до чего дотянется на диске, умеет выполнять команды и ходить в интернет.

OWASP, некоммерческое сообщество по безопасности приложений, ставит на первое место среди рисков языковых моделей внедрение инструкций: модель выполняет команду, спрятанную в файле, письме или на веб-странице.

Рядом стоят утечка чувствительной информации и избыточные полномочия агента. OWASP Top 10 для LLM-приложений 2025

Это не теория. В 2025 году исследователь показал, что инструкция, спрятанная в файле проекта, могла заставить Claude Code отправить ключи доступа наружу через обычные сетевые запросы, которые агент считал безопасными. Anthropic уязвимость исправила. Advisory CVE-2025-55284, разбор исследователя

В том же году похожая по сути атака на Microsoft 365 Copilot получила оценку опасности 9,3 из 10: достаточно было прислать письмо, чтобы ассистент выдал данные пользователя. Microsoft: CVE-2025-32711, статья исследователей EchoLeak

OpenAI в документации Codex приводит показательный пример: инструкция в описании задачи на GitHub заставляет агента отправить свежие изменения кода на чужой сервер, если у агента включён интернет. Codex: доступ в интернет

Для консультанта отсюда следует несколько привычек. Агента, который работает с данными клиента, лучше держать без интернета и без лишних подключений. Выполнение команд подтверждать вручную. Чужие файлы и страницы, которые агент читает, считать потенциально враждебными.

А телеметрию и отправку отчётов с транскриптами отключить, благо в документации для этого есть отдельные настройки. Claude Code: как используются данные

Не запрещать, а разрешить с условиями

Первая реакция клиента на всё это понятна: запретить. Проблема в том, что запрет плохо проверяется. Автор разбора в «Т-Бизнес секретах» пишет прямо: полный запрет сотрудники обходят, и работает не запрет, а политика с разрешёнными сервисами, обезличиванием и контролем. «Утечки данных через ИИ: почему запреты не спасают бизнес»

Профессиональные сообщества приходят к тому же. Английская юридическая ассоциация советует выяснять, обучается ли инструмент на введённых данных, читать условия каждого сервиса и заранее планировать выход с удалением данных. Law Society: Generative AI, the essentials

Британский институт бухгалтеров ICAEW прямо рекомендует не загружать конфиденциальную информацию в публичные инструменты генеративного ИИ и говорить клиенту, если ИИ участвовал в анализе. ICAEW: Generative AI guide, Ethics

Американская ассоциация юристов требует информированного согласия клиента до ввода его сведений в самообучающийся инструмент. Клиенту нужно объяснить, зачем используется инструмент, какие данные в него попадут и чем это рискованно, а шаблонной строки в договоре недостаточно. Обзор ABA Formal Opinion 512

Самый конкретный образец дало правительство Австралии. В его типовых условиях об ИИ исполнитель обязан до использования ИИ в услугах уведомить заказчика и получить письменное одобрение. Загружать данные заказчика в языковые модели запрещено, если договор прямо этого не разрешает. AI Model Clauses Агентства цифровой трансформации Австралии, копия PDF

Американский институт стандартов NIST в профиле рисков генеративного ИИ советует вести утверждённый перечень ИИ-инструментов и провайдеров и прописывать в договорах права на оценку того, как третьи лица используют ИИ. NIST AI 600-1

Российские юристы предлагают удобную рамку: разделить сведения на классы. Одни не уходят ни в какой ИИ, другие только в корпоративные решения, третьи куда угодно. «Коммерческая тайна и ИИ», Т-Бизнес секреты

На Право.ру к этому добавляют обязательную проверку результата и порядок действий при утечке через промпт. «Политика работы с ИИ», Право.ру

Для российского консультанта в эту рамку приходится внести поправку из пятой части. Корпоративный тариф OpenAI или Anthropic с гарантией «не обучаем» ему не оформить, не нарушив условий самих провайдеров, а режим нулевого хранения данных провайдеры дают только одобренным корпоративным клиентам. Claude Code: нулевое хранение данных

Поэтому «разрешённый инструмент» для сведений второго класса на практике означает российский корпоративный сервис, среду самого заказчика или локальную модель. GigaChat API, по условиям Сбера, по умолчанию не хранит запросы и не дообучается на них. GigaChat API

В Yandex AI Studio хранение запросов нужно отключить явно. Yandex AI Studio: отключение логирования

Обезличивание: где проходит граница

Обезличивание выглядит простым решением: убрал фамилии, и можно работать. На деле с ним связаны три неприятных вопроса.

Первый вопрос юридический. Закон называет обезличиванием действия, после которых нельзя определить, кому принадлежат данные, без дополнительной информации. Пункт 9 статьи 3 Закона о персональных данных Раз у кого-то есть ключ, данные можно восстановить.

Остаются ли такие данные персональными, в России единого ответа нет. Представители Роскомнадзора на встрече с бизнесом в 2025 году говорили, что обезличенные данные всё равно персональные, в том числе для требований о локализации. Birch Legal о позиции Роскомнадзора

Юристы Контура считают иначе: обезличенные данные теряют связь с человеком и под определение уже не подпадают. Контур: обезличивание персональных данных

Пока спор не решён, безопаснее исходить из позиции регулятора. Обезличенная клиентская база в зарубежном чате остаётся вопросом трансграничной передачи. Статья 12 Закона о персональных данных

В Европе логика похожая: псевдонимизированные данные по общему правилу остаются персональными. GDPR, вводное положение 26 и статья 4 Суд ЕС в сентябре 2025 года добавил важную оговорку: для получателя, у которого нет ключа и нет разумной возможности установить человека, такие данные могут и не быть персональными. Суд ЕС, EDPS v SRB, пресс-релиз Отправитель же, у которого ключ остался, свою ответственность не теряет.

Второй вопрос технический: как обезличивать. С 1 сентября 2025 года действует приказ Роскомнадзора № 140, который заменил прежний приказ 2013 года. Он называет четыре метода: замену значений кодами с таблицей соответствия, изменение состава данных, перемешивание и разделение массива на части. КонсультантПлюс о приказе Роскомнадзора № 140

Там же есть требования, которые полезно перенести в договор. Обезличенные данные нельзя хранить вместе с исходными, а действия по обезличиванию нужно учитывать. Обзор требований приказа № 140

Для консультанта это переводится просто: таблица «клиент 0147 = ООО „Ромашка“» остаётся у заказчика или в отдельном месте, куда агент не ходит.

Автоматические помощники есть, но полагаться на них целиком нельзя. Microsoft Presidio находит и маскирует персональные данные в тексте, однако из коробки работает с английским, а для русского ему нужны отдельные модели.

Сам проект предупреждает, что находит не всё. Microsoft Presidio, поддержка языков в Presidio Для русского текста есть открытая библиотека Natasha, которая распознаёт имена, места и организации. Natasha

Третий вопрос самый неприятный: обезличенное не значит неузнаваемое. Ещё в 2000 году исследовательница Латания Суини показала, что 87% жителей США однозначно определяются по почтовому индексу, полу и дате рождения. Sweeney, Simple Demographics Often Identify People Uniquely

Языковые модели делают эту задачу ещё проще. Исследование 2024 года показало, что модели угадывают по обычному тексту место жительства, доход и другие признаки автора с точностью до 85%, и стандартное обезличивание текста от этого не защищает. Staab et al., Beyond Memorization

Поэтому кроме фамилий приходится обобщать косвенные признаки: вместо даты рождения возрастная группа, вместо адреса регион, вместо точной суммы диапазон.

И наконец, главная оговорка для NDA. Обезличивание защищает персональные данные, но почти не защищает коммерческую тайну. Если из отчёта убрать название клиента, цифры его сделок, маржа по каналам и план выхода в новый регион останутся секретом.

А конкурент, знающий рынок, узнает компанию по трём цифрам быстрее любой модели.

Условие о разрешённом использовании ИИ

Всё сказанное можно собрать в отдельное условие NDA или договора. Это не готовый юридический шаблон, а перечень того, о чём сторонам стоит договориться заранее:

• Перечень инструментов. Приложение к договору называет разрешённые сервисы и режимы: российский корпоративный сервис, среду заказчика, локальную модель. Бесплатные и личные версии зарубежных моделей допустимы только для сведений, которые можно было бы опубликовать.
• Запрет обучения. Сведения заказчика не используются для обучения и дообучения моделей. Исполнитель подтверждает настройки датированными доказательствами: снимками настроек и версией условий сервиса на дату работ. Перечень разрешённых сервисов пересматривается, когда провайдер меняет условия, а личный аккаунт, открытый в обход условий сервиса, разрешённым инструментом не считается.
• Классы сведений. Для каждой категории указано, куда её можно отправлять: никуда, только в разрешённые инструменты или без ограничений.
• Роли и обезличивание. Заказчик как оператор персональных данных даёт консультанту поручение на обработку (часть 3 статьи 6 Закона о персональных данных), где сказано, кто и какими методами обезличивает данные и кто отвечает за качество. Таблица соответствия хранится отдельно и не передаётся в ИИ. Метод из приказа Роскомнадзора сам по себе результат не гарантирует, поэтому после обезличивания проверяется, нельзя ли узнать человека по оставшимся признакам. Уведомление о трансграничной передаче подаёт оператор, и без его решения консультант данные в зарубежные сервисы не передаёт.
• Правила для агентов. Агент работает без доступа в интернет и без внешних подключений, не читает сырые данные без необходимости, отправка транскриптов провайдеру отключена, локальные журналы удаляются.
• Согласие на конкретный инструмент. До начала работ исполнитель сообщает, какой инструмент, для каких задач и с какими категориями данных будет использован, а заказчик одобряет это письменно. Такое одобрение договорное: законного основания для обработки персональных данных оно не заменяет.
• Проверка и ответственность. Каждый результат, полученный с участием ИИ, проверяет человек, и исполнитель отвечает за него как за собственную работу.
• Прозрачность. По запросу заказчика и обязательно для ключевых выводов исполнитель раскрывает, где применялся ИИ.
• Контроль и санкции. Заказчик вправе запросить журнал использования ИИ и подтверждения настроек. Требования распространяются на субподрядчиков и помощников исполнителя. Разрешается конкретная конфигурация агента и перечень его подключений, а не просто название сервиса. За использование неразрешённого сервиса предусмотрена неустойка.
• Инциденты. Об ошибочном вводе сведений в неразрешённый сервис исполнитель сообщает немедленно. Если затронуты персональные данные, заказчик как оператор обязан уведомить Роскомнадзор в течение 24 часов, а о результатах расследования в течение 72 часов, поэтому время на сообщение у консультанта измеряется часами. Часть 3.1 статьи 21 Закона о персональных данных
• Выход. После окончания проекта исполнитель удаляет то, что контролирует: историю чатов, аккаунты проекта, рабочую среду агента. Журнал действий хранится зашифрованным оговорённый срок на случай разбирательства и потом удаляется. Удалить данные на стороне провайдера можно только в пределах его условий, поэтому исполнитель фиксирует, какие сведения и в какой сервис вводились.

К этому перечню стоит добавить права на результат. В четвёртой части говорилось, что молчание договора о правах не нейтрально, а с ИИ появляется ещё один слой: российские суды охраняют результат, в котором виден творческий вклад человека, и продолжают спорить о том, где этот вклад начинается.

Дипфейк-ролик признали охраняемым, потому что за ним стояли сценарий, съёмка и звук. Дело № А40-200471/2023, IPC Magazine А в споре о картинках, которые первая инстанция сочла сделанными нейросетью, Мосгорсуд в августе 2026 года решение отменил. РАПСИ о деле «Мона Лиза с вином»

Заказчику, который платит за модель или стратегию, спокойнее, когда договор прямо говорит, кому принадлежит результат, и не зависит от того, как суд оценит долю машины. Но если творческого вклада человека в результате нет, договор не сделает его объектом исключительного права. Тогда защищать результат приходится договорными средствами: режимом конфиденциальности и обязательством не использовать и не разглашать.

Последний пункт касается цены. Экономию от ИИ лучше не прятать. Американская ассоциация юристов запрещает брать почасовую оплату за время, которое сэкономил инструмент. ABA Formal Opinion 512

Для консультанта честнее продавать результат с понятными критериями приёмки и заранее говорить, какую часть работы делает модель.

Договор, который называет третьего по имени

Шестая часть получилась самой практической, но держится на той же мысли, что и вся статья. NDA защищает не от того, что человек понял, а от того, что он сделал с доверенным ему пониманием.

Облачная модель добавила в эту формулу третье лицо, а агент сделал его ещё и активным участником, который сам читает файлы и выполняет команды. Запретить его бесполезно, а игнорировать опасно.

Остаётся договориться: какой ИИ, в каком режиме, с какими данными и под чью ответственность.

Такой договор длиннее прежнего на пару страниц. Зато он честно отвечает на вопрос, который клиент рано или поздно задаст: кто ещё видел мои цифры?