Как организациям защитить персональные данные при работе с нейросетями, объяснили специалисты

Использование искусственного интеллекта в работе организаций требует четких правил: необходимо определить, какие сведения сотрудники могут передавать таким системам, а какая информация должна оставаться внутри корпоративной инфраструктуры. Об этом 11 ноября журналистам рассказали директор Национального центра защиты персональных данных Андрей Гаев и председатель отделения специалистов по защите персональных данных Белорусского республиканского союза юристов Кирилл Лаптев, передает корреспондент агентства «Минск-Новости».

Фото носит иллюстративный характер, pixabay.com

В Национальном центре защиты персональных данных уделяют отдельное внимание этому вопросу. В текущем году половина сотрудников учреждения прошла курсы повышения квалификации по работе с искусственным интеллектом. По словам А. Гаева, важно, чтобы специалисты не только умели пользоваться такими инструментами, но и понимали связанные с ними риски.

— Мы используем базовые инструменты искусственного интеллекта для решения текущих задач, когда требуется подготовить презентацию, информационный материал или провести аналитическую работу. Это позволяет в определенной степени ускорить процессы. Однако после применения таких инструментов полученная информация обязательно проходит проверку и обработку человеком. Внутри центра определены соответствующие организационные и правовые правила, а также технические настройки, регулирующие работу с такими ресурсами. Обучение сотрудников в этом направлении будет продолжаться, — рассказал А. Гаев.

Он также подчеркнул, что искусственный интеллект не должен полностью заменять человека при принятии решений, которые непосредственно влияют на его жизнь. Предварительную обработку информации и выполнение отдельных задач можно доверить технологиям, однако окончательное решение в вопросах трудоустройства, образования и здравоохранения должно оставаться за человеком.

К. Лаптев отметил, что организации сегодня выбирают разные подходы к регулированию использования искусственного интеллекта. Одни ограничиваются уже действующими документами по обработке персональных данных и защите коммерческой тайны, другие разрабатывают отдельные локальные правовые акты, непосредственно посвященные работе с такими технологиями.

— Важно понимать, что использование искусственного интеллекта уже подпадает под действующее законодательство о персональных данных. Здесь действует принцип технологического нейтралитета: не имеет значения, каким именно инструментом пользуется организация, требования к обработке информации остаются обязательными. Поэтому задача заключается не в том, чтобы просто разрешить или запретить сотрудникам пользоваться такими системами, а в том, чтобы определить правила их применения. Организация должна понимать, какие инструменты допустимо использовать, какие категории данных можно в них загружать, какая информация не должна передаваться внешним сервисам, — пояснил специалист.

По словам К. Лаптева, отдельный локальный правовой акт позволяет закрепить такие правила, однако сам по себе не гарантирует их соблюдения. Необходимо также обучать сотрудников, объяснять им особенности работы с искусственным интеллектом и возможные последствия передачи информации сторонним сервисам.

Еще один аспект касается компаний, которые разрабатывают или предоставляют решения на основе искусственного интеллекта. При выборе таких продуктов организациям важно выяснять, на каких условиях обрабатываются данные, используются ли они для обучения моделей, какие гарантии защиты предусмотрены поставщиком.

— Если модель искусственного интеллекта создана с использованием данных с нарушением законодательства, возникает вопрос о правомерности ее дальнейшего применения. Поэтому необходимо оценивать не только саму технологию, но и данные, на которых она работает. Один из возможных подходов — ограничение использования персональных данных или их обезличивание, чтобы исключить возможность идентификации конкретного человека, — отметил К. Лаптев.

В качестве еще одного решения специалист назвал использование локальных систем искусственного интеллекта, которые организации могут развернуть непосредственно внутри собственной информационной инфраструктуры. В таком случае данные не приходится передавать внешнему поставщику, а организация получает больше возможностей контролировать условия их обработки.

При этом, подчеркнул К. Лаптев, трансграничная передача персональных данных сама по себе не запрещена белорусским законодательством, но должна осуществляться с соблюдением установленных требований и при наличии соответствующих правовых оснований.