Аудит по фиксированной цене — его стоимость засчитывается в пилот.
Пример: журнал AI-шлюза
09:12
Переведи описание товара для сайта
ПубличныеОблачная модель
09:14
Подведи итог переписки с поставщиком: [имя], [телефон]
ВнутренниеШлюз, маскирование
09:15
Сравни условия двух договоров поставки
ЧувствительныеЛокальная модель
09:17
Покажи зарплатную ведомость отдела
ЧувствительныеОтказано: нет прав доступа
Лимит затрат на месяциспользовано 34%
Продолжение кибербезопасности и облачных решений
Сотрудники уже пользуются AI, часто с личных аккаунтов и без правил. У SENSETI есть направления кибербезопасности, облачных решений и инфраструктуры, поэтому безопасность AI мы строим в том же контуре. Вы получаете политику, технические ограничения и журнал запросов, которые работают вместе.
Когда это нужно
Сотрудники уже передают данные в AI
Договоры, базы клиентов и отчёты попадают в публичные сервисы с личных аккаунтов. Кто и что именно передал, в компании не знает никто.
Запрет не сработал
Доступ к AI закрыли приказом, а люди перешли на личные телефоны. Без разрешённого инструмента запрет только прячет проблему.
Вы обрабатываете персональные данные клиентов из ЕС
Нужно понимать, где обрабатываются данные, какой договор заключён с провайдером и что требует GDPR.
Готовите AI-проект
Доступы, журналы и место работы модели проще определить до пилота. Переделывать готовое решение всегда дольше.
43%43%
исследованных IBM инцидентов безопасности были связаны с теневым AI — инструментами, которыми сотрудники пользуются без разрешения компании (годом ранее — 20%).
Выясняем, какими AI-сервисами уже пользуются сотрудники, с каких аккаунтов и какие данные туда попадают. Результат описываем без поиска виноватых, чтобы люди говорили откровенно.
Политика использования AI
Какие инструменты разрешены, какие данные нельзя передавать, кто отвечает за результат и что делать в случае инцидента. Пишем простым языком, чтобы её действительно читали.
Классификация данных
Делим данные на публичные, внутренние и чувствительные. Для каждого класса определяем, где может работать модель и у кого есть доступ.
Доступы, журналы и шлюз к моделям
Одна точка входа к AI-моделям с журналом запросов, лимитами расходов и маскированием. Права доступа действуют уже на этапе поиска, поэтому AI не покажет сотруднику документ, который тот не вправе видеть.
Проверка условий AI-провайдеров
Читаем договоры и условия обработки данных провайдеров, с которыми вы работаете или которых рассматриваете. Где хранятся данные, могут ли они идти на обучение моделей, в каком регионе обрабатываются. Выводы даём письменно до подписания.
GDPR и EU AI Act для компаний из ЕС
Регион обработки, договор с провайдером и оценка по GDPR. Перечень требований EU AI Act, которые касаются вашего использования AI, в том числе меры по AI-грамотности персонала.
Как мы работаем
Разбираем, как AI уже используется в компании, с какими данными вы работаете и есть ли среди клиентов компании из ЕС.
Что вы получите
Риски первой очереди и следующий шаг.
Чтобы двигаться дальше
Понятно, какие данные и процессы попадают в аудит.
Этап 1 из 5 · 60 минут
Аудит теневого AI, классификация данных, проверка условий провайдеров, которыми вы уже пользуетесь или планируете пользоваться. Для компаний из ЕС добавляем перечень требований GDPR и EU AI Act.
Что вы получите
Отчёт о текущем состоянии, карта данных с местом работы модели и проект политики использования AI.
Чтобы двигаться дальше
Вы согласовали классификацию данных и перечень разрешённых инструментов.
Этап 2 из 5 · ориентировочно 2–3 недели
Настраиваем шлюз к моделям, доступы, журналы и маскирование на одном процессе. Вводим политику использования AI для команды этого процесса.
Что вы получите
Рабочий контур с журналом запросов и лимитами, утверждённая политика.
Чтобы двигаться дальше
Контур прошёл приёмку. Запрещённые данные не проходят, журнал полный, лимиты срабатывают.
Этап 3 из 5 · ориентировочно 4–6 недель
Подключаем к защищённому контуру другие команды и процессы, заменяем личные аккаунты корпоративным доступом.
Что вы получите
Единый контур для AI-инструментов компании.
Чтобы двигаться дальше
Каждая новая команда прошла инструктаж по политике использования AI.
Этап 4 из 5 · после приёмки
Просматриваем журналы, обновляем политику под новые инструменты и условия провайдеров, повторяем аудит теневого AI.
Что вы получите
Регулярный отчёт об использовании AI и инцидентах.
Чтобы двигаться дальше
Повторный аудит не находит новых неконтролируемых каналов передачи данных.
Этап 5 из 5 · постоянно
Разбираем, как AI уже используется в компании, с какими данными вы работаете и есть ли среди клиентов компании из ЕС.
Что вы получите
Риски первой очереди и следующий шаг.
Чтобы двигаться дальше
Понятно, какие данные и процессы попадают в аудит.
Аудит теневого AI, классификация данных, проверка условий провайдеров, которыми вы уже пользуетесь или планируете пользоваться. Для компаний из ЕС добавляем перечень требований GDPR и EU AI Act.
Что вы получите
Отчёт о текущем состоянии, карта данных с местом работы модели и проект политики использования AI.
Чтобы двигаться дальше
Вы согласовали классификацию данных и перечень разрешённых инструментов.
Настраиваем шлюз к моделям, доступы, журналы и маскирование на одном процессе. Вводим политику использования AI для команды этого процесса.
Что вы получите
Рабочий контур с журналом запросов и лимитами, утверждённая политика.
Чтобы двигаться дальше
Контур прошёл приёмку. Запрещённые данные не проходят, журнал полный, лимиты срабатывают.
Подключаем к защищённому контуру другие команды и процессы, заменяем личные аккаунты корпоративным доступом.
Что вы получите
Единый контур для AI-инструментов компании.
Чтобы двигаться дальше
Каждая новая команда прошла инструктаж по политике использования AI.
Просматриваем журналы, обновляем политику под новые инструменты и условия провайдеров, повторяем аудит теневого AI.
Что вы получите
Регулярный отчёт об использовании AI и инцидентах.
Чтобы двигаться дальше
Повторный аудит не находит новых неконтролируемых каналов передачи данных.
Наш подход
Безопасность AI как часть кибербезопасности
AI-сервисы подключаем к тем же доступам, журналам и правилам, что и остальную инфраструктуру. Отдельный остров безопасности для AI вам не нужен.
Разрешённый инструмент вместо запрета
Когда у людей есть удобный корпоративный AI, личные аккаунты становятся не нужны. Запрет без альтернативы только переносит утечку туда, где её не видно.
Границы в архитектуре
Инструкция для модели не защитит от вредоносного указания, спрятанного в документе. Защищают технические границы: доступ без права записи, маскирование и подтверждение человеком для любого изменения.
Минимально необходимые доступы
AI видит только данные, нужные для задачи, и не больше, чем видит сотрудник, который им пользуется. Расширяем доступ под конкретную задачу и на определённый срок.
Где работает модель
Место работы модели зависит от чувствительности данных. Классификацию делаем вместе с вами на аудите, условия конкретных провайдеров проверяем отдельно.
Данные
Где работает
Почему
Публичные: тексты для сайта, открытые документы, общие вопросы
Облачные модели
Разглашение этих данных не вредит бизнесу, поэтому важнее всего качество и стоимость.
Внутренние: регламенты, переписка, отчёты без персональных данных
Облачные модели через шлюз с журналом, маскированием и корпоративными условиями
Каждый запрос записывается, лишнее маскируется, а договор с провайдером определяет, как обрабатываются данные.
Частное облако или локальные модели на ваших серверах (on-prem)
Данные не выходят за пределы контура, который контролируете вы. Для компаний из ЕС отдельно проверяем регион обработки и договор по GDPR.
Что вы получите
Отчёт о теневом AI
Какие сервисы используются, кем, с какими данными и с какими рисками.
Политика использования AI
Готовый документ для сотрудников с перечнем разрешённых инструментов и данных.
Карта классификации данных
Классы данных, место работы модели для каждого класса и ответственные.
Настроенный шлюз к моделям
Одна точка входа с журналом запросов, лимитами расходов и маскированием.
Выводы по условиям провайдеров
Письменная оценка договоров и условий обработки данных выбранных AI-провайдеров.
План для компаний из ЕС
Что нужно по GDPR и EU AI Act для вашего использования AI, что уже выполнено и что осталось.
Безопасность в наших проектах
Торговая компания, ЕС (импорт и дистрибуция)
Проект в работе
Задача
Позволить AI работать с нетиповой учётной системой без риска для боевых данных. Предыдущая попытка загрузить конфигурацию в AI одной папкой привела к выдуманным ответам.
Что сделали
AI работает только с изолированными копиями, доступ к боевым системам только на чтение. Автоматические проверки ловят выдуманные команды.
Результат: Приёмка заложена до старта: 8 слепых тестов, среди них тест-ловушка на выдуманные ответы, который нужно пройти 5 из 5 без частичного зачёта.
SENSETI, «на себе»
Опытная эксплуатация
Задача
Запустить AI-конвейер контента так, чтобы расходы и действия были под контролем.
Что сделали
Запросы к моделям идут через шлюз с потолком бюджета $100 в месяц. Перед запуском пробный прогон, перед публикацией ручное подтверждение.
Результат: Фактические расходы около $9 в месяц.
Узнайте, куда уже уходят ваши данные
За 60 минут бесплатной консультации разберём, как ваша команда уже использует AI, и определим, что проверить в аудите в первую очередь.
Это AI-сервисы, которыми сотрудники пользуются без согласования, часто с личных аккаунтов. Компания не знает, какие данные туда попали и на каких условиях их обрабатывают.
Обычно нет. Люди переходят на личные устройства, и компания теряет даже ту видимость, которая была. Надёжнее дать разрешённый инструмент с журналом и понятными правилами.
Нет. Даже если провайдер не хранит данные, это ещё не значит, что они обрабатываются в ЕС. Компаниям из ЕС нужны подходящий регион обработки, договор с провайдером и оценка по GDPR.
Когда AI работает с чувствительными данными, такими как персональные данные или коммерческая тайна. Тогда модель разворачиваем в частном облаке или на ваших серверах (on-prem). Для публичных и внутренних данных обычно достаточно облачных моделей через шлюз.
Если ваша компания работает на рынке ЕС, часть требований может вас касаться, например по AI-грамотности персонала. На аудите составляем перечень требований под ваше использование AI, окончательную правовую оценку даёт юрист.
Это одна точка входа ко всем моделям. Он записывает каждый запрос, маскирует данные по правилам, ограничивает расходы и позволяет выбрать модель под задачу.
Ответственных определяем в политике использования AI. Мы можем сопровождать контур: просматривать журналы, обновлять политику и повторять аудит теневого AI.
Мы используем cookie Google Analytics и Microsoft Clarity, чтобы понимать, как посетители пользуются сайтом. Счётчики включаются только с вашего согласия.
