Искусственный интеллект активно внедряется в деятельность белорусских компаний. Нейросети используются для подготовки документов, анализа договоров, обработки клиентских обращений и автоматизации бизнес-процессов. Однако вместе с новыми возможностями возникают юридические риски, связанные с защитой информации, соблюдением договорных обязательств и ответственностью за действия ИИ.
Правовое регулирование искусственного интеллекта в Беларуси
При использовании искусственного интеллекта белорусским компаниям необходимо учитывать требования действующего законодательства, в частности:
- Закон № 99-З «О защите персональных данных» — устанавливает требования к обработке и трансграничной передаче персональных данных.
- Закон № 16-З «О коммерческой тайне» — регулирует защиту конфиденциальной коммерческой информации.
- Закон № 455-З «Об информации, информатизации и защите информации» — определяет правовые основы защиты информации.
- Гражданский кодекс Республики Беларусь — регулирует договорные отношения и гражданско-правовую ответственность.
- Законодательство о защите прав потребителей и рекламе — применяется, в частности, при взаимодействии ИИ с клиентами.
При этом использование ИИ не освобождает организацию от соблюдения установленных законодательством обязанностей.
Какие данные можно передавать в ИИ-сервисы?
Основной риск при использовании внешних ИИ-сервисов — передача информации третьим лицам, в том числе иностранным провайдерам.
Общедоступные документы, публичные сведения и надлежащим образом обезличенные данные, как правило, могут использоваться без существенных ограничений, связанных с конфиденциальностью.
Иная ситуация складывается с персональными данными клиентов и сотрудников, договорами, внутренней перепиской, CRM-базами и коммерческой тайной. Передача таких сведений требует предварительной правовой оценки и соблюдения установленных ограничений.
Особенно важно учитывать, что иностранный ИИ-провайдер может хранить и обрабатывать информацию за пределами Беларуси. При этом даже отказ от использования данных для обучения моделей не всегда означает отсутствие их хранения.
Перед передачей информации следует проверить, какие данные передаются, кто получает к ним доступ, где осуществляется их обработка, как долго они хранятся и какие гарантии конфиденциальности предоставляет поставщик. Оценить существующие процессы обработки персональных данных и связанные с ними правовые риски позволяет аудит и защита персональных данных.
Какие документы необходимы компании для использования ИИ?
Для минимизации юридических рисков организации целесообразно разработать внутреннюю политику использования ИИ, предусматривающую разрешенные сервисы, допустимые категории информации, ограничения и порядок контроля результатов.
Также необходимо учитывать требования законодательства к документам по обработке персональных данных и защите коммерческой тайны.
Если компания использует ИИ-агентов с доступом к корпоративным системам, следует определить пределы их полномочий, порядок подтверждения юридически значимых действий и меры реагирования на инциденты.
Отдельного внимания заслуживают договорные отношения с ИИ-провайдером. В договоре важно урегулировать вопросы конфиденциальности, использования данных для обучения моделей, сроков хранения и удаления информации, привлечения субподрядчиков и ответственности за нарушения.
Кто отвечает за ошибки искусственного интеллекта?
Предположим, чат-бот интернет-магазина сообщил покупателю, что товар стоит 150 рублей, хотя фактическая цена составляет 250 рублей.
Может ли покупатель потребовать продать товар по указанной ИИ цене?
Ответ зависит от конкретных обстоятельств, в том числе содержания сообщения, порядка оформления заказа и факта заключения договора.
Однако принципиально важно следующее: искусственный интеллект не является самостоятельным субъектом гражданско-правовой ответственности.
Поэтому претензии, связанные с недостоверной информацией или ненадлежащим исполнением обязательств, могут предъявляться непосредственно компании, использующей ИИ.
При этом предупреждение «ответ сформирован искусственным интеллектом» само по себе не освобождает организацию от ответственности.
Для снижения рисков необходимо ограничивать полномочия ИИ, использовать актуальные данные о товарах и услугах и предусматривать проверку юридически значимых действий.
Ответственность за нарушения и утечку персональных данных
Неправомерное использование ИИ может повлечь гражданско-правовую и административную ответственность, в частности за нарушения законодательства о персональных данных, рекламе и защите прав потребителей.
Кроме того, Уголовный кодекс Республики Беларусь предусматривает ответственность физических лиц за определенные незаконные действия с персональными данными:
- Статья 203¹ УК РБ — незаконные действия в отношении информации о частной жизни и персональных данных.
- Статья 203² УК РБ — несоблюдение мер обеспечения защиты персональных данных при наличии предусмотренных законом условий.
При возникновении утечки организации необходимо зафиксировать инцидент, ограничить дальнейший доступ к информации, определить состав скомпрометированных данных, проверить обязанности по уведомлению компетентных органов и установить причины нарушения.
При этом юридические лица в Беларуси не несут уголовную ответственность, однако могут привлекаться к административной и гражданско-правовой ответственности при наличии соответствующих оснований.
Использование искусственного интеллекта требует от бизнеса не только технической, но и правовой подготовки.
Компании необходимо контролировать передачу данных, устанавливать правила работы сотрудников с ИИ, закреплять договорные гарантии с провайдерами и определять пределы полномочий автоматизированных систем.
При возникновении вопросов о правомерности использования ИИ, ответственности за его действия и соблюдении требований законодательства компания может обратиться за юридической консультацией.
Главный принцип: чем больше самостоятельных действий компания доверяет искусственному интеллекту, тем выше значение юридического контроля и защиты информации.
Частые вопросы об ИИ и персональных данных
Во время вебинара ActiveCloud участники задали ряд практических вопросов об использовании искусственного интеллекта, обработке персональных данных и ответственности бизнеса. Рассмотрим пять наиболее актуальных ситуаций с точки зрения законодательства Республики Беларусь.
Можно ли передавать геопозицию в ИИ и как это правильно оформить?
Если геопозиция связана с конкретным человеком и позволяет его идентифицировать, она является персональными данными. В таком случае необходимо определить правовое основание обработки (согласие или иное основание по Закону № 99-З), отразить соответствующий процесс в Политике обработки персональных данных и обеспечить защиту информации.
Если данные передаются на зарубежные серверы, дополнительно необходимо соблюдать требования к трансграничной передаче.
Кто отвечает за утечку конфиденциальной информации через ИИ-сервис?
Если речь идет о персональных данных, компания как оператор сохраняет обязанности по их защите, даже если использует сторонний ИИ-сервис. При этом ответственность может нести и поставщик ИИ-решения — в зависимости от обстоятельств утечки, его правового статуса и условий договора.
Поэтому важно заранее закрепить правила использования ИИ сотрудниками и определить, какую информацию запрещено передавать в такие сервисы.
Можно ли использовать обезличенные транскрибации консультаций для создания базы знаний и последующей публикации?
Да, но необходимо учитывать несколько нюансов.
Запись, транскрибация и обезличивание разговоров могут являться обработкой персональных данных, поэтому для работы с исходными записями необходимо законное основание.
Если после обезличивания невозможно идентифицировать физических лиц, согласие на публикацию таких материалов по Закону № 99-З, как правило, не требуется.
Однако важно убедиться, что материалы не содержат коммерческую тайну и другую конфиденциальную информацию клиентов или иную охраняемую законом тайну.
Рекомендуем также предусмотреть использование содержания консультаций для создания обобщенных материалов в договорах с клиентами и отразить соответствующие процессы обработки персональных данных в Политике компании.
Является ли нарушением хранение персональных данных на серверах в России?
Нет, само по себе это не запрещено.
Однако передача персональных данных из Беларуси на российские серверы является трансграничной и должна соответствовать статье 9 Закона № 99-З.
Необходимо учитывать статус страны назначения с точки зрения надлежащего уровня защиты, правовые основания обработки, условия договора с провайдером и меры безопасности.
Сам факт размещения сервера за пределами Беларуси не означает нарушения законодательства.
Если ИИ-модель расположена в России, означает ли это трансграничную передачу?
Да, если персональные данные действительно передаются из Беларуси на серверы в России для обработки.
Однако не все ИИ-модели работают на зарубежных серверах. Некоторые решения можно развернуть локально, без передачи информации за пределы Беларуси.
Поэтому перед внедрением ИИ важно выяснить, где фактически обрабатываются данные, кто имеет к ним доступ, сохраняются ли запросы и используются ли они для обучения моделей.