Управление ИИ в небольшой компании: правила на одной странице

Чтобы выстроить управление ИИ, начните с 5 мер контроля: реестра сценариев использования, правил работы с данными, проверки человеком, оценки поставщиков и порядка действий при инцидентах. Компании без отдела комплаенса достаточно для начала назначить ответственного за каждую меру и собрать подтверждения того, что она работает. Тогда на вопросы заказчика можно будет отвечать по существу, не обещая контроля, который нечем подтвердить.

Выстроить эту работу поможет NIST AI RMF — рамочная методика управления рисками ИИ Национального института стандартов и технологий. Международный стандарт систем менеджмента ИИ ISO/IEC 42001 стоит рассматривать, когда внешняя сертификация решает конкретную бизнес-задачу. Отдельно проверьте, какие обязанности по закону ЕС об ИИ (EU AI Act) распространяются на вашу роль и сценарий использования. Эти документы решают разные задачи.

Описания подходов и сроки ЕС ниже сверены с официальными страницами NIST, ISO и Европейской комиссии 20 октября 2026 года. Это практическое руководство по организации работы, а не юридическая консультация. За разъяснением конкретных правовых обязанностей обратитесь к квалифицированному специалисту.

Что такое управление ИИ?

Управление ИИ определяет, кто вправе использовать ИИ, для каких задач, с какими данными и кто отвечает за его ответы и действия. Политики задают правила, а согласования, технические ограничения и записи о принятых решениях позволяют применять их на практике.

Представьте общий сад. Список разрешённых растений не объясняет, кто может открыть ворота, перенастроить полив или восстановить повреждённую грядку. Нужны границы, ответственный и способ вовремя замечать и устранять проблемы. Покупка более совершенного садового инвентаря этих вопросов не решает.

В бизнесе разница становится очевидной, когда помощник службы поддержки перестаёт только готовить ответы и получает право возвращать деньги. Модель может остаться прежней, но её полномочия уже изменились. Процесс управления должен выявить это изменение до того, как новые права начнут влиять на клиентов.

Управление данными охватывает саму информацию: доступ, качество, допустимое использование и сроки хранения. Управление ИИ добавляет контроль поведения системы: какие выводы она может делать, что рекомендовать и выполнять, как это проверяется и кто разбирается с последствиями.

Управление ИИ: схема на одной странице

В компании со штатом от 20 до 500 человек сложность процесса должна соответствовать последствиям каждого сценария использования. Для каждой меры контроля нужны ответственный, правило и подтверждающая запись. Ниже — авторский рабочий шаблон для небольшой компании. Он не заменяет оценку конкретной системы и не является чек-листом для сертификации.

Область применения: Использование ИИ сотрудниками и функции ИИ в продажах, поддержке и разработке, включая функции, встроенные в уже используемое ПО.
Ответственный руководитель: Операционный директор (COO) или основатель. Руководители подразделений отвечают за свои рабочие процессы; руководитель ИТ или информационной безопасности — за доступ и технические меры контроля.
Когда требуется согласование: Новая цель, источник чувствительных данных, внешняя аудитория или право выполнять действия требуют проверки до начала использования.

Периодичность проверки: Пересматривайте реестр ежеквартально, а также при изменении целей, прав доступа, поведения поставщика или данных. Это рекомендуемая начальная периодичность; проверяйте чаще там, где возможные последствия это оправдывают.
Исключения: Указывайте согласовавшего, причину, ограничения и срок действия. Незадокументированное исключение оставляет риск неучтённым.
Отчётность для совета директоров и заказчиков: Показывайте, что входит в область контроля, что контролируется, какие вопросы остаются открытыми и кто отвечает за следующее решение.

Не раздувайте эту страницу. Реестр и подтверждающие материалы храните отдельно, ограничив доступ к записям с данными клиентов или сотрудников. Страница должна служить указателем к реально работающему процессу.

Как управлять ИИ в продажах, поддержке и разработке

Начните с рабочего процесса, в котором выше всего риск раскрытия данных или воздействия на клиента. Подсчёт подписок сам по себе не покажет, какие полномочия действительно важны.

Учитывайте сценарии использования, а не только названия инструментов

Создавайте отдельную запись, если один и тот же продукт используется для другой цели или с другими правами. Помощник для подготовки текстов отдела продаж и процесс обогащения клиентских записей заслуживают отдельных строк, даже если поставщик у них общий.

Для каждой записи укажите бизнес-цель; ответственного; сервис и учётную запись; категории данных; подключённые системы; права чтения и записи; людей, на которых влияет использование; способ проверки; статус согласования; дату последнего пересмотра. Для системы собственной разработки добавьте развёрнутую модель или конфигурацию сервиса и ссылку на журнал изменений.

Попросите руководителей подразделений включить расширения браузера, помощников для встреч и написания кода, автоматизации и функции ИИ, включённые в уже используемом ПО. Сопоставьте ответы с доступными данными об оплате и доступе. Честно описывайте охват: опрос сотрудников и проверка учётных записей помогают обнаружить использование ИИ, но не доказывают, что найдены все несогласованные сценарии.

В условной компании из 30 человек реестр может вести основатель, а руководители продаж, поддержки и разработки — подтверждать свои записи. Это даёт понятный порядок эскалации без создания постоянного комитета.

Политика использования ИИ: чётко определите границы работы с данными

Формулируйте правило так, чтобы сотрудник мог его выполнить: какая учётная запись, какие данные и какая задача. Призыв «используйте ИИ ответственно» не объясняет продавцу, можно ли вставить договор с клиентом в окно чата.

Задайте осторожное правило по умолчанию: общедоступные материалы можно передавать в одобренные инструменты; клиентские записи, конфиденциальный код и внутренняя коммерческая информация требуют отдельно согласованного сервиса и сценария использования. Не включайте учётные данные и секреты в промпты. Работу с чувствительными персональными данными согласуйте через явную оценку, а не неформальное исключение.

Зафиксируйте, от чего зависит разрешение: настроек хранения, прав доступа, договорных условий использования данных и конкретной интеграции. Заявление поставщика об обучении моделей само по себе не отвечает на вопросы о том, где хранятся промпты и кто имеет к ним доступ. Это отдельные пункты проверки.

Для правил, адресованных сотрудникам, используйте опубликованный шаблон политики допустимого использования ИИ. Свяжите его с этим процессом управления, чтобы у каждого исключения были ответственный и дата пересмотра.

Проверка человеком должна предшествовать последствиям

Проверяющему нужны исходная информация, понятные критерии, достаточно времени и право отклонить результат. Нажатие кнопки согласования без этих условий почти не защищает от ошибок.

В продажах человек должен проверять обещания о ценах, безопасности и условиях договора до их отправки потенциальному клиенту. В поддержке помощник может готовить ответы по одобренным материалам, а назначенный сотрудник — проверять возвраты денег, изменения учётных записей и раскрытие чувствительных сведений. В разработке сгенерированные изменения должны проходить те же проверки кода, тестирование и контроль выпуска, что и остальные изменения.

Для каждого рабочего процесса опишите ошибки, при которых результат нельзя выпускать. Ответ поддержки, раскрывающий сведения другого клиента, неприемлем независимо от того, насколько гладко он написан. Изменение кода, которое проходит модульный тест, но обходит проверку прав доступа, тоже недопустимо.

ИИ-агенту — программе, способной выполнять действия с помощью инструментов, — помимо проверки результатов нужны границы полномочий. Ограничьте доступные ему учётные записи, записи в системах и действия. Проверьте эти ограничения до выдачи прав записи и сохраните возможность отозвать доступ.

Проверяйте поставщика и ту конфигурацию, которой пользуетесь

Оценивайте именно приобретаемый сервис, включая тариф, тип учётной записи и интеграцию. Общая страница о безопасности — вспомогательный материал, а не описание вашей конфигурации.

Кратко зафиксируйте результаты следующих проверок:

• Обработка данных: Какие входные данные, результаты и метаданные сохраняются? Используются ли они для обучения? Какие средства удаления доступны?
• Договор и обработка: Что допускает соглашение, какие другие поставщики обрабатывают данные и какие обязательства действуют при инцидентах?
• Учётные записи и права: Можно ли управлять доступом, отключить уволившегося сотрудника и ограничить подключённые системы?
• Подтверждения работы: Какие журналы, уведомления об изменениях и каналы поддержки доступны для этого рабочего процесса?
• Отключение и сбои: Можно ли выключить функцию, отозвать учётные данные и продолжить выполнение необходимой задачи без неё?

Вопрос без ответа отмечайте как нерешённый. Если он касается клиентских данных или необратимого действия, сузьте область использования либо оставьте сценарий приостановленным, пока ответственный не примет конкретный, задокументированный риск.

Используйте существующий порядок реагирования на инциденты

Дайте сотрудникам понятный способ сообщить о небезопасном ответе, раскрытии данных, несанкционированном действии или подозрении на злоупотребление. Тот, кто первым реагирует на сообщение, должен знать, кто может отключить интеграцию и кто решает, можно ли возобновить её работу.

Запишите затронутый процесс, время, данные, соответствующий ответ или действие, права доступа и доступные журналы. Ограничьте доступ к этим материалам. Локализуйте проблему, определите, кого она затронула, и назначьте ответственного за уведомления, предусмотренные договорами и применимыми нормами.

Затем исправьте неработающую меру контроля. Если помощник поддержки раскрыл документ с ограниченным доступом, удаление ответа не исправит его права на этот документ. Проверьте изменение прав, повторно воспроизведите сценарий ошибки и зафиксируйте решение о возобновлении работы.

В условной компании из 150 человек эту работу может координировать действующий руководитель реагирования на инциденты безопасности вместе с владельцем процесса поддержки. Если отдельной роли по безопасности нет, назначьте того, кто вправе отозвать доступ, и руководителя, принимающего решение об эскалации.

Стандарты управления ИИ: NIST, ISO и EU AI Act

Используйте NIST для организации решений о рисках, ISO — для построения системы менеджмента, а EU AI Act — для определения применимых правовых обязанностей. Если считать эти документы взаимозаменяемыми, ответы в анкетах заказчиков будут вводить в заблуждение.

Примените NIST к рабочему процессу, который можно проверить

Функции NIST образуют непрерывный процесс: это не четыре пункта, которые достаточно выполнить один раз. Официальный документ AI RMF Core прямо допускает адаптацию и описывает управление как сквозную функцию, охватывающую остальные направления.

Для помощника поддержки это может выглядеть так:

• Govern: Руководитель поддержки отвечает за использование; COO утверждает допустимые границы риска; ИТ управляет доступом.
• Map: Зафиксируйте, какие клиентские сведения читает помощник, кто получает его ответы и какой вред может причинить неверный ответ.
• Measure: Проверьте типовые и сложные случаи, включая попытки получить информацию с ограниченным доступом. Запишите результаты и ограничения, которые пока не устранены.
• Manage: Ограничивайте доступ, требуйте проверки там, где она нужна, отслеживайте сбои и отключайте процесс при выходе за установленные границы.

Это пример применения методики. Если вы сделали именно это, так и формулируйте: «используем NIST AI RMF для организации управления рисками». Храните подтверждения, на которых основано это утверждение.

Сертификация управления ИИ: определите бизнес-цель и границы

ISO/IEC 42001 относится к системе менеджмента ИИ в организации. В публичном описании используется цикл Plan-Do-Check-Act: выстроить процесс, запустить его, оценить и улучшить. Политика на одной странице — лишь малая часть этой работы. Обзор стандарта ISO.

Сертификация — отдельная внешняя оценка. ISO разрабатывает стандарты, но не сертифицирует организации самостоятельно: этим занимаются внешние органы по сертификации. Рекомендации ISO по сертификации.

Рассматривайте сертификацию, когда её требует заказчик, она ценится на вашем рынке закупок или масштабы работы с ИИ оправдывают формальную систему менеджмента. Уточните, какие юридические лица, площадки и виды деятельности охватывает сертификат. Свидетельство о прохождении курса одним сотрудником не доказывает, что процессы компании работают в рамках системы менеджмента, прошедшей оценку.

Сроки EU AI Act: что уже действует, а что вступит в силу позже

График применения требований к системам высокого риска изменился, но это не означает отсрочки всего закона. По сообщению Комиссии, AI Omnibus вступил в силу 27 июля 2026 года, отложив основные сроки применения требований к системам высокого риска и упростив прежнее требование к компаниям в части грамотности в области ИИ. Сообщение Комиссии.

Официальный график применения содержит следующие этапы:

• 2 февраля 2025 года: Начали применяться первоначальные запреты и положения о грамотности в области ИИ.
• 2 августа 2025 года: Начали применяться обязанности в отношении моделей ИИ общего назначения и положения об управлении.
• 2 августа 2026 года: Начало общего применения, включая правила прозрачности статьи 50.
• 2 декабря 2026 года: Отдельный переходный срок по статье 50(2) для некоторых поставщиков систем генерации синтетического контента, уже присутствовавших на рынке до 2 августа 2026 года; это не общая отсрочка требований прозрачности.
• 2 декабря 2027 года: Системы высокого риска из приложения III.
• 2 августа 2028 года: ИИ высокого риска, встроенный в регулируемые продукты, охватываемые приложением I.

Это лишь выбранные этапы; соответствующие положения и переходные сроки указаны в графике применения, опубликованном Комиссией.

Основателю прежде всего нужно определить роль компании и назначение системы. Комиссия описывает область действия, охватывающую государственных и частных участников как внутри, так и за пределами ЕС, если они выводят ИИ на рынок ЕС, вводят его в эксплуатацию или используют в ЕС. Она также относит некоторые сценарии в сфере занятости и оценки кредитоспособности к примерам высокого риска. Одна лишь численность штата не отвечает ни на вопрос о роли, ни на вопрос о назначении. Ответы Комиссии о сфере действия и классификации.

Если вы отвечаете за чат-бота, с которым общаются клиенты, уже сейчас проверьте применимые требования к раскрытию информации. Если вы разрабатываете автоматизацию для найма, оцените её назначение, прежде чем приравнивать к обычному помощнику для подготовки текстов. Сохраните в реестре дату и источник этой оценки.

Руководство по инструментам для EU AI Act на сайте поможет с выбором решений. Даты и требования, изложенные здесь, сверяйте с официальными источниками выше.

Что приложить к анкете заказчика по безопасности

Отправляйте подтверждения, которые отвечают на вопрос заказчика и относятся к оказываемой услуге. Универсального минимального пакета, гарантирующего успешную проверку, нет: заказчик, оценивающий внутреннюю подготовку черновиков, и покупатель автономной системы с доступом к данным рабочей среды беспокоятся о разном.

Для первичной проверки обычного делового использования ИИ соберите шесть видов подтверждений:

1. Утверждённая политика и ответственный: Действующая политика, дата её утверждения, область применения и ответственный руководитель.
2. Нужная выписка из реестра: Сценарии использования ИИ при оказании услуги заказчику, включая поставщиков, категории данных, права доступа и ответственных.
3. Материалы по поставщикам: Оценка и подтверждающие условия или настройки для этих сценариев. Делитесь только тем, что разрешают ваши соглашения.
4. Пример проверки и тестирования: Запись с удалёнными закрытыми сведениями, показывающая, как реальный результат или изменение проверили по заданным критериям и что произошло при выявлении ошибки.
5. Запись об инструктаже сотрудников: Кто получил применимые правила и как был ознакомлен с порядком сообщений и согласований.
6. Порядок реагирования и учебная отработка: Контакты, полномочия на остановку и заполненная запись об инциденте либо явно обозначенная учебная отработка.

Не отправляйте чувствительные промпты или клиентские данные только ради видимости полноты пакета. Подготовьте сводку в согласованных границах и предложите ограниченный доступ к подходящим подтверждающим записям.

Хороший ответ в анкете обозначает границы. Только если эти меры уже действуют, можно обоснованно написать:

Подготовка ответов поддержки с помощью ИИ включена в наш реестр использования ИИ. За процесс отвечает руководитель поддержки. Уполномоченные сотрудники проверяют ответы перед отправкой, интеграция не может оформлять возвраты денег, а инциденты обрабатываются в рамках действующего процесса безопасности. Мы можем предоставить соответствующую политику, оценку поставщика и запись о проверке с удалёнными закрытыми сведениями.

Если мера только запланирована, прямо укажите это, назовите ответственного и целевую дату. Если вы оценили лишь поддержку, не создавайте впечатления, что утверждение распространяется на продажи и разработку. Вместо общих заявлений вроде «весь ИИ соответствует требованиям» указывайте конкретную область и подтверждения, которые действительно можете предъявить.

Совету директоров сообщайте о решениях, а не об объёме документов: какие сценарии одобрены, какие могут выполнять действия во внешних системах, какие существенные сбои произошли, какие исключения остаются открытыми и что требует одобрения руководства. Берите количественные данные из собственного реестра; если он неполный, так и обозначьте.

Кому нужно действовать сейчас, а что может подождать?

Действуйте сейчас везде, где ИИ обрабатывает клиентские сведения, принимает обязательства или может изменять рабочую систему. Прежде чем расширять его полномочия, разберитесь с правами и ответственностью.

Основателям: Назначьте ответственного руководителя и перестаньте согласовывать использование ИИ только в неформальной переписке. В небольшой компании один человек может совмещать несколько ролей, но каждое решение всё равно нужно фиксировать.

Операционным руководителям: Отделите подготовку черновиков от действий со значимыми последствиями в продажах и поддержке. В условной компании из 400 человек руководитель, отвечающий за операционную деятельность, должен уметь назвать владельца каждого процесса, не восстанавливая цепочку пересланных сообщений.

Разработчикам: Проводите повторную оценку при подключении инструмента, изменении доступа к данным или развёртывании существенно иной конфигурации. Согласование генерации текстов не означает разрешения на запись в рабочие системы.

Покупателям: Запрашивайте подтверждения у поставщика до выдачи доступа к чувствительным данным. Рассматривайте ПО для управления ИИ, когда ручное ведение записей и согласований становится ненадёжным с учётом реально используемого набора систем. Выбрать решение поможет сравнение платформ управления ИИ-агентами.

Формальная сертификация и отдельная платформа управления могут подождать, если они не требуются, а с действующими мерами контроля вы пока справляетесь. Безобидный внутренний черновик не нуждается в такой же процедуре согласования, как агент, меняющий учётные записи. Действующие меры можно сохранять, пока цель, данные, права и риск не меняются, при условии планового пересмотра.

Обучение управлению ИИ должно соответствовать работе сотрудника

Учите людей принимать те решения, с которыми они сталкиваются в работе. Общая ознакомительная презентация не покажет сотруднику поддержки, как остановить небезопасную интеграцию.

Дайте отделу продаж черновик с неподтверждённым обещанием о продукте. Поддержке — ответ, в котором смешаны сведения разных клиентов. Разработчикам — правдоподобное изменение, ослабляющее проверку доступа. Попросите найти проблему, отклонить результат и сообщить о ней по правильному каналу.

Фиксируйте содержание инструктажа, участников и последующие действия. Повторяйте нужную часть при изменении процесса или когда инцидент выявляет пробел. Это практическая рекомендация по организации работы, а не утверждение, что каждая компания обязана купить определённый курс или пройти фиксированное число учебных часов.

Что в управлении ИИ переоценивают?

Самая дорогая ошибка — принять документ или инструмент управления за работающую меру контроля.

Политика сама по себе не ограничивает доступ. Если у помощника широкие права записи, фраза «запрашивайте согласование» их не отменит. Приведите технические разрешения в соответствие с правилом.

Проверка человеком сама по себе ничего не гарантирует. Ей нужны критерии, исходные материалы, полномочия и порядок действий на случай найденной проблемы. Отслеживайте пропущенные ошибки и исправляйте процесс.

Заверения поставщика не описывают ваш рабочий процесс. Проверьте, какой сервис и какую область они охватывают, затем оцените собственный доступ к данным, интеграцию и рабочие решения.

Сертификат не делает каждый ответ правильным. Используйте его как подтверждение в отношении оценённой системы менеджмента. Продолжайте проверять поведение, которое может затронуть клиентов.

Панель показателей не принимает решения. Кто-то по-прежнему должен принять риск, сузить область использования или остановить его. Если непонятно, кто это, ещё один уровень отчётности не устранит пробел.

Частые вопросы

Заменит ли ИИ управление данными?

ИИ может помогать с задачами управления, но за качество данных, доступ, допустимое использование и хранение по-прежнему кто-то должен отвечать. Сохраните эти меры контроля и добавьте правила того, как ИИ использует данные и действует на основе своих результатов.

Чем занимается GovAI?

GovAI — аналитический центр, который помогает принимающим решения представителям государства и бизнеса: исследует передовые системы ИИ и развивает специалистов по управлению ИИ через свои программы. Это самостоятельная организация, а не название корпоративного стандарта соответствия требованиям. Миссия GovAI.

В чём одна из главных трудностей управления ИИ?

В том, чтобы фактическое использование соответствовало согласованному. Система может получить новый источник данных или право выполнять действия, пока прежняя оценка всё ещё описывает её как помощника для подготовки черновиков. Сделайте такие изменения основанием для пересмотра.

Что такое управление безопасностью ИИ?

Это распределение ответственности и контроль решений о безопасности ИИ: работе с информацией, доступе, тестировании, развёртывании и реагировании на инциденты. Свяжите эту работу с действующим процессом безопасности и назначьте того, кто может отключить каждый процесс с ИИ.

Как выглядит управление ИИ на практике?

Помощник поддержки готовит ответы по одобренным документам, а назначенный сотрудник проверяет их перед отправкой. Помощник не может оформлять возвраты денег. Компания фиксирует оценку поставщика, проверяет, нет ли недопустимого доступа к данным, и даёт сотрудникам способ сообщать о сбоях.

Стоит ли строить карьеру в управлении ИИ?

Это направление стоит изучить, если вам нравится связывать техническое поведение систем с правилами, решениями о рисках и подтверждающими материалами. Оценивайте конкретные вакансии по обязанностям и требуемым навыкам: само название должности мало говорит о работе.

Сколько зарабатывают специалисты по управлению ИИ?

Единой полезной цифры для такого названия нет. Сравнивайте актуальные зарплатные диапазоны в вакансиях для одного региона, уровня и круга обязанностей, разделяя операционные риски, техническую оценку и исследования в сфере политики. Усреднённое число скрыло бы эти различия.

Какие 5 профессий сохранятся с развитием ИИ?

Нельзя гарантировать, что какой-либо фиксированный список из пяти профессий сохранится без изменений. Для карьеры в управлении ИИ развивайте навыки, нужные в разных ролях: разбор сбоев, проверку подтверждений, понимание прав доступа и объяснение решений людям, отвечающим за результат.

Как начать работать в управлении ИИ?

Начните с ограниченного рабочего процесса, который вам разрешено оценивать. Создайте запись в реестре, определите возможные сбои, предложите меры контроля и подготовьте подтверждения по итогам проверки или явно обозначенного учебного упражнения. Так вы покажете связь между политикой и её исполнением.

С чего начать в понедельник

Попросите продажи, поддержку и разработку подготовить сведения об используемом ИИ к короткой рабочей встрече. Назначьте ответственного руководителя, заполните реестр и выберите процесс с наиболее значимыми последствиями для клиентов или данных.

Проследите весь путь: от одобренных данных до результата, проверки и возможного действия. Уточните, кто вправе остановить процесс. Отработайте сбой, зафиксируйте пробелы и назначьте ответственного за каждое исправление. Используйте выводы в следующем ответе заказчику или отчёте совету директоров.

За практическими советами о работе с ИИ в бизнесе подпишитесь на рассылку.