Caseproof Практика бизнеса

Нейросети в работе Инструкция

Политика хранения данных в ИИ-сервисе: что проверить и записать

Шаблон политики для рабочих ИИ-сервисов: категории данных, цели, сроки, удаление, резервные копии, журналы, подрядчики, доступы и порядок проверки фактического исполнения.

Редакционный профиль раздела «Искусственный интеллект»

Политика хранения данных отвечает на практический вопрос: где остаётся каждый фрагмент после использования ИИ-сервиса и когда он перестаёт существовать во всех управляемых копиях. Одной настройки «не использовать для обучения» недостаточно. Запрос может не участвовать в улучшении модели, но сохраняться в истории, журналах безопасности, резервных копиях, интеграционной очереди и локальной выгрузке сотрудника.

Документ нужен до подключения рабочих данных. Он не должен пересказывать рекламные обещания поставщика. Его задача — связать внутренние категории сведений, конкретный сценарий, технические настройки и официальные условия выбранного тарифа. Для обязательных правовых требований привлеките специалиста по вашей юрисдикции и отрасли: универсальная статья не определяет законное основание и сроки за конкретную организацию.

Опишите контур, а не только чат#

Нарисуйте путь данных от источника до удаления. В простом сценарии участвуют: устройство сотрудника, браузер, ИИ-сервис, модель поставщика, журнал администратора и экспорт результата. В интеграции добавятся CRM, промежуточный сервер, очередь, хранилище файлов, система наблюдения и подрядчики каждого звена.

Для каждого узла заполните карточку:

  • какие поля поступают;
  • зачем они нужны;
  • кто имеет доступ;
  • где физически или логически хранятся;
  • создаются ли производные данные;
  • срок активного хранения;
  • срок в резервных копиях;
  • способ удаления;
  • как подтверждается удаление;
  • кто отвечает за настройку.

Если часть цепочки неизвестна, это не повод написать «по политике поставщика». Найдите официальный документ или запросите разъяснение. Неизвестное отмечается как открытый риск и не допускается к чувствительному сценарию до решения.

Разделите виды данных#

Запрос и ответ — только видимая часть. Полный реестр обычно включает:

ВидПримерыОсобенность хранения
вход пользователятекст, файл, изображение, аудиоможет содержать больше сведений, чем нужно задаче
ответ моделитекст, сводка, извлечённые поляспособен повторять фрагменты входа
история диалогацепочка запросов и контекстнакапливает сведения из разных задач
база знанийдокументы и индексытребует версий и отзыва устаревшего
журналывремя, аккаунт, технические событиясрок может отличаться от истории чата
обратная связьоценки, исправления, жалобыиногда используется отдельным процессом улучшения
резервные копииснимки систем и файловудаление часто отложено до ротации
экспорттаблицы, отчёты, архивывыходит из контроля исходного сервиса
кэш и очередьвременные копии интеграциилегко забываются в архитектурной схеме

Отдельно учитывайте производные представления: фрагменты документов, поисковые индексы, векторные представления, сводки и извлечённые атрибуты. Удаление исходного файла не обязательно автоматически отзывает каждую производную копию. Это поведение нужно проверить и протестировать.

Классифицируйте сведения по внутренним правилам#

Используйте уже принятую классификацию компании. Если её нет, создайте минимальные зоны: публичные, внутренние, конфиденциальные и запрещённые для внешнего ИИ-контура. Перечень категорий должен быть конкретным: не «важная информация», а клиентские контакты, реквизиты, пароли, условия конкретного договора, внутренние цены, медицинские или иные специальные сведения, если они встречаются в вашем процессе.

Для каждой категории решите:

  1. разрешена ли она в выбранном сервисе;
  2. требуется ли обезличивание;
  3. может ли сохраняться история;
  4. кто согласует исключение;
  5. какой максимальный срок допустим;
  6. можно ли выгружать результат;
  7. что происходит при ошибочной загрузке.

Базовый регламент допустимых данных разобран в материале что нельзя отправлять в нейросеть. Политика хранения решает соседнюю задачу: что происходит с разрешённым материалом после передачи.

Свяжите срок с целью#

Фраза «храним столько, сколько необходимо» не помогает администратору настроить систему. Для каждой категории и копии нужна либо конкретная длительность, либо проверяемое событие: до завершения задачи, до закрытия проекта, до отзыва документа, до окончания установленного периода резервного хранения.

Матрица срока:

ДанныеЦельАктивный срокРезервный срокВладелец удаленияПодтверждение
история рабочих чатовпродолжение задачизначение по внутреннему решениюотдельное значениеадминистраторотчёт или тестовый запрос
загруженные файлыобработка документадо результата или проектапо циклу резервоввладелец проектафайл и производные не находятся
база знанийответы по правилампока версия действуетархив по регламентувладелец знаниястарая версия исключена из выдачи
технический журналбезопасность и разбор сбоевутверждённый периодесли резервируетсяИТзапись недоступна после срока

Не копируйте числа из чужого шаблона. Срок зависит от цели, договоров, отраслевых и правовых требований, возможностей системы. Задача политики — зафиксировать обоснованное внутреннее решение и реализовать его технически.

Минимизация важнее точной длительности. Если задача решается без сохранения истории или без полного документа, не храните их. Отправляйте только нужный фрагмент, выключайте ненужную историю, разделяйте проекты и удаляйте временные выгрузки.

Проверьте официальные условия поставщика#

На дату 14 августа 2026 года сохраните ссылки или копии официальных документов именно по используемому продукту и тарифу. Условия личного чата, корпоративного рабочего пространства и программного интерфейса могут различаться. Проверяйте не общий бренд, а фактический маршрут данных.

Вопросник поставщику:

  • используются ли входы, ответы и обратная связь для обучения или улучшения;
  • какие настройки меняют это поведение и кто может их включить;
  • сколько хранится видимая история;
  • есть ли отдельный обязательный срок технического или защитного хранения;
  • как работает временный режим;
  • что происходит после удаления пользователем и администратором;
  • когда исчезают резервные копии;
  • как удалить аккаунт, проект и загруженную базу;
  • удаляются ли индексы и другие производные данные;
  • какие подрядчики участвуют и для каких функций;
  • где доступны журналы администратора;
  • как сообщают об инцидентах и изменениях условий;
  • можно ли экспортировать данные до прекращения договора.

Ответы переносите в реестр с цитатой положения, адресом и датой проверки. Обзор или ответ продавца в переписке может помочь найти документ, но для изменяемой характеристики опирайтесь на официальное условие или согласованное приложение к договору.

Управляйте доступом и историей#

Рабочие задачи ведутся в корпоративных учётных записях. Назначьте роли администратора, владельца проекта, пользователя и проверяющего. Увольнение или перевод сотрудника должны приводить к отзыву доступа без сохранения рабочей истории в личном аккаунте.

Настройте:

  • единый вход и многофакторную защиту, если они доступны и требуются;
  • минимальные роли;
  • запрет публичных ссылок по умолчанию;
  • отдельные проекты для разных команд и уровней сведений;
  • журнал административных изменений;
  • периодический пересмотр участников;
  • ограничение интеграционных ключей;
  • ротацию и отзыв ключей;
  • удаление временных файлов на устройствах.

История чата удобна, но объединяет контекст. Пользователь может продолжить старый разговор новыми данными и невольно смешать проекты. Укажите, когда создаётся новый диалог, когда история очищается и можно ли копировать результат в другие системы.

Опишите удаление как процедуру#

«Удалить данные» — не одно действие. В процедуру входят: закрыть доступ, удалить видимый объект, отозвать его из поиска и базы знаний, очистить интеграционные копии, дождаться ротации резервов, проверить экспорт и сохранить допустимое подтверждение операции.

Сценарии удаления:

  1. штатное окончание срока;
  2. отзыв ошибочного документа;
  3. удаление проекта;
  4. увольнение сотрудника;
  5. ошибочная загрузка запрещённых сведений;
  6. прекращение договора с поставщиком;
  7. запрос, который организация обязана обработать по применимым правилам.

Назначьте исполнителя и резервного исполнителя. Для срочного инцидента установите канал сообщения и запрет на наказание за добросовестное уведомление: скрытая ошибка опаснее самой ошибки. Не обещайте немедленное уничтожение резервов, если архитектура этого не позволяет; точно опишите изоляцию и срок ротации.

Проверьте фактическое исполнение#

Политика не считается внедрённой после подписи. Раз в установленный период выполняйте контрольный тест. Создайте тестовый документ с уникальной меткой, загрузите разрешённым способом, найдите его через все интерфейсы, затем запустите удаление. После заявленного этапа проверьте историю, поиск, базу, экспорт и интеграционные журналы.

Аудит включает:

  • совпадают ли настройки с документом;
  • не появились ли новые интеграции и расширения;
  • действуют ли сроки автоматического удаления;
  • есть ли просроченные проекты и аккаунты;
  • исключаются ли отозванные документы из ответов;
  • обновились ли условия поставщика;
  • способны ли сотрудники описать порядок ошибки;
  • выполнялся ли тест восстановления и удаления.

Любое существенное изменение сервиса запускает внеплановую проверку: новый тариф, функция памяти, подключение диска, смена подрядчиков, новая база знаний или другой регион обработки. Дата «обновлено» без содержательной сверки не считается проверкой.

Каркас внутренней политики#

Итоговый документ может состоять из десяти разделов:

  1. цель и область применения;
  2. разрешённые сервисы и сценарии;
  3. категории данных и запреты;
  4. карта потоков и подрядчиков;
  5. сроки по видам копий;
  6. доступы и журналирование;
  7. удаление и прекращение договора;
  8. действия при ошибке или инциденте;
  9. обучение сотрудников;
  10. периодичность проверки и владелец.

Приложите реестр официальных условий с датой 14 августа 2026 года, матрицу сроков, перечень администраторов и форму проверки удаления. Секрет документа не в объёме, а в связи каждой строки с настройкой и ответственным.

Главный критерий готовности звучит так: для любого рабочего запроса команда может показать все места, где он сохраняется, основание и срок каждой копии, способ удаления и человека, который это проверяет. Если хотя бы одно звено описано словом «обычно», контур ещё не управляется и чувствительные данные в него передавать рано.

Роли и журнал решений#

У политики должен быть владелец, но решения распределены. Владелец процесса определяет необходимость данных, специалист по данным и праву — допустимые условия в применимом контексте, ИТ реализует настройки и удаление, безопасность проверяет доступы и инциденты, закупки сохраняют договорные подтверждения, пользователи соблюдают разрешённый сценарий.

Создайте журнал исключений. В нём указывают категорию данных, цель, сервис и тариф, запрошенное отклонение, обоснование, компенсирующие меры, согласующих, срок действия и дату пересмотра. Бессрочное устное исключение разрушает политику быстрее, чем отсутствие документа.

Журнал изменений поставщика храните отдельно: дата обнаружения, ссылка на официальный документ, что изменилось, какие сценарии затронуты, решение и ответственный. Если публичные условия и договорное приложение расходятся, ситуацию разрешают до продолжения передачи соответствующих данных.

Прекращение использования сервиса#

План выхода составляют при подключении. Сначала инвентаризируйте проекты, базы, аккаунты, ключи, интеграции и выгрузки. Экспортируйте только то, что действительно нужно сохранить и разрешено перенести. Затем остановите новые записи, отзовите ключи, удалите рабочие объекты, проверьте производные индексы и получите предусмотренное подтверждение.

Отдельно контролируйте локальные копии: файлы в загрузках, таблицы администраторов, резервные выгрузки проекта. Удаление облачного рабочего пространства не затрагивает их. Обновите реестр разрешённых сервисов и инструкции сотрудников, чтобы старый контур не продолжил жить через личные аккаунты.

После заявленного срока повторите поиск тестовой метки и проверку административных интерфейсов. Если поставщик хранит изолированные резервные копии до ротации, зафиксируйте дату окончания этого периода и ограничения доступа. Закрытие считается завершённым после прохождения всего чек-листа, а не после нажатия кнопки удаления аккаунта.

Что читать дальше#

Темы хранение данных ИИ-сервис безопасность политика данных

Читать ещё

  1. Нейросети в работе

    Пилот ИИ за четыре недели: план, метрики и решение

  2. Нейросети в работе

    ИИ-поиск по сайту: как запустить ответы без выдумок

  3. Нейросети в работе

    Сколько стоит внедрение и работа ИИ: полная модель затрат

  4. Нейросети в работе

    Как внедрить ИИ в службу поддержки без потери обращений