Зрелость в области ИИ в среднем бизнесе: риск не в самом ИИ, а в отсутствии правил

На mvworks Barcamp „KI & Arbeit“ 7 июля 2026 года в Planet IC в Шверине прозвучала фраза, которая запоминается: настоящий риск заключается не в самом ИИ, а в отсутствии чётких правил в компании. Александр Балов, руководитель агентства Mandarin, точно сформулировал то, что мы в NordFlux видим почти на каждой первой консультации. Тормозят проекты по внедрению ИИ не технологии, а открытый вопрос: кто в компании вообще определил, какие данные можно передавать в ИИ-инструмент, а какие нет.

Именно в этом суть зрелости в области ИИ: важна не самая быстрая модель, а то, готова ли ваша компания использовать ИИ под контролем. В этой статье мы рассмотрим четыре пункта, которые должна проверить каждая компания, прежде чем первый ИИ-агент начнёт работать в реальных процессах.

Почему проекты по внедрению ИИ проваливаются не из-за технологий, а из-за отсутствия правил

Спрос есть, порядка не хватает. Согласно исследованию Bitkom «Искусственный интеллект в Германии» за 2025 год, ИИ используют 36 процентов компаний, почти вдвое больше, чем годом ранее, когда было 20 процентов. Главным препятствием 53 процента опрошенных называют правовую неопределённость и нехватку профильных знаний, что стоит даже выше нехватки кадровых ресурсов (источник: Bitkom, исследование об ИИ 2025). Закономерность очевидна: ограничивающим фактором является не сам инструмент, а неуверенность в том, по каким правилам его можно применять.

ИИ-инструмент сам по себе нейтрален. Насколько безопасно его использование, зависит от того, какие данные вы в него вводите и кто отвечает за результат. Тот, кто заранее проясняет эти правила, впоследствии избегает дорогостоящих исправлений и неприятных утечек данных. Четыре пункта ниже составляют основу готовности компании к внедрению ИИ.

Пункт 1: какие персональные данные можно передавать в ИИ-инструмент

Персональные данные не должны без проверки попадать в общедоступный ИИ-инструмент. Тот, кто копирует имена, адреса, резюме или сведения о здоровье в свободно доступный чат-бот, теряет контроль над этими данными, часто в пользу поставщика за пределами ЕС. Поэтому первое правило простое: для персональных данных нужен либо инструмент с договором об обработке данных и обработкой в ЕС, либо минимизация данных, при которой персональная привязка удаляется до передачи. Во многих случаях модель справляется с задачей и на основе обезличенного фрагмента.

Пункт 2: как защитить конфиденциальные данные компании

Защиты заслуживают не только персональные данные, но и коммерческая тайна компании. Рецептуры, расчёты, списки клиентов и стратегические документы составляют ценность вашей компании, и им не место в общедоступном ИИ-сервисе, который может использовать введённые данные для обучения модели. Правило простое: определите, какие категории данных остаются внутри компании, а какие может видеть ИИ-инструмент. Для чувствительных областей существуют модели, работающие в европейских дата-центрах или полностью в инфраструктуре компании, так что данные её не покидают.

Пункт 3: кто контролирует результаты работы ИИ

ИИ может звучать убедительно и при этом ошибаться. Языковые модели придумывают факты, так называемые галлюцинации, и делают это с той же уверенностью, что и при верных ответах. Поэтому каждый результат работы ИИ, который влияет на решение или уходит вовне компании, нуждается в проверке человеком. Правило не в том, чтобы не доверять ИИ, а в том, чтобы встроить постоянную контрольную точку: кто утверждает текст перед отправкой клиенту или включением ИИ-анализа в отчёт? Цифровой сотрудник берёт на себя рутину, а решение остаётся за человеком.

Пункт 4: кто несёт ответственность? Управление и распределение полномочий

Первые три пункта работают только тогда, когда за них кто-то отвечает. Без назначенной ответственности любое правило действует для всех и потому ни для кого. Управление здесь не означает бюрократию: достаточно краткого внутреннего регламента о том, какие инструменты разрешены, какие данные можно в них вносить и кто принимает решение в спорных случаях. Часто хватает половины страницы. Важно, чтобы за это отвечал конкретный человек или роль, чтобы новые ИИ-приложения проверялись по единым правилам, а не так, что каждый отдел тихо использует свой собственный инструмент.

Как это связано с GDPR и EU AI Act?

Эти четыре пункта относятся к организационной стороне вопроса. Помимо неё есть и правовая сторона. EU AI Act действует с 2 февраля 2025 года, когда вступили в силу первые запреты, а с 2 августа 2025 года нарушения этих запретов караются штрафами до 35 миллионов евро или 7 процентов мирового годового оборота компании (источник: Европейская комиссия об AI Act). Для большинства автоматизаций в среднем бизнесе ситуация остаётся спокойной, подробнее об этом мы рассказываем в статье EU AI Act: касается ли это моей компании? Как внедрить ИИ в соответствии с GDPR, чтобы ваши данные оставались в Германии, читайте в статье GDPR-совместимый ИИ.

Готовность к ИИ: ориентир перед запуском первого ИИ-агента

Хорошая новость: эти четыре пункта можно прояснить за один день. Именно в этом суть нашей консультации по ИИ. В рамках сессии по оценке готовности к ИИ мы разбираем ваши планируемые ИИ-сценарии, распределяем данные по категориям и фиксируем, кто и что решает. В результате получается краткий, практичный регламент вместо свода правил, который никто не читает. Так готовность к ИИ создаёт ориентир перед тем, как первый ИИ-агент начнёт работать в реальных процессах, а автоматизация берёт на себя рутину, пока решения остаются за вашими сотрудниками.

Часто задаваемые вопросы

Что такое ИИ-зрелость компании?

ИИ-зрелость показывает, насколько хорошо компания готова к контролируемому использованию ИИ. Она измеряет не уровень технологий, а наличие чётких правил: какие данные можно передавать в ИИ-инструмент, как проверяются результаты и кто несёт ответственность.

Какие данные нельзя передавать в ИИ-инструмент?

Персональные данные и конфиденциальные данные компании, такие как рецептуры, списки клиентов или стратегические документы, не должны без проверки попадать в общедоступный ИИ-инструмент. Нужен либо инструмент с обработкой данных в ЕС и договором об обработке данных, либо анонимизация данных перед передачей.

Нужно ли всегда проверять результаты работы ИИ?

Проверять стоит те результаты, которые влияют на решение или уходят вовне компании. Языковые модели могут придумывать факты. Обычно достаточно одной постоянной точки проверки перед использованием, без необходимости дублировать каждый шаг.

С чего начать подготовку компании к внедрению ИИ?

С краткой инвентаризации: где ИИ уже используется или планируется к использованию, какие данные при этом задействованы и кто принимает решения? Этот обзор становится основой для краткого внутреннего регламента и показывает, где действительно нужны изменения, а где нет.