Определите применимые требования

Вместе с юридической службой и подразделением информационной безопасности зафиксируйте назначение системы, категории данных, владельцев, пользователей, интеграции и принадлежность процессов к регулируемым объектам. Федеральный закон № 187-ФЗ и изменения в закон о персональных данных действуют при разных условиях, как и требования к государственным информационным системам и отраслевому регулированию.

Размещение на собственном сервере может быть частью выбранной архитектуры, но само по себе не подтверждает выполнение организационных и технических требований.

Свяжите проект со стратегией и ответственностью

Обновлённая Национальная стратегия развития искусственного интеллекта поручала государственным корпорациям и акционерным обществам с государственным участием предусматривать меры по развитию ИИ в своих стратегиях. Для отдельного проекта это означает ясную цель, владельца результата и порядок управления рисками, а не обязанность внедрять агента во все процессы.

Назначьте владельца процесса, данных, модели и эксплуатации. Отдельно определите, кто разрешает новые источники и действия агента, принимает качество и останавливает систему.

Выберите безопасный первый процесс

Не начинайте с необратимых действий, критичного управления или решения, влияющего на права человека. Пилот должен доказать качество и управляемость на ограниченном наборе данных.

  • Поиск по утверждённым документам с указанием источника.
  • Подготовка черновика без автоматической отправки.
  • Классификация обращений с ручным подтверждением.
  • Сводка неслужебной информации без принятия решений о человеке.

Подготовьте доказательства к приёмке

Перед запуском нужны описание границ, модель угроз в применимом объёме, перечень компонентов и лицензий, матрица доступа, набор испытаний, журнал изменений, порядок обновления, резервирования, удаления и реагирования на инциденты.

Эта статья — инженерная карта вопросов, а не юридическое заключение. Точный набор обязательных мер определяется после классификации конкретной системы по действующим редакциям актов и внутренним документам организации.

Частые вопросы

Обязан ли ИИ-агент в госкомпании всегда работать без интернета?

Единого правила для любого проекта нет. Архитектуру выбирают после классификации данных, системы и угроз; для отдельных контуров внешние соединения могут быть запрещены или строго контролироваться.

Любая ли госкомпания является субъектом КИИ?

Нет, применимость Федерального закона № 187-ФЗ определяется сферой деятельности, объектами и их категорированием. Это устанавливают специалисты организации для конкретного случая.