Почти половина компаний — 48% — называют кибербезопасность одним из главных направлений инвестиций в ИИ, столько же планируют вкладываться в обучение сотрудников. Управление рисками ИИ перестаёт быть темой для презентации юристов: по мере перехода от пилотов к корпоративным системам оно становится условием, без которого внедрение просто не масштабируется.
О смене фазы корпоративного рынка ИИ сообщает Dark Reading со ссылкой на исследования CompTIA. Около шести из десяти организаций уже уходят от личных экспериментов сотрудников и точечных сценариев повышения продуктивности к внедрению ИИ в масштабах всей компании. На этом этапе главный вопрос звучит уже не «нужна ли нам нейросеть», а «кто отвечает за её решения, данные и последствия ошибок».
В свежем обзоре Practical Implications of AI Safety ассоциация CompTIA фиксирует довольно приземлённую картину. Самым серьёзным препятствием для внедрения ИИ компании считают поиск баланса между сотрудниками и ИИ-инструментами либо агентами. На втором месте — кибербезопасность. Это важный сдвиг: ещё недавно обсуждение корпоративного ИИ чаще сводилось к выбору модели, лицензий и скорости запуска пилота. Теперь в повестке доступы, утечки, контроль данных, соответствие требованиям и компетенции команд.
Почти единодушие в опросе выглядит красноречивее многих стратегий: 98% респондентов считают важным риск-менеджмент, 96% — защиту данных и приватность, 95% — управление ИИ. Такие цифры не означают, что у компаний уже есть зрелые процессы. Скорее они показывают, что бизнес понял цену отсутствия этих процессов — особенно когда генеративный ИИ получает доступ к внутренней документации, репозиториям, CRM или системам поддержки.
Для российских команд этот сигнал вполне прикладной. Если внутренний помощник ищет ответы по корпоративной базе знаний, вопрос не ограничивается настройкой RAG и выбором векторной базы. Нужно определить, какие документы он может индексировать, какие роли могут получать ответы, где хранятся логи, как удаляются данные и кто разбирает инцидент, если модель раскрыла лишнее. Агент, которому дали право создавать тикеты, менять записи в CRM или запускать код, требует ещё более строгой модели полномочий. ИИ не отменяет привычные принципы наименьших привилегий и разделения доступа — он делает ошибки в их реализации заметно дороже.
CompTIA предлагает не строить для ИИ отдельную бюрократическую вселенную. Первым приоритетом названа привязка стратегии ИИ к уже существующим практикам корпоративного управления, комплаенса и управления рисками. Логика здравая: если в компании есть процесс оценки поставщиков, классификация данных, модель согласования изменений и реагирование на инциденты, ИИ должен стать частью этих контуров, а не исключением «потому что пилот срочный».
Второй приоритет — устойчивая структура принятия решений. В ней должны участвовать не только IT и служба информационной безопасности, но и юристы, комплаенс, владельцы бизнес-процессов и кадровая функция. Иначе типичный проект разваливается на знакомые фрагменты: разработчики пытаются добиться качества ответов, безопасность запрещает передачу данных, юристы поздно находят договорные риски, а бизнес ждёт экономический эффект, который никто не определил в измеримых показателях.
Третий пункт — подготовка людей. Речь не только о промпт-инжиниринге, который легко превратить в очередной корпоративный курс с красивым сертификатом. Компании должны закрывать дефицит навыков в ИИ и кибербезопасности, а также усиливать базовую технологическую грамотность. Сотруднику недостаточно знать, как сформулировать запрос модели: он должен понимать, какие данные нельзя в него вставлять, почему уверенный ответ может быть неверным и когда решение необходимо передать человеку.
Вице-президент CompTIA по исследованиям Сет Робинсон называет безопасность, управление и развитие кадров конкурентными преимуществами, а не формальной обязанностью. В этом есть неприятная для любителей быстрых демо правда: одинаковая модель доступна многим, но способность безопасно встроить её в процесс — нет. Именно она определит, превратится ли ИИ в работающий инструмент или останется коллекцией впечатляющих, но изолированных пилотов.
Управление рисками ИИ в ближайшие месяцы будет всё меньше похоже на стоп-кран для инноваций и всё больше — на инженерную дисциплину. Победят не компании с самым длинным списком ИИ-сервисов, а те, кто сумеет заранее задать границы доступа, ответственность и критерии качества. Исходный исследовательский обзор CompTIA упоминается в материале ; главный вопрос теперь в том, успеют ли процессы управления догнать скорость, с которой ИИ получает новые права в корпоративных системах.