Политика использования ИИ для малого бизнеса: что в неё включить (Великобритания)

Клиент пишет жалобу на задержку доставки. Чтобы сэкономить время, кто-то из вашей команды копирует всю переписку — с именем клиента, адресом и историей заказов — в бесплатный чат-бот на своём телефоне и просит составить вежливый ответ. Ответ получается хорошим. Никто не говорил сотруднику, что так делать нельзя, и никто не знает, что это произошло.

Именно этот пробел закрывает политика использования ИИ для малого бизнеса. Она не обязана быть длинной. Полезная политика допустимого использования ИИ помещается на одну-две страницы и отвечает сотрудникам на шесть вопросов: какие ИИ-инструменты одобрены, какую информацию в них можно вводить, когда человек обязан проверить результат, какие способы использования запрещены или требуют согласования, как одобряется новый инструмент и кому сообщать, если что-то пошло не так. В этом руководстве объясняется, что написать в каждой части, каким британским правилам она должна соответствовать и сколько стоит её поддерживать. Это общая информация, а не юридическая консультация.

Зачем малому бизнесу политика по ИИ уже сейчас

ИИ давно используют не только крупные компании. Согласно опросу ONS Business Insights and Conditions Survey, опубликованному 8 октября 2026 г., 30% британских компаний сообщили, что в сентябре 2026 г. использовали хотя бы один вид ИИ-технологий; когда вопрос впервые задали в сентябре 2023 г., таких было 9%. Среди компаний, где работает меньше 10 человек, показатель составил 29%.

Использование часто опережает правила. Согласно отчёту Pax8 SMB AI Pulse за третий квартал 2026 г., 24% британских компаний, работающих с ИИ, сообщили, что за последние шесть месяцев обнаружили «теневой ИИ» (shadow AI), то есть ИИ-инструменты, автоматизации или агентов, работающих без официального одобрения. Ещё 13% в Великобритании не знали, есть ли у них такое. По всем четырём странам опроса у 40% компаний есть письменная политика использования ИИ сотрудниками, а у 35% — неформальные правила. Считайте эти цифры ориентиром, а не точным измерением: Pax8 управляет маркетплейсом ИИ- и облачных решений — он объединяет IT-провайдеров и технологические компании, продающие решения малому бизнесу, а британская выборка составила 350 компаний с численностью от 5 до 499 сотрудников.

Закон не требует документа с надписью «политика по ИИ» на обложке. Управление комиссара по информации (ICO) в материалах сессии о внедрении политики по ИИ указывает, что законодательство о защите данных «не требует» таких политик, но политика по ИИ может помочь продемонстрировать соблюдение требований, выявить риски для оценки воздействия на защиту данных и снизить часть рисков безопасности.

Запретить, разрешить или одобрять: выберите исходную позицию

Первое решение определяет всё остальное. Полный запрет выглядит безопасным, но Стивен Алмонд из ICO предупредил в посте в LinkedIn-аккаунте ICO (март 2025 г.) о том, что полный запрет генеративного ИИ на работе «вряд ли будет эффективен сам по себе» и «рискует увести использование ИИ сотрудниками в тень». Начать он предлагает с того, чтобы понять, какие ИИ-инструменты могут понадобиться сотрудникам и как предоставить их, соблюдая обязательства по защите данных. Если риски перевешивают пользу, он советует подкреплять ограничения обучением и сдерживающими мерами, а не полагаться только на запрет.

Для большинства малых компаний это означает средний путь: одобрить короткий список инструментов для конкретных задач, заблокировать остальные или не рекомендовать их и дать сотрудникам быстрый способ попросить что-то новое. Более строгая позиция имеет смысл, если команда регулярно работает с медицинскими данными, деньгами клиентов, юридическими делами или другой чувствительной информацией либо если договор с клиентом уже ограничивает, куда могут попадать его данные. Проверьте такие договоры, прежде чем что-то писать.

Что включить в политику допустимого использования ИИ

Хороший образец — опубликованная самим ICO внутренняя политика использования ИИ (версия 1.3): она написана для регулятора, но собрана из частей, которые любой бизнес может упростить под себя. В таблице ниже — разделы, которые нужны малому бизнесу.

Правила для данных: раздел, который делает основную работу

В блоге 2023 г. Национальный центр кибербезопасности (NCSC) рекомендовал не включать чувствительную информацию в запросы к публичным большим языковым моделям и не отправлять запросы, «которые создали бы проблемы, если бы стали публичными». Центр указал, что запросы видны поставщику, а сохранённые запросы могут быть взломаны, утечь или случайно стать общедоступными. В слайдах ICO добавлено, что информация, переданная чат-ботам, «может быть доступна организации, которая их разработала, и использоваться ею».

Поэтому раздел о данных должен быть конкретным. Назовите категории, которые есть именно у вас: контакты клиентов, зарплатные данные, сведения о здоровье, файлы клиентов, непубличные цены и договоры, пароли и ключи доступа. Для каждой категории укажите: нельзя никогда, можно только в одобренном рабочем инструменте или можно. Списку примеров сотрудникам проще следовать, чем формулировке «чувствительные данные».

Проверка человеком и точность

В слайдах ICO названы два риска, против которых работает правило проверки: «галлюцинации», когда ИИ генерирует фактически неверный контент, который может быть «подан правдоподобно», и «предвзятость автоматизации» (automation bias), когда люди перестают сомневаться в результатах системы. Внутренняя политика ICO требует, чтобы результаты ИИ проверял человек, если только орган, утверждающий использование ИИ, не согласовал иное, например когда влияние невелико. Малый бизнес может перенять эту логику: всё, что уходит клиенту, в договор, на ваш сайт или в решение о человеке, сначала проверяет назначенный сотрудник.

Способы использования, которые запрещены или требуют согласования

Внутренняя политика ICO здесь — полезный чек-лист. В ней сказано, что консультации, которые обычно дают лицензированные специалисты, например бухгалтеры или юристы, должны давать эти специалисты, а не ИИ, хотя ИИ может им помогать, если работа проверена. Полностью автоматизированные решения допускаются только там, где нет юридических или сопоставимо значимых последствий для человека. Это строже, чем требует закон сейчас (см. пункт об автоматизированных решениях ниже), но для малого бизнеса это разумное правило по умолчанию. Также политика просит сотрудников перед публикацией проверять сгенерированный ИИ контент на нарушение чужой интеллектуальной собственности и помечать контент, полностью или в основном созданный ИИ, например изображение или видео человека.

Британские правила, которым должна соответствовать политика

Политика по ИИ надстраивается над действующим законодательством и не заменяет его. Главное для небольшой британской компании:

• UK GDPR распространяется на персональные данные в ИИ-инструментах. Если сотрудники вводят персональные данные в ИИ-инструмент, вам нужно законное основание и соблюдение принципов, например минимизации данных. Когда поставщик ИИ обрабатывает данные по вашему поручению, роли контролёра и обработчика, по словам ICO, «должны быть чётко зафиксированы в договоре» вместе с письменными инструкциями по обработке — так регулятор писал в своих вопросах для рекрутеров, покупающих ИИ-инструменты.
• Для некоторых способов использования ИИ нужна оценка воздействия на защиту данных (DPIA). В руководстве ICO по DPIA инновационные технологии, «включая ИИ», названы основанием для DPIA в сочетании с другими критериями высокого риска; также там перечислены решения о доступе к продукту, услуге или возможности, хотя бы частично основанные на автоматизированном принятии решений. При сомнениях ICO рекомендует провести оценку. ICO отмечает, что это руководство пересматривается после принятия Data (Use and Access) Act.
• Для автоматизированных решений о людях действуют особые гарантии. Раздел 80 закона Data (Use and Access) Act 2025 заменил статью 22 UK GDPR новыми статьями 22A–22D. Согласно им, значимое решение, основанное исключительно на автоматизированной обработке, то есть без содержательного участия человека, требует гарантий: человек должен иметь возможность получить информацию о решении, высказать свою позицию, добиться вмешательства человека и оспорить решение. Более строгие ограничения действуют, если используются данные особых категорий, например сведения о здоровье. Эти положения вступили в силу 5 февраля 2026 г. согласно SI 2026/82; в заявлении ICO о вступлении закона в силу подтверждается, что в тот день вступило в силу большинство оставшихся положений о защите данных.
• Найм с помощью ИИ затрагивает антидискриминационное законодательство. В Англии, Шотландии и Уэльсе это Закон о равенстве 2010 года (Equality Act 2010); в Северной Ирландии действуют свои законы о равенстве. В правительственном руководстве по ответственному использованию ИИ при найме говорится, что «крайне важно», чтобы закупаемая система соответствовала Закону о равенстве 2010 года, и напоминается о юридической обязанности по разделу 20 обеспечивать разумные приспособления для кандидатов с инвалидностью. Аудиты ICO в сфере найма выявили инструменты, которые позволяли рекрутерам отсеивать кандидатов по защищённым признакам.
• Проверка того, как сотрудники используют ИИ, — это мониторинг работников. Если в политике сказано, что вы будете фиксировать или проверять использование ИИ сотрудниками, учитывайте руководство ICO по мониторингу работников — оно применяется в этом случае. ICO отмечает, что и это руководство пересматривается после принятия Data (Use and Access) Act.

Если ваш бизнес обслуживает клиентов из ЕС или работает в регулируемой отрасли, могут действовать и другие правила. Это вопрос к вашему консультанту или отраслевой организации.

Теневой ИИ: что делать, если вы его обнаружили

Скорее всего, когда вы начнёте, окажется, что ИИ-инструментами уже пользуются. Воспринимайте это как полезную информацию, а не как нарушение. Обычно сотрудники берут инструмент, потому что он решает реальную задачу, и предупреждение ICO о том, что запреты уводят использование «в тень», относится и к этому случаю.

Справедливый подход состоит из трёх шагов. Без поиска виноватых спросите всех, какими ИИ-инструментами и функциями они пользуются и для чего. По каждому решите: одобрить с условиями, перенести работу в одобренный бизнес-аккаунт или прекратить. Затем внесите результат в список одобренных инструментов — во внутренней политике ICO он называется «реестром ИИ» (AI inventory). Решение зависит от того, с какими данными работал инструмент, личный это аккаунт или рабочий и можно ли отключить настройки, позволяющие поставщику использовать ваши данные. Если персональные данные попали туда, куда не должны были, получите консультацию о том, не является ли это утечкой персональных данных. Если это утечка, о которой нужно сообщать, то руководство ICO по утечкам данных требует сообщить о ней в ICO в течение 72 часов после того, как вы о ней узнали, если это возможно.

Разбор примера (гипотетический)

Этот пример придуман, чтобы показать решения и затраты. Цифры — допущения, а не коммерческие предложения или отраслевые ориентиры.

Компания: агентство по аренде жилья в Англии, 12 человек. Опрос сотрудников показывает: трое пишут письма арендаторам с помощью бесплатных чат-ботов в личных аккаунтах, один агент пользуется ИИ-приложением для заметок на просмотрах, а бухгалтер тестирует ИИ-функцию в бухгалтерской программе.

Решения:

• Письма арендаторам переносятся в один одобренный рабочий ИИ-инструмент. Имена, адреса и банковские реквизиты арендаторов, а также любые сведения о здоровье или инвалидности туда не вводятся, если владелец не одобрил конкретный сценарий.
• Приложение для заметок о встречах больше не используется на просмотрах, где арендаторы и арендодатели не знают о записи, пока агентство не решит, нужна ли DPIA и как информировать людей.
• ИИ-функция в бухгалтерской программе одобрена для категоризации операций, а бухгалтер проверяет каждую запись до закрытия месяца.
• Отбор арендаторов с помощью ИИ отнесён к использованию с согласованием: ни один инструмент не может отклонить заявителя, если решение не проверил человек.

Условные затраты за первый год:

Две статьи затрат намеренно не включены в таблицу, потому что они слишком сильно различаются: юридическая консультация по DPIA и время на проверку результатов ИИ. Второе — немалая величина. В опросе Pax8 44% британских респондентов сообщили, что тратят три часа в неделю и больше на проверку, редактирование или фактчекинг созданных ИИ материалов. Тот же опрос показал, что 39% британских компаний, плативших за ИИ, хотя бы раз получали счёт или плату за использование выше ожидаемой, поэтому в политике стоит также указать, кто может подключать платные ИИ-тарифы.

Как выглядит результат через шесть месяцев

Работает ли политика, можно понять и без аудита. Признаки того, что работает:

• Любой в команде может назвать одобренные инструменты и сказать, что в них вводить нельзя.
• Список одобренных инструментов совпадает с тем, чем люди реально пользуются, включая ИИ-функции в уже используемых программах.
• Персональные данные клиентов и сотрудников больше не обрабатываются в личных ИИ-аккаунтах.
• Сотрудники спрашивают, прежде чем попробовать новый инструмент, и получают ответ за дни, а не за недели.
• О проблемах сообщают и их фиксируют, даже о мелких, а политику пересмотрели в установленный срок.

Если сотрудники по-прежнему тайком пользуются неодобренными инструментами, политика, скорее всего, слишком строгая или одобренные инструменты не справляются с задачами. Устраните причину, а не добавляйте новые правила.

С чего начать

Начните с вопросов, которые требуют вашего решения, а не шаблона: за какие инструменты вы будете платить, какие данные никогда не покидают ваши системы, какие решения всегда принимает человек и кто отвечает за политику. Короткая политика, которая соответствует тому, как на самом деле работает ваша команда, даст больше, чем длинная, скопированная откуда-то.

Если вам нужна помощь, чтобы превратить эти решения в одобренные инструменты, настройки и политику, которой команда действительно будет следовать, Evoogen может разобрать, как ваша команда использует ИИ сейчас, и настроить всё вместе с вами. Узнайте, как Evoogen работает с малым бизнесом.