ШІ-сервіс сприймається як зручний співрозмовник: завантажили контракт, попросили знайти слабкі місця, додали листування з партнером, уточнили стратегію переговорів. Через кілька хвилин є структурована відповідь. Разом із нею з’являється питання, яке бізнес часто ставить занадто пізно: куди потрапили вихідні дані й хто контролює їх подальше використання?
Сам факт використання штучного інтелекту не означає автоматичного розголошення. Але передавання матеріалів зовнішньому сервісу виводить їх за межі власної інформаційної системи. Споживчий акаунт, корпоративний продукт і API можуть мати різні умови обробки, строки зберігання, налаштування використання даних і можливості адміністрування.
Два режими, які не можна змішувати
Комерційна таємниця захищається не назвою документа, а реальним режимом доступу. Якщо компанія передає ціни, клієнтські бази, непублічні фінансові показники чи технічні рішення зовнішньому постачальнику без визначених умов, довести належний контроль стає складніше.
Адвокатська таємниця має окремий правовий режим. Технологічний сервіс не стає частиною захищеної комунікації клієнта з адвокатом автоматично. Передавання повного досьє, доказів або правової стратегії потребує оцінки необхідності, повноважень, конфіденційності та ризику доступу третіх осіб.
Мінімізація до завантаження
Для аналізу структури договору часто не потрібні назви сторін, рахунки, підписи та реальні суми. Для моделювання аргументу не обов’язково передавати весь масив доказів. Варто залишати лише ті дані, без яких завдання не може бути виконане, а ідентифікатори — вилучати або замінювати.
Знеособлення не вирішує кожної проблеми: контекст іноді дозволяє повторно ідентифікувати особу або компанію. Тому мінімізація має поєднуватися з контролем доступу і вибором належного продукту.
Договірний контур постачальника
До використання сервісу потрібно перевірити умови конкретного продукту: чи використовуються введені дані для вдосконалення моделей, як довго вони зберігаються, хто є субпідрядниками, де відбувається обробка, як працюють видалення, керування доступами, журналювання та повідомлення про інциденти.
Для регулярної роботи з конфіденційними матеріалами одного налаштування в інтерфейсі замало. Компанії потрібні договірні гарантії постачальника, визначені ролі сторін щодо персональних даних, правила повернення й видалення інформації та внутрішній перелік даних, які не передаються зовнішнім системам.
Питання правил для працівників, NDA та внутрішнього контролю окремо розглянуті у матеріалі «Як використання ШІ працівниками створює ризики для даних, NDA та бізнесу». Тут фокус інший: чи має сама компанія право й достатні гарантії, щоб передати конкретний юридичний або конфіденційний матеріал зовнішньому AI-сервісу.