По данным исследования «К2 Кибербезопасность» и «Лаборатории Касперского», 25% российских корпораций уже включили безопасность ИИ в топ-5 бизнес-приоритетов. Однако только 22% выделили на это отдельный бюджет.
61% компаний стремятся контролировать использование сотрудниками сторонних ИИ-сервисов, но реальные политики безопасности внедрены лишь в 29% организаций, а 47% ограничиваются пассивным мониторингом. При этом 43% респондентов заявили, что при недоступности ИИ-сервисов бизнес продолжит функционировать, но с потерями.
Эти цифры отражают масштаб проблемы: компании осознают риски, но не готовы инвестировать в защиту в том же объёме, что и в сами ИИ-технологии. В результате формируется «теневой ИИ» — неконтролируемое использование сотрудниками ChatGPT и других инструментов, которое создаёт риски утечки данных и репутационные угрозы.
Что такое теневой ИИ и почему он опасен
По данным исследования «Информзащиты», каждая пятая утечка данных в 2026 году связана с теневым использованием ИИ. Сотрудники загружают во внешние чат-боты договоры, фрагменты исходного кода, внутреннюю переписку, клиентские обращения и техническую документацию для перевода, анализа или подготовки ответа.
Традиционные DLP-системы не видят эти запросы, так как они происходят в браузере через легитимные домены и корректный TLS. Для SIEM и прокси это неотличимо от обычных запросов к SaaS, но данные уже ушли наружу.
Наибольшую долю инцидентов создают веб-интерфейсы публичных ИИ-сервисов — около 42% выявленных случаев. Ещё 24% связаны с браузерными расширениями и ИИ-помощниками, которые получают доступ к содержимому открытых вкладок и истории сессий. Такие расширения на 60% чаще содержат известные уязвимости по сравнению с обычными дополнениями.
Где происходит больше всего утечек
Наиболее высокая доля инцидентов с участием теневого ИИ фиксируется в ИТ и разработке программного обеспечения — около 31% утечек. Это связано с активным использованием ИИ-ассистентов разработки и самостоятельным подключением SDK и API.
В финансовом секторе доля составляет порядка 22%, где основной риск связан с передачей фрагментов клиентской и аналитической информации во внешние сервисы. На промышленность приходится около 18% случаев, в ритейле и электронной коммерции — 16%.
Почему запретительный подход не работает
Полный запрет публичных ИИ-сервисов обычно приводит к переносу активности в менее контролируемые каналы: личные устройства, браузерные расширения или сторонние учётные записи. По данным LayerX Security, две трети утечек данных через ИИ происходят через личные учётные записи сотрудников, недоступные для корпоративного контроля.
Бизнес переходит к политикам контролируемого использования: вместо тотальных запретов компании внедряют классификацию данных на уровне браузера, управление расширениями и контроль доступа к ИИ на уровне сеанса. Это позволяет не блокировать ИИ, а направлять сотрудников к разрешённым корпоративным учётным записям на проверенных платформах.
Ответственный ИИ как конкурентное преимущество
Исследование PwC показывает, что компании, инвестирующие в ответственный ИИ, имеют оценку стоимости на 4% выше и доходы на 3,5% выше, чем компании, вкладывающие средства только в базовое соответствие требованиям. При этом 60% руководителей говорят, что ответственный ИИ повышает ROI. Инвестиции в ответственный ИИ сокращают частоту нежелательных инцидентов, связанных с ИИ, вдвое.
Прогноз Gartner: к 2028 году 40% организаций, развёртывающих ИИ, будут использовать специализированные инструменты observability для мониторинга производительности моделей, дрейфа и предвзятости. Это подтверждает, что безопасность ИИ становится не просто технической задачей, а стратегическим приоритетом.
Что делать бизнесу
Эксперты рекомендуют четыре шага для управления теневым ИИ:
Обеспечьте прозрачность. Прежде чем разрабатывать политики, ответьте на вопросы: какие ИИ-инструменты действительно используют сотрудники? Используют ли они личные или корпоративные учётные записи? Какие категории данных попадают в эти инструменты?
Внедрите классификацию данных на уровне браузера. Исходный код, исследовательская документация и структурированные бизнес-данные требуют правил, которые применяются внутри браузерной сессии, а не только на уровне файловой системы.
Управляйте расширениями браузера. Инвентаризация установленных расширений, оценка разрешений и применение политик для блокировки расширений с высоким риском решают проблему, которую большинство DLP-программ вообще не учитывают.
Развивайте политики безопасного использования ИИ. Сотрудники должны чётко понимать, какие данные можно обрабатывать с помощью ИИ, а какие категорически запрещено выносить за периметр.
Технология не стоит на месте — и риски тоже. Те, кто начнёт управлять теневым ИИ сегодня, получат преимущество перед конкурентами, которые продолжат закрывать глаза на проблему.
Теневой ИИ — это не приговор, а вызов, на который уже есть ответы. Компании, которые внедрят политики контролируемого использования, классификацию данных на уровне браузера и обучат сотрудников, смогут безопасно масштабировать ИИ и получить конкурентное преимущество.
Ответственный ИИ не только защищает от утечек, но и повышает стоимость бизнеса — до 4% роста оценки компании и 3,5% роста выручки. Вопрос не в том, стоит ли внедрять ИИ, а в том, насколько быстро вы научитесь управлять им безопасно.
