Соответствие современных систем DLP правовым основам использования ИИ в Российской Федерации

Искусственный интеллект стремительно проникает во все сферы жизни, включая информационные технологии и безопасность данных. Одним из ключевых направлений применения ИИ в этой области является система предотвращения утечек данных, которая направлена на защиту конфиденциальной информации от несанкционированного доступа и распространения. Современные системы DLP, усиленные технологиями ИИ, способны более эффективно выявлять и предотвращать потенциальные угрозы благодаря алгоритмам машинного обучения и анализа больших данных.

Однако внедрение ИИ в системы DLP требует обсуждения ряда правовых вопросов и вызовов, которые требуют тщательного анализа. Правовая база, регулирующая использование ИИ и технологий DLP, находится на стадии формирования, что создает неопределенности и риски для разработчиков и пользователей таких систем. Вопросы защиты персональных данных, алгоритмической прозрачности, ответственности за действия ИИ и соблюдения прав субъектов данных становятся все более актуальными.

Для более детального рассмотрения предмета исследования следует обозначить основные объекты изучения. DLP — это система, защищающая организацию от утечек конфиденциальной информации [11]. Данная система анализирует данные в информационных системах организации, создавая защищённый «периметр». DLP-системы используются для мониторинга и контроля передачи конфиденциальной информации (личные данные клиентов, финансовые данные и интеллектуальная собственность), чтобы предотвратить её утечку или потерю. Функционал некоторых решений позволяет отслеживать действия сотрудников и составлять их поведенческий портрет. Например, кто-то часто использует ненормативную лексику, ищет новую работу или плохо отзывается о компании. Такие сотрудники попадают в «группы риска» и усиливается контроль за их действиями. Искусственный интеллект (ИИ) — в широком понимании, это область компьютерных наук, занимающаяся созданием систем и программ, которые способны выполнять задачи, требующие человеческого интеллекта [12]. Такие задачи включают обучение, распознавание речи, принятие решений, решение проблем, а также понимание и генерацию естественного языка.

Однако именно применение ИИ в системах утечек данных находит более узкое применение данных систем и программ. ИИ значительно улучшает функциональность DLP, повышая их эффективность и точность. Внедрение ИИ в DLP-системы позволяет автоматизировать процессы защиты данных и адаптироваться к постоянно меняющимся угрозам.

Внедрение ИИ в DLP обещает значительно повысить эффективность функционала, однако сопровождается рядом правовых и этических проблем. Современное законодательство и нормативные акты не всегда успевают за быстрым развитием технологий, что создает правовую неопределенность и потенциальные риски для разработчиков и пользователей таких систем. В условиях недостаточной правовой регламентации и отсутствия единых стандартов возникает необходимость проведения глубокого правового анализа, направленного на выявление и минимизацию правовых рисков, связанных с использованием ИИ в DLP.

Важность обращения к данной проблематике подтверждается мнениями исследователей. М.В. Залоило считает «Важным вопросом является определение правового статуса искусственного интеллекта. Отмечается появление новых субъектов или квазисубъектов права в условиях цифровизации общественных отношений, стимулирующей развитие и применение в различных областях жизнедеятельности технологий искусственного интелекта [14]». Н.В. Остроумов пришел к выводу, что «проблема ИИ, определения его признаков, характеристики как объекта и субъекта права является актуальной. Сложность исследований в этой области заключается в том, что исследователь должен в какой-то мере предугадать развитие технологий ИИ и, как следствие, правовых конструкций для его регулирования [16]». А. П. Иванова высказала свое мнение по данному поводу «ИИ успешно работает лишь в некоторых сферах, где есть абсолютно правильные или неправильные ответы, различимые паттерны, структуры и где быстрый поиск, и вычисления дают преимущества по сравнению с человеческим познанием.

Вычислительные механизмы, используемые искусственным интеллектом, существенно отличаются от механизмов человеческого мышления [13]». В.А. Лаптев придерживается следующего суждения «Правоведы непременно стараются дать оценку любому явлению в жизни общества с точки зрения норм права, нередко используя категорию «правовое явление». Вместе с тем многие явления далеки от регулятивной силы права [15]». Принимая во внимание мнение вышеперечисленных авторов можно сформулировать общий вывод, ИИ в сфере решения вопросов, связанных с юриспруденцией еще, не зарекомендовал себя и его становление как субъекта права еще не свершилось.

Искусственный интеллект всё чаще используется в DLP для расширения возможностей. Вот некоторые примеры такого использования: 1. Классификация контента. Алгоритмы ИИ можно обучить автоматически классифицировать конфиденциальные данные и идентифицировать их в сетевом трафике.

2. Обнаружение угроз. ИИ может использоваться для обнаружения потенциальных угроз, таких как вредоносное ПО, фишинговые атаки и попытки кражи данных.

3. Обнаружение аномалий. Алгоритмы ИИ можно использовать для обнаружения необычных моделей поведения в сетевом трафике, таких как необычные передачи данных или попытки доступа.

4. Применение политик. ИИ можно использовать для автоматического применения политик DLP и предотвращения утечек данных. Например, решение DLP можно настроить на автоматическую блокировку электронных писем, содержащих конфиденциальную информацию, если они отправляются за пределы организации.

Предлагается рассмотреть перспективы развития ИИ и DLP включающие в себя следующие направления: Улучшение точности обнаружения утечек данных. С развитием технологий машинного обучения и анализа данных становится возможным создание более точных алгоритмов обнаружения, что позволит сократить количество ложных срабатываний и повысить эффективность системы; Интеграция DLP с другими системами безопасности. Совмещение DLP с SIEM (Security information and event management – системами управления инцидентами и событиями [17]) и другими инструментами безопасности позволит обеспечить более полный контроль над информационной средой организации и более оперативную реакцию на угрозы.

Улучшение анализа контента. Развитие методов контентного анализа и алгоритмов распознавания образов позволит более эффективно обнаруживать конфиденциальную информацию в различных форматах и контекстах; Разработка мобильных и облачных решений. С увеличением числа мобильных устройств и использованием облачных технологий становится всё важнее разработка DLP-решений, специально адаптированных для этих платформ и обеспечивающих защиту данных везде, где они находятся; Развитие политик безопасности. С увеличением сложности угроз информационной безопасности появляется необходимость в постоянном совершенствовании политик безопасности, что требует соответствующего развития и совершенствования DLP-систем для их эффективного выполнения.

Все больше и больше моделей ИИ общего назначения становятся компонентами систем ИИ. Эти модели могут выполнять и адаптировать бесчисленное множество различных задач. Хотя модели искусственного интеллекта общего назначения могут обеспечить более качественные и мощные решения в области искусственного интеллекта, сложно контролировать все возможности., следует рассмотреть нормативно правовые акты, регулирующие его деятельность. Точкой отчета начала регулирования развития технологий искусственного интеллекта в РФ можно считать 2013 год, а конкретно Распоряжение Правительства РФ от 01 ноября 2013 г. № 2036-р «Об утверждении Стратегии развития отрасли информационных технологий в Российской Федерации на 2014-2020 годы и на перспективу до 2025 года» (с изменениями на 18 октября 2018 года) [10]. Где в главе 2 были впервые прописаны интеллектуальные устройства и интеллектуальные поисковые системы.

В последствии был издан Указ Президента РФ от 01.12.2016 N 642 «О Стратегии научнотехнологического развития Российской Федерации» [9]. Этот документ определяет приоритетные направления научно-технического развития в России, включая ИИ. Он подчеркивает необходимость создания условий для научных исследований и разработок в области ИИ и смежных технологий. Его целью было формирование благоприятной экосистемы для внедрения ИИ в различные сферы, включая экономику, здравоохранение и образование.

В дальнейшем в 2019 году был представлен и опубликован «2019 Альманах. Искусственный интеллект: Итоги 2019 года, МФТИ» [18] генеральным директор ВОИС Фрэнсис Гарри, Подготовленный Минкомсвязью, этот документ включает анализ текущего состояния ИИ в России и рекомендации по правовому регулированию. Его значимость выражается в выделении правовых пробелов, необходимых для создания базы для разработки законодательства об ИИ, включая этические и юридические аспекты использования ИИ.

Далее был принят Федеральный закон от 27.12.2019 № 488-ФЗ «О промышленной политике в Российской Федерации» (с изменениями и дополнениями) [5]. Закон вносит изменения в ряд федеральных законов, регулирующих обработку персональных данных и создание баз данных для ИИ. В нем вносятся изменения в закон, уточняющие порядок обработки и хранения данных, используемых ИИ. Его важность состоит в том, что в нем дается определение правовых основ для работы с данными, что является ключевым аспектом в области ИИ.

В 2020 году была опубликована Национальная стратегия развития искусственного интеллекта на период до 2030 года (утверждена Указом Президента РФ от 10.10.2019 №490) [9]. Стратегия нацелена на создание конкурентоспособной системы ИИ в России и определяет ключевые направления, включая образование, исследования и промышленность. Ее пункты включают цели по разработке ИИ, создание нормативных актов и обеспечение защиты прав граждан в контексте использования ИИ.

В этом же году был принят Федеральный закон от 01.04.2020 N 98-ФЗ (ред. от 08.08.2024) «О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам предупреждения и ликвидации чрезвычайных ситуаций» [2]. Этот закон ввел изменения в Кодекс об административных правонарушениях, касающиеся ИИ и цифровых технологий. Установлены новые составы административных правонарушений, связанных с использованием технологий, в том числе ИИ, что подразумевает ответственность за несанкционированный доступ к данным.

В 2020 году была также разработана Концепция развития регулирования отношений в сфере технологий искусственного интеллекта и робототехники до 2024 года (утверждена распоряжением Правительства Российской Федерации от 19 августа 2020 года №2129-р) [11]. Документ разработал Минэкономразвития России. В нём определяются основные подходы к трансформации системы нормативного регулирования в РФ для развития технологий искусственного интеллекта и робототехники в различных сферах экономики с соблюдением прав граждан и обеспечением безопасности личности, общества и государства.

Также в Российской Федерацией 3 декабря 2020 был разработан и принят Федеральный закон «О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации - городе федерального значения Москве и внесении изменений в статьи 6 и 10 Федерального закона «О персональных данных» [3]. Данный правовой акт регулирует процессуальный аспект установления на базе определённых организаций специального правового режима.

По результатам проведения эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта, а также последующего возможного использования результатов применения искусственного интеллекта Совет подготавливает и представляет в Правительство Российской Федерации предложения о целесообразности или нецелесообразности внесения изменений в законодательство Российской Федерации.

По прошествию 4 лет официально озвучены результаты проведения данного эксперимента не были. Был в том числе принят Федеральный закон «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации» от 31.07.2020 N 259-ФЗ [4]. Закон регулирует правовой статус цифровых активов и определяет порядок их использования, включая технологии, связанные с ИИ. В даются определения понятий «цифровой финансовый актив» и «токен», что может быть важно для разработок в области ИИ и финансовых технологий.

Подводя итог, можно сказать, что за одно десятилетие развития попыток регулирования деятельности, связанной с ИИ, государство прошло довольно большой путь и получило полезный опыт. Однако следует прийти к выводу, что данные нормативные акты ни один в полной мере не описывает ИИ и деятельность, связанную с ней. Для сравнения можно использовать Законодательную резолюцию Европейского парламента о предложении относительно регламента Европейского парламента и Совета по установлению согласованных правил в области искусственного интеллекта (далее – Регламент по ИИ) [1] которая была внесена 13 марта 2024 года. Целью Регламента является улучшение функционирования внутреннего рынка и содействие внедрению ориентированного на человека и заслуживающего доверия искусственного интеллекта, при этом обеспечивается высокий уровень защиты здоровья, безопасности, основных прав, включая демократию, верховенство закона и охрану окружающей среды, от вредного воздействия систем искусственного интеллекта в Европейском Союзе, а также поддержка инноваций. В статье 29 Регламента по ИИ перечислены обязанности разработчиков и лиц использующих данную технологию: «…гарантировать, что физические лица, назначенные для обеспечения человеческого надзора за системами искусственного интеллекта высокого риска, обладают необходимой компетенцией, подготовкой и полномочиями, а также необходимой поддержкой; гарантировать, что входные данные являются релевантными и достаточно репрезентативными с учетом предполагаемого назначения системы; контролировать работу системы на основе инструкций по использованию…» Также же в случае нештатной работы, должны приостановить использование данной системы и сообщить поставщику системы, уполномоченному представителю и органам власти, если продукт представляет риск (потенциально способен оказать неблагоприятное воздействие на здоровье и безопасность людей в целом, здоровье и безопасность на рабочем месте, защиту потребителей, окружающую среду, общественную безопасность и другие общественные интересы). Данные правовые акты напрямую связаны с системой DLP так как они непосредственно регламентируют легальное внедрение ИИ в данную систему и ее использование в коммерческих целях. Следует объяснить в каких случаях ИИ может негативно повлиять на обеспечение информационной безопасности организации, приведя пример. В организации «А» установлена система защиты от утечек информации производителя «Б». Данный производитель при разработке системы расширил возможности ИИ до уровня принятия решений касаемо возникших инцидентов на основе проанализированной информации. При внедрении системы ошибок допущено не было и все локально нормативно акты соответствуют действующему законодательству. Сотруднику «Х» отдела бухгалтерии в рабочее время позвонила жена и попросила отправить свидетельство о рождении сына для оформления документов. «Х» решил выполнить просьбу при помощи рабочего компьютера. Система зафиксировала передачу личной информации через рабочий компьютер третьим лицам и отметила данной действие как нарушение режима защиты информации. Для продолжения следует объяснить полномочия других участников. Существуют две должности которые допущены к пользованию системами: оператор и администратор. Оператор обладает следующими обязанностями:

Мониторинг и анализ: Постоянное наблюдение за инцидентами, связанными с утечкой данных. Анализ потенциальных угроз и инцидентов, обнаруженных системой DLP.

Уведомления и эскалация: Уведомление соответствующих лиц или команд о выявленных инцидентах. Эскалация инцидентов в случае необходимости.

Отчеты: Подготовка отчетов о выявленных инцидентах, тенденциях и эффективности мер защиты данных.

В обязанности администратора входит:

− Настройка и поддержка: Установка, настройка и поддержка системы DLP.

Обеспечение ее корректной работы и обновления.

− Политики и правила: Разработка и внедрение политик и правил для DLP системы.

Определение, какие данные должны быть защищены и какие действия должны быть предприняты при обнаружении нарушений.

− Тестирование и улучшение: Регулярное тестирование системы DLP для проверки ее эффективности. Внедрение улучшений и корректировок на основе тестов и отчетов от операторов.

− Интеграция: Интеграция системы DLP с другими системами безопасности и управления данными в компании.

− Обучение: Обучение персонала по вопросам использования системы DLP и соблюдения политик безопасности данных.

При обнаружении инцидента, связанного с потенциальным нарушением информационной безопасности, соответствующая информация отображается на рабочем месте оператора.

Оператор передает данные о выявленном инциденте начальнику отдела информационной безопасности. Начальник отдела инициирует служебное расследование с целью детального анализа обстоятельств инцидента. В ходе проведения расследования выясняется, что нарушение режима защиты информации отсутствовало, и произошедшее является следствием системной ошибки. Таким образом, инцидент считается исчерпанным. В дальнейшем передается информация о системной ошибки администратору, он в свою очередь устраняет неполадку.

Однако оператор по различным причинам может отсутствовать на рабочем месте, либо его действия могут отличаться от стандартных процедур. В этом случае информация об инциденте передается администратору на рабочий компьютер. Администратор, в свою очередь, передает ее начальнику отдела информационной безопасности. Начальник отдела информационной безопасности запрашивает у администратора детализацию действий лица, предположительно нарушившего режим защиты информации. В ходе анализа данных выясняется, что классификация инцидента системой была ошибочной. Таким образом, инцидент считается исчерпанным.

На основе данного примера можно сделать вывод, что в любом случае при внедрении ИИ в технологии защиты утечек данных окончательное решение принимает человек, и при системных ошибках или ошибочной классификации инцидента разрешается в пользу работника сотрудниками информационной безопасности, и на данный момент времени невозможны вмешательства ИИ в жизнь.

Внедрение искусственного интеллекта в системы предотвращения утечек открывает новые возможности для повышения эффективности защиты конфиденциальной информации. Однако это также сопровождается рядом правовых и этических вызовов. Основные правовые риски включают вопросы защиты персональных данных, алгоритмической прозрачности и ответственности за действия ИИ.

Исследование выявило, что правовая база, регулирующая использование ИИ и технологий DLP, находится на стадии формирования, что создает неопределенности для разработчиков и пользователей таких систем. Для минимизации правовых рисков рекомендуется разработка четких правовых норм и стандартов, обеспечивающих защиту прав субъектов данных и информационную безопасность.

Практическая реализация ИИ в DLP требует тщательного контроля со стороны человека, особенно в случаях системных ошибок или ложных срабатываний. Таким образом, несмотря на потенциал ИИ, окончательные решения в критических ситуациях должны оставаться за человеком.

Будущее развитие технологий искусственного интеллекта и систем предотвращения утечек данных связано с совершенствованием алгоритмов обнаружения утечек, интеграцией с прочими системами кибербезопасности, разработкой облачных и мобильных решений, а также усилением политик безопасности. Для обеспечения надежного и безопасного использования данных технологий в Российской Федерации на данный момент приняты подзаконные акты и различные стратегии развития, однако в связи в постоянным развитием данной отрасли требуется более детальный нормативный акт, включающий в себя все многообразие норм выработанные за время действия подзаконных актов Предлагаемый закон должен охватывать основные аспекты разработки, внедрения и эксплуатации ИИ-технологий, обеспечивая баланс между поддержкой инноваций и защитой общественных интересов. Центральными положениями законопроекта должны стать формирование стандартов разработки ИИ, включая требования к этичности алгоритмов и прозрачности их решений; установление норм по защите персональных данных и конфиденциальной информации при обучении и эксплуатации ИИ-систем; а также внедрение механизмов ответственности для разработчиков и пользователей ИИ за возможные негативные последствия применения данных технологий.

Законодательство должно предусматривать как внутреннее государственное регулирование, так и международное сотрудничество, учитывая глобальный характер развития ИИ и необходимость унификации стандартов на международном уровне.