Ассистент загрузил договор в ChatGPT. Почему одна «безобидная» задача может стоить компании репутации

Представьте ситуацию. Руководитель просит бизнес-ассистента сравнить два договора с потенциальными партнёрами и подготовить таблицу различий: стоимость, сроки, ответственность сторон, условия расторжения. Задача срочная, документы объёмные, а результат нужен до следующей встречи.

Ассистент решает ускорить работу с помощью искусственного интеллекта. Загружает оба договора в общедоступный ИИ-сервис и через несколько минут получает аккуратную сравнительную таблицу. Руководитель доволен: поручение выполнено быстро, информация структурирована, время сэкономлено.

Но есть обстоятельство, которое осталось за кадром. В документах содержались коммерческие условия, сведения о контрагентах, персональные данные подписантов и положения о конфиденциальности.

Именно такие ситуации меняют требования к современным бизнес-ассистентам. Сегодня недостаточно быстро работать с документами, уверенно пользоваться нейросетями и соблюдать дедлайны. Специалист, который имеет доступ к информации первого лица, должен понимать, какие данные можно обрабатывать с помощью ИИ, какие требуют специального режима защиты и где необходимо остановиться, даже если руководитель ждёт результат через десять минут.

Согласно исследованию IBM Cost of a Data Breach Report 2025, средняя глобальная стоимость утечки данных среди исследованных организаций составила 4,44 млн долларов. В том же отчёте IBM отмечает, что 63% исследованных организаций не имели политик управления использованием ИИ.

Исследование Verizon Data Breach Investigations Report 2025 показывает другую сторону проблемы: примерно 60% подтверждённых утечек включали человеческий фактор. В отчёте проанализировано более 22 тысяч инцидентов информационной безопасности, включая 12 195 подтверждённых утечек.

Эти цифры не означают, что каждый сотрудник, использующий ChatGPT, создаёт угрозу на миллионы долларов. Исследования также не посвящены исключительно работе ассистентов. Однако они показывают масштаб проблемы: технологические инструменты развиваются быстрее, чем компании успевают выстроить правила безопасной работы с ними.

Для предпринимателя это имеет практическое значение. Бизнес-ассистент нередко получает доступ к сведениям, которые не предназначены для широкого круга сотрудников: переговорам о сделках, финансовым планам, переписке с партнёрами, информации о клиентах и личным данным руководителя.

При этом ассистенту часто поручают задачи, для которых ИИ действительно полезен: сравнить предложения, подготовить аналитическую справку, структурировать информацию, составить черновик письма или выделить существенные условия документа.

Риск возникает не из-за самого факта использования ИИ, а из-за отсутствия правил: какие данные разрешено передавать, в какой инструмент, на каких условиях и кто отвечает за результат.

Ошибка начинается с предположения, что если документ уже находится на компьютере сотрудника, значит, его можно использовать в любом рабочем сервисе.

На практике доступ к документу и право передавать его внешнему поставщику технологий — разные вещи.

Рассмотрим договор с потенциальным инвестором. В нём могут находиться сведения о структуре сделки, финансовых условиях, сроках исполнения обязательств и участниках переговоров.

Даже если документ не содержит персональных данных, его условия могут составлять коммерческую тайну или другую конфиденциальную информацию в соответствии с договорённостями сторон и установленным режимом защиты.

В другом договоре могут присутствовать паспортные данные, адреса, номера телефонов, подписи физических лиц и сведения о представителях компаний.

Здесь возникает отдельный вопрос обработки персональных данных.

В России такие операции необходимо оценивать с учётом Федерального закона № 152-ФЗ «О персональных данных», а при наличии режима коммерческой тайны — также закона № 98-ФЗ «О коммерческой тайне».

Передача информации внешнему ИИ-провайдеру может затрагивать договорные обязательства, требования к обработке данных, место их хранения и порядок доступа третьих лиц.

Наличие договора с клиентом не означает автоматического разрешения загрузить его содержимое в стороннюю нейросеть.

При этом не существует универсального правила, что любой договор категорически запрещено обрабатывать с помощью ИИ. Возможность использования зависит от содержания документа, правовых оснований, политики компании и условий конкретного сервиса.

Задача компетентного ассистента — понимать эту разницу, а не действовать по принципу «сервис доступен, значит, можно».

1. Загрузка документов по сделке в непроверенный ИИ-сервис

Руководитель просит сравнить два проекта договора. Ассистент отправляет полные файлы в личный аккаунт нейросети.

Проблема заключается не только в возможной утечке. Компания может потерять контроль над тем, кому и на каких условиях передана информация, а также нарушить обязательства перед контрагентом.

Профессиональное решение: сначала определить категорию данных и проверить, разрешён ли выбранный инструмент. Если согласованного безопасного способа нет, провести сравнение локально или запросить разрешённый корпоративный инструмент. При необходимости можно использовать обезличенный шаблон структуры договора, не передавая сам документ и чувствительные условия.

2. Подготовка письма партнёру на основе закрытой переписки

Ассистент хочет, чтобы ИИ помог сформулировать дипломатичный ответ на сложное письмо. Для этого копирует в чат всю историю переговоров.

В переписке могут содержаться коммерческие уступки, внутренние позиции сторон и информация, которая не должна покидать согласованный контур коммуникации.

Профессиональное решение: сформулировать задачу на основе нейтрального описания ситуации, исключив имена, идентификаторы, суммы и детали переговорной позиции, если их передача не разрешена. Затем самостоятельно проверить черновик на соответствие фактам и позиции компании.

3. Анализ резюме кандидатов с помощью личного ИИ-аккаунта

Ассистент помогает руководителю нанимать сотрудников и загружает в нейросеть резюме с телефонами, адресами электронной почты, фотографиями и историей работы.

Даже если цель — только сравнить профессиональные компетенции, речь идёт об обработке персональных данных кандидатов.

Профессиональное решение: использовать утверждённые HR-инструменты и согласованный порядок обработки данных. Если для аналитической задачи допустимо обезличивание, удалить прямые и косвенные идентификаторы и проверить, что по оставшимся сведениям человека нельзя установить. Само по себе удаление имени ещё не гарантирует анонимность.

4. Публикация материалов с неподтверждёнными утверждениями

Ассистент готовит для руководителя выступление, комментарий СМИ или публикацию в LinkedIn. ИИ предлагает убедительные цифры, цитаты и примеры, но источники никто не проверяет.

Если руководитель публично использует вымышленные данные или приписывает слова реальному человеку, проблема становится репутационной.

Профессиональное решение: проверять каждое существенное утверждение по первоисточнику, отделять факты от оценок, согласовывать чувствительные формулировки и не публиковать материалы, достоверность которых не подтверждена.

5. Сообщение от «руководителя» с просьбой срочно передать данные

Ассистент получает голосовое сообщение или письмо, внешне похожее на обращение руководителя: срочно отправить список клиентов, предоставить доступ к документам или изменить платёжные реквизиты.

Генеративный ИИ делает подделку голоса и деловой переписки более доступной, поэтому привычного узнавания стиля сообщения недостаточно.

Профессиональное решение: проверять необычные запросы через заранее согласованный независимый канал связи. Особенно если поручение касается платежей, доступа к системам, персональных данных или конфиденциальных документов.

Во всех пяти случаях ценность сильного ассистента заключается не в том, что он никогда не использует ИИ, а в способности определить границу между допустимой автоматизацией и неоправданным риском.

Полный запрет нейросетей не всегда является оптимальным решением. Он может лишить сотрудников полезных инструментов и подтолкнуть их к использованию сервисов без согласования с компанией — явлению, которое называют shadow AI, или теневым ИИ.

Более зрелый подход — определить разрешённые сценарии использования и требования к защите информации.

Для ассистента полезна модель из четырёх последовательных проверок.

Шаг 1. Определить, с какой информацией предстоит работать

Перед использованием ИИ нужно понять, относится ли материал к открытым данным, внутренним рабочим сведениям, конфиденциальной информации или персональным данным.

Например, общедоступные сведения о рынке и список опубликованных тарифов можно анализировать иначе, чем закрытый финансовый прогноз компании.

Если статус данных неизвестен, это повод уточнить правила, а не самостоятельно считать их открытыми.

Шаг 2. Проверить разрешённый инструмент и условия обработки

Важно понимать, одобрен ли сервис компанией, кто имеет доступ к введённым данным, каковы условия их хранения, использования и удаления.

Наличие корпоративной подписки само по себе не означает, что в сервис разрешено загружать любые документы. Требуются соответствующие настройки, договорные условия и внутреннее разрешение на конкретный сценарий обработки.

Шаг 3. Минимизировать объём передаваемой информации

Если задача допускает использование обезличенных или синтетических данных, не следует передавать больше, чем необходимо.

Например, для подготовки шаблона сравнительной таблицы договоров ИИ достаточно сообщить типы условий: цена, сроки, ответственность, расторжение, порядок согласования.

Но здесь есть важное ограничение: замена названия компании на «Компания А» не всегда делает документ безопасным. Уникальные суммы, даты, обстоятельства сделки и комбинации сведений могут позволить установить участников.

Если идентификация остаётся возможной или конфиденциальные условия сохраняются, материал по-прежнему требует защиты.

Шаг 4. Проверить результат до передачи руководителю

ИИ может неправильно интерпретировать положения договора, пропустить исключение из общего правила или уверенно сформулировать вывод, которого нет в исходном документе.

Поэтому ассистент должен сверять существенные выводы с оригиналом, отмечать неопределённости и не выдавать машинную интерпретацию за юридическое заключение.

Для значимых договорных решений требуется участие уполномоченного специалиста, в том числе юриста.

Профессиональная работа с ИИ — это не способность получить ответ быстрее. Это способность обеспечить допустимость обработки данных и достоверность результата.

Это один из наиболее показательных тестов профессиональной зрелости.

Руководитель может быть уверен, что задача безопасна, или просто не знать особенностей используемого сервиса. При этом у ассистента есть обязанность соблюдать установленные правила обращения с информацией.

Сильный специалист не ограничивается фразой «нельзя» и не выполняет поручение автоматически.

Он объясняет конкретный риск и предлагает рабочую альтернативу.

Например:

«В этом договоре есть конфиденциальные условия и персональные данные. Прежде чем передавать файл во внешний сервис, нужно проверить, разрешена ли такая обработка. Я могу подготовить сравнительную таблицу без загрузки полного документа либо использовать согласованный корпоративный инструмент».

В такой формулировке есть три важных элемента: понимание риска, уважение к бизнес-задаче и предложение решения.

Если руководитель настаивает на передаче данных, ассистент должен действовать в рамках утверждённого порядка согласования и при необходимости привлечь ответственных за информационную безопасность или юридические вопросы.

Умение корректно возразить руководителю, когда речь идёт о защите компании, — признак профессиональной ответственности, а не недостаточной исполнительности.

Для бизнеса последствия неконтролируемого обращения с данными могут выходить далеко за пределы IT-службы.

Представим, что потенциальный партнёр узнаёт: условия ещё не подписанного соглашения передавались внешнему сервису без согласования.

Даже если публичной утечки не произошло, у контрагента могут возникнуть вопросы о том, насколько компания контролирует доступ к коммерческой информации.

В зависимости от обстоятельств последствия могут включать пересмотр условий сотрудничества, дополнительные проверки, претензии по договору или ухудшение доверия.

Для руководителя репутационный риск особенно чувствителен, поскольку бизнес-ассистент часто действует от его имени: ведёт переписку, согласовывает встречи, взаимодействует с партнёрами и получает информацию, недоступную большинству сотрудников.

Поэтому репутационная безопасность включает не только защиту файлов, но и качество коммуникации, точность публичных утверждений, соблюдение договорённостей и умение распознавать подозрительные запросы.

Ассистент может не принимать стратегические решения компании, но его действия способны повлиять на то, насколько надёжным партнёром компанию считают другие.

В резюме многие кандидаты указывают «владение ChatGPT», «цифровая грамотность» и «работа с конфиденциальной информацией».

Но такие формулировки не показывают, понимает ли человек реальные риски.

Поэтому при подборе полезно проверять не знание названий сервисов, а способность принимать решения в конкретных рабочих ситуациях.

Например, предложите кандидату следующий кейс:

«Руководитель просит за 20 минут сравнить два конфиденциальных договора. В документах есть персональные данные и условия будущей сделки. Вы знаете, что ИИ поможет выполнить задачу быстрее. Как будете действовать?»

Оценивайте не только итоговый ответ, но и последовательность рассуждений.

Сильный кандидат должен продемонстрировать:

✅ Способность распознать конфиденциальные сведения и персональные данные.
✅ Понимание того, что доступ к документу не равен разрешению передавать его внешнему сервису.
✅ Умение проверить корпоративные правила использования ИИ.
✅ Готовность предложить альтернативный способ выполнения задачи.
✅ Навык минимизации передаваемых данных без ложного ощущения полной анонимности.
✅ Понимание необходимости проверки выводов ИИ по первоисточнику.
✅ Умение корректно сообщить руководителю о риске и возможных вариантах решения.

Важно, чтобы кандидат не просто произнёс правильные слова, а смог объяснить, какие действия он предпримет в реальной рабочей ситуации.

Дополнительный кейс можно построить вокруг письма якобы от руководителя с просьбой срочно изменить платёжные реквизиты. Здесь проверяются навыки распознавания подозрительных запросов, проверки полномочий и соблюдения процедуры согласования.

Такие задания помогают отличить уверенного пользователя цифровых инструментов от специалиста, который способен применять их с учётом интересов бизнеса.

Соглашение о неразглашении — важный элемент защиты конфиденциальной информации. Но подпись под NDA не доказывает, что сотрудник умеет распознавать риски при использовании новых технологий.

Аналогично опыт работы с собственником крупной компании не гарантирует понимания правил обработки персональных данных, безопасного использования ИИ и проверки подозрительных коммуникаций.

При подборе важно оценивать три уровня компетенций.

Первый — знание правил. Понимает ли кандидат, что такое конфиденциальная информация, персональные данные, ограничения доступа и согласованные инструменты?

Второй — практическое применение. Может ли он выбрать безопасный способ решения задачи при ограниченном времени и неполных вводных?

Третий — профессиональное суждение. Способен ли сотрудник распознать ситуацию, когда нужно остановить процесс, уточнить полномочия или привлечь профильного специалиста?

Именно третий уровень часто становится решающим при работе с первым лицом компании.

Потому что руководителю нужен не человек, который автоматически выполняет каждое поручение, а специалист, способный обеспечить результат, не создавая ненужных рисков.

Даже квалифицированный сотрудник не сможет обеспечить надёжную защиту информации, если в компании отсутствуют понятные правила.

Поэтому до передачи ассистенту доступа к документам, переписке и корпоративным системам стоит согласовать базовые ограничения.

Проверьте:

✅ Какие категории информации доступны ассистенту для выполнения его обязанностей.

✅ Какие документы запрещено передавать во внешние сервисы без отдельного разрешения.

✅ Какие ИИ-инструменты разрешены и для каких задач.

✅ Кто согласовывает нестандартные сценарии обработки данных.

✅ Какие правила действуют для личных устройств и аккаунтов.

✅ Как проверяются необычные запросы на платежи, доступы и передачу документов.

✅ Кому и как сотрудник сообщает о возможном инциденте.

✅ Как отзываются доступы при изменении роли или завершении сотрудничества.

При этом правила должны быть практически применимыми. Формального документа недостаточно, если сотрудник не знает, куда обратиться с вопросом или какой безопасной альтернативой воспользоваться.

Для бизнеса особенно важно, чтобы требования информационной безопасности были встроены в повседневные процессы, а не существовали отдельно от реальной работы команды.

При подборе бизнес-ассистента важно оценивать не только административный опыт, владение цифровыми инструментами и способность работать в высоком темпе.

Не менее значимы профессиональное суждение, ответственность за информацию, понимание границ полномочий и умение учитывать репутационные последствия собственных действий.

Именно поэтому профиль позиции должен отражать реальные задачи руководителя, уровень доступа к информации и ситуации, в которых ассистенту предстоит принимать самостоятельные решения.

В агентстве SMART AND TALENTED мы предлагаем начать с бесплатной диагностики потребности в ассистенте. Она помогает определить, какие задачи необходимо делегировать, какой уровень специалиста требуется и какие компетенции стоит проверять при подборе.

Если вашему будущему ассистенту предстоит работать с конфиденциальными документами, деловой перепиской, партнёрами и цифровыми инструментами, эти требования необходимо учитывать ещё до начала поиска.

Сильный бизнес-ассистент помогает руководителю не только быстрее решать задачи. Он понимает, какие действия могут поставить под угрозу информацию, отношения с партнёрами и репутацию компании, — и умеет выбирать безопасный способ достижения результата.