Как обработка данных выглядит до внедрения
Допустим, производственная компания в Молодечно принимает заказы от физических лиц и ведёт базу клиентов в таблице. Контакты хранятся на личных компьютерах менеджеров, часть переписки идёт через личные мессенджеры, а доступ к таблице есть у всех сотрудников отдела. Никто не записывал, зачем собираются эти сведения и как долго они хранятся.
Для небольшой компании такое положение дел обычно. Когда подключается ИИ-агент, оно становится заметнее, потому что агент работает с тем же набором данных и показывает, где порядок нарушен.
Что нужно записать до запуска
Прежде чем давать агенту доступ к клиентским данным, ответьте на несколько вопросов и зафиксируйте ответы:
- какие персональные данные собирает компания и для какой цели
- в каких системах они хранятся: 1С, CRM, почта, таблицы
- кто из сотрудников имеет к ним доступ и по какой причине
- будет ли агент обрабатывать эти данные и какие именно
- где физически находится сервер и какая нейросеть используется
- как клиент может обратиться по поводу своих данных
Как строится процесс после
Определите состав данных
Составьте перечень сведений, которые нужны для работы с клиентом. Всё, что не нужно, не собирайте и не открывайте агенту.
Разграничьте доступ
Агент сотрудника получает ровно те права, которые есть у самого сотрудника. Менеджер не видит данных бухгалтерии, бухгалтер не видит переписки отдела продаж.
Решите вопрос с нейросетью
Если используется внешняя модель, часть данных обрабатывается за пределами сервера компании. Определите, какие сведения можно передавать, а какие нет, и при необходимости выберите модель, работающую на вашем сервере.
Закрепите правила письменно
Короткий регламент: кто отвечает, как хранятся данные, что делать при запросе клиента. Ознакомьте с ним сотрудников.
Проверяйте регулярно
Раз в квартал просматривайте права доступа и перечень систем. Это помогает вовремя заметить, что кто-то получил лишний доступ.
Кто в компании отвечает за вопросы данных
В небольшой компании отдельного специалиста по защите данных обычно нет, и вопросы ложатся на руководителя, юриста или ответственного за ИТ. Важно назвать конкретного человека и записать его в регламент: к нему обращаются сотрудники, когда сомневаются, можно ли показать агенту тот или иной документ.
Что платформа даёт и чего не делает
Coagent ставится на сервер компании, поэтому доступы к 1С, CRM и почте остаются у неё. Права агента задаются обычными словами и настраиваются отдельно от прав сотрудника. Это помогает выстроить обработку по Закону № 99-З, но не заменяет решений самой компании: цели обработки, сроки хранения и основания определяет оператор персональных данных.
Частые вопросы о Законе № 99-З и ИИ
Нужно ли получать согласие на обработку данных агентом?
Ответ зависит от того, какие данные обрабатываются, на каком основании и с какой целью. Не принимайте решение самостоятельно: проверьте основания обработки у юриста и зафиксируйте их в регламенте компании.
Можно ли использовать внешнюю нейросеть с клиентскими данными?
Это возможно, но нужно понимать, что сведения при этом обрабатываются вне сервера компании. Определите, что можно передавать, и по необходимости исключите персональные данные из запросов или используйте модель на своём сервере.
Кто отвечает, если агент увидел лишние данные?
Ответственность за выдачу прав лежит на компании. Поэтому доступы агента задаются осознанно и совпадают с правами сотрудника, а их пересмотр включается в регулярную проверку.
Составьте перечень систем с персональными данными и отметьте, к каким из них агент действительно должен иметь доступ.