Если по-человечески: делаете «большой» ИИ — готовьтесь показывать, как вы его держите в клетке. Какие тесты, какие ограничения, что считаете «опасным» и как чините, если бот уехал в расизм, слив данных или «советуем суицид». И не через квартальный отчёт, а в формате пожарной тревоги: за 72 часа — в Нью-Йорк стучимся с описанием, что пошло не так. Я в два ночи открываю ссылку, а у меня параллельно завис n8n с очередной доработкой согласований, и первая мысль: ну здравствуй, AI-SOX, только в реальном времени. «Это означает, что» безопасность перестаёт быть внутренней кухней разработчика — регулятор лезет в лог-файлы почти онлайн.
Для российских автоматизаторов здесь сразу несколько слоёв боли. Во-первых, все крупные вендоры, которых вы крутите через API, будут жить по этим правилам — а значит, начнут закручивать гайки вам: больше логирования, больше формальных согласий, больше странных ограничений «из-за комплаенса Нью-Йорка». Во-вторых, на фоне нашего 152-ФЗ получится веселый бутерброд: западный AI требует одних процедур, российские законы — других, а вы посередине, с интеграцией на make.com, который подорожал, и локальным сервером, где всё «и так работает». С одной стороны, круто — рынок наконец признаёт, что безопасность ИИ не про галочку, а про реальные инциденты. С другой — я помню, как похожий кейс у клиента рухнул, когда американский вендор внезапно урезал функционал «из-за регулирования».
Честно? Я в шоке не от самого RAISE Act, а от скорости, с которой госы въезжают в тему. Три года наблюдаю: сначала все игрались в «продуктивность», потом пошли разговоры о токсичности, а сейчас — жесткая модель «покажи кишки модели, иначе штраф». «Для российских команд это» знак: если вы строите продукт на ИИ и смотрите на США/Европу — начинайте описывать свои риски и процессы уже вчера. Не только политику конфиденциальности, а конкретные сценарии: что делаете, если модель генерит персональные данные, как логируете обращения, кто отвечает, если бот посоветует незаконную схему. Малому бизнесу, который просто подключает GPT через коннектор в CRM, можно еще подождать — но крупным интеграторам и in-house командам пора заводить нормальную AI-безопасность, а не «потом в ТЗ допишем».
Меня здесь больше всего пугает другое: как только такой закон оттестируют в Нью-Йорке, он станет шаблоном для других стран и регионов. И если вы сейчас думаете «ну это там, у них», через квартал можете получить от своего вендора письмо «мы меняем правила доступа к API, потому что». Вы уверены, что ваш бизнес-процесс переживет такой поворот?
Больше разборов AI-инструментов без воды — в моём телеграм-канале. Пишу про то, что реально работает в России.
AI-ассистенты: экономия 4 часа в день
RAG-помощник на ваших данных и регламентах
Марина Погодина, основатель PROMAREN
17 лет в ИТ и управлении технологическими рисками, из них 14 лет в аудите ИТ и внутреннем контроле. Более 60 аудитов ИТ и информационной безопасности.
