Как выбрать ИИ-агента для бизнеса и не отдать ему лишнего: чек-лист по данным, доступам и 152-ФЗ

Выбирать ИИ-агента по тому, насколько он умный, — всё равно что выбирать бухгалтера по скорости печати. Агент получает доступ к кабинетам, базе клиентов и деньгам, поэтому главный вопрос к поставщику не «что он умеет», а «что будет с моими данными и что он сможет сделать без меня». Ниже — чек-лист из двадцати вопросов по четырём блокам: данные, доступы, действия и честность поставщика. К каждому вопросу есть хороший ответ и красный флаг, и оба взяты не из головы, а из того, как устроены настоящие агенты: Codex от OpenAI и популярные открытые агенты. Перед чек-листом — что требует закон о персональных данных, после него — как проверить поставщика руками за полчаса.

У OpenAI есть агент для программистов — Codex. Он работает на компьютере разработчика: читает файлы, запускает команды, ходит в интернет. В нём есть режим, в котором агент делает всё без спроса и без ограничений. Называется этот режим прямо: danger-full-access, «опасный полный доступ».

Обычно Codex работает в другом режиме: агент сам решает, когда спросить разрешения у человека. Для программиста, который сидит рядом и видит каждый шаг, это удобно. Для владельца бизнеса, который отдал агенту кабинет Ozon и ушёл спать, фраза «модель сама решает, когда спросить» — красный флаг. Ниже он будет в чек-листе.

Мысль простая. Компания, которая сделала одну из самых сильных моделей в мире, не обещает, что агент с полным доступом безопасен, а называет такой режим опасным. Если продавец ИИ-агента обещает вам полную безопасность, он знает о своём продукте меньше, чем OpenAI о своём.

Утечки через ИИ уже идут, и без всякого агента. По данным «Информзащиты» на июль 2026 года, каждая пятая организация, столкнувшаяся с утечкой, хотя бы частично связывает её с ИИ. Годом раньше таких было 12%. В 42% случаев канал — обычный веб-чат: сотрудник вставил туда договор или кусок клиентской базы, чтобы быстро переписать.

Чат-бот видит только то, что в него вставили. Агент сам ходит в кабинеты: читает заказы, выгружает клиентов, открывает почту, меняет цены и отправляет письма. Утечка из чата — это один документ. Утечка через агента — всё, к чему у него есть доступ.

Вторая разница — в том, кто принимает решение. Агент, который разбирает входящую почту, прочитает и письмо от «налоговой» с просьбой срочно выслать реестр контрагентов. Человек засомневается. Модель, если её ничто не остановит, выполнит инструкцию из текста. Поэтому у агента важно проверять не только, где лежат данные, но и что он может сделать, прочитав чужое письмо.

Сначала коротко о законе, потому что половина вопросов чек-листа из него и выросла. Это не юридическая консультация: договор и уведомления лучше проверить с юристом.

Оператор — вы, а не поставщик. Когда агент обрабатывает данные ваших клиентов, отвечать перед Роскомнадзором будете вы. Поставщик обрабатывает данные по вашему поручению, и на это нужен договор поручения с перечнем действий, целью обработки и обязанностью защищать данные (часть 3 статьи 6).

Собирать данные нужно в России. С 1 июля 2025 года запись, хранение и накопление персональных данных при сборе должны идти в базах на территории России (часть 5 статьи 18). Анкета, которая сразу пишет данные клиента в зарубежную таблицу, — нарушение, даже если потом всё копируется в российскую базу.

Передача за рубеж требует уведомления. Прежде чем передавать персональные данные в другую страну, оператор уведомляет Роскомнадзор (статья 12). Если в ИИ-сервис за рубежом уходит запрос с именем и телефоном клиента, это передача за рубеж.

Штрафы стали серьёзными. С 30 мая 2025 года за утечку данных от тысячи человек компания платит от 3 до 15 миллионов рублей в зависимости от масштаба, за неуведомление Роскомнадзора об утечке — от 1 до 3 миллионов, за повторную утечку — от 1 до 3% выручки, но не меньше 20–25 миллионов (закон № 420-ФЗ). Оборотных штрафов пока никто не получил: по данным Роскомнадзора на август 2026 года, повторных утечек с начала 2025 года не было. Но шкала есть, и первая компания, которая под неё попадёт, станет примером для всех остальных.

Отсюда первые вопросы к поставщику: где физически обрабатываются данные, кто ещё их видит и готов ли он подписать договор поручения.

1. Где хранятся мои данные и в какой стране их обрабатывает модель?

Хороший ответ: база названа по стране; для модели названа страна и основание передачи за рубеж.

Красный флаг: «Всё в облаке, всё безопасно», страна модели не названа.

2. Кто ещё видит мои данные: провайдер модели, хостинг, аналитика?

Хороший ответ: есть страница субобработчиков: юрлицо, какие данные, зачем, страна, дата обновления.

Красный флаг: списка нет, или в нём нет провайдера модели, которой вы пользуетесь.

3. Хранит ли провайдер модели мои запросы? Учится ли на них?

Хороший ответ: запрет обучения записан в договоре с провайдером, запросы отправляются в режиме без хранения.

Красный флаг: «Модель не учится» без договора и без настройки, которую можно показать.

4. Предупредите ли вы меня, если поменяете модель или провайдера?

Хороший ответ: новый провайдер появляется в списке субобработчиков до того, как к нему уходят данные; о смене модели сообщают заранее, и старую можно оставить на время.

Красный флаг: «Мы сами выбираем лучшую модель под задачу».

5. Подпишете ли договор поручения обработки персональных данных?

Хороший ответ: да, есть шаблон: перечень действий, цель, меры защиты.

Красный флаг: «Достаточно галочки при регистрации».

6. Как удалить все мои данные и сколько это занимает?

Хороший ответ: кнопка в настройках, выгрузка перед удалением, срок назван, память агента тоже стирается, а то, что остаётся по закону, перечислено.

Красный флаг: «Напишите в поддержку» без срока.

7. Где хранятся ключи и пароли от моих кабинетов?

Хороший ответ: зашифрованы на стороне платформы; модель видит только маску или ссылку на ключ; ключ, случайно вставленный в чат, маскируется.

Красный флаг: «Пришлите ключ в чат», ключ лежит в промпте или в файле, который агент может прочитать.

8. Видит ли агент ключ, когда запускает код?

Хороший ответ: нет: в среду, где выполняется код, попадает заглушка, а настоящий ключ подставляется снаружи.

Красный флаг: ключи лежат в переменных окружения, доступных любому скрипту агента.

9. Может ли агент унести мой ключ на чужой адрес?

Хороший ответ: ключ от маркетплейса уходит только на адрес маркетплейса, запрос с ключом в другое место блокируется.

Красный флаг: агент ходит куда угодно в интернет с вашими ключами.

10. Можно ли дать агенту только чтение или часть действий?

Хороший ответ: да, и поставщик показывает, какие права реально выданы токену; конкретному агенту и сотруднику можно закрыть кабинет.

Красный флаг: «Нужен полный доступ, иначе не заработает».

11. Кто в команде может подключать кабинеты и пользоваться ими?

Хороший ответ: подключает только администратор, у каждой интеграции свой список сотрудников.

Красный флаг: любой сотрудник видит и использует все подключённые кабинеты.

12. Что будет, если уйдёт подрядчик, который настраивал интеграцию?

Хороший ответ: доступы оформлены на аккаунт компании, есть журнал, кто что выдавал, и понятно, где перевыпустить сам ключ в кабинете сервиса.

Красный флаг: ключи хранятся у интегратора.

13. Какие действия агент выполнит без вопроса, а перед какими остановится?

Хороший ответ: решает класс действия: чтение, изменение, необратимое; удаление, отправка и оплата без вашего «да» не выполняются.

Красный флаг: «Модель сама понимает, когда спросить».

14. Что будет, если в письме или отзыве лежит инструкция для агента?

Хороший ответ: текст письма для агента — данные, а не команда; даже если он убедит модель, опасное действие всё равно ждёт вашего подтверждения.

Красный флаг: «У нас фильтр, такие атаки невозможны».

15. Что агент делает ночью, когда спросить некого?

Хороший ответ: готовит действие и ждёт утра, а не выполняет его сам.

Красный флаг: «В фоне подтверждения отключаются, иначе он будет простаивать».

16. Что запоминает кнопка «всегда разрешать»?

Хороший ответ: одну конкретную операцию и на ограниченный срок; на удаление и оплату её нет.

Красный флаг: «Разрешите один раз на всё».

17. Есть ли журнал действий, который агент сам не может переписать, и как остановить агента прямо сейчас?

Хороший ответ: журнал ведёт сервер, в нём видно, кто разрешил действие и чем оно закончилось; кнопка «Стоп» останавливает и фоновые задачи.

Красный флаг: «Смотрите историю чата», «напишите в поддержку».

18. Где у вашей защиты граница? Что вас не спасёт?

Хороший ответ: называет два-три сценария: взлом самой платформы, действия человека с доступом к агенту, уже отправленный платёж.

Красный флаг: «Полная безопасность», «ИИ всё проверяет».

19. Был ли у вас инцидент и что вы изменили после него?

Хороший ответ: дата, что произошло, что изменили и где это записано.

Красный флаг: «Инцидентов не было никогда» или «это конфиденциально».

20. Куда сообщить, если я нашёл уязвимость?

Хороший ответ: есть публичный адрес и срок ответа.

Красный флаг: такого адреса нет.

Последний блок кажется формальностью, но он самый показательный. Разработчики серьёзных агентов пишут о пределах защиты сами, в открытых документах.

В правилах безопасности OpenClaw, одного из самых популярных открытых агентов, сказано: «Любой, кто может управлять агентом, может заставить его сделать всё, что агент умеет». Команда Hermes Agent пишет про свои же подтверждения и фильтры: «Они полезны. Они не граница». А Codex, когда выходит новая модель, не переключает пользователя молча, а показывает экран с выбором: «Можете продолжить с прежней моделью, если хотите».

Поставщик, который не может назвать, где его защита заканчивается, либо не знает этого, либо не хочет говорить. Оба варианта плохие.

Чек-лист можно отправить письмом, но ответы на письма пишут продажники. Быстрее проверить руками:

Умных моделей сегодня много, и через полгода они снова поменяются. Поэтому выбирать стоит не модель, а устройство вокруг неё: где лежат данные, у кого ключи, что агент делает без вопроса и говорит ли поставщик правду о своих границах.

Двадцать вопросов выше можно задать любому поставщику. Ответы на них скажут о сервисе больше, чем любая демонстрация.