Уволили не за ИИ: дело о DeepSeek — про контроль границы, а не про нейросети

«Уволили за использование DeepSeek», «Москвичку уволили из-за нейросетей» — так этот кейс разошёлся по части лент, а в пересказе сжался ещё сильнее: используешь ИИ — увольнение. Уволили, однако, не за нейросеть, а за то, что конфиденциальные данные вышли за периметр — сразу несколькими маршрутами, и один из них служба ИБ умеет ловить лет двадцать. Разбираю дело не как юридическое, а как инцидент: что должно было сработать в компании, почему запрет ИИ ничего не закрывает и как выглядит рабочая альтернатива — доверенный контур.

По сообщениям СМИ и пресс-службы судов Москвы, Бабушкинский районный суд (дело № 02-1545/2026) признал законным увольнение директора по продажам московской инженерной компании за разглашение сведений, составляющих коммерческую тайну. На должности она проработала менее полугода, оклад — свыше 800 тысяч рублей в месяц.

Работодатель вменял ей три эпизода:

Уволенная требовала через суд изменить формулировку увольнения и выплатить «золотой парашют» — 5 млн рублей. Суд отказал: деловой необходимости извлекать сведения из защищённого ресурса и размещать их на сторонних сервисах он не увидел. Это решение первой инстанции, оно ещё может быть обжаловано.

Формулировку суда стоит выписать себе целиком: «Выгрузка сведений, составляющих коммерческую тайну и (или) являющихся конфиденциальной информацией, в систему искусственного интеллекта Deepseek является разглашением таких сведений».

Вот что здесь важно для ИБ. Разглашением суд счёл саму выгрузку. Не публикацию, не доказанный ущерб, не то, что данные где-то всплыли, — достаточно факта передачи в чужую систему. Технически передача и публикация — два разных события с разными контролями. Юридически хватило первого.

Формулировка «уволили за использование ИИ» удобна для ленты и вредна для работы. Она подсказывает неверный вывод: запретим нейросети — закроем риск.

Заголовки, кстати, разошлись ровно по этой линии. Точные: РИА и «Ведомости» — «уволили за разглашение тайны через DeepSeek», CNews — «за загрузку документов в DeepSeek». Тайна как основание, нейросеть как инструмент, всё на своих местах. И причинные: «Эксперт» — «уволили за использование DeepSeek», news.ru — «уволили из-за нейросетей». Разница в одном предлоге, а вывод читатель делает противоположный.

Но нейросеть здесь — только один из каналов. Второй — документы на личную почту в скрытой копии — к ИИ отношения не имеет вовсе: внешний адрес в BCC умеют ловить с нулевых. Третий — передача сведений контрагенту напрямую — автоматическому контролю поддаётся хуже всего: технической телеметрии может не остаться вовсе.

Разведём два разных утверждения:

Инцидент случился не потому, что появился DeepSeek, а потому, что данные пересекали границу контролируемой зоны сразу несколькими маршрутами — достаточно долго, чтобы сложиться в три эпизода. Какие контроли у работодателя стояли и чем он это обнаружил, из публикаций не установить: доказательства он в итоге собрал, а вот помешать — не помешал.

Если из этой истории вы вынесете только «заблокировать нейросети» — вы закроете один канал из трёх и получите ложное ощущение защищённости.

Два технических маршрута из трёх эпизодов — те, что вообще видны средствами защиты. Один ИБ-функция ловит двадцать лет, второй во многих знакомых мне организациях не описан ни одной политикой, третий — разговор с контрагентом — техника не увидит.

Этот кейс отличается от сотен похожих одной деталью: работодатель не просто заподозрил, а сумел доказать. Именно на этом обычно всё и рассыпается — «мы точно знаем, что он слил» превращается в проигранный трудовой спор и восстановление на работе.

Что для доказуемости нужно иметь заранее:

1. Введённый режим конфиденциальной информации или коммерческой тайны. Перечень сведений — обязательная часть, но не весь режим: нужны ещё порядок доступа, учёт допущенных лиц, условия в договорах, маркировка носителей. И часть данных охраняется независимо от вашего режима: файл с зарплатами коллег — персональные данные, у них своё основание и своя ответственность.

2. Ознакомление работников под подпись — и с перечнем, и с правилами обращения, и с последствиями. В трудовом договоре и локальных актах — внятным языком, а не отсылкой к номеру закона: формулировку, которую человек не понял при подписании, придётся объяснять уже суду.

3. Логи в системе-источнике. В кейсе данные брались из BI. Вопрос на 100 рублей: сможете ли вы по конкретному отчёту сказать, кто выгружал его за последний квартал? Если ответа нет — расследование начнётся не с фактов, а с их реконструкции, что бы ни стояло на периметре.

4. Почтовая телеметрия, которая видит внешние адреса в скрытой копии. BCC на личный домен — не экзотика, а один из самых старых и до сих пор рабочих каналов выноса.

5. Контроль веб-канала на уровне «куда именно и что именно». Про то, где заканчивается видимость NGFW и DLP на маршруте в облачные ИИ-сервисы, я подробно писал в статье про тихие утечки данных (https://vc.ru/ikovale/3043761-tikhie-utechki-dannykh-kak-ciso-kontrolirovat-internet-traffik-sotrudnikov) — повторяться не буду.

6. Соблюдённая процедура — объяснение работника, сроки, правильно оформленное взыскание. Это обязательный минимум; внутреннее расследование с актами — уже надстройка над ним. Технический факт без процедуры в трудовом споре не работает.

И критерий, который стоит забрать себе в формулировки политик: деловая необходимость. Суд оценивал не то, «плохая» нейросеть или «хорошая», а то, была ли рабочая надобность вытаскивать данные из защищённого контура наружу. Это удобная и понятная рамка для разговора и с юристами, и с бизнесом.

Когда мы говорим «DeepSeek», по умолчанию подразумевается бесплатный публичный чат-бот на deepseek.com. Что это значит для данных:

Дальше данные живут там, где доступом управляете не вы, — а спрос на них есть всегда: от конкурентной разведки до подготовки целевого фишинга.

В обсуждениях эту тему обычно сворачивают к «уволят, а потом ещё и посадят». Разложим корректно.

Работодатель своей властью применяет дисциплинарные меры — вплоть до увольнения. Отдельно стоит материальная ответственность: ущерб в пределах среднего месячного заработка взыскивается распоряжением, всё сверх — через суд. А вот административная и уголовная — не его инструмент вовсе: он может лишь обратиться в правоохранительные органы.

Для ИБ-функции отсюда два практических следствия.

Первое: единственная карательная мера, которую компания применяет сама и сразу, — дисциплинарная, и работает она ровно настолько, насколько собрана доказательная база. Всё остальное — не ваша зона "доступности".

Второе, менее очевидное: санкции не масштабируются на работника, у которого нет разрешённого способа решить задачу. Мотив уволенной не установлен — это могло быть и стремление быстрее делать работу, и осознанный вынос; контроли обязаны покрывать оба сценария. Но закономерность от мотива не зависит: если единственный ответ компании на «мне нужен ИИ для работы» — «нельзя», вы получите не дисциплину, а shadow AI: те же действия, но с личного устройства и мимо любых логов.

Поэтому я предлагаю не ограничения и запреты, а доверенный контур — разрешённый способ работать с ИИ, где сохраняются контроль и доказуемость. Из чего он собирается:

1. Договор, а не публичные условия. С поставщиком — письменные обязательства: без обучения на ваших данных, сроки хранения и удаления, уведомление об инцидентах, доступ к журналам. Одного NDA мало: под персональные данные нужно поручение на обработку. Это минимальный каркас, а не полная архитектура закупки.

2. Аутентификация через корпоративный SSO и привязка к роли. Это даёт ответ на «кто и когда» — но не на «что именно передал»: содержимое SSO не логирует, за него отвечает отдельный контроль.

3. Логирование на вашей стороне. Не полагайтесь на журналы поставщика — телеметрия обращений должна доходить до вашего SIEM. Только решите заранее, что в неё попадает: сложите туда промпты целиком — и SIEM сам станет хранилищем коммерческой тайны и персональных данных.

4. Явный класс допустимых данных — что можно отправлять в контур, а что нельзя нигде и никогда. С маркировкой и автоматизированным контролем обработки маркированного: тот самый DLP, только применённый к веб-каналу.

5. Своя или доверенная площадка вместо публичного чата. Путей два: открытые модели с весами — Kimi, Qwen, MiniMax, то же семейство DeepSeek — на своей инфраструктуре или у российского провайдера; либо отечественные сервисы с корпоративным договором — ГигаЧат, Алиса. Конкретная модель здесь вопрос задач, лицензии и бюджета, а не идеологии: меняется другое — появляется контрагент с договором и юрисдикция, в которой этот договор исполним.

Две оговорки. Корпоративный тариф и публичный чат — разные вещи у любого вендора: бесплатная версия российского сервиса регулируется такой же офертой, как и любая другая. И «у российского провайдера» — это всё ещё третья сторона: трансграничность уходит, вопросы изоляции и привилегированного доступа остаются. Периметра данные не покидают только при автономном развёртывании — но и тогда режим конфиденциальности, разграничение доступа и логирование никуда не деваются. Модель не знает, что данные конфиденциальны, — это знает только ваша политика.

6. Обучение людей и одно понятное правило. Не сорок страниц регламента, а формулировка, которую сотрудник вспомнит в момент, когда рука тянется к Ctrl+V: что можно нести в контур, чего нельзя нести никуда, и куда идти, если задача не решается в разрешённых рамках.

Контур меняет не технологию, а адресата доверия: вместо публичной оферты — договор, вместо чужих журналов — свои. Сама модель при этом вполне может остаться той же.

1. Инцидент был не про ИИ, а про границу. Нейросеть — один из каналов выноса данных, наравне с личной почтой. Блокировка ИИ-сервисов без контроля остальных маршрутов даёт защиту на бумаге.

2. Детект без доказуемости ничем не заканчивается. Обнаружить — только половина: нужны режим конфиденциальности, подписи об ознакомлении, логи в системе-источнике и соблюдённая процедура, иначе технический факт утечки не превращается ни в какое решение.

3. Сам работодатель применяет только дисциплинарные меры — плюс материальную ответственность в установленных законом пределах. Административная и уголовная — через госорганы и суд. Планируйте исходя из того рычага, который у вас реально есть.

4. Запрет без альтернативы производит shadow AI. Нужен разрешённый способ: доверенный контур с договором, SSO, своим логированием и понятными правилами по классам данных.

5. Смена площадки ≠ снятие режима. Автономное развёртывание закрывает передачу наружу и только её; размещение у российского провайдера — это по-прежнему третья сторона, просто с договором и в понятной юрисдикции. Конфиденциальность, доступ, NDA с подрядчиками и журналы в любом случае остаются вашей зоной ответственности.

Проверка зрелости на понедельник простая. Возьмите любой чувствительный отчёт из вашей BI-системы и попробуйте ответить на два вопроса: кто выгружал его за последний квартал — и куда этот файл ушёл дальше. Если ответа нет ни на один, то дело о DeepSeek — не новость из ленты, а репетиция вашего собственного разбирательства.