Утечки конфиденциальных данных охватили каждую вторую российскую компанию

Половина российских компаний (50,5%) либо подозревает утечки конфиденциальных данных через ИИ-инструменты, либо уже зафиксировала такие инциденты. По данным совместного исследования ООО "УЦСБ" и ГК "Солар", 42,4% компаний сообщили о подозрениях без подтвержденных случаев, а 8,1% столкнулись с реальными утечками. Еще 49,5% не подозревали и не сталкивались.

В исследовании приняли участие 102 компании из сферы телекоммуникаций, промышленности, финансов, госсектора, энергетики, транспорта, логистики, торговли, медицины и строительства.

По словам авторов исследования, рынок поделился на два лагеря: половина компаний либо уже теряет данные через искусственный интеллект (ИИ), либо опасается этого, вторая половина - не видит проблемы. При этом доля подозрений значительно превышает долю подтвержденных инцидентов, что может указывать на недостаточную зрелость средств мониторинга, расследования и контроля использования ИИ-инструментов.

Также ситуация усугубляется динамикой угроз. Согласно исследованию ГК "Солар", в 2025 г. утечки данных в публичные LLM выросли в 30 раз. Однако, как показывают новые данные, половина компаний даже не подозревает, что такие утечки возможны у них.

В исследовании также говорится, что главной неудовлетворенной потребностью в области безопасности ИИ является развитие компетенций и внутренних регламентов. 63,6% компаний отметили нехватку обучения сотрудников и разработки внутренних политик AI Security. Этот показатель оказался выше, чем спрос на любые технологические решения.

Как утверждают авторы исследования, бизнес ждет от рынка не только средств защиты информации, но и четких правил игры, методологий и квалифицированных кадров. При этом разрыв между запросами на обучение и на технологические средства показывает, что компании осознают: без компетенций и регламентов даже самые совершенные инструменты не дадут полной защиты.

"Многие компании внедряют генеративные модели быстрее, чем выстраивают контроль за ними. При этом бизнес фиксирует или подозревает утечки чувствительных данных. И проблема не сводится к отсутствию файрволов - ее корень в разрыве между скоростью внедрения ИИ и зрелостью управленческих практик. Технические средства решают локальные задачи, но не дают системной устойчивости. Показательно, что около двух третей опрошенных организаций указывают на нехватку обучения сотрудников и внутренних политик AI Security. Без встроенных в DevSecOps-процессы регламентов и регулярного повышения квалификации команд любое технологическое решение остается полумерой. Нужен комплексный подход, объединяющий политики, обучение и технологический контроль в единый конвейер безопасной разработки", - отметил руководитель направления безопасной разработки УЦСБ Евгений Тодышев.

"Наибольшие риски возникают тогда, когда сотрудники используют публичные ИИ-сервисы для решения рабочих задач и отправляют внутренние документы, фрагменты исходного кода, коммерческую информацию, персональные данные в общедоступные LLM. В этот момент организация фактически теряет контроль над тем, где эти данные обрабатываются, как долго хранятся и у кого потенциально может быть к ним доступ", - рассказал руководитель отдела технического пресейла ООО "АйТи Таск" (IT Task) Михаил Тимаев.

"Еще одна причина частых утечек - отсутствие единых правил и регламентов. Использование ИИ является частью рабочих процессов, но регламенты по его использованию появились далеко не везде. Пока сотрудники сами решают, какие данные можно направлять в LLM, а какие - нет, риск утечки будет сохраняться", - добавил Михаил Тимаев.

Авторы исследования говорят о том, что 33,3% организаций не применяют никаких специальных мер защиты ИИ. Эти результаты показывают неоднородность зрелости подходов к защите ИИ. С одной стороны, 66,7% компаний уже используют хотя бы одну из специализированных мер защиты, с другой - треть организаций остается без специальных механизмов, несмотря на высокий уровень декларируемых рисков.

"Результаты исследования подтверждают выводы, которые мы видим в работе с клиентами. Бизнес стремится применять ИИ управляемо - без потери контроля над данными и скорости работы команд. Самый понятный для заказчиков сценарий - защита информации, которую сотрудники и бизнес-системы передают в языковые модели. Но по мере более глубокого внедрения ИИ задача будет расширяться. Компаниям потребуется не только защищать данные, но и управлять правилами использования моделей, проверять их запросы и ответы, а также отслеживать действия ИИ-агентов во внешних системах", - рассказала руководитель продукта Solar webProxy ГК "Солар" Анастасия Хвещеник.

"Дополнительные риски создает и недостаток контроля. Многие организации пока не имеют возможности или не считают необходимым отслеживать, какие именно данные передаются в публичные сервисы. Поэтому проблема становится заметной только тогда, когда компания уже столкнулась с утечкой конфиденциальной информации", - отметил Михаил Тимаев.