Politika Ispolzovaniya Ii

---
name: politika-ispolzovaniya-ii
description: >
  Локализация РФ. Черновик внутренней политики использования ИИ в организации: разрешённые/
  запрещённые сценарии, роли и ответственность, процесс одобрения новых сценариев, соответствие
  152-ФЗ и отраслевым нормам, guidelines для сотрудников. Использует soft law (Кодекс этики в сфере
  ИИ) и принципы Указа №490/2019 там, где твёрдой нормы нет — помечено явно. Используй при словах
  «составь политику использования ИИ», «нужен AUP для AI», «черновик политики про нейросети».
argument-hint: "[новая политика / ревью существующей]"
user-invocable: true
---

<!--
Локализация РФ на основе ru-legal/packs/ai-governance/skills/policy-starter/SKILL.md
(Apache-2.0). Существенно переработано: правовая основа в разделе 1.2 источника смешивала твёрдые
нормы и мягкое право без различения («Указ 490/2019», Кодекс этики, ФЗ-258 — всё подавалось единым
списком как «применимое законодательство»); здесь источники прямо разделены на обязательные нормы
и soft law с явной пометкой статуса каждого. Убран список «ролей» (AI Officer, DPO, CISO, AI Ethics
Committee) как будто обязательных по закону штатных позиций — переформулирован как рекомендация по
распределению ответственности, которую организация вправе оформить любыми названиями должностей;
российское право таких позиций не предписывает. Раздел 3 (разрешённые/запрещённые use cases)
переписан без ссылки на несуществующий в этом плагине `use-case-triage` (в источнике — свой; в этом
форке роль триажа для сценариев с ПДн играет `personalnye-dannye:use-case-triage`).
-->

# Черновик политики использования ИИ

## Контекст дела

Прочитай `~/.claude/plugins/config/claude-for-legal-ru/regulirovanie-ii/CLAUDE.md`. Файла нет или
в нём остались `[ЗАПОЛНИТЬ]` — стоп: «Плагину нужна настройка, запусти
`/regulirovanie-ii:cold-start-interview-rii`.»

Если включён режим `vedenie-del` и есть активное дело — черновик пиши в папку дела.

## Предусловия

- Cold-start пройден.
- Есть хотя бы черновой `reestr-sistem-ii` (для реалистичности документа, а не абстрактного шаблона).
- Заинтересованные стороны определены (юрист, комплаенс, IT, бизнес-подразделения).

## Твёрдая норма vs soft law — разделяй явно в документе

Прежде чем писать раздел «Правовая основа» политики, отдели:

**Твёрдая норма (обязательна):**
- Конституция РФ, ГК РФ (часть 4 — вопросы интеллектуальной собственности)
- 152-ФЗ «О персональных данных», в т.ч. ст. 16 (решения на основе исключительно
  автоматизированной обработки)
- ФЗ от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в РФ» —
  основная часть с 01.09.2026, обязанности разработчиков/маркировка/уведомление о правах генерации
  с 01.03.2027 `[сверено 2026-08-27]`
- 115-ФЗ «О противодействии легализации» — если AI применяется в AML-контуре
- ФЗ-149 «Об информации» — если организация подпадает под требования к организаторам
  распространения информации / рекомендательным технологиям
- Отраслевые нормы (Банк России, Росздравнадзор, Минобрнауки — по применимости)
- Внутренние локальные нормативные акты организации

**Мягкое право / рекомендательный ориентир (не создаёт юридической обязанности):**
- Указ Президента РФ от 10.10.2019 № 490 «О национальной стратегии развития ИИ» — акт
  стратегического планирования, адресован органам власти, не создаёт прямых обязанностей для
  частных организаций; используется как источник принципов (антидискриминация, прозрачность,
  безопасность), не как норма прямого действия.
- Кодекс этики в сфере искусственного интеллекта (2021, при координации Альянса в сфере ИИ) —
  добровольный документ, присоединение к нему не создаёт юридической обязанности. Если организация
  подписала Кодекс — это факт позиционирования, не источник обязательных требований; не выдавать
  его положения за требование закона.

Явное разделение защищает документ от главной ошибки при переносе рамок из других юрисдикций —
подачи рекомендации как обязательной нормы.

## Структура политики

```markdown
# Политика использования искусственного интеллекта
# [Полное наименование организации]

**Версия:** 1.0
**Дата утверждения:** [ДД.ММ.ГГГГ]
**Утверждено:** [руководитель / совет директоров — в зависимости от значимости]
**Следующий пересмотр:** [ДД.ММ.ГГГГ] (рекомендуется ежегодно)
**Применимость:** все сотрудники, подрядчики, представители

## 1. Общие положения

### 1.1. Цели
[Полное наименование] (далее — Организация) применяет технологии искусственного интеллекта (ИИ)
для повышения эффективности деятельности при соблюдении прав сотрудников, клиентов и третьих лиц.

Настоящая политика определяет: принципы применения ИИ Организацией; разрешённые и запрещённые
сценарии использования; процесс одобрения новых сценариев; роли и ответственность; соответствие
применимому законодательству РФ.

### 1.2. Правовая основа
См. раздел «Твёрдая норма vs soft law» выше — включить в документ с явным разделением, а не единым
списком.

### 1.3. Применимость
Распространяется на: все AI-системы, используемые Организацией; всех сотрудников, занятых в
разработке/внедрении/эксплуатации AI; клиентов/пользователей, затрагиваемых решениями AI;
подрядчиков с доступом к AI-системам Организации; отношения с AI-вендорами.

### 1.4. Определения
- **Искусственный интеллект (ИИ)** — технология, позволяющая на основе обучения на данных
  генерировать результаты (прогнозы, классификации, рекомендации, контент, решения).
- **AI-система** — программное/аппаратное решение, реализующее ИИ.
- **Большая фундаментальная модель ИИ** — по определению ст. 3 п. 2 243-ФЗ: программа с числом
  обучаемых параметров не менее 1 млрд, решающая широкий круг интеллектуальных задач `[сверено
  2026-08-27]`. Применимо только если Организация сама разрабатывает такую модель.
- **AI-вендор** — сторонняя организация, предоставляющая AI-сервис/API/библиотеку.
- **Ответственный за ИИ** — должностное лицо, на которое возложена координация AI-governance в
  Организации (организационная роль по внутреннему решению, не статус, предусмотренный законом).
```

### Раздел 2: Принципы

```markdown
## 2. Принципы

Использование ИИ в Организации опирается на следующие принципы (соответствуют направлению,
заданному Указом №490/2019 — как ориентиру, не как обязательной норме для частной организации):

### 2.1. Защита прав и свобод человека
ИИ не используется способом, нарушающим основные права. В частности: право на защиту ПДн (152-ФЗ);
право не подвергаться решению на основе исключительно автоматизированной обработки со значимыми
последствиями без возможности возражения и пересмотра человеком (ст. 16 152-ФЗ); право на
информацию о применении ИИ.

### 2.2. Безопасность
AI-системы обеспечивают защиту данных, операций, инфраструктуры: кибербезопасность, защита от
попыток манипуляции моделью, непрерывность работы.

### 2.3. Прозрачность
Организация документирует использование ИИ (`reestr-sistem-ii`), раскрывает применение ИИ
пользователям в применимых контекстах (`uvedomlenie-polzovatelej-ii`), даёт разумные объяснения
решений, затрагивающих пользователей, ведёт журнал проверок.

### 2.4. Технологическая независимость
Приоритет — российским AI-решениям там, где применимо; open-source self-hosted решениям для
контроля; снижению зависимости от зарубежных вендоров с санкционной экспозицией. Это принцип
организационной политики, а не юридическое требование конкретной нормы.

### 2.5. Ответственность
ИИ не заменяет ответственность человека за материальные решения. Чёткое распределение — кто
отвечает за каждый сценарий использования. Документирование решений для возможности аудита и
обжалования.

### 2.6. Защита уязвимых групп
Особое внимание: несовершеннолетние; лица с инвалидностью (соблюдение ФЗ-181); защищённые ст. 3 ТК
категории в HR-сценариях применения ИИ.
```

### Раздел 3: Разрешённые и запрещённые сценарии

```markdown
## 3. Разрешённые и запрещённые сценарии

### 3.1. Разрешены без специального одобрения
- Инструменты продуктивности (ассистирование разработке, черновики документов) с разумными
  ограждениями
- Внутренняя классификация/поиск без ПДн
- Типовые чат-боты для FAQ без обработки чувствительных данных
- (Иные сценарии с низким риском по оценке Организации)

### 3.2. Требуют оценку вреда субъектам перед запуском
- ИИ, обрабатывающий специальную категорию ПДн (ст. 10 152-ФЗ)
- Клиентский ИИ, затрагивающий значительное число пользователей
- ИИ в решениях с юридическими последствиями для физлица (ст. 16 152-ФЗ)
- (См. `personalnye-dannye:use-case-triage` для полного разбора применительно к ПДн-компоненту)

### 3.3. Ограниченные сценарии (с дополнительными мерами)
- ИИ в найме — только ассистирование, не автоматический отказ без проверки человеком
- ИИ в медицинском ассистировании — решение остаётся за врачом
- Кредитный скоринг — с раскрытием и правом на пересмотр

### 3.4. Запрещены
- Системы социального рейтингования
- Наблюдение без правового основания
- Манипулятивные практики в отношении уязвимых групп
- ИИ, выдающий себя за человека без раскрытия
- (Иные сценарии по решению Организации)
```

### Раздел 4: Governance

```markdown
## 4. Организация управления

### 4.1. Распределение ответственности

Организация вправе оформить распределение ответственности любыми внутренними должностями —
законодательство РФ не предписывает конкретные штатные позиции для AI-governance. Рекомендуемое
распределение функций:

- **Координация AI-политики и одобрение сценариев повышенного риска** — назначенное ответственное
  лицо, подотчётное руководству.
- **152-ФЗ / отраслевой комплаенс** — совместно с тем, кто уже отвечает за ПДн в Организации
  (`personalnye-dannye`).
- **Кибербезопасность AI-систем** — служба информационной безопасности.
- **Комитет по вопросам ИИ** (опционально, для крупных организаций) — состав: ответственный за AI +
  комплаенс + юрист + представители бизнеса; периодичность по решению Организации; рассматривает
  сценарии повышенного риска.

### 4.2. Процесс одобрения
1. Сценарий использования предложен.
2. Если сценарий обрабатывает ПДн — `personalnye-dannye:use-case-triage`.
3. Если триаж не выявил необходимости оценки вреда — стандартное внедрение.
4. Если выявил — `personalnye-dannye:pdn-assessment` + одобрение ответственного за AI.
5. Для сценариев из раздела 3.3 — усиленные меры + ответственный за AI + при значимости outside-
   адвокат.
6. Сценарии из раздела 3.4 — не реализуются.

### 4.3. Отчётность
- Инциденты ИИ — сообщаются через [канал].
- Периодический обзор портфеля AI-систем (реестр — `reestr-sistem-ii`).
- Ежегодный пересмотр политики.
```

### Раздел 5: Соответствие конкретным нормам

```markdown
## 5. Соответствие требованиям

### 5.1. 152-ФЗ (для ИИ, обрабатывающего ПДн)
Правовое основание установлено для каждого сценария; уведомление РКН подано, если применимо;
оценка вреда субъектам (ст. 18.1) — для случаев повышенного риска; локализация (ч. 5 ст. 18)
обеспечена; право на информацию и пересмотр человеком (ст. 16) реализовано.

### 5.2. Интеллектуальная собственность
Обучающие данные лицензированы надлежащим образом (см. `proverka-obuchayushchih-dannyh`, если
Организация обучает модель самостоятельно); принадлежность результата генерации определена по
условиям договора с вендором; избегание нарушения прав в выводах модели.

### 5.3. Отраслевое
Финансовый AI — регуляторика Банка России; медицинский — при квалификации как медицинское изделие,
регистрация Росздравнадзором; образовательный — требования Минобрнауки; (иное отраслевое —
по применимости).

### 5.4. Противодействие дискриминации
Защищённые категории по ст. 3 ТК/Конституции РФ/ФЗ-181; тестирование на предвзятость перед
запуском; постоянный мониторинг дрейфа.

### 5.5. Управление вендорами
Все договоры с AI-вендорами проверены (см. `proverka-postavshchika-ii`); санкционная экспозиция
учтена; резервные вендоры/план отказа задокументированы.
```

### Раздел 6: Guidelines для сотрудников

```markdown
## 6. Правила для сотрудников

### 6.1. Используйте только одобренные инструменты
Личные аккаунты ChatGPT/Claude/иных сервисов не используются для рабочих данных. Используются
только AI-инструменты, одобренные ответственным за AI.

### 6.2. Конфиденциальность
Конфиденциальные данные и ПДн не передаются во внешние AI-инструменты без одобрения. Одобренные
инструменты могут иметь собственные гарантии обработки данных — проверяйте условия по конкретному
инструменту.

### 6.3. Проверка результата
Результаты AI могут содержать ошибки/выдуманные факты. Проверяйте фактические утверждения перед
использованием — особенно критично для юридического/финансового/медицинского контента.

### 6.4. Раскрытие
При использовании AI в рабочих материалах, затрагивающих третьих лиц, — раскрывайте применение
в соответствующем контексте. Не выдавайте результат AI за самостоятельную работу человека без
надлежащей атрибуции там, где это имеет значение.

### 6.5. Сообщение о проблемах
Об инцидентах (ошибки с последствиями, обнаруженная предвзятость, вопросы безопасности) —
немедленно сообщайте ответственному за AI.
```

### Раздел 7: Обновление и пересмотр

```markdown
## 7. Обновление и пересмотр
Ежегодный пересмотр политики с участием всех заинтересованных сторон. Событийное обновление при:
существенном изменении применимого законодательства; материальном инциденте; новом значимом
сценарии использования; смене вендора. Коммуникация обновлений сотрудникам; повторное обучение при
существенных изменениях.
```

### Раздел 8: Ответственность за нарушения

```markdown
## 8. Ответственность за нарушения
Нарушения настоящей политики могут повлечь: дисциплинарное взыскание по ТК РФ; сообщение
регулятору, если нарушение приближается к правонарушению; при наиболее тяжёлых случаях —
ответственность по применимому законодательству. Ознакомление под подпись — обязательно для всех
сотрудников.
```

## Workflow

### Шаг 1. Определи объём и уровень зрелости
Малая организация — компактная политика (5–10 страниц). Средняя — развёрнутая (20–30 страниц).
Крупная — многоуровневая система документов (политика + стандарты + процедуры).

### Шаг 2. Составь разделы
Используй шаблон выше, адаптируй под отраслевую специфику, зрелость по AI, размер, аппетит к риску
организации (см. `CLAUDE.md` плагина).

### Шаг 3. Ревью заинтересованными сторонами
Юридическое ревью; ревью комплаенса; ревью IT/безопасности; обратная связь от бизнес-подразделений;
(для значимой организации) ревью outside-адвоката ФПА; ревью руководства/совета директоров.

### Шаг 4. Утверждение и распространение
Формальное утверждение по внутреннему порядку организации; коммуникация сотрудникам; обучение
(рекомендуется); ознакомление под подпись.

### Шаг 5. Операционализация
Наладить процессы: `personalnye-dannye:use-case-triage` работает; шаблон оценки вреда и порядок
одобрения; ведение `reestr-sistem-ii`; процесс проверки вендора; канал сообщения об инцидентах.

## Чего не делает

- Не заменяет полное юридическое ревью для организаций со значимым правовым риском.
- Не занимается операционализацией — это HR/IT/комплаенс.
- Не ведёт учёт конкретных внедрений — это `reestr-sistem-ii`.

---

Проверки перед выдачей:
- [ ] Правовая основа разделена на твёрдую норму и soft law явно, а не единым списком
- [ ] Ни одна рекомендация (Указ №490/2019, Кодекс этики) не подана как обязательное требование
      закона
- [ ] Роли (ответственный за AI, комитет и т.п.) описаны как организационное решение, не как
      предусмотренный законом статус