Сколько ИИ-сервисов использует ваша компания прямо сейчас? Если точного ответа нет — это и есть риск: теневой ИИ обрабатывает клиентские базы, код и внутренние документы вне всякого контроля. Разбираем, что такое AI BOM, из каких шести категорий состоит ИИ-парк типичной организации и как за пять шагов собрать реестр, который выдержит вопросы и аудитора, и крупного заказчика.
В каждой второй организации, к которой мы приезжаем на аудит, официально «внедрён один ИИ-сервис». Реальный подсчёт по подпискам, браузерным расширениям и логам даёт десятки.
Корпоративный доступ к чату с моделью закуплен и согласован. Рядом с ним живут личные подписки разработчиков, бесплатные тарифы у маркетинга, «временные» скрипты поверх API моделей и ИИ-функции, молча включённые в офисном пакете и CRM. ИТ-департамент эти каналы не выбирал и не согласовывал.
У несогласованного сервиса неизвестны ни условия обработки данных, ни юрисдикция вендора, ни ответственный за инцидент. Классические средства контроля здесь слепы: запрос к облачному чату из браузера не отличить от обычной рабочей переписки. Этот слой так и называют — теневой ИИ.
Штрафы за утечку персональных данных по ст. 13.11 КоАП: до 15 млн ₽ за разовый инцидент, при повторах — оборотные от 20 млн ₽ (до 1–3% выручки). Параллельно заказчики всё чаще спрашивают на тендерах регламент работы с ИИ и карту данных. Отвечать «не знаем, что у нас работает» стало дорого.
Подробная таксономия того, что именно угрожает ИИ-контуру, — в отдельном гайде «Угрозы ИИ-разработкам в 2026 году». Здесь — про первый шаг защиты: инвентаризацию.
AI BOM (AI Bill of Materials) — перечень всех ИИ-активов организации: моделей, сервисов, наборов данных, ботов и агентов — с указанием, какие данные через них проходят, кто имеет доступ, кто вендор и какой риск присвоен каждому элементу.
Идея не нова по форме. В классической разработке давно существует SBOM — перечень компонентов программного продукта: библиотек, зависимостей, лицензий. Логика простая: пока не знаешь, из чего состоит твой софт, не можешь оценить его уязвимости. За последние годы инвентаризацию компонентов закрепили как базовую гигиену поставки ПО профильные ведомства по кибербезопасности (в США — CISA своими руководствами по SBOM) и инженерные сообщества вроде OWASP.
AI BOM переносит тот же принцип на искусственный интеллект, только перечень получается шире: в него попадают не только компоненты вашего кода, но и сторонние сервисы, которые обрабатывают ваши данные, — от облачного чата до скоринга в CRM. Коммерческие платформы AI Security уже встроили такой поиск в продукты под именем AI Discovery с обещанием «eliminate shadow AI» — сделать невидимый слой видимым.
В России готовых публичных сканеров ИИ-активов мы не встречаем — ни у классических ИБ-вендоров, ни у интеграторов. Поэтому рабочим инструментом остаётся экспертная инвентаризация: методически простой, но трудоёмкий проход по закупкам, подпискам, логам и командам. Важно понимать: AI BOM — это не разовый отчёт в ящик, а живой документ, который обслуживается и пересматривается.
ИИ-парк любой компании складывается в шесть категорий. Для каждой — свой набор вопросов, которые реестр обязан отвечать.
Самая массовая категория: корпоративные доступы к диалоговым моделям — и рядом личные аккаунты сотрудников, которые никто не считал. Фиксируем: вендор и тариф; кто имеет доступ; режим использования данных (отключено ли обучение модели на ваших запросах); какие данные сотрудники вставляют в диалоги — тикеты, базы, черновики контрактов.
Сервисы текстов, переводов, изображений и видео. Часто бесплатные и «личные», при этом через них идут маркетинговые планы, черновики статей и презентаций для клиентов. Фиксируем: вендора; права на сгенерированный результат; конфиденциальность исходников; запрет публикации чужих персональных данных в промптах.
Автодополнение в IDE, генерация тестов, ИИ-ревью. Вопрос номер один — уходит ли проприетарный код на сторону вендора и включено ли обучение на нём. Фиксируем: режим обработки кода у вендора; какие репозитории затронуты; лицензионные риски сгенерированных фрагментов; кто из команды пользуется личными подписками.
Скоринг, прогнозы спроса, распознавание документов и речи — встроенные в бизнес-системы или облачные. Часто именно здесь проходят персональные данные клиентов. Фиксируем: какие данные поступают на вход и в каком виде; где физически идёт обработка; кому принадлежит модель; цену ошибки решения (ложный отказ клиенту, неверная категория).
Боты «спроси у внутренней базы»: над документами, тикетами, базой знаний. Их главный риск — права: бот, у которого доступ шире, чем у спрашивающего, превращает иерархию доступа в решето. Фиксируем: какие хранилища подключены; чьи права наследует бот; где живут индексы и кэш ответов; кто отвечает на вопрос «бот процитировал не тот документ».
Собственные и дообученные модели, датасеты, агентные сценарии с доступом к почте, файлам и API. Самая дорогая и самая уязвимая категория: здесь применим и первый закон об ИИ — 243-ФЗ. Фиксируем: происхождение весов и датасетов; права агентов (какие действия им разрешены); логирование; владельца каждого актива.
Минимальная рабочая форма — пять колонок. Пример заполнения для типичной компании из 100–300 человек:
| Актив | Где используется | Данные | Риск | Статус |
|---|---|---|---|---|
| Чат с LLM (корп. тариф) | Поддержка, маркетинг | Тикеты, обезличенные обращения | Средний: передача данных вендору | Разрешён с ограничениями |
| Личный аккаунт в код-ассистенте | Отдел разработки | Фрагменты проприетарного кода | Высокий: несанкционированный канал | Требует решения |
| RAG-бот по внутренним документам | HR, юристы | Договоры, шаблоны, приказы | Средний: расширение прав доступа | Пилот |
| ИИ-скоринг в CRM | Продажи | Персональные данные клиентов | Высокий: 152-ФЗ и 420-ФЗ | Разрешён, нужен контроль |
| Генератор изображений (free-тариф) | Маркетинг | Публичные материалы | Низкий | Разрешён |
Колонки можно расширять: вендор, владелец строки, дата пересмотра, ссылка на согласование. Принцип один: каждая строка имеет статус и владельца — строки без статуса и есть теневой ИИ.
Практика наших аудитов: первый проход по этим шагам занимает одну-две недели и не требует остановки работы.
Один ответственный — CISO, CTO или ИТ-директор. Без владельца реестр превращается в разовую таблицу, которая устаревает через месяц.
Закупки и подписки, корпоративные тарифы, ИИ-функции внутри CRM, ERP и офисных пакетов — их часто никто не считал «ИИ», хотя они обрабатывают те же данные.
Логи SSO и прокси, ревизия корпоративных карт и возмещений, браузерные расширения, короткий анонимный опрос команд. Хорошо работает амнистия: заявленный сам сервис не наказывается, а описывается в реестре.
По каждому активу: какие данные через него идут (внутренние, конфиденциальные, персональные), какие права у сервиса и у агентов, куда уходят логи.
Статусы «разрешён / ограничен / запрещён», владелец и дата пересмотра в каждой строке. Пересмотр — ежеквартально и при каждом новом внедрении. Правило входа: нет строки в реестре — нет запуска в работу.
AI BOM — не только ИТ-документ. Три закона превращают его в комплаенс-инструмент.
420-ФЗ — это штрафы за утечки персональных данных (поправки в КоАП, ст. 13.11): первый инцидент обходится до 15 млн ₽, повторный — в оборотный штраф от 20 млн ₽, то есть до 1–3% выручки. Реестр отвечает на первый вопрос проверки: через какие сервисы и модели проходят ПДн и на каком основании.
Правовые основания, цели обработки, локализация, политика. Пока ИИ-сервисы не описаны, ответить на вопрос Роскомнадзора «какие третьи лица обрабатывают персональные данные и почему» невозможно — согласия и поручения оформляются на конкретных получателей.
243-ФЗ от 26.07.2026 — первый закон об ИИ: требования к национальным базовым моделям; часть норм действует с 01.09.2026, часть вступает с 01.03.2027. Тем, кто строит или дообучает модели, реестр моделей и датасетов с происхождением нужен уже сейчас.
Развёрнутый разбор требований и штрафов — в гайдах «ИИ-комплаенс: 420-ФЗ и 243-ФЗ» и бесплатном чек-листе ИИ-комплаенса.
Оставьте контакт — в течение 2 рабочих часов пришлём рамку аудита: полный реестр ИИ-активов, потоки данных, риски и статусы, план закрытия разрывов. Дальше по желанию — Контур защиты ИИ от 250 000 ₽: регламент, классификация, контроли.
Свяжемся с вами в течение 2 рабочих часов.
SBOM описывает компоненты одного программного продукта: библиотеки, зависимости, лицензии. AI BOM шире — это карта всех ИИ-активов организации: подписок, моделей, ботов, агентов и данных, включая сторонние сервисы, которые не являются вашим кодом, но обрабатывают ваши данные. На практике документы дополняют друг друга: SBOM — для продукта, AI BOM — для всей компании.
Именно такие компании теряют данные чаще всего: сотрудник вставляет в диалог клиентскую базу или черновик контракта — и информация уходит вендору на его условиях. AI BOM фиксирует, кто и какими сервисами пользуется, и превращает расхожее «все пользуются» в правила: где можно, где нельзя, что обезличивать.
Комбинацией источников: логи корпоративного SSO и прокси, ревизия корпоративных карт и возмещений, браузерные расширения, анонимный опрос. Ключевая механика — амнистия: сервис, заявленный самим сотрудником, не влечёт санкций, а попадает в реестр. Цель — не найти виноватых, а сделать контур видимым.
Реестр — часть аудита ИИ-использования, от 150 000 ₽, срок около 10 рабочих дней: инвентаризация, классификация данных, оценка рисков, статусы и план закрытия разрывов. Если после аудита нужно внедрять регламент и контроли, следующим шагом берут Контур защиты ИИ — от 250 000 ₽.
Минимум раз в квартал и при каждом новом внедрении или закупке. Рабочее правило: новый ИИ-сервис не включается в работу, пока не получил строку в реестре со статусом и владельцем. Без этого правила теневой слой восстанавливается за несколько месяцев.
Аудит ИИ-использования от 150 000 ₽ и срок 10 рабочих дней: на выходе — готовый AI BOM, разметка потоков данных, комплаенс-риски и приоритизированный план действий. Работаем под NDA: перечни ваших сервисов и данных не покидают контур проекта.
Материал носит информационный характер и не является юридической консультацией; применимость норм 420-ФЗ, 152-ФЗ и 243-ФЗ зависит от конкретных обстоятельств и определяется на аудите. Мировой контекст — по публичным материалам CISA, OWASP и открытых страниц вендоров AI Security.
← Все услуги по защите ИИ Тест зрелости защиты ИИ (20 вопросов) →