AI-регулирование приходит в Центральную Азию: что новый закон Казахстана означает для бизнеса региона

Искусственный интеллект долгое время развивался быстрее законодательства. Первые подходы к его регулированию строились в основном на этических принципах и существующих законодательных нормах. В начале 2020-х годов AI стали использовать при найме сотрудников, кредитовании, идентификации людей, медицинской диагностике и принятии других решений, которые непосредственно влияют на человека. Одновременно выросли риски, связанные с использованием персональных данных, дискриминацией, непрозрачностью алгоритмов и невозможностью объяснить решения, принимаемые AI. Появление Generative AI дополнительно ускорило этот процесс. К уже известным рискам добавились вопросы использования внешних AI-моделей для обработки чувствительных данных.

Одним из первых крупных шагов к комплексному регулированию стала инициатива Европейского союза. Европейская комиссия представила проект AI Act в апреле 2021 года, и после нескольких лет обсуждений EU AI Act вступил в силу 1 августа 2024 года. Он стал первым в мире комплексным законодательным актом, устанавливающим единые правила применения искусственного интеллекта. Его цель состоит в развитии безопасного и заслуживающего доверия AI, защите фундаментальных прав человека и одновременно создании условий для инноваций и инвестиций. Собственные законодательные инициативы начали формировать другие государства. За несколько лет AI regulation превратилось из дискуссии об этике технологий в самостоятельное направление государственного регулирования.

Этот процесс пришёл и в Центральную Азию. Казахстан первым в регионе принял отдельный Закон «Об искусственном интеллекте». Он формирует собственную модель регулирования AI и создаёт новые требования для банков и компаний, которые разрабатывают или используют AI-системы.

Для бизнеса Центральной Азии опыт Казахстана важен и в более широком контексте. Использование AI быстро растёт во всём регионе. Вместе с ним будут развиваться требования к AI Risk Management, защите данных, информационной безопасности и корпоративному управлению AI. Поэтому казахстанский закон стоит рассматривать не только как первый крупный пример регулирования AI в Центральной Азии.

Что регулирует новый закон

Основная цель закона - защитить права и интересы граждан от рисков, связанных с использованием AI, и установить понятные правила его применения государством и бизнесом.

Закон устанавливает рамки. Он определяет, где и для каких задач AI можно использовать, какие способы его применения запрещены, какие требования необходимо соблюдать при работе с клиентами и данными и кто несёт ответственность за решения и последствия использования AI.

Чем существеннее AI влияет на клиента, сотрудника или принимаемые управленческие решения, тем больше требований возникает у банка или компании к его использованию и контролю.

Какие есть ограничения для AI

Закон устанавливает три основных типа требований к банкам и компаниям: прямые запреты, ограничения на отдельные способы использования AI и обязательства перед людьми, которых затрагивает работа AI.

Первое - прямые запреты. Нельзя использовать AI для скрытого манипулирования поведением человека, эксплуатации его уязвимости, определённых форм социального скоринга и дискриминации с использованием биометрических данных. Закон также запрещает некоторые другие способы применения AI, способные нарушать права человека.

Второе - разрешение использования AI, но с определёнными условиями. Ряд технологий можно применять только при соблюдении дополнительных требований. Например, определение эмоций человека с помощью AI требует его согласия, кроме предусмотренных законодательством случаев. Дополнительные требования возникают при работе с персональными и другими данными ограниченного доступа.

Третье - права клиентов и ответственность бизнеса. Если банк или компания использует AI для работы с клиентами, клиент должен знать, что он взаимодействует с AI. Если принятое с помощью AI решение затрагивает его права или интересы, клиент может потребовать разъяснений и оспорить такое решение. Ответственность за использование AI при этом несёт банк или компания, а не сама AI-система.

Для бизнеса это означает, что требования зависят прежде всего от того, для чего используется AI, с какими данными он работает и насколько его результат влияет на человека.

Использование внешних AI-моделей и корпоративных данных

Банки и компании всё активнее используют внешние AI-сервисы, такие как ChatGPT, Claude, Gemini и Cursor. Они дают сотрудникам доступ к наиболее современным моделям, но одновременно создают новые риски при работе с корпоративной информацией.

Основной вопрос связан с данными, которые передаются внешней AI-модели. Это могут быть документы, данные клиентов, финансовая информация, исходный код или другая конфиденциальная информация. Компания должна понимать, какие данные разрешено передавать внешним сервисам, где они будут обрабатываться и какие меры защиты применяет поставщик AI-сервиса.

Корпоративная подписка или использование API снижает часть рисков, но само по себе не решает вопрос безопасности и соответствия требованиям законодательства. Банку или компании нужны собственные правила работы с AI и технические средства контроля. В зависимости от данных это могут быть разграничение доступа, маскирование информации, журналирование запросов или использование AI Gateway.

Для наиболее чувствительной информации может потребоваться обработка внутри защищённой инфраструктуры. Для других задач можно использовать внешние модели при соблюдении необходимых требований к данным и безопасности.

Закон задает требования к работе с данными и использованию AI-систем. Прямого запрета на использование внешних LLM он не устанавливает.

От внутренних ограничений к управлению AI-рисками

Многие банки и крупные компании в Центральной Азии пока ограничивают использование внешних LLM и AI-сервисов из-за рисков утечки данных и отсутствия готовых правил безопасности. Это позволяет снизить риски, но одновременно ограничивает возможности применения AI в бизнесе.

Крупные европейские банки уже переходят к управляемому использованию внешних моделей. Например, BBVA совместно с OpenAI организовал корпоративное использование ChatGPT Enterprise, встроив его в требования банка по безопасности, Compliance и AI Governance. По данным BBVA, на первом этапе сотрудники экономили в среднем около трёх часов в неделю. Deutsche Bank сообщает, что более 80% сотрудников используют Generative AI и цифровых ассистентов.

Такой подход требует выстраивания системы управления AI-рисками. Для разных данных и задач банк может использовать внешние модели, дополнительные средства защиты или закрытый корпоративный контур. Эта задача требует совместной работы бизнеса, ИТ, риск-менеджмента, информационной безопасности, центра управления данными, юридической службы и Compliance. Развитие AI требует инвестиций как в новые технологические решения, так и в способность безопасно их использовать. Закон задаёт для всех участников рынка направление - развивать управление AI-рисками, чтобы безопасно внедрять и масштабировать использование AI в бизнесе.

Что банкам и компаниям нужно уже сейчас

Базовую систему управления AI можно построить вокруг шести последовательных шагов:

Первый шаг - понять, какие AI-системы и инструменты уже используются в организации. В этот перечень должны войти корпоративные решения, пилотные проекты, внешние AI-сервисы и инструменты, которыми пользуются сотрудники.

Второй шаг - определить сценарии их использования. Для каждого сценария нужно понимать, какую бизнес-задачу решает AI, кто им пользуется и влияет ли результат его работы на клиента, сотрудника или принимаемое решение.

Третий шаг - определить, с какими данными работает каждый сценарий. Для этих данных необходимо установить уровень конфиденциальности и правила доступа, обработки и передачи за пределы организации.

Четвёртый шаг - оценить риски. При оценке учитываются назначение AI, используемые данные, влияние на клиентов и сотрудников, а также возможные последствия ошибок или неправильного использования системы.

Пятый шаг - определить необходимые меры защиты. В зависимости от уровня риска это могут быть ограничения на использование данных, разграничение доступа, маскирование информации, выбор внешней или внутренней модели, журналирование и другие меры контроля.

Шестой шаг - организовать постоянный контроль. После запуска необходимо контролировать работу AI-системы, выявлять инциденты и пересматривать оценку рисков при изменении системы или сценария её использования.

У каждого AI-сценария должен быть ответственный владелец. Бизнес, ИТ, риск-менеджмент, информационная безопасность, управление данными, юридическая служба и Compliance подключаются к процессу в зависимости от характера и уровня риска.

Казахстан и Европа: два подхода к регулированию AI

Подход Казахстана во многом пересекается с принципами EU AI Act. Оба законодательства уделяют внимание рискам, защите прав человека, прозрачности и ответственности при использовании AI. При этом требования и классификация AI-систем отличаются.

Особенно важен этот вопрос для международных компаний, ведущих бизнес в Казахстане. Они могут использовать единые корпоративные правила AI Governance, разработанные с учётом EU AI Act, сразу в нескольких странах. При работе в Казахстане к ним добавляются требования местного законодательства.

На практике международные компании столкнутся с задачей совмещения единого корпоративного подхода к управлению AI с национальными требованиями стран присутствия. Например, европейская группа может использовать единые правила AI Governance, построенные с учётом EU AI Act. При использовании AI в Казахстане к ним добавляются требования местного законодательства, которые необходимо учитывать при оценке рисков, работе с данными и запуске конкретных AI-систем.

Для международных компаний AI Governance может развиваться по уже знакомой модели управления другими видами рисков: единые принципы и стандарты на уровне группы дополняются требованиями законодательства каждой страны присутствия.

Что это означает для бизнеса

Принятие закона в Казахстане показывает, что национальное регулирование AI становится практическим вопросом для бизнеса Центральной Азии. По мере распространения AI банкам и компаниям придётся одновременно решать задачи его внедрения, управления рисками, защиты данных и соблюдения требований законодательства.

Для бизнеса важно уметь безопасно масштабировать использование AI. Для этого необходимо понимать, где и как применяется AI, с какими данными он работает, какие риски возникают и какие меры контроля нужны для каждого сценария.

Закон, принятый в Республике Казахстан, фактически задаёт направление развития AI Governance в Центральной Азии. Банкам и компаниям уже сейчас имеет смысл учитывать эти требования при создании новых AI-решений и развитии корпоративных подходов к управлению AI.

В ближайшие годы регулирование AI в Центральной Азии будет развиваться вместе с самой технологией. Эффективное управление AI-рисками позволит банкам и компаниям использовать возможности AI в необходимом для бизнеса масштабе, быстрее внедрять новые технологии и адаптироваться к изменениям рынка. Избыточные ограничения, напротив, могут замедлить внедрение AI и снизить потенциальный эффект от его использования.