Правила работы с персональными данными и новые правила для крипты: что обсудили на Форуме ЦИФРАПРАВА

Анастасия Петрова, советник практик Трудового права и Защиты данных и кибербезопасности АЛРУД: «Рисков у ИИ масса, а регуляторные риски возникают на любом этапе, начиная с разработки и обучения модели и заканчивая ее внедрением. Наиболее высокие штрафы предусмотрены за утечки персональных данных, и возможна даже уголовная ответственность и репутационные риски. При этом основательной практики об ИИ пока нет. Но компании, которые наиболее соответствуют нормам действующего законодательства, имеют шансы снизить регуляторные риски. Кроме того, часто признают незаконным увольнение, если оно происходит только на основании информации от ИИ и технологий. Чтобы снизить риски, нужно участие юридической функции. Стоит проверить, не нарушаются ли права, этические нормы и как осуществляется взаимодействие с третьими лицами».

Герман Сабиров, руководитель направления правовой защиты данных и интеллектуальной собственности Сбербанка: «Privacy-комплаенс не ограничивается документами — политиками конфиденциальности и согласиями, которые пользователи, как правило, не читают. Важно обеспечить эффективную реализацию требований законодательства прямо в цифровом продукте. Причина проста: пользователь взаимодействует прежде всего не с юридическими документами, а с интерфейсом. Он регистрируется, предоставляет согласия, делает заказы, управляет настройками, удаляет аккаунт. Именно здесь возникают типичные проблемы: отсутствующие или неработающие privacy-функции, манипулятивная архитектура выбора, информационная перегрузка и искусственные препятствия для реализации прав субъектов. Задача DPO не сводится к цитированию общих положений законодательства. Совместно с командой продукта (бизнес-аналитиками, системными аналитиками, дизайнерами и разработчиками) он должен обеспечивать перевод юридических требований в конкретные, проверяемые бизнес-, функциональные и нефункциональные требования к продукту, а также участвовать в оценке их реализации. Важно не только создать понятный и удобный интерфейс, но и обеспечить, чтобы действия пользователя приводили к корректным юридическим последствиям и действительно исполнялись в информационных системах».

У вас может быть идеальная политика и самое актуальное уведомление в Роскомнадзоре. Но это не значит, что компания на 100% защищена от рисков. Это возможно, только если есть зрелые и эффективные privacy-процедуры и регуляторный комплаенс. Регуляторный комплаенс и оценка зрелости и эффективности privacy-функции — это равнозначные меры по управлению рисками компании. Для бизнеса и DPO нужны понятные метрики, а оценивать себя нужно регулярно.

Мария Кулиева, старший юрист группы правовой поддержки защиты данных «Авито»: «Зрелую privacy-функцию отличает не отсутствие проблем, а умение их признавать и решать. Мы давно отошли от обычных форматов развития культуры приватности в компании. Наш главный инструмент — это Privacy days для сотрудников. Мы также используем коммуникации от топ-менеджмента и делаем марафоны курсов с айдентикой команды. В этом году мы запустили новый формат — серию коротких видеороликов о конфиденциальности в стиле социальной рекламы с единым слоганом. Отдельным вызовом стало внедрение ИИ: правила работы формировались с поддержкой топ-менеджмента и далее были широко социализированы. ИИ-трансформация показала необходимость постоянного обучения сотрудников, включая базовые вопросы работы с данными. Трансформация потребовала системных изменений: курсы по данным теперь обязательны для завершения онбординга, а их прохождение стало управленчески значимым. Параллельно мы тестируем новые образовательные форматы».

Бизнес часто не знает, о чем можно попросить DPO, каким будет результат его работы и где проходит граница ответственности. В долгосрочной перспективе это может привести к утрате эффективности privacy-функции. Чтобы не допустить деградации, эксперты и бизнес традиционно ищут общий язык. Сделать это помогает проактивное определение форматов взаимодействия и фиксация того, какая информация предоставляется «на вход», а какой сервис оказывается бизнесу «на выходе». Детерминированность — ключ к эффективному взаимодействию бизнеса и бэк-офиса, включая DPO.

Екатерина Абясова, старший юрист Меллинг, Войтишкин и партнеры: «Мораторий на проверки Роскомнадзора не означает, что регулятор стал менее активным. Фокус контрольно-надзорных мероприятий сместился, и сейчас проверяют сайты, и в первую очередь те, на которые жалуются граждане, а они очень активны в этом. Поэтому если компания активна в интернете и работает с потребителями, то стоит проверить хотя бы фронтенд с точки зрения комплаенса по персональным данным. Кроме этого, некий бум последний двух лет — это жалобы работников на работодателей. Другой риск — это утечки данных, которые повышают риски проверок Роскомнадзора. Еще сейчас Роскомнадзор все чаще не только смотрит на бумажный комплаенс, но и оценивает реальность комплаенса, поэтому декларативных фраз будет недостаточно. На встрече с регулятором компаниям стоит минимизировать количество спикеров, так как сложно контролировать, что говорят люди. Кроме этого, не нужно давать больше информации, чем вас спрашивают, и не стоит бояться предполагать и возвращаться с ответами позднее».

Многие клиенты сильно недооценивают важность общения с Роскомнадзором и приходят на встречи чуть ли не в режиме свободного общения. Это неправильно. Практика показывает, что очень часто те, кто не занимается вопросами приватности на регулярной основе, склонны слишком активно сотрудничать с регулятором по тем вопросам, к которым они не имеют прямого отношения. В итоге они додумывают за коллег. Это надо четко отсекать, а к встречам с Роскомнадзором стоит готовиться очень серьезно.

Артем Евсеев, советник практики интеллектуальной собственности ЭБР: «Юристы часто пугают многомиллионными штрафами, а хорошие юристы советуют, куда двигаться, и направляют. Не любая утечка ведет к многомиллионным штрафам. Статьи о штрафах не живут в вакууме, и есть, например, положения о малозначительности нарушений. Другой миф: за утечку по вине хакеров или подрядчиков оператор не отвечает. Это не так. Но избежать ответственности можно, если доказать, что приняты все зависящие от оператора меры по защите. Поэтому нужно их документировать заранее, а при атаке — сразу сообщать».

Валерий Афонин, руководитель юридического департамента «Токеона»: «Мы, как компания, которая долгое время была оператором информационной системы, в которой осуществляется выпуск ЦФА, как цифровой депозитарий, столкнулись с рядом новых вопросов, известных на рынке ценных бумаг, но новых для рынка цифровых прав. Так, появились новые участники рынка цифровых прав и цифровых валют, с которыми необходимо интегрироваться как технически, так и организационно. Кроме того, важно выстроить внутренние процессы в рамках компании, работая как оператор и цифровой депозитарий, и это не только учет активов, но и движение денег. Эти и другие вопросы, которые возникли с новым регулированием, нам пришлось решать силами всей команды. Но какие-то вопросы все еще остаются, по некоторым из них уже идет диалог с регулятором, а по некоторым ожидаем нормативные акты».

При формировании российской модели регулирования цифровых валют был изучен международный опыт и были учтены особенности развития отечественного финансового рынка. В результате законом предусмотрено появление двух новых видов субъектов, осуществляющих специализированную деятельность в этой сфере. Первый — организация, осуществляющая обмен цифровых валют. При этом законодатель предусмотрел разграничение видов профессиональной деятельности на рынке: обмен цифровых валют и дилерская деятельность не были объединены в рамках одной модели регулирования. Такой подход позволяет учитывать специфику соответствующих операций и особенности связанных с ними рисков. Второй субъект — цифровой депозитарий. Его появление связано с необходимостью формирования институциональной инфраструктуры хранения и учета цифровых валют. Важно, чтобы соответствующие услуги предоставлялись в рамках установленного законодательством регулирования. Это создает предпосылки для повышения прозрачности рынка и формирования дополнительных гарантий защиты интересов обладателей цифровых валют.

Мария Телегина, руководитель центра сопровождения инноваций, департамент инноваций НСПК: «Законодательство, с одной стороны, усложняется, но, с другой стороны, уходит от сложностей технических вопросов. При этом в долгосрочной перспективе было бы правильно использовать те технологические решения, которые у нас уже есть. Это, например, смарт-контракты, которые улучшили бы клиентский путь и дали бы возможность операторам быстро продавать активы на своей платформе».

Вопрос внешнеторговых расчетов стоит во главе угла уже пятый год, и те наработки, которые отразись в новом регулировании о криптовалютах и цифровых активах, отражают запросы рынка. Так, какое бы ограничение ни было предусмотрено в ФЗ № 282, под ним будет исключение для участников ВЭД. Одно из важных исключений — возможность получать экспортную выручку в криптовалюте и стейблкоинах. Кроме этого, законы ставят знак равно между цифровой валютой и стейблкоинами и приравнивают их к валютным ценностям. Это убирает неопределенность для бизнеса.

Данила Садовский, юрист практики интеллектуальной собственности и цифрового права BBNP: «Риск смещается с платежа на данные о платеже, и ценность имеют не ключи, а сведения о владельце. ФЗ № 282 запрещает распространение информации, которая предполагает использование криптовалюты как средства оплаты. Но регулируют форму сообщения, а сам факт сообщения не запрещен. При этом информация о платежах и действиях может передаваться другим органам. Будет некий связанный профиль, который объединяет ФНС, цифровой депозитарий, обменник и банк. Если данные утекут, то под угрозой будет не крипторынок в целом, а конкретное лицо. Поэтому нужно проводить ревизию контента, устанавливать, кто знает о криптовалюте, и не стоит раскрывать больше обязательного: балансы и обороты — да, адреса кошельков — нет. Кроме этого, не нужно подписывать договор с депозитарием или обменником без ответственности за утечку».

Валерий Панин, канд. юрид. наук, руководитель практики цифрового права и технологий K12: «Есть несколько элементов доверия после принятия законов № 282 и 283: появилась прозрачная инфраструктура и стало понятно, какими документами повреждается переход прав. Еще один момент связан с защитой прав потерпевших. И здесь есть два вектора развития судебной практики: суды общей юрисдикции защищают социально слабые слои населения, а арбитражные суды признают продавцов цифровой валюты добросовестными. Дополнительные процедуры проверки направлены на то, чтобы минимизировать такие риски. Кроме этого, почти вся практика до 2026 года была отказная по выданным займам в форме криптовалют. Сейчас практика устаканилась, а закон задает конкретные рамки по таким займам».

Дарья Петрухина, консультант, менеджер проектов практики цифрового права и блокчейн-технологий IPN Partners: «Когда криптоинвестору нужно будет подтвердить происхождение активов, встанет вопрос: как доказать при использовании не кастодиального решения, что капитал на криптокошельке принадлежит конкретному лицу. При банковском комплаенсе возникает вопрос, откуда появились активы, а при криптокомплаенсе оценивают путь актива. Здесь важны документы о происхождении средств, при этом часто таких документов нет. Риск-разметка меняется по запросу органа или биржи, кроме этого, различные сервисы могут использовать разную риск-разметку. Еще важно подумать, кто будет нести риски ошибочной риск-разметки или ее изменений. Важно смотреть на транзакцию стратегически и понимать, как ее можно включить в цепочку подтверждения происхождения активов».

Кирилл Гречишкин, юрист практики цифровых технологий ККМП: «Когда речь идет о цифровых правах, многие не понимают, зачем они нужны, если есть традиционные инструменты. Одна из причин — гибкость юридической конструкции для конкретного бизнеса. Так, объем формальностей между выпуском ценных бумаг и выпуском ЦФА несопоставим. Вся процедура выпуска ЦФА происходит в режиме одного окна, и сам процесс выпуска актива — это может быть вопрос нескольких дней, в отличие от эмиссии ценных бумаг. Кроме этого, через ЦФА можно инвестировать практически во все активы, хеджировать риски, привязывать размер выплаты к конкретному событию. Тот продукт, который вам нужен, практически полностью зависит от того, что вы пропишете в выпуске. При этом правовой режим цифровых прав постепенно сближается с режимом ценных бумаг».

Владимир Костеев, референт Управления президента по общественным проектам: «Кино, сериалы, игры и другие виды массового контента — это не только развлечение. Они влияют на наши представления о мире, социальных нормах и моделях поведения. Причем социальные эффекты возникают независимо от того, ставили ли создатели такую задачу, и могут быть как положительными, так и отрицательными. Более того, социально значимая тема сама по себе не гарантирует положительного воздействия, и многое зависит от того, какие поступки и их последствия показывает произведение и как зритель их воспринимает. Сегодня существуют научные подходы, которые позволяют целенаправленно проектировать социальные эффекты и оценивать результаты. Поэтому креативные индустрии необходимо рассматривать не только через экономические показатели, но и через их вклад в социальные изменения».

Для юристов, которые работают в сфере видеоигр, есть большой навес регуляторных требований. Например, для привлечения к ответственности за пропаганду наркотиков достаточно просто символа запрещенных веществ. При этом в практике часто нет различий между демонстрацией и пропагандой, а любой комплаенс требует денег. У независимых разработчиков их не так много, и в итоге они или в зоне риска, или настолько очищают свои игры, что ограничиваются какими-то простыми механиками и сюжетами. Пока нет решения лучше, чем заниматься контент-комплаенсом на самом старте, начиная с сюжета, механик и символов.

Альберт Жильцов, генеральный продюсер «Война миров», студия «МГЛА»: «Мы не боимся самого регулирования. У самих авторов есть много своих ограничений. Но очень противоречиво для нас восприятие текущей ситуации. Есть то, что мы можем записать, как правила, а есть этика. И нам нужен зазор между правилами и правом, чтобы культура могла выполнять свои функции и вызывать дискуссию».

Мы привыкли, что наши нематериальные блага — имя, голос, изображение — не передаются, но эти права очень активно и давно монетизируются. А с развитием ИИ нашего участия в этом даже не нужно. Можно сгенерировать голос, а цифровой аватар сделать из множества фотографий. В таких случаях нет конкретного объекта права, который можно защищать. При хорошем раскладе за это можно получить только компенсацию морального вреда, который еще нужно доказать в суде.

Константин Синявский, руководитель центра юридического сопровождения деятельности РАЭК: «В креативной индустрии до сих пор допускают ошибки по созданию креативов и передаче интеллектуальных прав. Иногда вообще неясно, что передается по акту. Еще сейчас наступила эра сквозного цифрового аудита. Например, в продакшене привлекают фрилансеров, но им выплачивают зарплату по ТК и тем самым подвергают опасности рекламные кампании. Кроме этого, с весны действует мониторинг рекламы на ютубе, но мораторий заканчивается в конце года. Что будет дальше — пока неясно, но уже сейчас стоит включать в договоры защитные оговорки. В целом сейчас важно очень внимательно относиться к контрагентам по созданию рекламных креативов: штрафы могут доходить до 3 млн руб.».

Игорь Матвеев, старший юрист Denuo: «Нейросеть вполне может быть творческим инструментом. ИИ делает создание контента быстрее и доступнее, усиливая конкуренцию в креативных индустриях. По прогнозам, потери участников индустрии могут составить около 1 трлн руб. Цепочка участников меняется, и у каждого свои интересы и условия. Цифровые площадки устанавливают свои требования к размещению, распространению и раскрытию роли ИИ в создании контента. Здесь важно различать два уровня договорного регулирования: есть платформа, где генерируем контент, и платформа, на которой хотим продать сгенерированный контент. Требования у них разные. А при маркировке контента важно не только поставить метку об ИИ, но и указать его роль и техническую информацию. Но универсального решения этого вопроса пока нет. И с одной стороны, более детальное регулирование повышает прозрачность, а с другой — усложняет доступ на рынок».

Автором у нас может быть только человек. Суды оценивают, был ли творческий вклад человека или нет, а в США, например, разграничивают человеческие и машинные элементы результата. Но пока ни один суд не пришел к выводу, что автором может быть искусственный интеллект. Несмотря на то что ИИ генерирует некий результат, он не является также и правообладателем, так как он создает его на основе того, что уже было, а алгоритм ему задает человек. ИИ — это всего лишь инструмент в руках человека. И основная задача правообладателей будущих произведений — собрать как можно больше доказательств, что результат интеллектуальной деятельности принадлежит именно им.

Кристина Мкртчян, советник практики интеллектуальной собственности ЭБР: «Сейчас есть двойное ограничение: иностранная площадка не дает доступа к своим ресурсам, а РФ не дает доступа к иностранным ресурсам. Самая тривиальная история, как обойти ограничения, — это создать представительства, филиалы или структуры за рубежом. Так, 46% работников в компаниях, зарегистрированных за рубежом, перешли за границу, а игровых компаний в других странах стало намного больше. В России можно пройти специальную процедуру в Роскомнадзоре для получения корпоративного доступа к зарубежным ресурсам».  

Александра Фролова, директор направления правового сопровождения коммерческих сделок и LegalTech, Pioneer: «Я разделяю два направления развития ИИ. Первый — это инструменты, которые используют сами юристы для решения своих задач. Второе направление — это создание цифрового юриста, который работает на благо бизнеса. У цифрового юриста будут большие преимущества перед юристом-человеком. У него всегда есть настроение ответить, он не перегружен другими задачами. Это цифровой помощник, который в любое время готов оперативно и вежливо отвечать. Но такого помощника можно использовать лишь для какого-то ограниченного пула операций, где нет глубокой аналитики. Кроме этого, большой вопрос, кто будет отвечать за результаты, которые выдает такой цифровой помощник. Сейчас за результат отвечает всегда юрист. И все мы в таком системе должны эволюционировать. Юрист в старой классической парадигме, который знает все и смотрит свысока на процессы, будет отмирать. Роль руководителя также неизбежно подлежит трансформации. Мы не только сами должны осваивать свои инструменты вместе с исполнителями, мы должны создавать метрики контроля, проверять результат, нести коллективную ответственность и при этом строить стратегию развития на определенные периоды вперед».

В 2012–2015 годах, когда мы приходили к директорам юрдепов, они говорили, что у них все уникально и мы не сможем ничего автоматизировать. Но затем они стали смотреть на юрфункцию как на совокупность неких стандартных, типовых и повторяющихся процессов и операций. Большую часть из них может взять на себя ИИ. И на первый план выходит критическое мышление. ИИ отвечает на вопрос, как что-то сделать. Но ответ на вопрос, зачем что-то делать и что в целом делать, остается за руководителями, которые умеют смотреть на юрфункцию как на фактор, который влияет на бизнес.

Евгений Розенблат, партнер, руководитель практики сложных судебных споров, адвокат Аронов и партнеры: «Появление ИИ привело к тому, что у нас стало только больше работы. Некоторые не бояться загружать в ИИ документы и материалы дела. И потом наши оппоненты дадут нам сравнение многотысячного документа, и мы вручную будем это все сверять. Юристам нужно работать с настройками безопасности ресурса, и мы, например, указываем, чтобы ИИ не использовал наши материалы для обучения и распространения. Но это не всегда работает, поэтому мы никогда не загружаем чувствительную коммерческую информацию: коммерческую тайну и персональные данные. Мы вычищаем и какие-то косвенные данные, по которым можно понять, о ком идет речь. Главная рекомендация — проверять результаты работы искусственного интеллекта своим интеллектом».

Главная проблема для компаний, которые сами занимаются созданием ИИ-систем и внедряют их: как вывести мусор, как перестроить процессы и надо ли это в целом делать перед тем, как внедрить ИИ. Мы сейчас находимся на странном перепутье. Все попробовали крутые ИИ-продукты, но их сложно внедрить. Вполне вероятно, что это займет много времени, чтобы понять, как встроить ИИ в работу, выстроить все процессы и как научиться отличать нейрослопы от человеческих ошибок.