Безопасность личных данных в суммаризаторах: когда это риск

Он всего лишь сокращает текст.

Но именно текст часто и есть самое ценное, что у нас осталось без пароля: переписка с клиентом, договор с реквизитами, медицинская выписка, внутренний отчёт, резюме кандидата, заметки после созвона. Мы копируем это в окно ИИ — и привычное «сделай покороче» внезапно становится передачей данных внешнему сервису.

Безопасность личных данных в суммаризаторах текста зависит не от того, насколько хорошо нейросеть пишет конспекты. Вопросы куда приземлённее: что именно вы ей отправили, где этот текст оказался, кто имеет к нему доступ, как долго он хранится и не получило ли расширение слишком широкие права на ваш браузер.

Давайте разберёмся без страшилок и корпоративного тумана, в котором обычно тонут слова «конфиденциальность» и «комплаенс».

Анатомия риска: суммаризация — это не просто сжатие текста

Когда мы говорим «сервис суммирует документ», кажется, будто он работает как калькулятор: получил текст, быстро посчитал главное, тут же забыл. На деле между «вставила абзац» и «получила три пункта» может быть несколько этапов обработки.

Текст уходит с вашего устройства на сервер сервиса или его подрядчика, там обрабатывается моделью, может попадать в технические журналы, историю аккаунта, систему контроля злоупотреблений или инструменты поддержки. Конкретная цепочка зависит от продукта, тарифа, региона, настроек и того, какие технологии сервис подключил за кулисами. Единого правила для всех ИИ-суммаризаторов просто нет — и вот тут начинаются подводные камни.

В рекомендациях OWASP по безопасности LLM есть отдельная категория риска — LLM02: Sensitive Information Disclosure, то есть раскрытие чувствительной информации. К такой информации относят персональные идентификаторы, финансовые и медицинские сведения, учётные данные, юридические документы и закрытую деловую информацию. Риск не всегда выглядит как громкая утечка на весь интернет. Иногда он начинается гораздо прозаичнее: данные сохранились там, где вы не ожидали их увидеть.

Например, в текст для сжатия легко случайно отправить:

• письмо клиенту с ФИО, телефоном, адресом и деталями заказа;
• договор, где есть подписи, реквизиты, стоимость и условия сделки;
• расшифровку звонка с коллегами, в которой всплыли зарплаты, конфликты или планы компании;
• медицинскую выписку — свою или, что ещё хуже, чужую;
• фрагмент кода, ключ доступа, внутренний URL или технический лог;
• таблицу с данными сотрудников, кандидатов, учеников, пациентов, арендаторов.

И здесь я бы не делала вид, что проблема касается только больших компаний с отделом безопасности и людьми, которые произносят слово «периметр» без улыбки. Фрилансер с двумя клиентами, преподаватель, HR-специалист, юрист, врач, менеджер небольшого магазина — все работают с информацией, которую не стоит бросать в первый попавшийся чат.

Суммаризатор видит не «длинный текст». Он видит тот набор сведений, который вы в него положили.

Риск определяется не размером документа

Есть соблазн думать так: «Я отправила всего пару абзацев, ничего страшного». Но чувствительность данных не измеряется количеством символов.

Одна строка с номером паспорта, кодом из письма, диагнозом или паролем опаснее десяти страниц публичного отчёта. И наоборот: большой текст аналитической статьи, доступной всем, обычно не требует особой тревоги.

Я бы делила материалы не на «короткие» и «длинные», а на три человеческие корзины:

1. Публичные материалы. Открытые статьи, пресс-релизы, опубликованные исследования, публичные стенограммы. Их суммировать обычно проще всего: вы не добавляете сервису новую секретную информацию.

2. Рабочие, но не секретные тексты. Черновик презентации, нейтральные заметки, описание продукта до публикации. Здесь уже стоит смотреть на политику сервиса, тип аккаунта и настройки истории.

3. Чувствительные материалы. Персональные данные, договоры, документы клиентов, медицинские сведения, доступы, финансы, внутренние решения до анонса. Вот эти тексты нельзя отправлять «на автомате», даже если сервис обещает удобство в два клика и сияет интерфейсом, как свежевымытое окно.

Ловушка разрешений: что на самом деле видит расширение браузера

Отдельная история — расширения для браузера. Они особенно удобны: открыли страницу, нажали кнопку, получили резюме. Никаких копирований, никаких лишних вкладок. Удобство, как водится, иногда просит плату не деньгами, а доступом.

У браузерного расширения есть разрешения. И если оно просит доступ к сайтам, это не декоративная надпись в магазине расширений. Документация Chrome прямо описывает, что так называемые host permissions могут технически позволять расширению получать доступ к URL, заголовкам и favicon открытых вкладок, внедрять скрипты в страницы, работать с cookies, а также наблюдать или контролировать сетевые запросы на разрешённых сайтах.

Это не означает, что каждое расширение с широкими разрешениями немедленно читает вашу почту и продаёт её злодеям в плаще. Широкое разрешение — не доказательство злоупотребления. Но оно показывает потенциальную техническую возможность. А значит, это повод не махать рукой, а посмотреть, за что именно вы расписываетесь.

Вот как я читаю запросы расширений — на пальцах:

Chrome рекомендует разработчикам использовать необязательные разрешения там, где это возможно: пользователь должен выдавать доступ осознанно и в тот момент, когда функция реально нужна. Для нас с вами это полезный ориентир. Если расширение просит доступ ко всему браузеру сразу, хотя могло бы спросить разрешение на конкретную страницу при нажатии кнопки, — это не приговор, но вопрос вполне законный.

Что я проверяю перед установкой

Не надо превращать выбор расширения в расследование на три вечера с красной ниткой на стене. Достаточно нескольких минут.

• Сверяю функцию и доступ. Если инструмент делает краткое содержание текущей страницы, зачем ему доступ к истории браузера или всем сайтам без исключения?
• Открываю описание разрешений в магазине расширений. Не только яркую рекламную часть, где «экономьте 10 часов в неделю», а именно технический список.
• Смотрю, есть ли веб-версия. Если нужно разово сжать открытую статью, иногда безопаснее вручную вставить публичный фрагмент в сайт, чем ставить расширение с постоянным доступом.
• Проверяю, можно ли отключить доступ к сайтам. У многих браузеров разрешения расширений можно ограничивать: запускать только по клику или только на выбранных доменах.
• Не ставлю два одинаковых инструмента «на всякий случай». Чем больше расширений видят страницы, тем длиннее становится хвост рисков. А пользы обычно ровно столько же, сколько от пятой овощечистки на кухне.

Хорошее расширение не должно требовать ключи от всей квартиры, если ему нужно зайти только на балкон.

«Не используем для обучения» — почему этого обещания недостаточно

Фраза «ваши данные не используются для обучения моделей» звучит успокаивающе. И это действительно важный пункт. Но она отвечает только на один вопрос: будет ли ваш контент использоваться для улучшения модели. Она не отвечает автоматически на другой: сохраняется ли текст вообще и кто может получить к нему доступ в рамках работы сервиса.

На примере API OpenAI это видно особенно хорошо. Компания заявляет, что данные API по умолчанию не идут на обучение моделей без явного согласия пользователя. Одновременно журналы мониторинга злоупотреблений могут содержать промпты, ответы и метаданные и по стандартному правилу храниться до 30 дней, если более долгий срок не требует закон.

То есть «не обучаемся на вашем тексте» не равно «мы не храним ваш текст ни секунды». Это две разные полки в шкафу, и корпоративные формулировки любят складывать их в одну коробку с надписью «приватность». Не ведитесь на красивую наклейку.

У одного поставщика условия могут отличаться ещё и между потребительским продуктом, API и корпоративным тарифом. Для пользовательских сервисов контент иногда может использоваться для улучшения моделей в зависимости от настроек. Для API, ChatGPT Business и Enterprise такой сценарий по умолчанию может быть отключён, если организация отдельно не согласилась на передачу. Но переносить эту логику на любой сервис нельзя: у каждого свои договоры, обработчики, сроки и исключения.

Какие вопросы надо задать сервису — без юридического диплома

Политика конфиденциальности редко написана для людей, у которых есть жизнь. Но в ней можно найти ответы на вполне конкретные вопросы. Я бы искала не слово «secure» в красивом заголовке, а вот это:

1. Используется ли контент для обучения или улучшения моделей? Есть ли отдельная настройка отказа, включена ли она по умолчанию, распространяется ли на ваш тариф.

2. Как долго хранится исходный текст и результат? Ищем сроки для истории чатов, файлов, резервных копий и журналов безопасности. Формулировка «можем хранить столько, сколько необходимо» — не ответ, а корпоративный зонтик, под которым может поместиться что угодно.

3. Можно ли удалить данные самостоятельно? Не «удалить чат из интерфейса», а действительно удалить контент, и что происходит с резервными копиями.

4. Кто обрабатывает данные? Сам сервис, облачный провайдер, модель сторонней компании, аналитика, служба поддержки — цепочка может быть длиннее, чем кажется.

5. Где происходит обработка и какие условия действуют для вашего региона? Это особенно актуально для организаций, работающих с персональными данными и договорными ограничениями.

6. Есть ли корпоративный режим с настройками хранения и доступов? Если вы суммируете материалы команды, личный бесплатный аккаунт сотрудника — не замена рабочему инструменту, как бы ни хотелось сэкономить полчаса на согласовании.

В европейском регулировании есть понятный принцип минимизации данных: персональные данные должны быть адекватными, релевантными и ограниченными тем, что нужно для конкретной цели обработки. Он закреплён в статье 5(1)(c) GDPR. Применимость GDPR в каждом случае зависит от юрисдикции и обстоятельств, но сама логика универсальна и очень здравая: если для краткого пересказа не нужен номер телефона клиента, не отправляйте номер телефона клиента.

Анонимное сжатие текста: где заканчивается маскировка

«Я заменю имя на Иван Иванов и всё анонимизирую» — хороший первый шаг, но не волшебная мантра.

Человека или компанию иногда выдают не прямые идентификаторы, а комбинация деталей: должность, редкий диагноз, город, дата встречи, название проекта, сумма сделки, описание конфликта. Из текста можно убрать фамилию — и при этом оставить настолько узнаваемый контекст, что маскировка будет похожа на солнечные очки в паспорте: формально лицо прикрыто, фактически все всё поняли.

Для анонимного сжатия текста я использую правило «трёх слоёв»:

• Убираю прямые идентификаторы: ФИО, телефоны, почту, адреса, номера документов, реквизиты, логины, токены и ссылки с доступом.
• Сглаживаю редкие детали: точные даты, уникальные названия проектов, нестандартные должности, географию, мелкие обстоятельства, по которым можно собрать пазл.
• Отделяю факт от задачи. Если мне нужен только список рисков из договора, я не вставляю весь договор с приложениями и подписями. Вырезаю нужные пункты, а ещё лучше — пересказываю контекст своими словами.

Нельзя обещать полную анонимность простой заменой имён. Зато можно заметно сократить объём потенциально чувствительной информации. И это уже не маленькая победа, а нормальная рабочая привычка.

Что можно отправлять, а что лучше оставить у себя

Для быстрых решений бывает полезна такая простая матрица:

Цифровая гигиена: не героизм, а несколько привычек

Защита данных в нейросетях часто подаётся как тема для людей в худи с наклейками на ноутбуке. На практике большинство полезных действий очень земные.

Я бы начала с того, чтобы перестать относиться к ИИ-суммаризатору как к личному блокноту. Это внешний инструмент. Даже когда он удобный, вежливый и помнит, что вы любите ответы таблицей.

Вот рабочая схема, которую можно внедрить без регламента на 48 страниц:

1. Сначала классифицируйте текст, потом вставляйте. Публичный он, рабочий или чувствительный? На этот вопрос уходит пять секунд и он часто спасает от необдуманного «отправить».

2. Сокращайте входные данные до задачи. Нужен пересказ раздела о сроках? Дайте сервису раздел о сроках, а не весь договор вместе с реквизитами сторон.

3. Используйте ручную вставку для разовых задач. Она не делает сервис автоматически безопасным, но не даёт браузерному расширению постоянный широкий доступ к страницам.

4. Разделяйте личное и рабочее. Личный аккаунт, в который вы скидываете статьи на выходных, не стоит превращать в склад внутренних документов компании.

5. Отключайте историю и обучение, если сервис это позволяет. Но после этого всё равно читайте, что происходит с логами и сроками хранения. Мы уже договорились: одна галочка не умеет решать все проблемы мира.

6. Удаляйте ненужные чаты и файлы. Это не гарантирует моментального исчезновения из всех резервных систем, но уменьшает количество данных, доступных в вашем интерфейсе и в будущей рабочей рутине.

7. Обновляйте расширения и удаляйте те, которыми не пользуетесь. Старое расширение с доступом ко всем сайтам — как забытый ключ под ковриком: кажется, что его уже нет в вашей жизни, а он всё ещё лежит там, где не надо.

Как оценить надёжность сервиса без иллюзии «абсолютной безопасности»

Абсолютно безопасного облачного инструмента не существует. Есть сервисы с более прозрачной моделью обработки, более узкими доступами и понятными настройками — и есть те, где за общими словами «мы заботимся о вашей приватности» ничего толком не видно.

В регулировании и практике управления рисками нет магической печати «этому ИИ можно доверять навсегда». Например, профиль NIST AI RMF для генеративного ИИ — полезная добровольная рамка для управления рисками при создании и использовании таких систем. Но это не закон, не сертификат и точно не гарантия, что утечек не будет.

Мне нравится смотреть на зрелость сервиса по трём признакам.

Прозрачность вместо рекламных туманов

Надёжный поставщик не заставляет искать базовые ответы с фонариком. Он объясняет, используются ли данные для обучения, как долго они хранятся, как их удалить, какие есть тарифные различия и кто отвечает за обработку.

Если на все вопросы находится только «мы применяем передовые меры безопасности», я бы считала это не ответом, а поводом выбрать другой инструмент. Слова красивые, но в них нельзя завернуть ни один конкретный риск.

Контроль у пользователя, а не только у администратора

Хороший знак, когда можно:

• отключить использование контента для улучшения моделей;
• ограничить историю и удалить её;
• настроить доступ команды;
• выдать расширению доступ только по клику или к выбранным сайтам;
• понять, кто видит материалы внутри рабочего пространства.

Статья 32 GDPR говорит о технических и организационных мерах безопасности, соразмерных риску; среди примеров названы шифрование и псевдонимизация. Для обычного пользователя это переводится так: не надо верить на слово одной иконке замка. Нам нужны понятные механизмы, которые реально уменьшают объём данных и круг тех, кто к ним доберётся.

Соразмерность инструмента задаче

Самый недооценённый вопрос: а нужен ли здесь внешний ИИ вообще?

Для открытой статьи — конечно, суммаризатор отлично экономит время. Для протокола закрытой встречи с персональными данными — возможно, лучше попросить автора сделать резюме вручную, использовать внутренний инструмент компании или сначала подготовить обезличенную выжимку.

Это не технологический пессимизм. Это нормальная гигиена: не жарить яйцо паяльной лампой только потому, что она уже лежит рядом.

Когда риск действительно становится высоким

Риски онлайн-суммаризаторов резко растут не в момент, когда вы нажали кнопку «Сжать», а когда совпадают несколько условий:

• сервис не объясняет, что делает с текстами;
• вы используете бесплатный личный аккаунт для рабочих или чужих данных;
• расширение имеет доступ ко всем сайтам и работает постоянно;
• в документе есть идентификаторы, финансовые сведения, медицинская информация или доступы;
• у вас нет возможности отключить историю, удалить контент или ограничить права;
• вы не знаете, можно ли использовать сервис для таких материалов по правилам вашей компании или по договору с клиентом.

Если совпал один пункт, не нужно выбрасывать ноутбук в окно. Если совпало пять — лучше остановиться до отправки текста. И да, это тот редкий случай, когда пауза в десять секунд полезнее самой быстрой нейросети.

Самая надёжная настройка приватности — не отправлять сервису то, без чего он может сделать вашу задачу.

Суммаризаторы не враги и не чёрные ящики, от которых надо прятаться в офлайн-бункере. Они правда экономят часы на новостях, исследованиях и длинных документах. Но удобство не отменяет границы.

Мой практический лайфхак простой: перед вставкой текста спросите себя, спокойно ли вам будет, если этот фрагмент увидит не только экран вашего ноутбука, но и внешний сервис со своей системой хранения, логов и правил. Если ответ «нет», не ищите кнопку «суммировать» поудобнее. Сначала сократите, обезличьте или выберите другой способ работы.