Утечка персональных данных через промпты: скрытые угрозы конфиденциальности

Именно так часто и начинается утечка персональных данных через промпты: человек хочет сэкономить десять минут, а вместе с задачей отправляет сервису имена, контакты, внутренние документы или секреты компании.

Риск не сводится к тому, что модель тут же покажет ваш текст другому пользователю. Данные могут сохраняться в журналах сервиса, использоваться в предусмотренных настройками сценариях обработки или стать мишенью атаки. Давайте разберёмся на пальцах, что именно уходит вместе с запросом и как уменьшить опасность, не запрещая себе полезные инструменты.

Масштаб проблемы: личные данные попадают в запросы незаметно

Промпт редко выглядит как анкета с полями «имя», «телефон», «адрес». Чаще это обычный рабочий текст: жалоба покупателя, переписка с подрядчиком, выдержка из медицинского заключения, таблица с обращениями в поддержку. Человек просит нейросеть сократить, перевести или пересказать материал и не замечает, что оставил в нём идентификаторы.

В анализе 10 тысяч реальных запросов к корпоративной системе техподдержки персональные данные нашли в 12,4% промптов. Среди обнаруженного были номера телефонов, полные имена и адреса электронной почты. Это не экзотический сценарий со злонамеренным сотрудником. Достаточно скопировать обращение целиком, потому что вырезать из него нужный фрагмент кажется дольше.

По аналитике ГК «Солар», в выборке из 150 российских организаций 46% конфиденциальных файлов и промптов, отправленных в нейросети, проходили через ChatGPT. Около 60% компаний на момент анализа не имели регламентов работы с ИИ. Эти цифры описывают конкретную выборку, а не весь рынок, но хорошо показывают бытовую логику риска: сервис уже стал частью работы, а правила за ним не всегда успели.

Что может оказаться внутри запроса:

• Персональные данные клиентов и сотрудников: ФИО, телефоны, почта, адреса, номера документов.
• Корпоративные секреты: фрагменты исходного кода, внутренние отчёты, условия договора, планы продукта.
• Данные, чувствительные по контексту: обсуждение увольнения, жалоба на здоровье, сведения о финансовом положении.
• Служебные инструкции и материалы, которые раскрывают, как устроены внутренние процессы.

Отдельная сложность в том, что удаление имени не всегда делает текст анонимным. Если в документе остались должность, редкий инцидент, город и дата, человека или компанию иногда можно узнать по сочетанию деталей. Анонимизация документов перед суммаризацией требует посмотреть на весь контекст, а не только стереть ФИО.

Самый частый риск начинается с обычной рабочей привычки: вставить исходный текст целиком, чтобы нейросеть лучше поняла задачу.

Что именно происходит с текстом после отправки

Пользователь видит поле ввода и ответ. Между ними есть обработка на стороне сервиса, а её условия зависят от продукта, тарифа, настроек и договора. Где-то запросы могут храниться для работы сервиса или проверки нарушений, где-то предусмотрены настройки, ограничивающие использование данных. Поэтому вопрос «нейросеть обучается на моих запросах?» нельзя одинаково ответить за все сервисы.

Полезно разделять несколько разных сценариев.

Хранение в логах. Запрос может сохраняться в технических журналах. Это помогает поддерживать сервис, расследовать сбои или выявлять злоупотребления, но одновременно создаёт место, где данные нужно защищать.

Использование для улучшения моделей. У некоторых сервисов условия и настройки могут допускать использование пользовательских данных для улучшения продуктов. Конкретный порядок нужно смотреть в документации и настройках именно того инструмента, которым вы пользуетесь. Нельзя исходить из предположения, что платный аккаунт автоматически означает отсутствие хранения или обучения.

Повторное извлечение данных. Исследование Nasr и соавторов 2023 года показало, что при атаках на извлечение обучающих данных из ChatGPT примерно в 16,9% проверенных генераций содержались персональные данные, запомненные моделью. Это результат конкретной исследовательской атаки, а не вероятность того, что любой обычный запрос раскроется кому-то ещё. Но он показывает: риск восстановления запомненных данных изучают не на пустом месте.

Есть и другой путь: атакующий может попытаться повлиять на поведение модели через специально подготовленный текст. Например, в документе, который суммаризирует сотрудник, могут находиться инструкции, обращённые к модели. Если система недостаточно хорошо отделяет содержимое документа от команд, это становится угрозой внедрения промпта. Тут опасность связана не только с тем, что пользователь сам отправил секрет, но и с тем, как модель обработает враждебный материал.

Как OWASP описывает угрозы

OWASP выделяет раскрытие чувствительной информации как LLM02 в классификации рисков для больших языковых моделей. Утечка системных инструкций обозначена как LLM07. Это разные проблемы: в первом случае речь о конфиденциальных данных, во втором — о скрытых инструкциях, на которых построено поведение приложения.

На практике они могут пересекаться. Если сотрудник вставил закрытый документ в публичный сервис, это риск передачи данных провайдеру. Если же модель затем выдала сведения или внутренние инструкции в ответ на манипулятивный запрос, проблема уже затрагивает поведение системы и её защитные механизмы.

Полезно держать в голове простую цепочку:

1. Человек копирует материал в чат-бот.

2. Сервис получает текст и обрабатывает его по своим правилам.

3. Запрос может остаться в логах или попасть в другие предусмотренные процессом обработки сценарии.

4. При недостаточной защите, ошибочных настройках или атаке данные могут стать доступными шире, чем рассчитывал отправитель.

Эта цепочка не означает, что каждый промпт неизбежно превращается в утечку. Она помогает увидеть, где именно нужны ограничения: на уровне сотрудника, корпоративной политики, настроек сервиса и технической защиты.

В отчёте IBM о стоимости утечек данных за 2025 год около 13% организаций сообщили об инцидентах компрометации с участием ИИ-моделей. Среди пострадавших 97% отметили неадекватность контроля доступа к ИИ. Эти показатели говорят о проблемах управления и доступа; они не означают, что ИИ был единственной причиной каждого инцидента.

Корпоративные кейсы: когда удобство обгоняет правила

В апреле 2023 года инженеры полупроводникового подразделения Samsung допустили три инцидента, загрузив в ChatGPT проприетарный исходный код для отладки и стенограмму внутреннего совещания. После этого компания запретила использование публичных генеративных сервисов. Важная деталь: речь шла о рабочих материалах, которые сотрудники отправили, чтобы решить конкретные задачи, а не о намеренной публикации секретов.

Что произошло с загруженными данными дальше в техническом смысле, по имеющимся сведениям установить нельзя. Поэтому некорректно утверждать, что этот код непременно попал в веса будущих моделей. Сам факт передачи, однако, уже создаёт вопрос: кто и на каких условиях получил документ, как долго он хранится и какие ограничения действуют.

Для компании это не просто спор о том, «обучается ли чат-бот на промптах». Конфиденциальность зависит от набора условий: типа сервиса, контракта, настроек хранения, доступа к аккаунтам и порядка работы с инцидентами. Устное обещание коллеги, что «вроде данные не используют», в такой ситуации не заменяет понятного правила.

Корпоративный секрет может покинуть компанию без взлома: достаточно штатного действия сотрудника в сервисе, который организация не согласовала.

Внутренний запрет тоже не всегда решает задачу. Если сотрудникам нужно быстро обрабатывать тексты, они могут перейти на личные аккаунты или другие инструменты. Полезнее определить, какие сервисы разрешены, какие данные допустимо отправлять и как безопасно получить тот же результат. Запрет без рабочего маршрута похож на табличку «не ходить по газону», когда единственная дорожка ведёт через клумбу.

Юридическая защита не путешествует вместе с файлом

Передача документа в чат-бот может повлиять на то, как оценивается его конфиденциальность и кто получает к нему доступ. Но нельзя автоматически считать, что данные защищены адвокатской, банковской или коммерческой тайной только потому, что они отправлены в известный сервис или в платный тариф. Здесь решают конкретные обстоятельства, применимые нормы и договорные условия.

В фактуре упоминается решение федерального суда Южного округа Нью-Йорка по делу United States v. Heppner в феврале 2026 года. Суд постановил, что передача деталей защиты в чат-бот Claude от Anthropic лишает эти данные адвокатской тайны, поскольку публичный ИИ-ассистент юридически не является адвокатом. Это американский судебный эпизод, его выводы нельзя механически переносить на любую страну, любой сервис или любой тип документов.

Для повседневной работы практический вывод проще юридической конструкции: если файл нельзя отправить внешнему подрядчику без согласования, его не стоит автоматически отправлять и в публичный ИИ-сервис. Сначала нужно понять, какие обязательства связаны с документом и разрешает ли действующий договор передавать его такому поставщику.

Особенно осторожно стоит обращаться с материалами, где смешаны разные категории сведений. В одном абзаце могут одновременно находиться персональные данные клиента, условия контракта и внутренний комментарий сотрудника. Удалить один номер телефона недостаточно, если сама история позволяет понять, о ком идёт речь.

Как снизить риск, не превращая работу в бюрократический квест

Полная защита конфиденциальной информации в нейросетях начинается с выбора данных для запроса. Чем меньше лишнего текста получает модель, тем меньше потенциальная поверхность утечки. Для краткого пересказа обращения обычно не нужны фамилия, номер договора и полный адрес клиента.

Перед отправкой полезно пройти короткий маршрут:

1. Сформулировать задачу без исходного документа. Иногда модели достаточно описания вроде: «Составь нейтральный ответ клиенту о задержке доставки». Не обязательно прикладывать всю переписку.

2. Убрать прямые идентификаторы. Заменить имя на «клиент», телефон на метку, адрес на общее описание. Если нужно сохранить структуру текста, используйте обозначения вроде «[номер договора]».

3. Сократить контекст. Оставить только фрагмент, который нужен для ответа, перевода или суммаризации. Большой документ обычно содержит больше сведений, чем требуется задаче.

4. Проверить остаточные детали. Редкая должность, конкретная дата и описание необычного события могут вместе указать на человека или проект даже без имени.

5. Использовать только согласованный инструмент. Для рабочих материалов ориентироваться на корпоративные правила, договор и настройки сервиса, а не на общий совет из интернета.

6. Не полагаться на фильтр как на щит. DLP и автоматическая анонимизация помогают находить часть чувствительных данных, но могут пропускать сведения и ошибаться. Это дополнительный барьер, не гарантия.

Отдельная настройка нужна для суммаризации новостей и документов. Если вы используете ИИ, чтобы сократить внутренний отчёт или сделать дайджест, заранее подготовьте версию для обработки: уберите персональные поля, комментарии и закрытые приложения. Тогда суммаризатор получит факты, необходимые для пересказа, но не всю «начинку» документа.

Проверьте и само правило использования сервиса. В нём должно быть понятно, какие типы информации разрешены, кто может пользоваться корпоративным аккаунтом и куда сообщать о случайной отправке секретных данных. Если инцидент уже произошёл, лучше быстро передать информацию ответственному за безопасность или администратору сервиса, а не надеяться, что промпт затеряется в истории чатов.

Что запомнить перед следующим запросом

Угрозы безопасности при отправке текста в ИИ возникают чаще всего не из-за сложной атаки, а из-за обычной спешки. Сотрудник вставляет целое письмо, чтобы получить краткий ответ; менеджер загружает договор, чтобы пересказать его руководителю; разработчик отправляет кусок кода, чтобы быстрее найти ошибку. В каждом случае удобство реально, и риск тоже реален.

Я бы держала простое правило: сначала решить, можно ли передать этот материал внешнему сервису, затем убрать всё, что не нужно для задачи, и только после этого формулировать промпт. Если сомневаетесь, замените реальные данные условными и попросите модель помочь с формой, а не с закрытым содержанием. Это занимает немного больше времени, зато не заставляет потом выяснять, где оказался документ и кто имел к нему доступ.