Как оценить риски интеграции LLM в CRM

LLM-решение нельзя безопасно подключать к CRM по умолчанию. Сначала оценивают риски доступа к данным, соответствие 152-ФЗ, границы прав ИИ-агента, зрелость ИБ-процессов и готовность бизнеса к остановке пилота. В связке CRM+LLM основной риск возникает не в самой модели, а в том, какие персональные данные она получает, куда они уходят, кто управляет правами доступа и можно ли доказать, что обработка законна.

LLM (large language model, большая языковая модель) — это модель, которая работает с текстом: суммирует обращения, отвечает на письма, извлекает факты из карточек сделок, помогает оператору и менеджеру. CRM (Customer Relationship Management, система управления отношениями с клиентами) — это хранилище и рабочая среда для данных о клиентах, сделках, коммуникациях и задачах.

Под LLM в CRM понимается конкретный слой обработки текста и контекста внутри более широкого ИИ-функционала CRM. ИИ в CRM может считать скоринг, искать аномалии, классифицировать лиды — это статистические и классификационные задачи. LLM выполняет другую задачу: читает и генерирует естественный язык. Для оценки рисков эти понятия смешивать нельзя, потому что у них разная природа ошибок.

Риски LLM в CRM определяются доступом к данным: какие права выданы, какие токены и API задействованы, что фиксируют журналы событий. Если модель видит больше данных, чем нужно для задачи, риск растет. Один лишний атрибут в выгрузке иногда опаснее, чем десять новых функций в демо-версии.

Для CIO и CTO это разграничение важно практически: риски LLM оценивают иначе, чем риски аналитического ИИ, потому что модель работает с неструктурированным текстом и может сгенерировать данные, которых не было в исходном запросе.

Оценка рисков интеграции CRM при внедрении LLM-решений начинается с трех вопросов: какие данные получает модель, кто контролирует доступ и можно ли остановить интеграцию без ущерба для бизнеса. Порядок работы такой: сначала данные, затем архитектура, затем процесс. Менять местами эти этапы не стоит.

Оценка рисков — это проверка того, что LLM не получает лишние ПДн, не передает их во внешние сервисы и не принимает решения без контроля человека. Для первичной оценки хватает пяти критериев: тип данных, маршрут передачи, место хранения, права доступа, логирование. Если хотя бы один из них не описан, риск считается высоким.

1. Определить, какие поля CRM будут передаваться в LLM.

2. Разделить поля на ПДн, коммерческие данные и служебные атрибуты (User ID, роль пользователя, токен сессии и т.д.).

3. Проверить, где физически обрабатываются данные: внутри инфраструктуры компании или у внешнего провайдера.

4. Зафиксировать, кто видит ответы LLM и может их отправить клиенту.

5. Назначить владельца риска: ИБ, ИТ или бизнес.

6. Провести тест на остановку: можно ли отключить LLM за один час.

Способность отключить интеграцию за час — реалистичный показатель зрелости процесса; если отключение занимает дни, контроль над интеграцией фактически отсутствует.

Частая ошибка — компромисс между «быстро запустить» и «потом доделаем». Типичный сценарий: интеграцию подключают к CRM через общий API-ключ на всю команду. Формально система работает, но любой лишний запрос может уйти в историю переписки, а установить, кто и когда его отправил, уже нельзя. В результате доступ есть, контроля нет, ответственность размазана между несколькими ролями.

CRM хранит контекст, а LLM превращает его в текстовое действие. Текст легко копируется, пересылается и индексируется, поэтому утечка возможна через интерфейс, через логи и через обычный экспорт в Excel. Это один из самых частых каналов инцидентов на практике.

У доступа ИИ-агента к данным CRM три основных риска: избыточные права на чтение и запись, передача данных во внешний API без достаточного контроля и галлюцинации в рекомендациях, когда модель уверенно советует отправить клиенту то, что отправлять нельзя.

ИИ-агент в CRM — это программа, которая может читать данные, вызывать действия и формировать ответ от имени пользователя или системы. Если агент получает доступ ко всей карточке клиента, а нужен только последний комментарий, архитектура уже опасна. Обычная причина — небрежное проектирование доступа. На практике самый частый сценарий — расширение прав «на будущее»: агенту дают доступ шире, чем требует текущая задача, чтобы не дорабатывать интеграцию через месяц.

Избыточный доступ повышает риск утечки через API и логи по двум параметрам: объем данных и длительность хранения. Чем шире выборка, тем выше цена ошибки.

Если хотя бы два пункта провалены, интеграцию лучше не пускать в эксплуатацию. Удобный интерфейс чата не гарантирует, что под ним нет незащищенного доступа к данным.

Интеграция LLM и CRM может соответствовать 152-ФЗ, но только если заранее понятны основания обработки ПДн, маршрут передачи данных и роль каждого участника процесса. Риск нарушения возникает в момент, когда данные из CRM уходят в LLM без правового основания, без минимизации состава данных и без контроля над местом обработки.

152-ФЗ — это закон о персональных данных, который требует законности, целевого ограничения и мер защиты при обработке ПДн. В связке CRM+LLM это означает: нельзя отправлять в модель ФИО, телефоны, email, детали обращений и чувствительные сведения, если для задачи достаточно обезличенного фрагмента текста.

С 1 июля 2025 года требования 152-ФЗ прямо запрещают первичный сбор и обработку персональных данных россиян на серверах за рубежом. Это касается и внешних LLM-провайдеров, если через них проходят данные из CRM: требования, как правило, распространяются на передачу за пределы инфраструктуры компании независимо от того, разовый это запрос или постоянный поток данных. Штрафы для организаций: от 150 до 300 тысяч рублей за базовые нарушения, от 1 до 3 млн рублей за неуведомление об утечке, от 10 до 15 млн рублей за утечку данных специальных категорий.

Риск комплаенса зависит от архитектуры обмена данными. Если CRM передает в LLM целые карточки клиентов, а ответы модели сохраняются вместе с идентификаторами, следы обработки накапливаются быстрее, чем их успевают контролировать. При работе с внешним провайдером добавляется вопрос договорной модели, трансграничности передачи и доступа к журналам логирования.

Суммы штрафов уже сопоставимы со стоимостью самого пилота, а репутационный ущерб обычно наступает раньше официального предписания: один неверный экспорт данных из CRM может обойтись дороже, чем все внедрение LLM.

Для CIO/CTO вопрос сводится к одному: можно ли запускать LLM в CRM сейчас или пока рано. Ответ зависит от готовности. Без ясного маршрута данных, прав доступа и контроля начинать нельзя. Если контроль есть, но не закрыт 152-ФЗ и ИБ, запускать можно только в изолированном пилоте.

Матрица оценки рисков — это скоринг, который связывает вероятность, влияние и готовность компании ограничивать доступ.

Если у компании нет ответственного владельца риска, вся матрица автоматически становится красной зоной независимо от отдельных показателей.

Ниже дан практический тест на пять пунктов, который можно пройти за одну встречу с ответственными за ИБ, юридическую службу и продукт.

Если выполнены только два пункта из пяти, компания не готова. Четыре пункта дают право на пилот с ограниченным набором прав доступа. Все пять означают реальный шанс избежать инцидента.

Успешные внедрения обычно остаются внутри компании, а вот провалы попадают в суды и новости. Мы разберем реальные ИТ-случаи, которые стали достоянием общественности.

Инциденты с ИИ-агентами показывают одну и ту же закономерность: ошибка почти всегда начинается с того, что системе выдали больше прав, чем требовала задача. Разбор инцидента обычно вскрывает это уже постфактум.

Публичных российских кейсов с инцидентами LLM пока мало, поэтому опираемся на разобранные международные случаи, закономерности везде одни.

Air Canada, чат-бот и неверная политика возврата. Трибунал по гражданским спорам Британской Колумбии признал, что компания отвечает за информацию, которую выдал ее чат-бот, даже когда эта информация противоречила официальной политике. Компания пыталась доказать, что чат-бот — отдельный источник информации, за который она не отвечает, но трибунал эту логику отклонил. Источник: обзор ABA Journal и материалы по делу 2024 года. Урок: ответ LLM, показанный клиенту, становится обязательством бизнеса.

Samsung и утечка служебной информации через ChatGPT. В 2023 году СМИ сообщили, что сотрудники вводили в публичный инструмент фрагменты внутреннего кода и служебных данных. После инцидента компания полностью запретила сотрудникам использовать публичные ИИ-инструменты на рабочих устройствах и начала разработку собственной ИИ-системы с контролем данных. Источники: Forbes и Fortune. Урок: открытый сервис без контроля превращает рабочий текст в потенциальный след утечки.

Morrisons и вопрос ответственности за утечку ПДн через сотрудника. Сотрудник компании намеренно опубликовал персональные данные почти 100 тысяч коллег. Верховный суд Великобритании в итоге не признал компанию виновной по принципу субсидиарной ответственности, но сам процесс, включая многолетние судебные издержки и репутационный удар, показал цену инцидента даже при благоприятном для компании исходе. Источник: решение UK Supreme Court по делу Morrisons (2020). Урок: ошибка доступа — это управленческий риск, а не только ИТ-риск, даже если суд в итоге встает на сторону компании.

Общая черта всех трех случаев: проблема редко в самой модели или в самом чат-боте — она в том, какие права и обязанности им делегировали.

Надежный порядок внедрения выглядит предсказуемо и без импровизации на каждом шаге:

1. Зафиксировать цель интеграции: ответы менеджеру, подсказки по сделкам, резюме обращения.

2. Определить поля CRM, которые реально нужны LLM.

3. Настроить маскирование ПДн до передачи в модель.

4. Разделить тестовую и продуктивную среду.

5. Ограничить права ИИ-агента по принципу минимальных привилегий.

6. Подключить ИБ и юристов на этапе проектирования пилота, до запуска.

7. Проверить логирование, срок хранения и доступ к промптам.

8. Запустить пилот на ограниченной группе пользователей.

9. Провести тест на отключение и откат.

10. Только потом расширять сценарии.

Соблазн пропустить один из шагов ради более быстрого запуска велик, особенно под давлением сроков. Именно пропущенные шаги чаще всего оказываются причиной инцидента после запуска. Каждый пропущенный шаг сокращает время, которое остается на исправление ошибки до того, как она дойдет до клиента.

LLM — это большая языковая модель, которая работает с текстом. В CRM она пишет, суммирует и извлекает смысл. Другой ИИ в CRM может считать скоринг или искать аномалии. Это разные задачи с разными рисками.

Базовая оценка занимает от нескольких дней до 2–4 недель. Срок зависит от числа систем, объема ПДн и наличия уже описанных маршрутов доступа к данным.

Да. Без ИБ и юристов нельзя проверить маршрут данных, основание обработки и ограничения по 152-ФЗ. Формальное «потом согласуем» обычно заканчивается переделкой.

Да. Если у агента слишком широкие права, если ПДн не маскированы или если ответы уходят в логи и внешние сервисы, раскрытие вполне возможно.

Начать нужно с одного сценария и одного набора полей CRM: сначала маскирование и контроль доступа, потом тестовый запуск.