Могут ли наши армянские инженеры использовать инструменты искусственного интеллекта в проекте заказчика? Контракты, данные и закупки.

Обычно да, в пределах, установленных договором с клиентом до вступления в силу армянского законодательства: если договор рассматривает исходный код как конфиденциальный, контролирует субподрядчиков или определяет места выполнения работ, то помощник по программированию на основе ИИ, отправляющий запросы на серверы поставщика, может нарушить его с первого же запроса. Затем армянское законодательство добавляет два уровня: правила авторского права, определяющие, может ли вообще принадлежать и передаваться код, созданный с помощью ИИ, и правила защиты персональных данных, которые применяются с момента получения клиентских данных инструментом.

Что говорится в договорах с клиентами об использовании ИИ-помощников в программировании?

В большинстве соглашений о развитии, подписанных до 2023 года, искусственный интеллект не упоминается. Тем не менее, он регулируется четырьмя обычными пунктами.

Конфиденциальность

Запрос, содержащий код клиента, отправляется поставщику ИИ, третьей стороне. Если код является конфиденциальной информацией по договору, это считается разглашением. Армянское гражданское право указывает на то же самое: подрядчик по трудовому договору не может разглашать техническую информацию, полученную от клиента, без согласия клиента, а информация, хранящаяся в тайне в связи с ее коммерческой ценностью, защищается как коммерческая тайна. Нарушение этих правил конкретной загрузкой зависит от того, что было отправлено, и от условий поставщика.

Пункты соглашения Express AI и политика поставщиков

Крупные покупатели все чаще включают правила искусственного интеллекта в программы поставщиков. Три опубликованных примера демонстрируют диапазон возможностей:

• Политика Intel в отношении поставщиков решений для генеративного ИИ (июль 2023 г.) запрещает ввод конфиденциальной информации Intel, включая программный код, и персональных данных в инструменты генеративного ИИ.
• В соответствии с политикой Cisco в отношении поставщиков ИИ (апрель 2025 г.) для использования защищенных данных Cisco для обучения, переобучения или улучшения модели ИИ требуется разрешение Cisco; обычно разрешение выдается на один год.
• В соответствии с требованиями Microsoft к защите данных поставщиков, версия 12 (март 2026 г.) требуется предварительное уведомление субподрядчиков, одобрение международных передач персональных данных Microsoft, а также добавлен отдельный раздел для поставщиков, которые используют или предоставляют системы искусственного интеллекта.

Это требования клиентов, и они обязательны только для тех поставщиков, которые их подписали. Они представляют собой надежный предварительный вариант вопросов, которые будут задавать ваши собственные клиенты.

Субподрядчики

Вопрос о том, считается ли поставщик ИИ субподрядчиком, зависит от того, как этот термин определен в договоре. В тех случаях, когда он считается таковым, в договорных пунктах обычно содержится требование о принятии поставщиком условий, по меньшей мере, столь же защитных, как и ваши, а крупные поставщики ИИ редко подписывают индивидуальные соглашения. Внимательно изучите определение, прежде чем предполагать, что инструмент не подпадает под его действие.

Разрешенные места

Пункт, разрешающий разработку в Армении, касается места нахождения ваших инженеров. Поставщик решений в области ИИ обрабатывает и может хранить запросы в собственных центрах обработки данных, часто расположенных в США или ЕС. Это два отдельных вопроса, и второй из них — это тот, который теперь задают группы безопасности клиентов.

Разрешение на использование инструмента и разрешение на внесение в него информации о клиентах также являются отдельными понятиями. Обещание поставщика не проводить обучение на основе подсказок является условием вашей лицензии с этим поставщиком. Пункт о конфиденциальности, который вы обязаны соблюдать по отношению к вашему клиенту, считается выполненным с согласия этого клиента или в соответствии с условием договора, разрешающим использование инструмента.

Создание матрицы разрешений для каждого клиента.

Каждый договор с клиентом дает свой результат, поэтому в качестве рабочего инструмента используется одна строка для каждого клиента, заполняемая на основе договора и любых включенных в него положений поставщика. Минимальная версия:

Проверяйте каждую строку при добавлении инструмента, изменении поставщиком своей модели или собственных субпроцессоров, а также при начале использования командой ИИ для решения новых задач, таких как генерация тестовых данных. Каждое из этих действий может выходить за рамки утвержденных условий, предоставленных при первоначальной настройке.

Политика использования утвержденных инструментов: что в нее включить?

Матрица определяет, что разрешает каждый клиент. Политика определяет, как инженеры работают в рамках этой матрицы:

• Уровни инструментов: Разрешены только корпоративные учетные записи, инструменты разрешены только для внутренней работы или работы с открытым исходным кодом, а инструменты запрещены, включая личные учетные записи в любых сервисах.
• Классы данных: Что может никогда не попасть в запрос (личные данные клиента, учетные данные, ключи, код, помеченный как конфиденциальный), а что может попасть в запрос в зависимости от строки клиента в матрице.
• Настройки учетной записи: Возможность отказа от обучения, срок хранения данных и регион настраиваются централизованно, поэтому отдельные инженеры не могут их изменить.
• Процедура утверждения: Кто добавляет инструмент и кто проверяет матрицу перед началом проекта.
• Обзор результатов: Проверка кода и сканирование лицензий для подсказок ИИ, поскольку ассистент может воспроизводить код третьих сторон.
• Инциденты: Что делает инженер после вставки неправильного текста и кто решает, кому следует сообщить — клиенту или властям.

Для того чтобы обязать сотрудников соблюдать данную политику, примите ее в качестве внутреннего документа работодателя и обеспечьте письменное подтверждение ее принятия каждым инженером; наша работа по соблюдению трудового законодательства охватывает порядок введения внутренних правил. Если инженеры работают через официального работодателя, то официальный работодатель является именно этим работодателем, поэтому политика должна доходить до них через соглашение с официальным работодателем и его договор с вами.

Кому принадлежат результаты работы, созданные с помощью ИИ?

Согласно Закону Армении об авторском праве (HO-142-N), автором является физическое лицо, создавшее произведение, а компьютерная программа защищена авторским правом, если она является оригинальным результатом творческой работы автора. Закон прямо исключает результаты, полученные техническими средствами без участия человека в творческой деятельности. Таким образом, код, полностью сгенерированный инструментом искусственного интеллекта, не подлежит защите авторским правом, в то время как код, написанный инженером с использованием ИИ в качестве инструмента, может быть защищен. Насколько сильно подсказки, отбор или редактирование преобразуют результат работы ИИ в защищенный код, не было проверено: не найдено ни одного решения армянского суда или официального руководства по произведениям, созданным с помощью ИИ.

Для защищаемого кода применяется обычная цепочка прав собственности:

• Кол-во сотрудников: Экономические права на труд, созданный в рамках трудовых обязанностей, принадлежат работодателю, если иное не предусмотрено договором. Моральные права остаются за инженером и не могут быть переданы другому лицу.
• Подрядчики: Законом ничего не прописывается. Необходимо письменное соглашение. Без четкой формулировки лицензия по Гражданскому кодексу является неисключительной, распространяется только на Армению и действует в течение пяти лет, если срок ее действия не указан.
• Вознаграждение: Пункт, в котором автор отказывается от права на вознаграждение, является недействительным.

Пункт о передаче интеллектуальной собственности в договоре с заказчиком может передавать только то, что принадлежит вашей компании. Если результат работы содержит машинный код или код, скопированный помощником из проекта третьей стороны, гарантия права собственности в вашем договоре может быть неверной, даже если каждый инженер подписал необходимые документы. Наш аудит прав собственности на программное обеспечение показывает, как проверить цепочку от инженера до компании.

Персональные данные: что добавляет армянское законодательство

Если запрашиваемые данные содержат персональные данные клиента (записи пользователей, журналы с именами или адресами электронной почты, выдержки из производственной базы данных, используемые в качестве тестовых данных), то к загружаемым данным применяется Закон о защите персональных данных (HO-49-N).

Ваша роль и полномочия

Армянская компания, обрабатывающая данные по указанию клиента, обычно является «уполномоченным лицом», близким к обработчику данных в соответствии с GDPR. Уполномоченное лицо клиента должно быть оформлено в письменной форме и содержать информацию о правовом основании, цели, категориях данных и субъектах данных, возможных получателях и мерах защиты. Если уполномоченное лицо не соответствует закону, компания должна отказать и предупредить клиента в письменной форме. Загрузка данных в инструмент искусственного интеллекта, не упомянутый в уполномоченном лице, выводит обработку данных за его пределы.

Правовая основа и минимизация

Для обработки данных необходимо согласие субъекта данных, наличие предусмотренного законом случая предполагаемого согласия или прямо предусмотренное законом основание. Армянское законодательство не предусматривает общего основания для защиты законных интересов, и данные не могут использоваться для целей, отличных от тех, для которых они были собраны. Если задача может быть выполнена с использованием анонимизированных данных, обработка идентифицируемых данных запрещена; удаление только имен не может анонимизировать запись, которая все еще косвенно идентифицирует человека.

Переводы к зарубежному поставщику услуг в области искусственного интеллекта

Передача персональных данных на серверы за пределами Армении является трансграничной передачей. Разрешение на такую ​​передачу не требуется, если страна назначения обеспечивает надлежащую защиту посредством международного договора или включена в список стран, имеющих подобную защиту, составленный Агентством по защите персональных данных. В противном случае передача может осуществляться только с предварительного разрешения Агентства, на основании договора с гарантиями, утвержденного Агентством. Заявление подается в письменной форме до начала передачи и содержит информацию о стране, получателе, данных и цели; Агентство принимает решение в течение 30 дней. Согласие субъекта данных не заменяет это разрешение, и стандартное дополнение к соглашению об обработке данных, предоставленное поставщиком услуг искусственного интеллекта, не является одобрением Агентства.

Агентство утвердило свой список стран, соответствующих требованиям, в декабре 2025 года. Какие страны он охватывает, и в частности, как он рассматривает Соединенные Штаты, где большинство программ-помощников на основе ИИ обрабатывают запросы, уточняется в соответствии с опубликованным решением Агентства, поэтому перед тем, как полагаться на него, проверьте регион обработки данных поставщика в соответствии с текущим списком.

Безопасность и инциденты

Закон требует уничтожения или блокировки данных, которые больше не нужны, защиты данных с помощью шифрования, ограничения доступа только для авторизованных пользователей и сохранения конфиденциальности данных во время и после работы. В случае утечки данных из электронной системы, обработчик данных должен немедленно публично объявить об этом и одновременно сообщить в полицию и в Агентство; 72-часового срока и порогового значения риска нет. Обнаруженная незаконная обработка данных должна быть устранена в течение 3 рабочих дней, либо данные должны быть уничтожены, а субъект данных уведомлен. Вопрос о том, считается ли несанкционированная вставка данных в инструмент ИИ утечкой или незаконной обработкой, еще не решен.

Закон о кибербезопасности (HO-442-N), вступивший в силу 4 января 2026 года, возлагает обязанности на операторов в жизненно важных секторах, включая ИТ и цифровую инфраструктуру, и, как правило, исключает микро- и малые предприятия, за исключением тех, которые управляют критической инфраструктурой. Он не содержит общего запрета на отправку кода в сервисы ИИ. Если данные ваших клиентов включают данные резидентов ЕС, GDPR может применяться наряду с армянским законодательством.

Доказательства для ответов на запросы о закупках

Группа специалистов по безопасности запросит документы. Набор документов, отвечающий на большинство вопросов, связанных с ИИ:

• Политика использования утвержденных инструментов и реестр используемых инструментов с указанием типа учетной записи и настроек;
• строка клиента в матрице разрешений, а также любые письменные подтверждения, на которые она опирается;
• Документы, подтверждающие прохождение обучения персонала и ознакомление с политикой компании;
• Условия контрактов поставщиков ИИ в отношении обучения, хранения и обработки данных, а также место обработки данных, с разрешения любого Агентства на передачу данных;
• Диаграмма потока данных, показывающая, что покидает вашу сеть и куда это направляется;
• ваш список субподрядчиков и журнал происшествий;
• Сертификат ISO 27001, если он у вас есть. Microsoft, например, принимает действующий сертификат ISO 27001 только вместо раздела, посвященного безопасности; требования к обработке данных и искусственному интеллекту по-прежнему действуют.

Более подробная анкета представлена ​​в нашем контрольном списке по анкетированию безопасности для армянских поставщиков . Сначала создайте строку матрицы для каждого клиента на основе его контракта; включайте инструменты для проекта этого клиента только после того, как строка будет заполнена и все необходимые согласования будут получены.

Часто задаваемые вопросы

Последнее обновление: 13 октября 2026 г.