Безпека наших ШІ-рішень

Що означає «робота в контурі»?

«Контур» — це закритий периметр вашої компанії: ваші сервери (on-premise) або ваша приватна хмара. Рішення розгортається всередині нього — як сейф, що стоїть усередині банку, а не в чужому сховищі.

Це означає, що первинні дані, пошуковий рушій, база знань і сховище ключів живуть на вашій території та під вашим управлінням. Вони не «їдуть» до нас, до вендора моделі чи кудись іще. Доступ до системи й право керувати нею — лише у вас.

Технічно це контейнери (Docker), які піднімаються на вашому обладнанні за кілька годин. Ви не віддаєте свої документи назовні — ви пускаєте інструмент усередину, де він працює у ваших стінах.

Які дані бачить система?

Тут важливо розділити два простори — усередині контуру і назовні.

• Усередині контуру система бачить рівно те, що ви їй дали: пошту, чати, документи, вивантаження з облікових систем — повністю. Це потрібно, щоб знаходити факти, будувати карти процесів і відповідати на запитання. Усе це залишається всередині й нікуди не передається.
• Назовні (у зовнішню LLM) іде не весь масив, а невеликий фрагмент під конкретний запит — і лише після знеособлення.

Перед відправкою всі персональні дані — імена, податкові й реєстраційні номери, телефони, адреси, паспортні дані — вирізаються й замінюються мітками-заглушками. Замість «Іван Петренко» в текст підставляється ‹PERSON_42›, замість номера компанії — ‹ORG_17›. Зовнішня модель бачить структуру, логіку і зв’язки документа, але не бачить, хто за ними стоїть.

А найчутливіше — комерційна таємниця й дані з найвищим грифом — не йде назовні взагалі: це обробляє локальна модель усередині контуру.

Чому, попри зарубіжні LLM, це надійно й безпечно?

Тому що зарубіжна модель — це «обчислювальний рушій» для важкої інтелектуальної роботи, який отримує знеособлену головоломку, а не ваші дані. Безпека тримається на кількох незалежних шарах:

• Назовні йдуть лише мітки, а не реальні дані. Модель фізично не отримує імен, номерів і персональних даних — вона працює із заглушками на кшталт ‹PERSON_42›.
• Ключ «мітка ↔ реальне значення» залишається у вас. Таблиця відповідностей (token vault) зберігається тільки всередині контуру й зашифрована. Зрозуміти, «хто є хто», можна лише всередині — авторизованим працівникам.
• Ендпоінт — лише zero-retention. Зовнішня модель підключається в режимі «без збереження запитів і без навчання на ваших даних», за договором (DPA). Запит відпрацював — і зник.
• Заборона за замовчуванням (fail-closed). Якщо система не впевнена, що фрагмент повністю очищено від персональних даних, він просто не надсилається. Пріоритет — у безпеки, а не в зручності.
• Найчутливіше не йде назовні взагалі. Маршрутизація за грифом: дані найвищого класу залишаються в контурі й обробляються локально.

Чому це не впливає на ефективність роботи системи?

Поширений страх: «якщо все ховати й знеособлювати, система почне тупити й гальмувати». На практиці — ні, і ось чому:

• Якість відповіді не падає. Важкий синтез виконує та сама сильна фронтир-модель. Вона міркує над структурою, зв’язками й логікою — а мітки-заглушки несуть для неї ту саму інформацію, що й імена. Модель не стає дурнішою від того, що «Іван Петренко» названий ‹PERSON_42›.
• Легкі операції — локально й швидко. Пошук, ембедінги й класифікація працюють усередині контуру на скромному обладнанні (CPU або одна GPU). Назовні виноситься лише найресурсомісткіша частина — генеративний синтез.
• Знеособлення непомітне для користувача. Воно відбувається автоматично в конвеєрі за частки секунди — людина його не бачить і не робить вручну.
• Результат ви бачите в нормальному вигляді. На вітрині мітки миттєво перетворюються назад на реальні імена й номери — для авторизованих працівників. Ви читаєте зрозумілий звіт, а не ‹PERSON_42›.

Системи захисту — усі ступені

Захист — це не одна стіна, а конвеєр із кількох ступенів. Дані проходять їх по черзі, і межа приватності відокремлює все локальне від того єдиного кроку, де залучається зовнішня модель.

1. Приймання (конектори)

   Джерела приймаються як є — пошта, чати, документи, скани, вивантаження — без вимоги попереднього очищення. Кожному об’єкту присвоюється «паспорт»: джерело, власник, дата, канал і гриф чутливості.

2. Контур приватності — ключовий ступінь

   Усі сирі дані обов’язково проходять очищення до того, як потраплять в індекс або до моделі:

   • розпізнавання тексту й сканів; документи з персональними даними читає локальна модель — зображення не виходить за межі контуру;
   • видалення шуму й дублікатів (підписи, дисклеймери, хвости цитат);
   • виявлення й вирізання персональних даних → заміна на зворотні мітки ‹PERSON_42›, ‹BIN_8›;
   • зашифроване сховище токенів (token vault) «мітка ↔ значення» — зберігається лише on-premise;
   • розподіл за рівнями чутливості (T0/T1/T2) і маршрутизація: найвищий гриф назовні не йде;
   • fail-closed PII-guard: не впевнені, що чисто, — не надсилаємо.

3. Локальна індексація

   Ембедінги й векторне сховище працюють усередині контуру. З векторів практично неможливо відновити початковий текст. Гібридний пошук (смисловий + точний за номерами й кодами) — усе на вашій території.

   — — — межа приватності — — —

4. Синтез на знеособлених даних

   Це єдиний крок за межами контуру: зовнішня модель отримує знеособлений фрагмент під конкретний запит. Спірні факти не видаються за істину — їх позначають і передають на перевірку людині (змагальна верифікація).

5. Вітрина й аудит

   Результат повертається всередину. Тут відбувається реідентифікація — мітки перетворюються назад на реальні значення, але лише локально й лише для авторизованих користувачів. Кожен вихідний запит логується (що саме пішло і в якому вигляді), а будь-який факт можна простежити до джерела.