(Окончание, начало см. http://rusrim.blogspot.com/2026/02/c-openai-chatgpt-1.html )
Последствия для организаций: Правовые аспекты и аспекты стратегического управления
Из постановления суда следует ряд практических выводов для организаций:
- Раскрытие обезличенных (деидентифицированных) данных пользователей: Даже если данные представляются в обезличенной форме и подлежат защите в соответствии с охранным судебным приказом, суды всё равно могут потребовать предоставления данных в больших масштабах, если набор данных является релевантным и раскрытие - соразмерным. При управление рисками для персональных данных при взаимодействии с ИИ следует исходить из того, что обезличивание является способом снижению риска, но не гарантией. Кроме того, положения охранного судебного приказа и меры управления доступом могут стать столь же важными, как и используемый метод цензурирования;
- Адекватность мер защиты: В данном случае был упомянут целый мер контроля и управления: сокращение объема данных (с десятков миллиардов до 20 миллионов логов), проведенное компанией OpenAI обезличивание данных и наличие охранного судебного приказа. Организациям следует ожидать, что вопрос о «мерах защиты» будет зависеть от конкретных обстоятельств и будет носить кумулятивный характер. Например, если поставщик не в состоянии описать свой рабочий процесс обезличивания или не может реализовать на практике ограничения доступа и возможность аудита для больших текстовых наборов данных, то суд может быть менее восприимчив к возражениям, связанным с защитой персональных данных, чем в ситуации, когда эти меры контроля и управления являются зрелыми и доказуемыми;
- Релевантность не ограничивается вопросом «копирования чужих работ»: Суд признал, что логи, «не связанные непосредственно» с работами, на которые у истцов имеются права, всё еще могут быть релевантными, в том числе и в плане оценки аргументов компании OpenAI о добросовестном использовании. Это подразумевает то, что в ситуациях, когда защита стороны основывается на том, как система ведет себя во многих взаимодействиях, может увеличиться возможность добиться раскрытия «не нарушающих авторские права» примеров. Организациям следует ожидать, что позиции, занятые в судебном процессе в плане защиты (а не только предъявления требований), могут повлиять на то, какой объем данных становится доступным для раскрытия, и какие методы формирования выборки будут приняты судом;
- Отсутствие абсолютного права на «минимально инвазивное / обременительное» раскрытие информации: Суд постановил, что компания OpenAI не выявила прецедентного права, требующего от суда распорядиться о наименее обременительном раскрытии информации; а также не смогла конкретно объяснить, почему она отклонила альтернативное предложение о раскрытии информации другой стороны, - и поддержал решение судьи-магистрата Вана, требующее представления обезличенной выборки полностью. Для организаций подход «мы проведём поиск и предоставим вам результаты» можно охарактеризовать не только как способ снижение бремени, но и как перераспределение контроля. Когда одна сторона контролирует инструменты, индексирование и логику сопоставления, другая сторона может утверждать, что не в состоянии проверить полноту данных или протестировать альтернативные гипотезы. Это судебное решение предполагает, что суды могут отдавать предпочтение подходам, которые сохраняют возможность запрашивающей стороны анализировать набор данных, при условии, что обеспечены соразмерность раскрытия и меры защиты персональных данных;
- Практики поставщиков и платформ в отношении данных (в договорах следует учитывать практику раскрытия информации, а не только «статические» меры зашиты персональных данных): Решение отражает тот факт, что компания OpenAI хранила «десятки миллиардов» логов чатов в рамках обычной повседневной деловой деятельности, и что эти логи стали центральным объектом раскрытия информации. Организациям следует сфокусировать внимание на разумных мерах осмотрительности в отношении поставщиков. В договорах следует учитывать реалии раскрытия информации, включая то, что именно хранится, в течение каких сроков, с использованием каких механизмов управления, а также какие механизмы существуют для поддержки деидентификации и контролируемого представления данных, если это потребуется сделать в ходе судебного разбирательства. Договор, который умалчивает об этих аспектах, может ограничить возможности клиентов в случае, если журналы аудита (логи) поставщика будут охвачены процессом раскрытия;
- Демонстрация рисков судебных разбирательств при использовании ИИ: Судья Ван учитывал «подлинные» интересы пользователей в отношении защиты их персональных данных как один из факторов при оценке соразмерности раскрытия информации, - но все же счел представление информации уместным с учетом имеющихся защитных мер. Для организаций это напоминание о том, что ожидания пользователей в отношении защиты их персональных данных хотя и имеют значение, но они не обязательно препятствуют раскрытию информации в рамках гражданского процесса. Это особенно важно для сотрудников, использующих ориентированные на потребителя инструменты для выполнения связанных с их работой задач, когда организация может не иметь возможности контролировать настройки сроков хранения и даже не знать, что было какая информация была предоставлена инструменту; и
- Важность всестороннего стратегического управления ИИ: Поскольку этот судебный спор касается «дискуссий (чатов)», определяемых как сочетание подсказок и результатов, организациям следует рассматривать подобные данные ИИ как категорию потенциально подлежащих раскрытию документов, и соответствующим образом выстраивать стратегическое управление ими. Это может означать инвентаризацию существующих данных о взаимодействии пользователей с ИИ, уточнение допустимых и запрещенных типов данных, внедрение технических мер и средств контроля и управления для уменьшения объема конфиденциальных входных данных, наложение/снятие временных запретов на уничтожение в связи с судебными разбирательствами и координацию с поставщиками.
Постановление от 5 января 2026 года служит напоминанием о том, что в судебных разбирательствах, связанных с ИИ, протоколы взаимодействия (логи) могут играть ключевую роль. Суды могут быть готовы обязать стороны представить очень большие массивы данных, если релевантность трактуется достаточно широко для того, чтобы включать релевантность для обоснования таких аргументов защиты, как добросовестное использование, - и если отбор, обезличивание и охранные судебные приказы могут быть представлены как действенные меры защиты персональных данных. Для организаций наиболее важным уроком является не просто идея о том, что «надо быть осторожным с тем, что вы вводите в ИИ», а то, что стратегическое управление ИИ теперь включает в себя позицию организации в отношении раскрытия информации: что именно сохраняется, что может быть представлено, кто контролирует инструменты и какие меры защиты действительно работают в соответствующих масштабах.
Рома Патель (Roma Patel)
Источники: сайт JDSupra / блог фирмы Robinson+Cole
https://www.jdsupra.com/legalnews/when-chats-become-evidence-court-7484440/
https://www.dataprivacyandsecurityinsider.com/2026/01/when-chats-become-evidence-court-affirms-order-requiring-openai-to-produce-20-million-de-identified-chatgpt-logs/



