Audit-trail — основа, а не дополнительная функция
В compliance-задачах ценность AI часто переоценивают. «Сгенерируем отчёт за час вместо двух дней» звучит как победа — но если регулятор завтра спросит «покажите, как именно был сформирован раздел 4.2», и ответ будет «GPT написал», это сразу не победа, а проблема.
Реальная ценность compliance-автоматизации — не скорость генерации, а воспроизводимость и аудит-трейл. Любой отчёт должен иметь паспорт: какая версия шаблона, какие источники данных, какая модель, какой пользователь, какое время.
Что автоматизируется первым
Compliance-задачи делятся на три кучи по риску.
Низкий риск — автоматизируем агрессивно. Квартальные compliance-отчёты, ПОД/ФТ-отчёты по типовому периметру, регуляторные уведомления с фиксированным форматом. Шаблон есть, регулятор не возражает, история нужна для внутреннего аудита.
Средний риск — автоматизируем поэтапно. GRC-матрицы рисков, контроли по ISO 27001 / 152-ФЗ, аудит-трейл для внутреннего аудита. AI собирает черновик, человек ревьюит, история версий обязательна.
Высокий риск — пока оставляем юристам. Ответы регулятору на запрос, юридические заключения по нестандартным ситуациям, новые типы compliance, которые не укладываются в шаблон. Здесь AI работает как assistant, не как конвейер.
Где AI портит
- Когда компании внедряют AI-генерацию compliance-документов без истории шаблона. Через полгода никто не может объяснить аудитору, как и почему отчёт получился именно таким.
- Когда персональные данные / NDA-документы прогоняются через SaaS-чатбот. Это — нарушение периметра, и ни один CISO такое не подпишет.
- Когда AI заменяет ревью, а не дополняет его. Compliance — последний контур, где «чёрный ящик» недопустим.
Принцип Vortholm
В compliance-нишах мы строим всё на трёх обязательных компонентах: версионируемый шаблон, паспорт каждого запуска, on-prem-развёртывание для конфиденциальных потоков. Без этого — это не compliance-конвейер, а просто красивый wrapper над GPT.
Если ваш comply-team тратит больше 20 часов в неделю на повторяющиеся отчёты — это не вопрос «нужна ли автоматизация», это вопрос «как именно она должна быть устроена, чтобы пройти аудит».