Soft-skill Cheating #1
Residual risks или Остаточные риски

Обложка — ПЕРСОНЕМ, но содержание — максимально серьёзное, сегодня делимся с вами лайфхаком из мира soft-skills🔥

Остаточные риски — концепция, которая превращает бэкофис-функцию из препятствующей в помогающую... по щелчку пальцев, по мановению волшебной палочки представителя этой самой функции... ну, почти!

Как выглядит обычное консультирование / согласование в in-house?

К вам приходят внутренние заказчики и описывают идеальную или близкую к идеальной картину мира, желаемый образ результата. Вы смотрите, задаёте дополнительные вопросы. Вы даёте требования, не все из которых совпадают с идеей целевого результата, не говоря о пути к нему, верно?

Бизнес говорит, что не готов ничего делать. Вы настаиваете. Бизнес настаивает. Цунгцванг.

В этой картине мира согласование / консультация выглядят бинарно-полярно: хорошо или плохо.

Но ведь compliance — это, будем честны, на самом-то деле не бинарное состояние, а шкальное [без шуток] измерение!

Тут на помощь приходят те самые остаточные риски, отличие которых от просто рисков — в том, что у них есть эмоциональная скидка в виде уступки и для бизнеса, и для бэкофиса.

Обычные риски создают цену [эмоциональную или реальную] для бэкофиса, ведь приняв все риски, в сферическом вакууме компания может просто игнорировать весь бэкофис, но и для бизнеса, ведь риски — это или страшно, или просто накопительно неприятно.

Остаточные риски же предполагают, что они остаются после чего-то, и тут появляются митигирующие меры, то есть, нечто, что снижает вероятность реализации или уровень воздействия риска.

И тут мы, бэкофис, превращаемся в помощника, ведь бизнес всегда готов принять риски, но хочет даже тут "сэкономить" или реально сэкономить. Бэкофис подсказывает, какие меры нужно внедрить и "разрешает" принять риски после этого.

Бэкофис получил реализацию части требований [хотя бы], бизнес — "сэкономил", сэкономил или даже заработал.

Более того, в виде дополнительной ценности бэкофис может рассказать, сколько приносит или "приносит" та или иная мера митигации, и тогда предложение, на котором сходятся бизнес и бэкофис, будет не только компромиссом, но и, того глядишь, выгодной "сделкой" [но не сделкой].

PROFIT!!!

Как вам рубрика?🔥

Давно не было тут рубрики #privacyкниги@propdpro, исправляемся и сразу с иностранной литературой [в плане есть и российские книги, ждите...]

D. J. Solove — автор всякого великолепного, включая Data is What Data Does, Murky Consent и десятки других статей, — решил собрать всё, что имеет в виду по поводу технологий в privacy-оптике, в одну книгу.

Получилась довольно тонкая книга, надо сказать, не альманах, но сборник мыслей, не энциклопедия, но карманный справочник.

По сути, это такая специализированная версия Taxonomy of Privacy [Таксономии приватности, знаменитой концепции этого автора], но с фокусом на технологии.

Проблемы контроля, проблемы контекстов, проблемы смешивания данных и многое-многое другое — в трех частях:

Part I — How to think about privacy and technology

Part II — Dimensions of technological change

Part III — Power, law and accountability

Приятного чтения🔥

Неудобно, долго, незаконно — про UX, из-за которого уходит пользователь и приходят проблемы — по следам обсуждений на WB Privacy&Day🔥

Многие компании до сих пор воспринимают комплаенс по персональным данным как набор документов: политики, положения, согласия, пользовательские соглашения.

Однако пользователь не читает документы (и правильно делает) — он совершает действия в интерфейсе: нажимает кнопки, проставляет галочки, регистрируется, удаляет аккаунт, обращается в поддержку.

И именно здесь возникает ключевая проблема: интерфейс и фактические процессы обработки данных часто не синхронизированы с юридической моделью правоотношений.

В результате действие пользователя в интерфейсе ≠ ожидаемый пользователем юридический результат.

Классический пример: пользователь нажимает «Удалить аккаунт» (если такая кнопка вообще есть). Он ожидает прекращения взаимодействия и удаления данных. На практике: часть данных продолжает храниться, а рассылки не прекращаются.

Это не просто коммуникационная проблема — это признак того, что:
— процессы обработки данных не соответствуют пользовательскому пути;
— юридические основания «размазаны» по разным системам;
— отсутствует сквозная privacy by design архитектура.

Причина — не только в том, что пользователю не объяснили последствия его действий в контексте обработки ПД, но и в том, что разумные правила не реализованы на уровне систем и интерфейсов.

При этом во многих случаях решения лежат на поверхности:
— минимизация собираемых данных (например, не нужно запрашивать при регистрации те данные, которые вам не нужны, проще сделать регистрацию по 1 атрибуту);
— устранение избыточных шагов (не нужно заставлять пользователя проживать избыточные галочки с согласиями, вставлять огромный блокирующий куки-баннер);
— прозрачность в отношении пользователя (если данные продолжают обрабатываться в определенных целях – скажите об этом пользователю);
— синхронизация интерфейсов с реальными процессами обработки (если вы сказали пользователю, что его данные будут удалены, значит их нужно удалить из соответствующих систем);
— ориентация пользователя на конкретные удобные механизмы реализации его прав (не писать в поддержку, а нажать кнопку).

Отсюда главный вывод: роль DPO — это не разработка документов как самоцели, а участие в проектировании процессов, систем и пользовательских путей, обеспечивающих корректную реализацию правовых требований на практике, в том числе в пользовательских интерфейсах.

Если хотите окунуться в проблему Privacy&UX/UI более глубоко и системно, советуем посмотреть на свежую презентацию @gssabirov с прошедшего 20 марта 2025 WB Privacy&Day, внутри которой:
— правовая квалификация пользовательских путей;
— основные юридические и иные privacy-UI ошибки;
— последствия таких ошибок на каждом этапе жизненного цикла пользователя;
— причины таких ошибок;
— роль DPO в их устранении.

А подробнее про LegalUX — концепцию юридической квалификации пользовательских путей — можно почитать в цикле статей от Максима Своевского тут, тут, тут и тут!

N. B. Конечно же, всё в посте, как и в презентации, и в канале в целом, — частные позиции авторов, никак не связанные с какими-либо компаниями, работодателями и юридическими лицами...

А у нас... а у нас — целый анонc новых московских privacy-откровений, теперь — на открытую тему!🔥

Можно не ограничивать себя и прислать любой кейс из мира privacy, откровения стали еще более откровенными 😁

Privacy-откровения, как и всегда, подразумевают:

• обсуждение самых сложных privacy-задач с признанными экспертами без шаблонных рекомендаций и ограничений

• нетривиальные практические кейсы, каждый имеет возможность предложить свой кейс для обсуждения (это нужно сделать до 09 апреля)

• участие в обсуждении кейсов других участников – настоящий краудсорсинг идей

• гарантированную конфиденциальность: запись мероприятия не ведётся, а диалог пройдёт в камерной атмосфере

• ограниченное число участников и экспертов, которые предварительно одобряются, можете быть уверены в том, что будете в кругу опытных коллег и экспертов

• вкусный кофе-брейк, который позволяет не только подзарядиться, но и обменяться комментариями и завести новые знакомства

Дата и место:

23 апреля, 19:00
Лекторий LookUp
Москва, Садовническая, 9А

Как принять участие?

1. Сформулируйте кейс и вопросы, которые хотели бы разобрать с экспертами. При подготовке рекомендуем:

— Структурировать описание ситуации, с какими проблемами столкнулись, какие были приняты меры, какие результаты достигнуты

— Выделить ключевые моменты, которые хотите разобрать с экспертами

— Подготовить ответы на возможные вопросы экспертов, которые могут повлиять на рекомендации (бюджеты, сроки, ограничения)

— Указать ожидаемый результат, который хотите достичь по итогу разбора, например, «получить идеи по решению проблемы Х»

2. Отправьте кейс @lagutin_max или @artydmitriev до 9 апреля

3. Дождитесь подтверждения участия и бесплатный билет на мероприятие [бесплатный билет — только для авторов принятых кейсов]🔥

4. Регистрация на мероприятие будет открыта после отбора кейсов.

Ждем вас и ваши кейсы!

Сегодня мы исполняем обещания и делимся первой из избранных презентаций с Runetlex AI Conf — Юлия Якименко и Deep Research для юриста🔥

Помимо основного содержимого презентации, считаем сокровищем авторский бенчмарк Юлии по поводу того, какие сервисы лучше подходят для тех или иных задач!

Ключевые тезисы презентации Юлии Якименко о Deep Research для юриста

• Deep Research — это не обычный чат с LLM, а режим агентного исследования: система декомпозирует задачу, делает серию поисков, сопоставляет источники и собирает структурированный отчет со ссылками

• Главная практическая ценность — резкое ускорение входа в новую тему: там, где раньше юрист тратил дни на первичный ресерч, Deep Research позволяет за 20–30 минут собрать рабочий аналитический черновик

• Лучшие сценарии применения в юрпрактике:
— подготовка договорных конструкций
— feasibility study по новой модели бизнеса
— бенчмаркинг юридической функции и KPI
— регуляторный мониторинг
— анализ правовых рисков по неоднозначным вопросам

• Сильная сторона инструмента — не “готовый ответ”, а быстрое формирование карты вопроса: регуляторная рамка, рыночные практики, варианты подходов, перечень рисков, возможные формулировки и check-list для дальнейшей работы

• Deep Research не заменяет юридическую экспертизу: финальная правовая валидация, адаптация под сделку, компанию и юрисдикцию всегда остаются за человеком

• Критическое ограничение для РФ — закрытые базы: если значимая часть практики и материалов находится в закрытых источниках, Deep Research будет работать по открытым данным, а значит — чаще ошибаться

• Типовые ошибки инструмента:
— неправильный номер статьи
— устаревшая редакция нормы
— “правдоподобная выдумка”

• Рабочая формула звучит так:

Deep Research — для разведки,
СПС — для точности,
голова юриста — для финального вывода

• Подход к внедрению — прагматичный: начинать не с тотального rollout, а с одного сценария, библиотеки промптов и обязательного протокола верификации результатов

N. B. Помните, что в SaaS-ИИ не надо загружать конфиденциальную информацию, но можно загружать абстрактные модели для анализа...

Оставайтесь с нами, скоро — следующий обзор 🖤

Как вам формат, оставляем? Пишите в комментарии!

P. S. Презентация — в комментариях!

Продолжаем делиться презентациями про AI в работе юристов, на очереди — Кирилл Дьяков и no-code жизнь🔥

Главная идея презентации: no-code меняет роль юриста в LegalTech, ибо если раньше юрист в основном был конечным пользователем готовых решений от вендоров и IT-команд, то теперь он может сам проектировать и быстро собирать прикладные инструменты под свои задачи, становясь своего рода citizen developer'ом.

No-code в логике автора — это не одна технология, а несколько классов инструментов:
— платформы автоматизации процессов
— инструменты «вайб-кодинга», где код пишет модель
— платформы для создания ИИ-агентов

Иными словами, вопрос уже не в том, нужен ли юристу LegalTech, а в том, какой тип платформы подходит под конкретную задачу.


Практический фокус презентации — не теория, а MVP-подход, автор показывает no-code через реальные сценарии.

• Первый сильный кейс — бот для типовых юридических вопросов, логика простая: юристы постоянно отвлекаются на повторяющиеся запросы коллег, а значит, часть нагрузки можно вынести в бота, если заранее накопить базу знаний, собрать типовые вопросы и описать пошаговые инструкции. По оценке автора эффект такого решения — экономия времени юристов на уровне 10–20%.

• Второй кейс — новостной дайджест. Здесь no-code рассматривается как способ быстро собрать приложение, которое ищет информацию по заданным источникам, делает саммари и выдает ссылки на первоисточники. Практический смысл — сократить время на мониторинг внешней среды и ручной поиск релевантных материалов.

Презентация ценна тем, что не романтизирует no-code: автор прямо показывает не только удачные сценарии, но и провалы, ведь одна попытка с новостным дайджестом закончилась неуспехом, а отдельный конкурс по созданию ИИ-решений показал, что одной идеи недостаточно — без понимания логики платформы и особенно интеграции LLM результат может не получиться.

Ключевой анти-тезис звучит так: no-code — это не магия и не универсальный shortcut, он хорошо работает на уровне MVP, но не всегда оправдывает вложенные усилия, а разнообразие платформ само по себе создает риск ошибочного выбора инструмента под задачу.

При этом общий вывод презентации скорее позитивный: no-code повышает интерес к профессии, упрощает процессы и может приводить не только к внутренней эффективности, но и к созданию полноценного продукта, потенциально полезного для бизнеса компании.

Осталось совсем немного из презентаций, которые нам разрешили выложить, но мы обещаем, что они вас не разочаруют!

P. S. Презентация — в комментариях 😁

Начинаем неделю правильно — с презентации Анастасии Сковпень о рисках IP в эпоху, когда ленивый работник не использует GenAI🤖

• Центральная мысль презентации: главный риск GenAI для компании в сфере IP — не столько сам факт использования AI, сколько потеря прослеживаемости, когда непонятно, кто именно создал результат, когда он был создан, как дорабатывался, какими инструментами и на каких условиях пользовались сотрудники.

Компания теряет управляемость и доказательственную базу.

• Автор ставит вопрос предельно практично: это не абстрактные страхи юристов, а вполне прикладная проблема для бизнеса, особенно там, где компания массово производит маркетинговый, визуальный или иной креативный контент и потом должна подтверждать права на него перед контрагентами, площадками или в потенциальном споре.

• Один из ключевых тезисов — контрагенты и платформы уже могут требовать подтверждения прав, маркетплейсы, торговые сети, ТВ-каналы и другие контрагенты могут запросить доказательства возникновения прав на контент.

• Отдельный риск связан со служебными произведениями. Если сотрудники создают материалы с использованием GenAI, может размываться статус служебного произведения и усложняться позиция работодателя в части доказывания прав.

Автор напоминает базовую логику ГК: автором признается гражданин, творческим трудом которого создано произведение, а при споре о служебном произведении именно работодатель доказывает содержание трудовых обязанностей и факт создания результата в их пределах.

Если закон уже решает вопросы, то не надо ждать новый ФЗ об ИИ, который всем поможет, надо использовать устойчивые и проверенные временем конструкции...

• Еще один сильный тезис: компании уже фактически зависят от GenAI, даже если не всегда это формализовали, приводится мысль, что если ИБ не заблокировала доступ к внешним AI-сервисам, сотрудники уже ими пользуются [да и если заблокииовала, ShadowAI — страшный тренд].

Иначе говоря, вопрос уже не в том, “разрешать или не разрешать”, а в том, как выстроить разумный AI compliance внутри компании.

• Предлагаемый подход к AI compliance состоит из четырех шагов:
— понять, какие сервисы уже используются, для каких целей и как сотрудники получают к ним доступ
— описать понятный регламент действий
— провести обучение, рассылки и внутренние встречи
— перейти к пост-мониторингу, в том числе при проверке документов и креативов

• Важное управленческое наблюдение автора: даже если юристы и руководство видят риски, рядовой сотрудник их не видит. Поэтому одного risk memo недостаточно. Нужны понятные правила, примеры, обучение и такая модель комплаенса, которая переводит риск IP из абстракции в повседневную практику команды.

P. S. Презентация — в комментариях🔥

Сегодня вечером мы делимся последней из избранных презентаций — Екатерина Юрасова и настоящий опыт внедрения AI-решений 🖤

• Главная мысль презентации: успешное внедрение ИИ начинается не с «интересной технологии», а с понятной управленческой цели!

В кейсе, представленном Екатериной такой целью стало стремление стать лидером по использованию ИИ, а на уровне KPI это было переведено в очень прикладную логику, считать ИИ-часы и сокращать время выполнения задач.

• Отдельно важен архитектурный выбор: речь идет не просто об использовании внешних AI-сервисов, а о локальной on-prem инфраструктуре на базе ансамбля российских и дружественных моделей.

Это показывает, что для крупной организации вопрос внедрения ИИ — это одновременно вопрос продуктивности, контроля и технологического суверенитета.

• Ключевой тезис автора — ИИ начинает работать только тогда, когда появляется система, презентация прямо увязывает внедрение с дисциплиной исполнения.

ИИ здесь показан не как “магический помощник”, а как объект полноценного операционного менеджмента.

• Внедрение в юридическом департаменте строилось поэтапно, сначала — классические проектные use-cases, включая проверку правоспособности, работу с договорами и документами, регуляторный и судебный блок, анализ законодательства и практики, затем — кросс-функциональные задачи, такие как поиск информации, саммари, подготовка текстов, переформулирование и “второе мнение”.

И только после этого — выход на магистральные проекты, связанные уже со стратегическими целями и конкурентным преимуществом.

• Это, пожалуй, один из самых сильных управленческих выводов презентации: зрелое внедрение ИИ идет от узких, понятных, повторяемых кейсов к более широким и стратегическим сценариям. Не наоборот.

• Презентация опирается на вполне конкретные результаты, а не только на риторику внедрения, среди озвученных показателей: 86% по итоговому KPI за год, 47 предпроектных исследований, валидированных за 6 месяцев, 85 систем, совместно исследованных, протестированных или изученных с юристами, и 54 задачи, заведенные на vibe-coding.

• Следующий уровень зрелости — мультиагентный ИИ-ландшафт, на слайдах показана уже не одна нейросеть, а сеть специализированных агентов: для аналитики задач и проектов, web-search, аналитики встреч, анализа баз знаний, правоспособности, ответов на специальные вопросы и других функций.

• Очень показателен культурный результат внедрения: по презентации, 80% сотрудников используют ИИ-ассистентов ежедневно, а автономные агенты демонстрируют заметный рост продуктивности и качества работы.

• При этом автор прямо подчеркивает, что переход к повсеместному использованию ИИ — это большое культурное изменение, то есть, настоящая сложность состоит не только в моделях, инфраструктуре или агентской архитектуре, а в том, чтобы встроить ИИ в рутину, метрики, язык управления и ежедневные привычки сотрудников.

• Итоговый вывод презентации: кейс локальной нейросети здесь подан не как “история про один удачный инструмент”, а как история про системное внедрение: от стратегии и KPI — к инфраструктуре, от MVP и прикладных кейсов — к мультиагентной среде, от отдельных экспериментов — к культурной трансформации компании.

Именно это, по сути, и делает внедрение ИИ устойчивым.

Остальные презентации друзья из Runetlex собираются продавать самостоятельно, поэтому за сим всё... ждите материалов с Wildberries Privacy&Day🔥

P. S. Презентация, как всегда, — уже в комментариях!

В выходные не оставим вас без свежих материалов, сегодня — Олег Блинов и гениальный подход DPO-as-an-API, представленный на Wildberries Privacy&Day🔥

• Главная идея презентации: DPO-функция должна работать не как “ручной консультационный стол”, а как системный интерфейс взаимодействия с бизнесом — то есть как API.

Иными словами, privacy-команда должна быть встроена в операционную среду компании через стандартизированные триггеры, сервисы, правила и контракты взаимодействия, а не только через разовые обращения “придите и посмотрите”.

• Отправная точка — довольно честная формулировка типичных проблем privacy-функции, на слайдах названы знакомые для любой крупной компании боли: DPO не привлекают вовремя, изменений слишком много и они слишком распределены, бизнес не всегда понимает, где вообще начинаются персональные данные, а ресурс функции воспринимается как несоразмерный, потому что доменная сложность плохо видна со стороны.

• Ответ автора на эти проблемы — не просто “нанять больше людей”, а перестроить саму модель работы, в качестве ключевых направлений названы стандартизация и автономность, работа со скоростью и распределенностью изменений, а также управляемое снижение хаоса за счет доверия и спонсорства.

Отдельно интересно, что для некоторых процессов прямо допускается более жесткая, не-agile логика, если она лучше обеспечивает управляемость privacy-контролей.

• Очень сильный тезис презентации: privacy-функция должна превращать сложность домена в набор воспроизводимых сервисов.

На слайдах это выражено через архитектуру решения, где входами выступают внутренние клиенты, Jira, корпоративный мессенджер и ИИ, а посредником между ними и privacy-процессами становится слой DPO-как-API с триггерами и контрактами.

• Сами privacy-процессы при этом описаны как нормальная операционная система функции, а не как “бумажная работа”, в архитектуре отдельно выделены инвентаризация, знания и компетенция, управление риском, обучение и коммуникации, реализация контролей и документирование; при этом подчеркивается, что работать приходится и с людьми, и с машинами.

Это важный ход: privacy здесь показан как управляемая инфраструктура решений, а не как набор юридических запретов.

• Презентация особенно ценна тем, что раскладывает DPO-функцию на конкретные сервисы, среди которых: консультации, тренинги, PIA, проверка контрагентов, обработка запросов субъектов и инцидентов.

То есть API-модель — это не метафора ради метафоры, а попытка описать privacy как каталог сервисов с понятными точками входа для бизнеса.

• Отдельный слой — правила, на которых эта система держится: автор связывает сервисную модель DPO с принципами обработки ПДн и законом, внутренними политиками и решениями компании, privacy by design, RoPA и иной документацией, рисками субъекта, паттернами контролей и регулярным мониторингом.

Иначе говоря, API DPO не существует в вакууме: он работает только тогда, когда за ним стоит формализованная нормативная и процессная база.

• Один из лучших фрагментов презентации — разбор проверки контрагента как сквозного процесса.

На отдельном слайде показано, что это не “одно письмо в privacy”, а последовательность стадий: тикет, контекст, проверка на юридические и организационные правила, оценка privacy-рисков, меры снижения риска и финальный ответ.

• Итоговый вывод: privacy-функция становится по-настоящему масштабируемой, когда знания, правила и процедуры превращены в сервисную архитектуру с понятными триггерами, интерфейсами, данными и повторяемыми сценариями.

В этом смысле “DPO как API” — это не красивая метафора, а модель зрелости privacy-функции в большой и быстро меняющейся организации.

P. S. Презентация — уже в комментариях для использования в работе и просто вдохновения!

Между презентациями хочется вспомнить и про #privacyкниги@propdpro, ведь там есть что посмотреть, а авторы все пишут и пишут...

Сегодня — новая, свежая и, по мнению авторов, устаревшая сразу после публикации книга "Юристы и нейросети. Руководство к действию" от команды авторов под уверенным предводительством Паши нашего Мищенко🔥

Если вы хотите начать работать ИИ, но боитесь, кто-то рядом с вами хочет начать работать с ИИ, но боится, или вы не боитесь, но не знаете, с чего начать или даже чем продолжить, — эта книга для вас!

Тут есть и базовое описание принципов работы ИИ, и обозначение технических и гносеологических пределов работы с ИИ [помним, да, что это не искусственный и не интеллект], и даже лайфхаки по промптингу и вайб-кодингу 🦑

Помните, главное — безопасные эксперименты, вы можете делать с ИИ что хотите, пока это касается только вас, а продуктовые идеи своей организации нести лучше без предварительных тестов на продовых данных...

Для DPO и privacy-экспертов эта книга — кладезь вдохновения, ведь кто знает, что вы захотите завтра:
— автоматический DPIA
— чек-лист по ПД для внутренних заказчиков
— калькулятор рисков в области ПД
— privacy-лендинг для организации
— что-то, что мы даже не знаем что...

Читайте, дерзайте, держите в курсе, товарищи, а мы будем держать в курсе вас...🖤