ИИ в закрытом контуре в 2026: как внедрить нейросеть без передачи данных
- ИИ в закрытом контуре: языковая модель работает на серверах компании или в выделенной ей среде, а запросы, документы и ответы не уходят к внешнему сервису.
- Вариантов размещения три: зарубежный облачный API, российское облако (GigaChat, YandexGPT) и открытая модель в своём контуре; выбор зависит от того, какие данные пойдут в модель.
- У себя можно поставить модели с открытыми весами: GigaChat 3.1 и 3.5 от Сбера под лицензией MIT, Qwen3.8-27B под Apache 2.0 и DeepSeek-V4.1-Flash под MIT; лицензия YandexGPT 5 Lite запрещает использование, которое может привести к получению или распространению персональных данных и коммерческой тайны, и требует договориться с Яндексом после 10 млн выходных токенов в месяц.
- Контур состоит из сервера инференса, шлюза доступа, поиска по базе знаний (RAG), прав доступа и журналов запросов.
- Если персональные данные можно обезличить до отправки, часть сценариев обходится шлюзом и российской облачной моделью; пока ключ для обратной подстановки у компании, данные остаются персональными и для облака нужны основание и поручение. Свой контур снимает передачу данных наружу, но обязанности оператора по защите системы и журналов запросов остаются.
Чем облачный API отличается от российского облака и от своей модели на серверах компании, какие модели можно поставить у себя по лицензии, из чего состоит закрытый контур и когда хватает обезличивания.
Антон Тарасенко, сооснователь и CEO NerdSquad. Обновлено 14 октября 2026 года.
ИИ в закрытом контуре это языковая модель на серверах компании или в выделенной ей среде. Запросы сотрудников, документы и ответы не покидают периметр. Внедрение начинают с разбора данных: что можно отдать внешнему сервису, а что нельзя. Потом выбирают размещение. Для своего контура в 2026 году есть модели с открытыми весами и коммерческой лицензией, в том числе российский GigaChat под лицензией MIT.
Что такое закрытый контур для нейросети?
Закрытый контур для нейросети это среда, где модель, база знаний и журналы находятся под управлением компании, и ни один запрос не уходит к провайдеру модели. Обычно это свои серверы в ЦОД компании или выделенные серверы в российском ЦОД, которыми управляет сама компания. Если к серверам имеет доступ персонал ЦОД или контур обслуживает подрядчик, данные видят и они, это оформляют как поручение обработки.
Обсуждение ИИ в крупной компании часто уходит в крайность. Одни говорят «наружу ничего, ставим всё у себя», другие «возьмём облачный API, все так делают». Обе крайности дорогие. Первая деньгами и сроками: серверы с GPU, эксплуатация, обновление модели. Вторая рисками: часть данных уходит туда, где вы не управляете ни хранением, ни доступом.
Моя позиция: не начинайте с выбора модели. Сначала выпишите, какие данные сотрудники будут отправлять в модель, и разложите их на персональные данные, коммерческую тайну и остальное. Из этой раскладки следует выбор размещения, а подтверждают его аудитом данных и согласованием со службой ИБ, порядок ниже.
Какие варианты размещения модели есть и чем они отличаются?
Вариантов три: зарубежный облачный API, российское облако и своя модель в контуре. Разница в том, где обрабатывается запрос и кто его видит.
| Зарубежный облачный API | Российское облако | Своя модель в контуре | |
|---|---|---|---|
| Где обрабатывается запрос | на серверах провайдера за рубежом | в ЦОД провайдера в России | на серверах компании или выделенных серверах |
| Кто видит данные | провайдер модели | провайдер модели в России | компания и те, кому она дала доступ: ЦОД, подрядчик по эксплуатации |
| Персональные данные | трансграничная передача по статье 12 152-ФЗ: сведения от получателя и их оценка, уведомление Роскомнадзора, для стран вне перечня ожидание 10 рабочих дней; Роскомнадзор может запретить передачу | поручение обработки по части 3 статьи 6 152-ФЗ: основание или согласие субъектов, условия поручения в договоре, логирование запросов у провайдера отключено | наружу не уходят; система остаётся информационной системой персональных данных с уровнем защищённости и мерами защиты |
| Срок запуска | дни, если сервис доступен из России; OpenAI и Anthropic Россию не обслуживают | дни | недели, если серверы с GPU уже есть или арендованы в российском ЦОД; при покупке своих серверов месяцы на поставку и подготовку стойки |
| Затраты | плата за токены | плата за токены | серверы, эксплуатация, обновления |
| Качество и обновления | новые модели сразу | новые версии провайдера сразу | модель обновляет сама компания |
Зарубежный API годится для текстов без персональных данных и коммерческой тайны, и то при условии доступа. Россия не входит в списки поддерживаемых стран OpenAI и Anthropic, OpenAI предупреждает о блокировке аккаунтов из неподдерживаемых стран. Процесс на таком сервисе может остановиться в любой день.
Если в запросах есть персональные данные, статья 12 152-ФЗ требует больше одного уведомления. До уведомления оператор получает от иностранного получателя сведения о мерах защиты и условиях прекращения обработки и оценивает их, дата оценки входит в уведомление. В страны вне перечня с адекватной защитой, например в США, передавать данные нельзя, пока Роскомнадзор рассматривает уведомление, на это у него 10 рабочих дней. Роскомнадзор может запретить или ограничить передачу, и тогда оператор обязан обеспечить уничтожение уже переданных данных.
Для персональных данных граждан России есть ещё часть 5 статьи 18 152-ФЗ: запись, хранение и изменение таких данных при сборе идут в базах на территории России. Подробный разбор, что можно отправлять в ChatGPT, YandexGPT и GigaChat, в соседней статье «Нейросети и 152-ФЗ в 2026 году».
Российское облако снимает вопрос трансграничной передачи, но данные всё равно уходят к третьей стороне. По части 3 статьи 6 152-ФЗ поручить обработку можно с согласия субъекта, если федеральный закон не предусматривает иное. Поэтому юрист сначала проверяет основание, и если его нет, компания собирает согласия.
В поручении перечисляют данные и действия с ними, цели, обязанность хранить конфиденциальность и меры защиты по статье 19. Проверьте и настройки площадки: в Yandex AI Studio модели по умолчанию сохраняют данные запросов, логирование отключают заголовком x-data-logging-enabled: false, и тогда запросы не используются для улучшения сервиса (документация AI Studio). Для банка, страховой или компании со строгой службой ИБ сама передача данных третьей стороне бывает стоп-фактором даже при хорошем договоре.
Своя модель в контуре снимает передачу данных наружу. Обязанности оператора остаются: контур с персональными данными это информационная система персональных данных. Для неё определяют уровень защищённости по постановлению Правительства № 1119, выполняют меры из приказа ФСТЭК № 21 и составляют модель угроз. Сюда же относятся журналы запросов: в них оседают персональные данные клиентов и сотрудников и коммерческая тайна.
Для значимых объектов критической информационной инфраструктуры (КИИ) есть отдельные требования. С 1 января 2025 года госорганам и заказчикам по 223-ФЗ запрещено иностранное ПО на их значимых объектах КИИ, если федеральный закон не установит иное (Указ Президента № 166).
Частный банк или страховая под указ могут не попасть, но с 1 сентября 2025 года пункт 5 части 3 статьи 9 187-ФЗ обязывает всех субъектов КИИ со значимыми объектами использовать на них ПО из единого реестра российских программ или ПО из защищённых государственных информационных систем. Порядок и сроки перехода устанавливает правительство. Требование касается реестра, а не страны разработчика: открытые веса модели, скачанные с Hugging Face, в реестре сами по себе не числятся, это касается и российского GigaChat. Для значимого объекта ищут поставку вендора, внесённую в реестр. Какое ПО модели и сервера инференса допустимо на значимом объекте, служба ИБ проверяет по реестру до выбора модели.
Какие модели можно поставить у себя в 2026 году?
Поставить модель у себя можно двумя путями: скачать открытые веса и развернуть их самим или купить у вендора поставку в контур. Лицензии у открытых моделей разные, даже внутри одного семейства, поэтому читают лицензию конкретной модели и делают это до пилота, а не перед запуском.
| Модель | Лицензия | Что важно |
|---|---|---|
| GigaChat 3.1 Lightning, Сбер | MIT | 10 млрд параметров, из них 1,8 млрд активных при ответе |
| GigaChat 3.5 Ultra, Сбер | MIT | 432 млрд параметров, 28 млрд активных; примеры запуска в карточке рассчитаны на 8 GPU |
| YandexGPT 5 Lite 8B, Яндекс | своя лицензия Яндекса | лицензия запрещает использование, которое приводит или может привести к получению, созданию или распространению персональных данных и информации ограниченного доступа, включая коммерческую тайну; для контура с такими данными не подходит; после месяца с 10 млн выходных токенов нужно в течение 30 дней обратиться в Яндекс, без соглашения лицензия аннулируется |
| Alice AI Foundation 80B-A3B Base, Яндекс | Apache 2.0 | 80 млрд параметров, 3 млрд активных; базовая модель без дообучения, для исследований и доработки |
| Qwen3.8-27B, Alibaba | Apache 2.0 | 27 млрд параметров; зарубежная модель с открытыми весами; у других моделей семейства Qwen3.8 лицензия может быть своя |
| DeepSeek-V4.1-Flash, DeepSeek | MIT | 552 млрд параметров основной сети по карточке, всего в весах около 763 млрд вместе с модулем памяти; при ответе работают до 16 млрд; зарубежная модель с открытыми весами |
У Яндекса открыты YandexGPT 5 Lite с ограничениями по закрытым данным и по объёму и базовая Alice AI Foundation, которую до рабочего ассистента придётся дообучать самим. YandexGPT в составе AI Studio Яндекс Облако называет среди сервисов для закрытого контура заказчика. Условия поставки и требования к серверам тогда даёт вендор.
Теперь про закон 243-ФЗ. С 1 марта 2027 года вступает в силу пункт 3 части 2 статьи 5: правительство устанавливает случаи, в которых допускается применение только суверенных и (или) национальных больших фундаментальных моделей, и перечень исключений из них. Для банковской сферы и финансового рынка эти случаи согласуют с Банком России. Ограничение действует только в установленных случаях. Подходит ли под определение суверенной или национальной модели выбранная вами, в том числе развёрнутая у себя GigaChat, проверяют по закону и актам правительства.
Часть 3 статьи 13 даёт переходный период: до 1 сентября 2032 года эти случаи не распространяются на информационные системы, где применяются модели, созданные и (или) эксплуатируемые на 1 марта 2027 года, если данные обрабатываются и хранятся в России. Замена модели или переход на новую версию после 1 марта 2027 года может лишить систему переходного периода, такое обновление сверяют с юристом. Отраслевые требования переходный период не откладывает: требования к ПО на значимых объектах КИИ по Указу № 166 и 187-ФЗ действуют уже сейчас.
Поэтому модель подключают через отдельный слой, чтобы заменить её без переделки всей системы, а саму замену планируют под сроки закона. О сроках закона подробнее в статье «Закон об ИИ 243-ФЗ: что изменится для бизнеса».
Из чего состоит закрытый контур для ИИ?
Закрытый контур для ИИ собирают из пяти частей. Модель среди них самая простая: её скачивают и запускают. Больше всего работы уходит на шлюз, права и подготовку документов.
- Сервер инференса. Серверы с GPU и программа, которая отдаёт ответы модели по внутреннему API. Сколько нужно железа, зависит от модели и числа одновременных пользователей; у Сбера, например, замеры скорости GigaChat 3.1 Lightning сделаны на одном ускорителе H100 80 ГБ.
- Шлюз доступа. Единая точка входа между сотрудниками, системами и моделями. Шлюз проверяет, кто спрашивает, и считает расходы по отделам. Он же вычищает персональные данные из запроса, если в сценарии они не нужны. В закрытом контуре шлюз отправляет запросы только во внутреннюю модель; если часть запросов уходит во внешнюю, это уже смешанная схема, о ней ниже.
- Поиск по базе знаний (RAG). Модель отвечает по документам компании: регламентам, договорам, инструкциям. Качество ответа здесь больше зависит от подготовки документов, чем от модели.
- Права доступа. Поиск отдаёт модели только те документы, которые этот сотрудник и так может открыть. Если права не перенесли из исходных систем, бухгалтер через ассистента прочитает приказы о зарплатах.
- Журналы. Каждый запрос и ответ записываются с автором и временем. Без журнала нельзя разобрать инцидент и нельзя проверить качество. Журнал фиксирует работу сотрудников, поэтому порядок его ведения закрепляют локальным актом и знакомят с ним сотрудников под подпись (статья 22 ТК РФ). В журналах оседают персональные данные и коммерческая тайна, им нужны срок хранения, узкий круг доступа и защита наравне с остальной системой.
Права доступа мы строили и без ИИ. Для «Лаборатории Касперского» NerdSquad сделала бренд-портал на 4 000 сотрудников с разными уровнями доступа, по стандартам ИБ самого Kaspersky. В ИИ-контуре та же задача, только документы читает ещё и модель.
Если модель встраивают в свой продукт, через который идут данные компаний-клиентов, команда продукта обрабатывает их по поручению этих клиентов, и условия поручения входят в договор с каждым. Данные клиентов разделяют в поиске, правах доступа и журналах, чтобы ассистент одного клиента не нашёл документы другого. Лицензию модели проверяют на использование в коммерческом сервисе: MIT и Apache 2.0 его разрешают, у лицензии Яндекса свои ограничения.
Когда закрытый контур не нужен и хватает обезличивания?
Закрытый контур не нужен, если из запроса до отправки можно убрать персональные данные и коммерческую тайну, а задача от этого не ломается. Тогда хватает шлюза с обезличиванием и облачной модели; для российской компании это обычно российское облако, крупнейшие зарубежные API Россию не обслуживают. Такая схема называется смешанной: обезличенные запросы шлюз отправляет наружу, закрытые данные остаются внутри.
Я считаю частой ошибкой другое: любой корпоративный текст объявляют персональными данными и сразу уходят в самый дорогой вариант. Если для части сценариев те же данные можно вычистить до отправки, деньги на свой контур для них потрачены зря. Например, для классификации жалоб модели нужны тема и текст обращения, а не имя и телефон клиента.
Обезличивание в таком примере надо делать честно. Если шлюз заменяет имя и телефон метками и потом подставляет их обратно, это метод введения идентификаторов из приказа Роскомнадзора от 19.06.2025 № 140: ключ сопоставления компания хранит отдельно и третьим лицам не передаёт. По пункту 9 статьи 3 152-ФЗ обезличенные данные нельзя связать с человеком без дополнительной информации, а у компании эта информация есть. Для неё такие данные остаются персональными, поэтому для облака всё равно нужны основание и поручение обработки, а для зарубежного сервиса ещё и правила трансграничной передачи.
Где обратная подстановка не нужна, данные можно обезличить без ключа; подходит ли это для конкретной схемы, решает юрист. В тексте жалобы к тому же остаются адрес, номер заказа и детали ситуации, по которым человека можно определить, поэтому качество вычистки проверяют на реальных обращениях до запуска.
Обезличивание не работает, когда смысл задачи в самих данных. Анализ договоров с суммами и контрагентами, ответы по внутренней финансовой отчётности, поиск по кадровым документам: после вычистки модели не с чем работать. Такие сценарии ведут в свой контур.
Где проходит граница, в NerdSquad выясняем на аудите данных и систем до начала разработки: по его итогам понятно, какие сценарии обходятся шлюзом и облаком, а каким нужен свой контур.
Как идёт внедрение ИИ в закрытом контуре по шагам?
Внедрение ИИ в закрытом контуре идёт от данных к модели. Порядок работы в NerdSquad:
- Аудит данных и систем до старта: какие данные пойдут в модель, где они лежат, кто к ним имеет доступ. На выходе чек-лист доработок инфраструктуры и команды.
- Карта данных: что можно в облако без изменений, что после обезличивания, что только в контур. Её согласуют со службой ИБ и юристом до того, как куплен первый сервер; для КИИ и финансового рынка здесь же проверяют отраслевые требования.
- Выбор одного процесса и «паспорт процесса»: цель в деньгах или времени, нужные источники данных, план работ.
- Набор проверочных примеров на реальных данных и сравнение двух-трёх моделей на нём.
- Пилот 4 недели: прототип агента, запуск в рабочей среде компании, метрики и отчёт.
- Масштаб: сколько пользователей, какое железо, кто эксплуатирует контур после запуска.
Пилот внедрения ИИ в NerdSquad стоит от 500 тыс. ₽; состав работ и бюджет фиксируются до старта. Серверы до пилота покупать не обязательно. Если сценарий выдерживает обезличивание, пилот идёт через шлюз и облачную модель. Для договоров, отчётности и кадровых документов обезличенный пилот не получится: модель ставят на серверы компании или на арендованные GPU-серверы в российском ЦОД, и если сервер чужой, оформляют поручение обработки. Полный контур строят, когда понятен результат.
Стоимость своего контура считают после пилота, когда известны модель, число одновременных пользователей и объём документов. В неё входят серверы с GPU (покупка или аренда в российском ЦОД), работы по шлюзу, поиску и правам доступа, меры защиты системы и эксплуатация. На том же объёме запросов её сравнивают с платой за токены в облаке. Срок и бюджет следующего этапа NerdSquad фиксирует сметой до его старта.
После запуска контуру нужна эксплуатация: обновления модели и сервера инференса, мониторинг нагрузки и качества ответов, ведение журналов и прав доступа, меры защиты по модели угроз. Это делает своя команда (администратор серверов, инженер по моделям, служба ИБ) или подрядчик по договору с поручением обработки. NerdSquad после запуска следит за метриками, дообучает агента и расширяет сценарии по согласованному плану; сопровождение считают отдельной строкой.
Из наших ИИ-проектов: агент PR-аналитики для ВТБ, где реакция на значимое упоминание сократилась с 2 часов до 7 минут.
Какие вопросы задать подрядчику до старта?
Эти вопросы показывают, понимает ли подрядчик контур целиком или умеет только поставить модель:
- какие данные из нашего процесса уйдут в модель и по какой схеме вы их разделите;
- где физически будет работать модель в пилоте и где в рабочей системе;
- какая лицензия у модели и есть ли в ней ограничения по объёму или сфере применения;
- как переносятся права доступа из наших систем в поиск по базе знаний;
- что пишется в журналы, сколько хранится и кто их читает;
- как заменить модель, если изменятся требования по закону 243-ФЗ;
- на каких наших примерах вы будете проверять качество ответов;
- кто эксплуатирует контур после запуска и обновляет модель;
- кто из ваших сотрудников получит доступ к нашим данным и как это оформим поручением обработки;
- есть ли у вас сертификат по ИБ и опыт пентестов ИИ-систем.
Если подрядчик на первой встрече предлагает модель, но не спрашивает про данные, это повод насторожиться.
Об авторе. Антон Тарасенко, сооснователь и CEO NerdSquad, сооснователь YotaPhone и экс-CTO Yota Devices. NerdSquad (nerdsquad.ru) основана в 2015 году, разрабатывает веб-сервисы, мобильные приложения и ИИ-решения и усиливает ИТ-команды компаний специалистами. У компании сертификат ГОСТ Р ИСО/МЭК 27001:2021, услуги по 152-ФЗ и пентестам. Среди проектов: ИИ-агент PR-аналитики для ВТБ, бренд-портал для «Лаборатории Касперского», аналитический портал для вокзалов РЖД.
Услуга по теме: Внедрение ИИ в бизнес
Источники и методика
- Федеральный закон № 152-ФЗ «О персональных данных» по КонсультантПлюс: статья 12, трансграничная передача, статья 18, часть 5, локализация, статья 6, часть 3, поручение обработки, статья 3, пункты 1 и 9, понятия персональных данных и обезличивания; сверены 13 октября 2026 года.
- Защита персональных данных в информационных системах: постановление Правительства от 01.11.2012 № 1119, приказ ФСТЭК от 18.02.2013 № 21; обезличивание: приказ Роскомнадзора от 19.06.2025 № 140, приложение 2, пункты 2 и 3, метод введения идентификаторов; ознакомление с локальными актами: статья 22 ТК РФ.
- Иностранное ПО на значимых объектах КИИ: Указ Президента от 30.03.2022 № 166 в редакции от 07.04.2025; Федеральный закон от 26.07.2017 № 187-ФЗ в редакции Федерального закона от 07.04.2025 № 58-ФЗ (вступил в силу 1 сентября 2025 года): статья 9, пункт 5 части 3, статья 6, пункты 6 и 7 части 2; КонсультантПлюс, 13 октября 2026 года.
- Федеральный закон от 26.07.2026 № 243-ФЗ: статья 5, пункт 3 части 2, случаи применения только суверенных и национальных моделей; статья 13, часть 3, переходный период до 1 сентября 2032 года; КонсультантПлюс, 13 октября 2026 года.
- Карточки моделей на Hugging Face, лицензии и параметры на 23 октября 2026 года: GigaChat 3.1 Lightning, GigaChat 3.5 Ultra, YandexGPT 5 Lite 8B и текст лицензии, Alice AI Foundation 80B-A3B Base, Qwen3.8-27B, DeepSeek-V4.1-Flash.
- Сервисы Яндекса для закрытого контура заказчика: страница мероприятия Яндекс Облака; логирование запросов: документация AI Studio.
- Поддерживаемые страны зарубежных API на 13 октября 2026 года: OpenAI, Anthropic.
- Порядок, срок и стоимость пилота NerdSquad по странице услуги внедрение ИИ в бизнес на 13 октября 2026 года, сопровождение после запуска по блоку «Что будет после запуска?» той же страницы; кейсы ВТБ и «Лаборатории Касперского» по данным NerdSquad.
- Требования к железу в статье не оцениваются: цифры по ускорителям и размерам взяты только из карточек моделей, итоговый расчёт зависит от нагрузки. Схема с тремя вариантами размещения, граница между закрытым контуром и смешанной схемой и пример с жалобами: позиция и пример автора, не кейс клиента. Ограничения YandexGPT 5 Lite по разделам I (порог 10 млн выходных токенов) и II лицензии.
Частые вопросы
Можно ли поставить GigaChat на свои серверы?
Да. Сбер выложил на Hugging Face GigaChat 3.1 и 3.5 с открытыми весами под лицензией MIT, она разрешает коммерческое использование, включая флагманскую 3.5 Ultra на 432 млрд параметров. На значимых объектах КИИ нужно ПО из реестра российских программ, а открытые веса в нём сами по себе не числятся: это проверяют до выбора модели.
Есть ли у Яндекса модель для закрытого контура?
Для закрытых данных открытые модели Яндекса подходят плохо. Лицензия YandexGPT 5 Lite запрещает использование, которое может привести к распространению персональных данных и коммерческой тайны, а после 10 млн выходных токенов в месяц требует договориться с Яндексом. Базовую Alice AI Foundation нужно дообучать. Поставку YandexGPT в контур Яндекс Облако предлагает в составе AI Studio.
Нужен ли закрытый контур, чтобы выполнить 152-ФЗ?
Не всегда. Если персональные данные можно убрать из запроса до отправки, часть задач решает шлюз и облачная модель. Замена имён метками по приказу Роскомнадзора № 140 оставляет ключ у компании, и для неё данные остаются персональными: для облака нужны основание и поручение. Контур нужен, когда модели нужны сами персональные данные или коммерческая тайна.
Сколько стоит ИИ в закрытом контуре?
Стоимость складывается из серверов с GPU, работ по шлюзу, поиску и правам доступа, защиты и эксплуатации. Её считают после пилота, когда известны модель и число пользователей, и сравнивают с платой за токены в облаке. Пилот внедрения ИИ в NerdSquad идёт 4 недели и стоит от 500 тыс. ₽.
Чем закрытый контур хуже облака?
Модель в контуре компания обновляет сама, а новые версии у облачных провайдеров появляются сразу. Запуск на арендованных серверах занимает недели вместо дней, а покупка своих серверов с GPU добавляет месяцы на поставку. Нужны люди для обслуживания. Поэтому в контур переносят только сценарии, где без этого нельзя; остальное можно вести через шлюз в облако по смешанной схеме.