Когда вы модернизируете систему с помощью ИИ, инструмент читает ваш код и, возможно, копии базы данных, обычно в центрах обработки данных за пределами Королевства. Согласно странице регионов, у AWS Transform сегодня нет ни одного региона рабочих пространств на Ближнем Востоке, а саудовский регион AWS, по данным Saudi Press Agency, должен заработать в декабре 2026 года. Поэтому прежде чем что-либо отправлять: отделите код от персональных данных, отправляйте минимум и применяйте Положение о передаче персональных данных за пределы Королевства ко всему, что уходит наружу.

В части 6 вы спланировали переход на новую систему без остановки работы. Эта заключительная часть отвечает на вопрос о данных и превращает упражнения серии в план на 90 дней. Основы самого закона — в нашем практическом руководстве по PDPL.

Что на самом деле покидает вашу компанию во время модернизации

Слово данные скрывает здесь 4 разные вещи, и у каждой свой риск:

  • Сам код: программы, которые написали ваши разработчики. Обычно в нём нет данных клиентов, но в нём могут быть прописанные пароли, адреса ваших серверов или имена клиентов в комментариях разработчиков.
  • Копии базы данных: нужны для анализа и тестирования и опаснее всего при отправке, потому что содержат имена клиентов, номера удостоверений и мобильных телефонов, а также зарплаты сотрудников.
  • Ваши вопросы и переписка с инструментом: всё, что ваша команда вводит в окно чата, куда кто-нибудь может вставить реальную запись, чтобы объяснить проблему.
  • Результаты: новый код, документация и бизнес-правила, которые вы извлекли в части 4 и которые описывают, как ваша компания работает изнутри.

Рабочее правило: код очищается до отправки, а реальные данные уходят только тогда, когда нет альтернативы. В большинстве проектов конвертации для тестирования достаточно маскированной копии, то есть данных, в которых реальные имена и номера заменены вымышленными значениями того же вида.

Где инструмент вроде AWS Transform обрабатывает ваши данные

Мы берём AWS Transform в качестве примера, потому что Amazon опубликовала подробности, а те же вопросы относятся к любому другому инструменту. Что сегодня говорят официальные страницы Amazon:

  • Где хранятся: согласно странице о защите данных, ваши данные хранятся в регионе, где вы создали рабочее пространство. Страница регионов перечисляет 11 регионов, среди них Франкфурт, Лондон, Мумбаи, Токио и Вирджиния, некоторые только для отдельных возможностей, и ни одного на Ближнем Востоке.
  • Где обрабатываются: страница о межрегиональной обработке объясняет, что инструмент работает на моделях Amazon Bedrock и что запросы и их результаты могут обрабатываться в другом регионе той же географической зоны; запрос из Франкфурта, например, может быть обработан в 6 европейских регионах. Та же страница сообщает, что с 7 октября 2026 года запросы чата из Мумбаи и Сеула распределяются по всем коммерческим регионам AWS, а хранение остаётся в исходном регионе.
  • Улучшение сервиса: Amazon пишет на странице об улучшении сервиса, что может использовать ваши вопросы и код, созданный инструментом, для улучшения сервиса, включая обучение моделей, а отказ оформляется через политику отказа от ИИ-сервисов в AWS Organizations, которую настраивает администратор вашей учётной записи.

И саудовский регион AWS, ожидаемый в декабре 2026 года, не означает автоматически, что этот инструмент будет работать из него. Откройте страницу регионов сами, когда начнётся проект: список меняется.

Чего требует PDPL до того, как данные уйдут наружу

Если персональные данные покидают Королевство, вы передаёте их в том смысле, который регулируют Закон о защите персональных данных (PDPL) и положение о передаче, опубликованные на Национальной платформе управления данными SDAIA. Что важно для проекта модернизации, практическим, а не юридическим языком:

  • Уровень защиты в стране-получателе: компетентный орган публикует перечень стран, обеспечивающих достаточный уровень защиты, и пересматривает его каждые 4 года или по необходимости. Выясните, где будут обрабатываться ваши данные, затем сверьтесь с перечнем.
  • Альтернативные гарантии: в случаях исключения, определённых положением, передача обусловлена надлежащими гарантиями, их 3: стандартные договорные условия, обязательные общие правила внутри группы компаний или сертификат аккредитации получающей стороны.
  • Оценка рисков: положение обязывает оператора данных, то есть вашу компанию, проводить оценку рисков перед передачей в указанных в нём случаях.
  • Чувствительные данные: некоторые случаи исключения прямо не распространяются на чувствительные данные, такие как сведения о здоровье и личные финансовые данные, поэтому обращайтесь с ними особенно осторожно.

Национальная платформа управления данными предлагает практические сервисы для этого шага, в том числе оценку воздействия обработки персональных данных, инструмент, который подскажет, обязаны ли вы назначить ответственного за защиту данных, и самооценку соответствия. Мы технологическая компания, а не юридический консультант, поэтому передайте решение о передаче данных вашему ответственному за защиту данных или юристу. А если вы думаете подождать локальный регион, мы объяснили, что на самом деле с ним меняется, в статье Облачный регион внутри Королевства.

6 вопросов любому инструменту или поставщику, прежде чем что-то отправить

  1. В каком регионе хранятся наши данные и в каких регионах они могут обрабатываться? Попросите письменный ответ со ссылкой на официальную страницу.
  2. Используются ли наши вопросы или наш код для обучения моделей, и как это остановить?
  3. Можно ли проводить анализ только по коду, без копий базы данных?
  4. Кто из нашей команды и команды поставщика имеет доступ к рабочему пространству, и фиксируется ли каждый вход?
  5. Когда наши данные удаляются после окончания проекта, и как нам проверить удаление?
  6. Можно ли при необходимости выполнить чувствительный этап внутри Королевства или на наших собственных серверах?

Если поставщик не отвечает письменно хотя бы на один из них, это уже ответ. О самих вариантах размещения читайте в нашем руководстве по переходу в облако.

План на 90 дней из упражнений серии

Этот план не модернизирует вашу систему за 90 дней. Он приводит вас к письменному решению и одному пилотному модулю, готовому к параллельной работе, и построен на упражнениях шести предыдущих частей:

ПериодЧто вы делаетеИз какой частиРезультат
Дни с 1 по 30: знайте, чем владеетеСоставьте список систем, без которых компания не проработает и дня, и того, кто понимает каждую, оцените каждую систему по поддержке, риску потери знаний, интеграции и скорости изменений, затем таблица на одну страницу для каждой системы с отметкой, есть ли в ней персональные данныеЧасти 1, 2 и 3Карта ваших систем и классификация их данных
Дни с 31 по 60: решайтеИзвлеките хотя бы одно бизнес-правило для каждой системы-кандидата и сверьте его с реальностью, выберите путь для каждой системы и задайте шесть вопросов о данных каждому инструменту или поставщику-кандидатуЧасти 4, 5 и 7Письменное решение по каждой системе и решение о передаче данных, подписанное ответственным за защиту данных
Дни с 61 по 90: испытайте один модульВыберите самый маленький значимый модуль, подготовьте маскированные тестовые данные, заполните лист перехода с указанием подписантов и условия отката и начните сравнение на закрытом периодеЧасти 6 и 7Пилотный модуль и результаты сравнения, оценённые владельцами процессов

После 90-го дня вы знаете то, чего не знали раньше: чем вы владеете, что стоит модернизировать и как ИИ-инструменты ведут себя с вашим собственным кодом, а не с примерами поставщиков. Только тогда любой разговор о стоимости и сроках опирается на вашу реальность.

Взгляд Origami

Мы начинаем проекты модернизации с карты данных, а не с карты кода: что уходит, куда и зачем. Мы предпочитаем, чтобы анализ шёл на очищенном коде и маскированных данных, а реальные данные по возможности оставались в вашей среде, чтобы техническая скорость не обернулась потом проблемой соответствия требованиям.

Мы используем ИИ-инструменты там, где они действительно сокращают работу, но решение о том, что им отправлять, остаётся за вами, письменное и подписанное. Чтобы увидеть, как мы работаем, загляните в раздел наших услуг.

Завершение серии

7 частей назад мы начали с одного вопроса: как модернизировать устаревшую систему с помощью ИИ? Ответ, к которому мы пришли: ИИ ускоряет чтение, конвертацию и тестирование, но важные решения остаются за теми, кто руководит компанией: какая система того стоит, какое правило верно, кто подписывает и куда уходят данные. Ваши устаревшие системы годами поддерживали работу компании, и модернизировать их спокойно и по плану — лучшее, что вы можете для них сделать. Все части серии собраны в центре знаний.

Источники