Что AI запомнил о клиенте: экспорт из Vault, запрос субъекта данных и чужие векторы

Google научил Vault выгружать переписку сотрудников с Gemini, CustomerThink напомнил, что запрос «отдайте всё, что вы обо мне храните» приходит в общий ящик без предупреждения, методолог Directum разобрал, что кадровику можно отдавать модели, а Weaviate закрыл дыру, через которую можно было восстановить чужой вектор. Четыре новости об одном: всё, что модель прочитала о клиенте или сотруднике, где-то лежит, и однажды это попросят показать или удалить. Владельцу бизнеса стоит знать, где именно.

Что вышло

Google Workspace 22 октября сообщил, что Google Vault поддерживает фильтрованные выгрузки разговоров с Gemini в Workspace. Администратор выбирает пользователей или подразделения, до 5000 учётных записей, задаёт период и получает JSON: запросы пользователя, ответы модели, созданные вложения и ссылки на файлы Drive и письма Gmail, к которым модель обращалась. Правила хранения и юридические блокировки для этих данных Google обещает в следующих выпусках, а в консоли администратора уже можно запретить пользователям ручное удаление истории или включить автоматическое удаление после периода неактивности. API появится в пределах 14 дней после выхода интерфейса.

CustomerThink 20 октября начал с простого эксперимента: запрос субъекта данных приходит во вторник после обеда в общий ящик службы поддержки, с просьбой предоставить все персональные данные. Кто его обрабатывает, юристы или IT, отвечать ли самим и сколько дней на это есть. У меня только анонс статьи, поэтому пересказываю постановку вопроса, а не выводы автора.

На Хабре 15 октября Руслан Нуриев, методолог-аналитик Directum, написал о том же со стороны кадровика: HR хотят использовать модели для графиков, разбора документов и ответов на нестандартные запросы, но многие данные у кадровика персональные, и штрафы за нарушения, по его словам, в 2025 году выросли в разы. От этой статьи у меня тоже только вступление.

Weaviate 15 октября выпустил версию 1.39.3 с исправлением уязвимости средней тяжести в операторе nearObject. Поиск брал вектор объекта из одной коллекции и искал похожее в другой, а права проверял только на ту коллекцию, где искал. Сам объект в ответ не попадал, зато попадали расстояния до него, и по расстояниям вектор восстанавливается: исследователь восстановил нормализованный четырёхмерный вектор с точностью 5e-9 по восьми пробным объектам. Для атаки нужны имя коллекции и UUID объекта, право читать определения коллекций и право создавать данные в какой-то своей коллекции. Признаков эксплуатации у Weaviate нет. Касается это тех, кто делит один кластер между командами через RBAC.

Пример: прокат автомобилей и «что вы обо мне храните»

Возьмём прокат. По клиенту у компании есть бронь, скан водительского удостоверения, фото машины при выдаче, скриншот оплаты и подписанный договор. Теперь добавим помощника на модели, который отвечает менеджерам на вопрос «что там с этим клиентом», и векторную базу, куда сложили договоры и переписку для поиска. Приходит запрос: предоставьте всё. Бронь и документы выгрузить просто. Историю вопросов менеджеров к модели про этого человека и его данные внутри поискового индекса кому-то придётся вспомнить и найти.

Каждый новый инструмент с моделью добавляет ещё одно место, где лежат данные о людях. Если это место не записано в список, запрос субъекта данных превращается в расследование.

Как это устроено у меня

Самый плотный поток чужих персональных данных у меня идёт через парсеры для компании в сфере PDR в США. С 2023 года они читают страховые сметы, акты и фотографии с VIN; страховые документы бывают до 60–70 страниц. В 2026 году я подключил AI-валидаторы и выпустил релизную версию: около 99,9 % документов проходят без ручной правки, а человек делает финальную проверку. Для проверки я использую три разных сервиса, Anthropic, OpenAI и Gemini, каждый под свою задачу. Как устроена проверка внутри, я не раскрываю.

Куда расходятся данные после разбора, я знаю по каждому документу: суперапп компании, CRM, сметы, частично leaderboard и TV-экраны. С этой карты начинается любой запрос «покажите» или «удалите». Отдельный сценарий удаления по запросу субъекта данных я у себя не проверял. Если такой запрос придёт, начну с карты, а не с поиска по серверу.

Что я бы сделал

Составил бы список мест, где лежат данные о людях, включая историю разговоров с моделями и векторные индексы. Для Workspace теперь есть выгрузка из Vault, для своих систем список придётся вести самому.

Решил бы заранее, что уходит внешнему сервису модели, а что остаётся на сервере. Для проверки сметы валидатору нужны позиции и суммы, имя и адрес владельца машины ему ни к чему. Такие вещи решаются до отправки.

Включил бы для истории с моделью те же правила хранения, что и для почты: срок, автоудаление, запрет ручного удаления, если этого требует бизнес.

Проверил бы права в векторной базе, как советует Weaviate: кто может читать определения коллекций и кто может создавать данные хоть где-то. Если у вас Weaviate, обновитесь до 1.39.3.

Назначил бы одного человека, который получает запрос субъекта данных из общего ящика и знает, кому его передать.

Связанные материалы

Где модель помогает разобрать документы и как проверять результат, я разбирал в статье AI в обработке данных: извлечение и проверка, а подход описан в AI в процессе, где результат можно проверить. Сами парсеры: PDR-компания в США экономит около 60 часов в неделю. Рядом мои обзоры о Decisions API и памяти агента и об извлечении данных из документов в 2026 году, а раньше я писал о маскировании данных в сообщениях и логах и о памяти о клиенте, которую AI уже успел запомнить. Если у вас модели уже читают документы клиентов и вы не уверены, где это всё лежит, расскажите, какие документы и какие системы. Обсудить задачу.