Инфраструктура управления ИИ: как превратить внедрение ИИ в реальную ценность для бизнеса

Неудобные цифры, которые должен знать каждый финансовый директор

В июле 2025 года инициатива NANDA при MIT опубликовала study, которая должна заставить задуматься каждого руководителя, подписывающего ИИ-бюджеты. Изучив триста публичных внедрений ИИ и опросив сто пятьдесят руководителей, исследователи выяснили, что из 30–40 миллиардов долларов, инвестированных компаниями в пилотные проекты генеративного ИИ, 95% не принесли измеримого влияния на отчет о прибылях и убытках.

Исследование McKinsey survey также дает схожую картину. 88% компаний теперь используют ИИ хотя бы в одной бизнес-функции как минимум раз в год (год назад этот показатель составлял 78%). Внедрение явно не является узким местом. Но когда в McKinsey спросили, сколько компаний могут указать на реальное влияние на EBIT на уровне предприятия, утвердительный ответ дали лишь 39%, причем большинство сообщило об улучшении в целом менее чем на 5%. Лишь 6% компаний относятся к категории тех, кого McKinsey называет «лидерами внедрения ИИ».

Проще говоря: почти все тратят деньги на ИИ, почти никто на нем не зарабатывает, и этот разрыв не связан с технологиями. Современные модели действительно обладают огромными возможностями. Проблема кроется в управлении, а точнее — в его отсутствии.

Почему неуправляемое внедрение ИИ создает структурную неэффективность

Шаблон неудач поразительно похож во всех отраслях и компаниях любого размера. Руководство покупает партию лицензий для популярного ИИ-помощника. ИТ-отдел их развертывает. Сотрудники получают электронное письмо с анонсом нового инструмента и смутным ожиданием того, что «производительность вырастет». Никто не определяет, что значит «вырастет», никто не замержает базовые показатели, а через шесть месяцев финансовый отдел смотрит на растущую статью расходов на ПО без какой-либо соответствующей статьи доходов или экономии.

Это не гипотетический сценарий. Gartner отслеживает именно этот паттерн неудач. В июле 2024 года Gartner спрогнозировала, что к концу 2025 года по меньшей мере 30% проектов генеративного ИИ будут заброшены после этапа проверки концепции из-за низкого качества данных, неясной ценности для бизнеса и растущих затрат. К июню 2025 года это предупреждение стало еще более резким, особенно в отношении агентного ИИ: Gartner прогнозирует, что более 40% проектов агентного ИИ будут отменены к концу 2027 года по тем же фундаментальным причинам. Заглядывая в будущее, Gartner прогнозирует, что в течение 2026 года организации откажутся от 60% проектов ИИ, которые не обеспечены должным образом управляемыми данными, готовыми к использованию ИИ.

Обратите внимание на то, что общего во всех этих цифрах. Никогда не звучит фраза «модель оказалась недостаточно умной». Всегда повторяются одни и те же три слова: стратегия, управление и данные. Другими словами, это проблема не ИИ. Это управленческая проблема в костюме ИИ.

Когда ИИ развертывается без стратегии, он не просто не приносит пользы — он активно порождает структурную неэффективность. Вы платите за лицензии, которые раздувают вашу базу затрат. Вы платите за вычислительные мощности и потребление API, стоящие за этими лицензиями. Вы зачастую незаметно платите за риски безопасности и комплаенса, возникающие, когда сотрудники начинают передавать конфиденциальные данные в инструменты, которые никто не проверял. И вы не получаете никакой компенсирующей выгоды, потому что изначально никто не определил, как эта выгода должна выглядеть.

Проблема теневого ИИ

В этой проблеме есть второй уровень, к которому советы директоров и регуляторы теперь относятся очень серьезно: теневой ИИ. Когда компании не предоставляют управляемые, одобренные ИИ-инструменты, которые действительно отвечают потребностям сотрудников, сотрудники не перестают использовать ИИ — они просто обходят ИТ-отдел.

Согласно индексу Work Trend Index от Microsoft, использование ИИ среди квалифицированных специалистов составляет около 75%, причем большинство таких пользователей приносят собственные инструменты, а не утвержденные сверху. Исследование IBM report показало, что инциденты, связанные с теневым ИИ, выросли с 20% до 43% от общего числа инцидентов безопасности, связанных с ИИ, всего за один год, а средняя стоимость одного нарушения превысила пять миллионов долларов. Такова видимая стоимость неуправляемого внедрения ИИ, и эта стоимость никогда не отражается в той же электронной таблице, что и лицензионные сборы, именно поэтому ее игнорируют до тех пор, пока это не обходится слишком дорого.

ИИ, внедряемый без стратегии, не создает структурную эффективность. Он создает структурную неэффективность: раздутые затраты, невидимые риски и отсутствие надежного пути к ценности.

ИИ, внедряемый без стратегии, не создает структурную эффективность. Он создает структурную неэффективность: раздутые затраты, невидимые риски и отсутствие надежного пути к ценности.

Решение: относиться к внедрению ИИ как к любым другим стратегическим инвестициям

Хорошая новость заключается в том, что этот класс проблем уже решен: неоднократно, для каждой другой преобразующей технологии и крупного капиталовложения, которые делает предприятие. Эту дисциплину просто нужно применить к ИИ, а не относиться к нему как к исключению.

Это начинается со смены мышления: перестаньте относиться к внедрению ИИ как к процедуре закупок и начните относиться к нему как к портфелю инициатив, точно так же, как вы управляли бы новой линейкой продукции, выходом на рынок или программой цифровой трансформации.

Каждая серьезная инициатива в области ИИ должна давать ответы на небольшой набор простых вопросов до того, как будет куплена хоть одна лицензия или создана хотя бы одна модель:

• Какую конкретно бизнес-проблему мы решаем и для кого?
• Как выглядит успех в измеримых терминах: сэкономленные затраты, сокращение времени цикла, рост доходов, снижение уровня ошибок?
• Какова ожидаемая окупаемость инвестиций и в какие сроки?
• Какие ресурсы, данные и время для этого действительно потребуются?
• Кто отвечает за результат и кто понесет ответственность, если он не будет достигнут?

Исследование McKinsey, посвященное лидерам внедрения ИИ, показало, что главным отличительным фактором была не используемая модель и не потраченный бюджет, а то, относилась ли организация к ИИ как к катализатору перестройки рабочих процессов с четким распределением ответственности и метрик, а не простому наложению чат-бота поверх неизменного процесса. Такая дисциплина не возникает сама по себе. Для ее систематического поддержания каждый раз необходима организационная функция, что подводит нас к управлению.

Три уровня концепции управления ИИ

Первый уровень: ИИ-совет и соответствие стандарту ISO/IEC 42001

Если инициативы в области ИИ требуют бизнес-обоснования, бюджетного процесса и ответственных лиц, как и любые другие стратегические инвестиции, то кто-то в организации должен выполнять роль, которую проектный офис, инвестиционный комитет или консультативный совет по изменениям играют для других инициатив. Назовем это ИИ-советом — некоторые организации называют его советом по управлению ИИ, центром компетенций по ИИ или руководящим комитетом по ИИ. Название имеет меньшее значение, чем мандат.

• Оценивать и расставлять приоритеты предлагаемых инициатив в области ИИ в соответствии со стратегическими целями и доступными ресурсами;
• Утверждать или отклонять инициативы на основе бизнес-обоснования, профиля рисков и ожидаемой окупаемости инвестиций;
• Устанавливать и отслеживать ключевые показатели эффективности (KPI) для каждой утвержденной инициативы не только при запуске, но и на протяжении всего ее жизненного цикла;
• Курировать планирование ресурсов и времени по всему портфелю ИИ, чтобы инициативы не конкурировали хаотично за одни и те же мощности в области науки о данных или инженерии;
• Осуществлять надзор за рисками, связанными с ИИ (такими как безопасность, конфиденциальность, предвзятость и регуляторные требования), по всему портфелю в целом, а не по отдельным проектам изолированно.

Вместо того чтобы создавать эту функцию с нуля, организации могут опереться на ISO/IEC 42001:2023 — первый в мире стандарт систем менеджмента искусственного интеллекта, опубликованный ISO и IEC в декабре 2023 года. ISO 42001 представляет собой именно ту структурированную и проверяемую основу управления ИИ, которой является ISO 27001 для информационной безопасности: знание контекста организации, приверженность руководства и формирование политики в области ИИ, специфичные для ИИ риски и цели, а также непрерывный мониторинг и улучшение — знакомый цикл «планируй — делай — проверяй — действуй» для разработки, закупки, внедрения и вывода из эксплуатации ИИ на протяжении всего жизненного цикла.

Согласование мандата вашего Совета по ИИ с ISO 42001 дает вам три конкретных преимущества.

• Доверие со стороны регулирующих органов, клиентов, проводящих комплексную оценку поставщиков (due diligence), и собственного совета директоров. Несколько крупных облачных провайдеров и разработчиков ИИ уже имеют сертификат ISO 42001, и этот стандарт стремительно становится базовым требованием в корпоративных закупках, подобно тому, как ISO 27001 стал таковым для безопасности десятилетие назад.
• Полнота — стандарт заставляет вас охватить управление рисками, оценку воздействия систем ИИ, управление жизненным циклом, а также контроль за третьими лицами и поставщиками, так что у вас не останется пробелов в управлении, которые обнаруживаются только после инцидента.
• Регуляторное соответствие — единый язык и структура, которые четко соотносятся с новыми нормативными требованиями, включая требования Закона ЕС об искусственном интеллекте (EU AI Act), основанные на оценке рисков и касающиеся документации, надзора со стороны человека и пострыночного мониторинга. Вы не создаете заказную систему управления, которую придется с нуля защищать перед каждым аудитором и регулятором, а внедряете ту, которая уже получила международное признание.

Что касается последнего пункта, Закон ЕС об искусственном интеллекте вступил в силу в августе 2024 года и с тех пор внедряется поэтапно: запреты и требования к грамотности в сфере ИИ — с февраля 2025 года, требования к моделям ИИ общего назначения — с августа 2025 года, а общие полномочия по обеспечению соблюдения — с августа 2026 года. В свете Цифрового омнибуса 2026 года Европейская комиссия подтвердила, что требования к системам ИИ высокого риска теперь применяются с декабря 2027 года, а для ИИ, встроенного в уже регулируемые продукты, такие как медицинские изделия и оборудование, предусмотрена дополнительная отсрочка до августа 2028 года. Вектор движения не изменился: документация, надзор со стороны человека и пострыночный мониторинг для систем ИИ, имеющих серьезные последствия, лишь сдвинули график соблюдения требований. Именно поэтому международно признанный стандарт управления важен как никогда: он означает, что организации не нужно менять курс из-за каждого изменения законодательства.

Уровень второй: процессы, политики и процедуры

Совет по ИИ со стратегическим мандатом необходим, но сам по себе он недостаточен. Стратегия должна быть переведена в то, чем сотрудник, проектная команда или поставщик действительно смогут руководствоваться во вторник после обеда. Это второй уровень: процессы, политики и, где это необходимо, детальные процедуры и руководства.

Этот уровень отвечает на вопрос «как» для всего того, в отношении чего Совет определяет «что» и «почему». Конкретно он обычно включает в себя:

• политику использования ИИ — какие инструменты одобрены, какие классификации данных можно или нельзя использовать с теми или иными инструментами и что явно запрещено (например, вставка конфиденциальных данных клиентов в публичный потребительский инструмент ИИ);
• процесс оценки рисков и утверждения систем ИИ — стандартный порядок приема заявок, при котором каждый новый сценарий использования ИИ, будь то приобретенный или созданный внутри компании, проходит одинаковую проверку на риски, конфиденциальность данных и экономическую обоснованность до одобрения;
• процедуры комплексной проверки моделей и поставщиков — то, как вы оцениваете уровень безопасности, обработки данных и управления стороннего поставщика ИИ, прежде чем подключать его модель к вашим системам и данным;
• процедуры управления данными, специфичные для ИИ, — поскольку, как показывают исследования Gartner в отношении данных, готовых к ИИ, большинство сбоев ИИ объясняются неуправляемыми, некачественными или ненадлежащим образом используемыми данными, а не качеством самой модели;
• процедуры контроля со стороны человека и эскалации — особенно важные для любой системы ИИ, которая принимает решения или влияет на них, затрагивая клиентов, сотрудников или нормативные требования.

В этом нет ничего экзотического. Это та же категория контроля, которая уже есть у большинства организаций для информационной безопасности или защиты данных. Разница в том, что ИИ развивается быстрее, затрагивает большую часть организации одновременно и — и именно в этом кроется сложность — часто внедряется снизу вверх, когда отдельные команды скачивают инструмент до того, как система управления сверху успевает это заметить. Именно поэтому одной лишь политики недостаточно.

Уровень третий: правоприменение, мониторинг и обратная связь

Именно здесь управление перестает быть документом на общем диске и становится тем, чем организация действительно живет.

Контроль соблюдения имеет два измерения, и вам необходимы оба:

Человеческий фактор

Данные и отчетность

Вам нужны команды, которые действительно выполняют работы по оценке, описанные в политике: рассматривают запросы на новые инструменты ИИ, оценивают риски поставщиков, входят в состав проектных команд, ежедневно реализующих инициативы в области ИИ, и обеспечивают соответствие этих инициатив тому бизнес-обоснованию, ради которого они были одобрены. Это не подрабатываемая в свободное время активность, привязанная к чьей-то основной работе. Зрелые организации, которые относятся к этому серьезно, видят непосредственную отдачу: исследование Gartner о долговечности проектов ИИ показало, что 45% организаций с высокой степенью зрелости поддерживают работоспособность своих проектов ИИ в течение трех и более лет по сравнению с 20% организаций с низкой степенью зрелости, причем ранние последователи с выстроенным управлением сообщают о значительно более высокой средней экономии средств и росте производительности по сравнению с остальным рынком.

Вам необходимо действительно собирать данные, которые показывают, делает ли ваш портфель ИИ то, для чего он был утвержден. Это означает сбор данных об использовании, затратах и результатах от отдельных используемых инструментов и платформ ИИ, отслеживания проектов и технической инфраструктуры, лежащей в основе вашего стека ИИ, с последующей их консолидацией в информационные панели. Это дает организации реальную прозрачность не раз в год, а с такой периодичностью, которая позволяет скорректировать курс, пока исправление ошибки еще не обходится дорого.

И что критически важно, эта информация не должна просто пылиться на панели мониторинга, куда никто не смотрит. Она должна поступать обратно в Совет по ИИ. Это и есть замыкание цикла: Совет оценивает эффективность по сравнению с KPI и целевыми показателями рентабельности инвестиций (ROI), которые он установил, принимает решение о том, что финансировать, приостанавливать или закрывать в следующем цикле планирования, корректирует распределение бюджета и уточняет саму стратегию на основе того, что реально работает. Это не разовая управленческая процедура, а непрерывный цикл улучшений — та же логика «планируй — делай — проверяй — действуй», которую требует ISO 42001, работающая на практике, а не только на бумаге.

Организации, которые справляются с этим хорошо, не просто избегают попадания в 95% неудачных проектов — они преумножают свое преимущество со временем, поскольку каждый цикл обратной связи делает следующий раунд инвестиционных решений более обоснованным, чем предыдущий.

Техническая основа: две системы, которые делают управление реальностью

Организационная структура сама по себе не масштабируется без надлежащего технического фундамента. Наиболее важны две системы:

Платформа управления, рисков и соответствия требованиям (GRC) для мониторинга ИИ служит системой учета для всего процесса управления ИИ; она документирует требования ISO 42001 или другого стандарта, принятого в организации, отслеживает политики и средства контроля как динамические объекты, а не просто статичные документы, а также связывает сами инструменты ИИ, чтобы видеть, какие проекты находятся в разработке, какова их стоимость, выполняются ли на самом деле привязанные средства контроля безопасности и качества, и отражает ли общий уровень рисков портфеля то, чего ожидает Совет.

Шлюз ИИ централизует и контролирует трафик ИИ по мере роста использования среди множества провайдеров, моделей и комбинации облачного и локального инференса. Шлюз направляет запросы к наилучшей модели для конкретной задачи и ценового профиля, обеспечивает защиту от утечки данных, чтобы конфиденциальная информация не покидала организацию через неконтролируемый вызов API, удерживает затраты по каждому провайдеру в одном месте и предоставляет единую точку реализации политик для гибридной ИИ-инфраструктуры. Без шлюза политики Совета по ИИ остаются благими пожеланиями, соблюдаемыми лишь благодаря добросовестности сотрудников. Со шлюзом они обеспечиваются на уровне архитектуры.

Вместе эти две системы превращают управление из квартального процесса проверки во что-то, что работает непрерывно и автоматически в фоновом режиме повседневного использования ИИ.

Когда привлекать внешнюю экспертизу

Создание совета, структуры политик, процессов контроля, платформы GRC и шлюза ИИ с нуля, используя только внутренние ресурсы, — это масштабная задача. Во многих случаях действительно эффективнее привлечь внешних консультантов хотя бы для первоначального этапа разработки.

Логика проста: опытные консультанты внедряли эту конкретную структуру управления многократно в различных отраслях. Они знают, какие ошибки совершаются чаще всего — например, выбор не того первого сценария использования, выделение недостаточных ресурсов Совету по ИИ, выбор архитектуры шлюза, не соответствующей облачной стратегии организации, — и они знают, как их избежать, потому что уже видели, как это стоило другим компаниям времени и денег.

Альтернатива — создавать эту возможность внутри компании впервые, без такого опыта, и это сопряжено с реальным риском: чрезмерными затратами на неудачные попытки, а в случае организаций, пытающихся создавать собственные модели ИИ без достаточной зрелости в области Data Science, — полным провалом инициативы. Это не упрек в адрес внутренних команд; это просто признание того, что управление ИИ — это специализированная дисциплина, точно так же, как информационная безопасность или соблюдение нормативных требований стали специализированными дисциплинами, которые большинство организаций в конечном итоге предпочло создавать при экспертной поддержке, а не исключительно собственными силами.

Именно этим мы занимаемся в ELEKS: комплексный консалтинг в области управления ИИ и соответствия требованиям; мы создали eCAP как собственную платформу автоматизации комплаенса и напрямую разрабатывали шлюзы ИИ для корпоративных клиентов. У нас действует специализированная практика Data Science, создающая модели ИИ под реальные бизнес-задачи, а не общие пилотные проекты. Это сочетание экспертных знаний в области управления, возможностей платформы и технической реализации — именно то, что сокращает разрыв между затратами на ИИ и ценностью от него.

Путь от затрат на ИИ к ценности от него

95% пилотных проектов в сфере ИИ не оказывают реального финансового влияния. 88% компаний используют ИИ; лишь 6% из них создают для себя реальную ценность. Это не критика технологии; это прямые, измеримые последствия внедрения мощного инструмента без стратегии, управления и дисциплины контроля, которые потребовались бы для любых других крупных инвестиций как само собой разумеющееся.

Нам нужно преодолеть этот разрыв не за счет новых лицензий или более совершенной модели. Требуется управление, которое действительно работает:

• Совет по ИИ с реальными полномочиями, согласованный с признанным стандартом, таким как ISO 42001.
• Политики и процессы, которые переводят стратегию в ежедневную практику.
• Контроль и отчетность, которые удерживают организацию в честном диалоге о том, что работает.
• Техническая основа — платформа GRC и шлюз ИИ, которые делают управление живым и работающим инструментом, а не разовым мероприятием.

Сделайте это правильно, и ИИ перестанет быть статьей расходов, которая растет каждый квартал, не принося ничего взамен. Он станет тем, чем и должен был быть изначально: источником измеримой, защищенной и возрастающей ценности.