Облачный AI-инструмент сотрудника — это не «удобный чат», а несанкционированный канал вывода данных. Один скопированный договор, паспортные данные или фрагмент CRM превращается в инцидент с расследованием, уведомлениями и риском штрафов по 152-ФЗ. Запрет в регламенте не заменяет технический контроль. Рабочая граница выглядит жёстко: локальный шлюз принимает запрос, DLP-модуль маскирует PII и секреты, политика deny-by-default блокирует весь исходящий трафик, а allowlist разрешает только утверждённые сервисы. WireGuard mesh — с точными AllowedIPs /32, без маршрута «всю сеть наружу». Каждый запрос получает audit trail: субъект, приложение, классификация данных, решение политики, хэш ответа. Экономика тоже не в пользу облачного картеля. При 10 млн токенов в месяц SaaS-расход может выглядеть небольшим, пока не добавятся тариф за команды, хранение контекста, премиальные модели и расследование инцидента. На bare-metal стоимость фиксируется амортизацией GPU, электричеством и обслуживанием; при...