ИИ и персональные данные: что можно и что нельзя
Закон не запрещает использовать ИИ, но накладывает условия, которые многие узнают постфактум. Разбираем, что проверить до запуска, чтобы не получить штраф, выросший в десять раз.
Цифры, с которых стоит начать
С 30 мая 2025 года штрафы по 152-ФЗ выросли примерно в десять раз:
| Нарушение | Штраф |
|---|---|
| Неподача уведомления в Роскомнадзор | 100 000 – 300 000 ₽ |
| Утечка данных свыше 100 000 субъектов | 10 – 15 млн ₽ |
| Повторная утечка | до 3% годовой выручки, не менее 15 млн ₽ |
С ноября 2025 Роскомнадзор проверяет сайты автоматически — на наличие политики обработки, форм согласия и cookie-баннера.
Суммы приведены по публикациям КонсультантПлюс («Персональные данные: новые штрафы с 30 мая 2025 года»). Материал не заменяет консультацию юриста: перед принятием решений сверяйтесь с действующей редакцией КоАП РФ.
Передача данных в модель — это обработка
Главное заблуждение: «мы же просто отправляем текст в нейросеть». С точки зрения закона отправка персональных данных стороннему сервису — передача третьему лицу со всеми вытекающими: нужны основание, перечень и договор.
Практические следствия:
- В согласии и политике должно быть отражено, что данные могут передаваться для обработки
- С поставщиком модели нужен договор, определяющий условия обработки
- Перечень передаваемых полей стоит зафиксировать поимённо — всё, чего нет в перечне, не передаётся
Трансграничная передача
Если модель работает за пределами России, это трансграничная передача, и требования к ней отдельные и строже. Для многих компаний именно здесь проходит граница допустимого — и поэтому российские модели или локальная установка оказываются не вопросом вкуса, а условием законности.
При развёртывании в своём контуре вопрос трансграничной передачи снимается целиком: данные не покидают периметр.
Специальные категории
Сведения о здоровье, биометрия, а также данные о судимости обрабатываются по усиленным правилам. Для клиник и для голосовых сценариев с записью разговоров это означает отдельные основания и, как правило, локальную установку.
Что проверить до запуска
- Уведомление в Роскомнадзор подано
- В политике указаны данные оператора: наименование, ИНН, ОГРН, адрес
- Согласие собирается отдельной галочкой, не предустановленной
- На сайте есть cookie-баннер
- Перечень передаваемых в модель полей зафиксирован
- Определено, где физически обрабатываются данные
- В логи не пишется лишнего — журналы тоже содержат персональные данные
Последний пункт пропускают чаще всего. Подробности — в статье для службы безопасности.
Частые вопросы
Можно ли отправлять персональные данные в облачную модель?
Закон этого не запрещает, но требует основания, отражения в политике и согласии, договора с поставщиком и фиксации перечня передаваемых данных. Если поставщик за рубежом, добавляются требования к трансграничной передаче.
Что считается утечкой?
Любой неправомерный доступ к персональным данным, включая случайный — например, файл с заявками, оказавшийся доступным по прямой ссылке. Штрафы при этом не зависят от того, был умысел или нет.
Кто отвечает — мы или подрядчик?
Оператором остаётесь вы: уведомление, политика, согласия — ваша зона. Подрядчик отвечает за техническую часть обработки. Разграничение фиксируется в договоре.
Снимает ли локальная установка все вопросы?
Не все, но ключевые: уходит трансграничная передача и передача третьему лицу. Уведомление, политика и согласия остаются вашей обязанностью в любом случае.
Проверим вашу схему обработки
На аудите определяем, какие данные нужны агенту и где они могут обрабатываться по закону.
Оставить заявку