Автоматизированная обработка персональных данных в ИИ: что это такое по 152-ФЗ

Что значит автоматизированная обработка ПДн

Автоматизированная обработка — это любые действия с персональными данными, которые выполняются с применением компьютеров, автоматизированных сервисов, приложений, а не на бумажном носителе.

152-ФЗ определяет ее как обработку с помощью средств вычислительной техники. На практике это означает, что под определение подпадает практически любая цифровая система, которая касается данных людей: CRM, HR-платформа, чат-бот, скоринговый алгоритм, корпоративный ИИ-ассистент.

Важно понимать разницу между двумя видами обработки. Неавтоматизированной обработкой называют работу с ПДн вручную, например, когда сотрудник вносит сведения в бумажный журнал, сшивает документы в архив и заполняет форму от руки. Автоматизированная обработка происходит, когда те же действия выполняет система: записывает, систематизирует, передает, анализирует.

Какое согласие нужно для использования персональных данных в ИИ

Стандартное согласие на обработку ПДн не покрывает их передачу в нейросеть. Требуется отдельный документ, с указанием конкретных целей и получателей.
152-ФЗ устанавливает, что согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Применительно к ИИ это означает следующее: пользователь должен понимать, что его ПДн уйдут не просто «на сервер компании», а в конкретную систему, например, в языковую модель YandexGPT или GigaChat.

Согласие для ИИ-сценариев должно содержать:

• Цель обработки. Зачем данные передаются в нейросеть, например, для генерации ответа, анализа резюме, скоринга или персонализации.
• Перечень данных. Какие именно сведения передаются: имя, номер телефона, текст запроса, история переписки.
• Получатель данных. Наименование ИИ-провайдера, которому передаются ПДн. Если им является зарубежный сервис, такой как OpenAI или Anthropic, то формально происходит трансграничная передача, и она требует отдельного правового основания.
• Срок действия согласия и способ его отзыва.

Письменная форма согласия обязательна в двух случаях: при принятии на основании исключительно автоматизированной обработки решений, влекущих юридические последствия для человека (статья 16 закона № 152-ФЗ), и при обработке специальных категорий ПДн, таких как сведения о здоровье, политических взглядах, религиозных убеждений, либо биометрии.

Можно ли отправлять персональные данные клиентов через API в нейросеть

Отправка ПДн клиентов в нейросеть возможна, но только при выполнении ряда определенных требований закона №152-ФЗ.

Когда система забирает ПДн пользователя: имя, номер телефона, текст запроса, и отправляет их через API в языковую модель, это юридически считается передачей персональных данных третьему лицу. Если сервер модели находится за рубежом: OpenAI, Anthropic, то осуществляется еще и трансграничная передача по статье 12 152-ФЗ. Оба факта должны быть отражены в согласии до начала любой обработки.

Чтобы интеграция с ИИ через API была законной, необходимо выполнить несколько последовательных действий.

1. Прописать передачу в согласии. В документе должно быть указано, что ПДн передаются конкретному провайдеру с наименованием сервиса. Общая формулировка «данные могут передаваться третьим лицам» не подходит.
2. Уведомить Роскомнадзор о трансграничной передаче. При использовании зарубежных LLM оператор обязан направить отдельное уведомление в РКН до начала передачи персональных данных. Это требование статьи 12 закона №152-ФЗ, введенное поправками 2022 года.
3. Заключить договор с провайдером. Если ПДн обрабатывает третье лицо по поручению оператора, между ними должен быть заключен договор с перечнем данных, целей и требований к безопасности согласно статье 6 152-ФЗ.

Альтернатива: применить обезличивание. Оптимальным техническим решением служит промежуточный скрипт, который заменяет ПДн на токены до отправки в модель. Вместо реального имени и телефона в промпт уходит обезличенный контекст. Это снижает правовые риски и исключает утечку данных через нейросеть.

Российские провайдеры YandexGPT и GigaChat не требуют уведомления о трансграничной передаче, однако не освобождают от остальных обязанностей: согласия, договора поручения и уведомления Роскомнадзора о факте обработки персональных данных.

Можно ли хранить ПДн в облаке и что это значит для ИИ-систем

Хранение персональных данных в облаке законом разрешено, но требует выполнения конкретных условий по 152-ФЗ.

Облачное хранение тоже является автоматизированной обработкой ПДн. Неважно, где физически находится сервер: в дата-центре компании или у облачного провайдера. Важно другое: если база данных с ПДн российских граждан размещена за пределами России, это нарушение статьи 18 закона №152-ФЗ. Закон требует, чтобы первичный сбор, запись, систематизация и хранение таких данных осуществлялись на серверах, расположенных на территории Российской Федерации.

Это требование напрямую касается ИИ-систем. Векторные базы данных, которые компании используют для RAG-систем и корпоративных ассистентов, часто располагаются на зарубежных облачных платформах. Если в такую базу загружены документы с персональными данными: договоры, приказы, анкеты сотрудников, то оператор нарушает закон вне зависимости от того, знал он об этом или нет.

Отдельной проблемой является иллюзия анонимности. Бизнес нередко загружает внутреннюю документацию в векторную базу, считая, что ПДн «просто лежат» и никуда не передаются. На практике каждый запрос к ИИ-ассистенту извлекает релевантные фрагменты из базы и отправляет их в промпт языковой модели. Если в этих фрагментах есть имена, паспортные данные или номера телефонов, они уходят к провайдеру модели в составе запроса.

Решением служит принцип Privacy by Design: конфиденциальность закладывается на этапе проектирования системы. До попадания в векторную базу каждый документ должен проходить через скрипт обезличивания, который заменяет персональные данные на нейтральные токены. Такой подход снижает риски как утечки, так и претензий со стороны регулятора.

Какие штрафы грозят за нарушение 152-ФЗ при использовании ИИ

Роскомнадзор вправе привлечь оператора к ответственности за каждое нарушение отдельно: отсутствие согласия, неуведомление о трансграничной передаче, отсутствие политики обработки ПДн на сайте. Для ИИ-интеграций это особенно актуально: одна незаконная интеграция может одновременно нарушать несколько норм закона.

Один из наиболее важных вопросов при использовании нейросетей — защищенность данных пользователей. Так, первичная масштабная утечка данных влечет фиксированный штраф: до 5 000 000 руб. (ч.12, утечка данных до 10 000 субъектов), до 10 000 000 руб. (ч.13, данные до 100 000 субъектов), до 15 000 000 руб. (ч.14, свыше 100 000 субъектов). При повторной утечке (ч.15) назначается оборотный штраф: от 1 до 3% годовой выручки, но не менее 20 000 000 рублей. Отсутствие уведомления Роскомнадзора об обработке данных чревато штрафом до 300 000 рублей. Нарушение требований локализации данных: до 6 000 000 рублей при первичном (ч.8) и до 18 000 000 рублей при повторном нарушении (ч.9 ст.13.11 КоАП).

Помимо взыскания штрафов РКН, субъект ПДн вправе обратиться в суд и потребовать компенсацию морального вреда. РКН также может инициировать блокировку сервиса, что может привести к серьезным экономическим последствиям для бизнеса.

Заключение

Использование ИИ в бизнес-процессах не отменяет требований 152-ФЗ, а добавляет к ним новый уровень сложности. Стандартное согласие с сайта не покрывает передачу ПДн в нейросеть. Облачное хранение без локализации нарушает закон, так же как и автоматизированная обработка без необходимого согласия.

Каждая ИИ-интеграция требует правовой оценки до запуска: какие персональные данные собираются, куда передаются, на каком основании и как оформлено согласие. Профессиональный правовой аудит, проведенный заранее, обходится значительно дешевле, чем штрафы Роскомнадзора и претензии субъектов ПДн.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

136 публикаций на сайте

Подробнее о специалисте