Можно ли отправлять данные клиентов в ChatGPT, Claude или Gemini через API, если серверы провайдера находятся за рубежом?

Локализация. При сборе данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться в базах на территории России, а с 01.07.2025 такие операции в зарубежных базах прямо не допускаются; исключения п. 2, 3, 4 и 8 ч. 1 ст. 6 (закон, суд, исполнительное производство, журналистика и творчество) к коммерческому продукту не относятся (ч. 5 ст. 18 в ред. 23-ФЗ от 28.02.2025). Запрос в API после записи данных в российскую базу локализацию не нарушает, но история запросов у провайдера — зарубежная копия. Штраф за нарушение локализации для юрлица — от 1 до 6 млн рублей, повторно — от 6 до 18 млн (ч. 8, 9 ст. 13.11 КоАП РФ).

Трансграничная передача. Любая передача данных иностранному лицу или на территорию иностранного государства требует до начала передачи получить от получателя сведения о мерах защиты и правовом регулировании (ч. 5 ст. 12) и подать в Роскомнадзор отдельное уведомление о намерении (ч. 3 ст. 12). Действующий перечень государств с адекватной защитой утверждён приказом Роскомнадзора от 05.08.2022 № 128: 89 государств, включая страны ЕС, Великобританию, Швейцарию, Китай, Индию, Казахстан, Беларусь, Японию и Южную Корею; США и ОАЭ в перечне нет. В страны вне перечня передача не допускается до истечения десяти рабочих дней с даты поступления уведомления (ч. 9–11 ст. 12). По обзорам, с 26.07.2026 (265-ФЗ) участие в Конвенции СЕ 108 перестало быть достаточным критерием адекватности, и Роскомнадзор готовит новый перечень (проект regulation.gov.ru ID 169785), поэтому его состав сверяют на дату запуска (процедура — в Q22).

Основание. Если провайдер действует строго по инструкциям и не использует данные в своих целях, он обработчик по ч. 3 ст. 6, и поручение оформляется договором с обязательным содержанием этой нормы; по её буквальному тексту поручение даётся с согласия субъекта. Если по условиям сервиса провайдер вправе обучать модели на запросах, он самостоятельный получатель, и нужно согласие субъекта на передачу именно ему (Q32). За иностранного обработчика перед субъектом отвечают и оператор, и обработчик (ч. 6 ст. 6); специальные категории за рубеж на практике не передаются (Q62).

Практические шаги: обезличивать запросы в российском контуре до отправки (Q23, Q126); если идентифицирующие данные нужны, подать уведомление по ст. 12 и зафиксировать дату; выбрать тариф с договорным запретом обучения и нулевым хранением запросов; внести трансграничную передачу в политику и уведомление РКН; вести журнал того, какие поля уходят в API.