Нужно ли согласие клиентов, чтобы дообучить модель на их данных, если данные уже собраны для исполнения договора?

Обработка ограничивается достижением заранее определённых целей, и обработка, несовместимая с целями сбора, не допускается (ч. 2 ст. 5 152-ФЗ); базы с несовместимыми целями нельзя объединять (ч. 3 ст. 5). Основание «исполнение договора» (п. 5 ч. 1 ст. 6) охватывает то, что нужно для оказания услуги клиенту, а улучшение продукта для всех — другая цель. Официальной позиции Роскомнадзора о совместимости целей при обучении моделей не найдено, но общий подход регулятора к «иным целям» (маркетинг, аналитика) — требовать отдельного согласия. Законные интересы оператора (п. 7 ч. 1 ст. 6) как основание для обучения на идентифицируемых данных регулятором не подтверждены, и полагаться на них в массовом продукте рискованно.

Согласие с 01.09.2025 оформляется отдельно от иных документов (ч. 1 ст. 9 в ред. 156-ФЗ), с конкретной целью («обучение и дообучение моделей машинного обучения»), перечнем категорий данных и сроком. Для специальных категорий и биометрии согласие письменное (ч. 4 ст. 9, ст. 10, 11; медицина — Q46), для данных работников действуют ограничения ТК РФ (Q93). Альтернатива согласию — статистические или исследовательские цели с обязательным обезличиванием (п. 9 ч. 1 ст. 6), но это основание не распространяется на цели продвижения товаров (ст. 15), а обезличивание должно соответствовать приказу РКН № 140 (Q126).

Отзыв согласия ставит отдельный вопрос: оператор обязан прекратить обработку, если нет иных оснований (ч. 5 ст. 21), а удалить вклад одной записи из обученной модели технически нельзя. Позиции регулятора и практики по этому вопросу нет; разумный подход — считать обученную модель результатом обработки, в котором данные обезличены, и фиксировать это в оценке обезличивания, а исходный датасет уничтожать по требованию. 243-ФЗ в ч. 2 ст. 10 допускает использование объектов авторских прав для обучения суверенных и национальных моделей без согласия правообладателей при правомерном доступе; персональные данные закон не упоминает, а «Ведомости» 12.03.2026 по ещё не принятому проекту сообщали, что использовать для обучения нельзя будет данные, защищённые законом, в том числе персональные.

Практические шаги: отдельное согласие с opt-in в продукте и возможностью отозвать; реестр датасетов с основанием, источником и сроком; обезличивание до попадания в обучающий контур; исключение из датасетов специальных категорий, платёжных и паспортных данных; документированная оценка невозможности восстановить личность по модели.