ИИ-копирайтер для HR и маркетинга берёт данные из CRM и кадровой системы, чтобы писать персональные письма клиентам, кандидатам и сотрудникам. Что нужно оформить?

Маркетинг. Обработка данных в целях продвижения товаров, работ и услуг путём прямых контактов допускается только с предварительного согласия субъекта, и доказывать его обязан оператор (ч. 1 ст. 15 152-ФЗ); реклама по сетям электросвязи — только с предварительного согласия адресата (ч. 1 ст. 18 38-ФЗ). Данные CRM собраны для исполнения договора; использовать их для персонализированного продвижения без согласия на эту цель нельзя (ч. 2 ст. 5), а исследовательское основание п. 9 ч. 1 ст. 6 на цели ст. 15 не распространяется. Поля для промпта ограничиваются целью (ч. 5 ст. 5): история покупок при согласии допустима, а данные о здоровье или семейном положении, выведенные моделью, — специальные категории и избыточность. Если копирайтер сам решает, кому и что отправлять, и это влияет на условия (скидка, лимит), включается ст. 16 (Q128). Отказ от рассылки прекращает обработку в целях продвижения немедленно (ч. 2 ст. 15; Q50).

Кандидаты и работники. Письма кандидатам — обработка в целях подбора по согласию соискателя (Q71), автоматический отказ без человека запрещён (п. 6 ст. 86 ТК РФ; Q93). Данные работников обрабатываются для целей ТК РФ (п. 1 ст. 86) и передаются внутри организации по локальному акту уполномоченным лицам (ст. 88 ТК РФ); поздравления, рассылки о корпоративных событиях, фото и факты из личного дела — не трудовая необходимость, для них нужно согласие (Q80). Генерация изображений людей — ст. 152.1 ГК РФ, публикация текстов с данными сотрудников — режим распространения (ст. 10.1; Q21).

Модель. Зарубежная модель — трансграничная передача каждого промпта с данными (ст. 12; Q118) и запрет зарубежных баз при сборе (ч. 5 ст. 18); российская — поручение с запретом обучения на запросах (Q120). Маркировать сгенерированные тексты закон не требует: ст. 9 243-ФЗ касается аудио и видео и даёт право, а не обязанность. Сгенерированные «отзывы» и обещания оцениваются по ст. 5 38-ФЗ как недобросовестная или недостоверная реклама.

Требования закона: доказуемое согласие на продвижение и рекламу; согласие кандидатов; локальный акт по данным работников и согласия на непроизводственные коммуникации; совместимость целей CRM; поручение провайдеру или трансграничная процедура; человек в контуре при решениях о клиенте. Практические рекомендации: флаг согласия в CRM, без которого промпт не формируется; белый список полей для промптов; запрет выводить в текст сведения вне разрешённых полей; проверка текстов человеком до отправки; журнал генераций с привязкой к согласию; удаление данных отказавшихся из промпт-шаблонов.