Можно ли подключить RAG-поиск по внутренней базе документов с персональными данными и что меняется, если эмбеддинги считает зарубежная модель?

Фрагменты документов и их векторные представления остаются персональными данными: закон относит к ним любую информацию о прямо или косвенно определяемом лице (п. 1 ст. 3 152-ФЗ), а по эмбеддингу вместе с индексом исходный текст восстанавливается или находится. Позиции Роскомнадзора об эмбеддингах нет, это вывод из определения. Поэтому индексирование — обработка (п. 3 ст. 3), для которой нужны те же цели и основания, что для исходных документов (ч. 2 ст. 5): кадровые документы нельзя индексировать для поиска по продажам, а медицинские карты — для чат-бота маркетинга. Объединять базы с несовместимыми целями запрещено (ч. 3 ст. 5).

Главный технический риск RAG — обход разграничения доступа: модель отвечает всем, что нашла, а ограничение в промпте («не раскрывай зарплаты») обходится. Оператор обязан обеспечить доступ только уполномоченных лиц к нужным им данным (ч. 1 ст. 19; меры по ПП РФ № 1119 и приказу ФСТЭК № 21), поэтому права доступа должны проверяться на этапе извлечения фрагментов, а не на этапе генерации. Ответ пользователю, которому документ недоступен, — предоставление данных (п. 6 ст. 3) и возможный инцидент (Q127). Индекс — ещё одна копия данных: при уничтожении данных по требованию субъекта или по сроку их нужно удалить и из индекса, и из кэша ответов (ч. 4 ст. 21; приказ РКН № 179; аналогично резервным копиям в Q27).

При зарубежной модели трансграничная передача происходит при каждом запросе на эмбеддинг и при каждом промпте с найденными фрагментами; уведомление по ст. 12 подаётся до начала, а для стран вне перечня выдерживается десятидневный срок. Если сам векторный индекс размещён у зарубежного провайдера, то при сборе данных нарушается ч. 5 ст. 18. Данные о здоровье и иные специальные категории в RAG допустимы только на основаниях ст. 10 и, при зарубежной модели, практически не передаются (Q62).

Практические шаги: классификация документов до индексации и исключение лишних полей (ч. 5 ст. 5); фильтрация по правам доступа на уровне поиска с наследованием ACL источника; журнал запросов и выданных фрагментов; тесты на извлечение чужих данных; обезличивание фрагментов перед отправкой во внешнюю модель; регламент удаления из индекса и кэша; индекс и модель эмбеддингов в российском контуре.