Искусственный интеллект и персональные данные: вопросы продуктовых команд и ИБ

Данные в ChatGPT и российских LLM, RAG, обучение и дообучение, обезличивание, автоматизированные решения, право на объяснение, 243-ФЗ об ИИ.

16 вопросовСверено 10 октября 2026 г.

Зарубежные нейросети через API Можно ли отправлять данные клиентов в ChatGPT, Claude или Gemini через API, если серверы провайдера находятся за рубежом? Можно только при одновременном выполнении трёх условий: первичная база данных остаётся в России, передача оформлена как трансграничная по ст. 12 152-ФЗ, а у…
Сотрудники и корпоративный ChatGPT Компания купила корпоративную подписку на ChatGPT. Что делать с сотрудниками, которые вставляют в чат данные клиентов и коллег? Корпоративный тариф снимает часть договорных рисков, но не делает такие вставки законными: каждая отправка данных клиента или коллеги в зарубежный сервис — это…
YandexGPT и GigaChat Как оформить использование YandexGPT или GigaChat через API: нужно ли поручение и согласие клиентов? Нужен договор поручения по ч. 3 ст. 6 152-ФЗ, а условия сервиса должны допускать передачу персональных данных: потребительские соглашения российских моделей…
RAG по документам с ПДн Можно ли подключить RAG-поиск по внутренней базе документов с персональными данными и что меняется, если эмбеддинги считает зарубежная модель? Можно, если векторный индекс рассматривается как часть той же информационной системы персональных данных с теми же целями, основаниями и правами доступа, что и…
ИИ-ассистент в поддержке ИИ-ассистент в поддержке записывает и расшифровывает звонки клиентов. Нужно ли согласие, и когда голос становится биометрией? Для записи и расшифровки разговора согласие не обязательно, если это нужно для обслуживания клиента по договору и клиента предупредили о записи; голос…
ИИ-агент с доступом к почте ИИ-агент с доступом к почте и календарю пользователя: на каком основании он обрабатывает данные третьих лиц? Зависит от того, кто его запускает. Для физического лица, которое использует агента для личных нужд, 152-ФЗ не применяется (п. 1 ч. 2 ст. 1), но применяется к…
Камеры с ИИ-аналитикой Камеры с ИИ-аналитикой в магазине или офисе детектируют лица. Это биометрия, и можно ли вести стоп-лист по лицу? Детекция, подсчёт и трекинг посетителей без установления личности биометрией не являются, а распознавание конкретных людей и стоп-листы по лицу — биометрия…
Дообучение на данных клиентов Нужно ли согласие клиентов, чтобы дообучить модель на их данных, если данные уже собраны для исполнения договора? Да, если данные остаются идентифицируемыми: обучение модели — отдельная цель, которую договор с клиентом не покрывает, и для неё нужно отдельное согласие либо…
Обезличивание для обучения Достаточно ли обезличить данные по приказу РКН № 140, чтобы обучать модель без согласия, и при чём здесь ст. 13.1 и ГИС Минцифры? Что с синтетическими данными? Да, если обезличивание выполнено так, что без дополнительной информации субъекта определить нельзя, а ключи и таблицы соответствия хранятся отдельно и в…
Утечка через промпт Пользователь извлёк из модели чужие данные через промпт, или исследователь показал атаку на принадлежность к обучающей выборке. Это инцидент, о котором нужно сообщать в Роскомнадзор? Да, если установлен факт неправомерного доступа к персональным данным: вывод моделью сведений о конкретном человеке другому пользователю — это предоставление…
Автоматизированное решение Что считается решением «исключительно на основании автоматизированной обработки» по ст. 16, если сотрудник просто нажимает «подтвердить»? Формальное подтверждение участием человека не является: если сотрудник не видит данных, не имеет времени и полномочий изменить результат и никогда его не…
Право на объяснение Есть ли в России право на объяснение решения ИИ и что оператор обязан рассказать человеку? Отдельного «права на объяснение логики алгоритма» в российском законе нет. Есть обязанность разъяснить порядок принятия автоматизированного решения и его…
243-ФЗ об ИИ Что даёт и чего не даёт закон 243-ФЗ о поддержке технологий ИИ для работы с персональными данными, и зачем нужны экспериментальные правовые режимы? 243-ФЗ от 26.07.2026 не создаёт ни одного основания обработки персональных данных и не меняет 152-ФЗ: это закон о поддержке разработчиков больших…
SaaS для клиник на зарубежной модели Мы делаем SaaS-продукт для медицинских клиник на зарубежной языковой модели. Что должно быть в договорах и архитектуре, чтобы клиники могли им законно пользоваться? Продукт будет продаваемым, только если идентифицирующие сведения о пациентах не покидают российский контур: клиника — оператор, вендор — обработчик по…
Скоринговая модель банка Банк хочет обучить скоринговую модель на данных своих заёмщиков, включая кредитные отчёты из БКИ. Какие основания нужны и как это соотносится со ст. 16? Нужны три решения: основание для новой цели «разработка модели» (отдельное согласие либо обезличивание по приказу РКН № 140), проверка, что кредитные отчёты…
ИИ-копирайтер на данных CRM ИИ-копирайтер для HR и маркетинга берёт данные из CRM и кадровой системы, чтобы писать персональные письма клиентам, кандидатам и сотрудникам. Что нужно оформить? Три режима и три комплекта документов. Для клиентов — согласие на обработку в целях продвижения (ст. 15 152-ФЗ) и на рекламу (ст. 18 38-ФЗ), для кандидатов…

Материалы носят справочный характер и не являются юридической консультацией. Нормы сверены по состоянию на 10.10.2026; перед применением проверьте действующую редакцию актов.

Другие разделы

Не нашли свой случай?

Задайте вопрос PD-AI: ответ придёт со ссылками на конкретные статьи 152-ФЗ и акты Роскомнадзора

Начать бесплатно