152-ФЗ и нейросети: как закон о персональных данных работает в ИИ-контуре
Как закон о персональных данных применяется к ИИ: кто оператор, что считается обработкой, локализация, трансграничная передача и ответственность.
Коротко
- Основной регуляторный риск при работе с ИИ лежит не в законе об ИИ, а здесь: 243-ФЗ собственных санкций не вводит, а 152-ФЗ вводит, и они применяются уже сейчас.
- Оператором персональных данных остаётся ваша компания, а не разработчик нейросети. Передача данных в модель не перекладывает ответственность на поставщика.
- Отправка промпта с персональными данными в чужой сервис — это обработка и, как правило, поручение обработки или трансграничная передача. Оба случая требуют оформления.
- Самый частый источник нарушений — не архитектура, а бытовая практика: сотрудники вставляют в публичные чат-боты резюме, договоры и переписку с клиентами.
Кого касается
Любая компания, у которой в ИИ-контур попадают данные людей: переписка с клиентами, резюме, документы, записи разговоров, фотографии, логи с идентификаторами.
Компании, использующие зарубежные API: отправка персональных данных за пределы России — трансграничная передача со своим порядком оформления.
Компании, обучающие или дообучающие собственные модели на данных, которые содержат сведения о людях.
Работодатели, применяющие ИИ в кадровых процессах: данные кандидатов и сотрудников — персональные по определению.
Что требует
Иметь правовое основание для обработки
ст. 6Обработка персональных данных допускается только при наличии основания из статьи 6: согласие субъекта, исполнение договора, требование закона и другие перечисленные случаи. «Мы используем это для улучшения сервиса» основанием не является. Для ИИ-сценариев основание нужно определять отдельно от основания, по которому данные были собраны изначально.
Получать согласие в надлежащей форме
ст. 9Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Формулировка «согласен на обработку данных любыми способами» этому не отвечает: если данные уходят в модель стороннего сервиса, субъект должен понимать, что именно происходит.
Оформлять поручение обработки
ч. 3 ст. 6Когда обработку по вашему заданию выполняет другое лицо — а именно это происходит при обращении к чужому ИИ-сервису, — нужно поручение с перечнем действий, целями и обязанностью сохранять конфиденциальность. Ответственность перед субъектом при этом остаётся на вас.
Соблюдать требование локализации
ч. 5 ст. 18При сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации. Зарубежный ИИ-сервис не отменяет этого требования: первичная база должна быть в России.
Соблюдать порядок трансграничной передачи
ст. 12, 12.1Передача данных в другое государство подчиняется отдельным правилам, включая уведомление уполномоченного органа до начала передачи. Обращение к зарубежному API с персональными данными в запросе — это трансграничная передача, даже если она выглядит как обычный HTTP-запрос.
Не принимать решения о человеке только автоматически
ст. 16Решение, порождающее юридические последствия или иным образом затрагивающее права субъекта, не может приниматься на основании исключительно автоматизированной обработки без его согласия. Именно эта норма определяет, как выстраивать скоринг, автоматический отказ в услуге и фильтрацию откликов кандидатов: нужно либо согласие, либо человек в контуре принятия решения. Субъект вправе заявить возражение и потребовать разъяснения порядка принятия решения.
Соблюдать особый режим биометрии
ст. 11Биометрические персональные данные — сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. Их обработка допускается по отдельным правилам, отличным от правил для обычных персональных данных. Распознавание лиц и голосовая идентификация попадают сюда напрямую.
Уведомить Роскомнадзор об обработке
ст. 22Оператор уведомляет уполномоченный орган о намерении осуществлять обработку. Если ИИ-сценарий добавил новые цели обработки, категории данных или новых лиц, обрабатывающих данные по поручению, уведомление нужно актуализировать.
Сроки
- Закон принятДействует с многочисленными изменениями; актуальная редакция — по ссылке на первоисточник
Что грозит за нарушение
Статья 13.11 КоАП РФ — административная ответственность за нарушение порядка обработки персональных данных. Составы дифференцированы: обработка без основания, обработка без согласия в требуемой форме, невыполнение обязанности по локализации и другие.
Статья 272.1 УК РФ — уголовная ответственность за незаконные использование и передачу сведений, относящихся к персональным данным. Применяется к ситуациям, когда данные уходят из контура компании неправомерно.
Отдельная категория рисков — утечки. Если персональные данные попали в чужой сервис без оформленного основания, инцидент квалифицируется не как техническая проблема, а как нарушение порядка обработки.
Гражданские иски субъектов о компенсации морального вреда предъявляются независимо от административного производства.
Как проверить себя
Составьте список ИИ-сервисов, которыми реально пользуются сотрудники, включая публичные чат-боты. На практике этот список оказывается длиннее того, что согласовано.
Для каждого сервиса ответьте, попадают ли в него данные людей — в промптах, во вложениях, в логах. Логи забывают чаще всего.
Проверьте, есть ли поручение обработки с каждым поставщиком ИИ-сервиса и что в нём написано про конфиденциальность и про использование ваших данных для обучения.
Сверьте формулировку согласия с реальностью: понимает ли субъект из текста, что его данные обрабатываются с помощью нейросети и, возможно, за пределами России.
Определите, где физически находится первичная база с данными граждан России и не подменяет ли её зарубежный сервис.
Проверьте актуальность уведомления в Роскомнадзор: цели и категории данных в нём должны совпадать с тем, что происходит сейчас.
Почему этот закон важнее закона об ИИ
Про 243-ФЗ пишут много, про 152-ФЗ — мало, хотя санкции сегодня возникают именно здесь. Закон об ИИ собственных составов правонарушений не вводит и отсылает к общему законодательству. Общее законодательство в части данных — это 152-ФЗ, и он действует давно, с наработанной практикой проверок.
Для компании это означает простую вещь: подготовка к «закону об ИИ» на 80% состоит из наведения порядка в персональных данных.
Три сценария, где чаще всего рвётся
Сотрудники и публичные сервисы. Менеджер вставляет в чат-бот письмо клиента, чтобы получить черновик ответа. Формально это передача персональных данных третьему лицу без оформленного поручения. Технических следов такое действие в компании не оставляет, поэтому и не попадает в отчёты — пока не случится инцидент.
Логи. Систему проектировали так, что персональные данные не хранятся, но логи пишут полный текст запросов. Данные оказываются в хранилище, о котором в документах ничего не сказано.
Зарубежные API. Запрос уходит в модель за пределами России. С точки зрения разработчика это вызов метода, с точки зрения закона — трансграничная передача, которая требует отдельного порядка оформления.
Проверьте свою компанию бесплатно
Шесть вопросов о том, как в компании используется ИИ. Результат — сразу на экране: какие требования вас касаются и к каким датам.
Пройти экспресс-проверку →
