Нейросеть, которой вы отдаёте заявки, переписку или базу клиентов, с точки зрения закона становится участником обработки персональных данных. Разбираем, что из этого следует по 152-ФЗ, где риск реальный, а где его преувеличивают, и как внедрить ИИ так, чтобы не пришлось объясняться с Роскомнадзором.
Можно ли отдавать данные клиентов нейросети
Можно, но только если вы как владелец данных выполнили требования 152-ФЗ: есть законное основание, клиент предупреждён, данные хранятся там, где положено, а сервис нейросети оформлен как ваш обработчик. Самая частая ошибка - сотрудник копирует переписку с клиентом в публичный чат-бот, и данные уходят на иностранный сервер без договора и без уведомлений.
Персональные данные по закону - любая информация, по которой можно определить человека: имя вместе с телефоном, e-mail, адрес, номер заказа с фамилией, голос в записи звонка. Оператор - тот, кто решает, зачем и как эти данные обрабатывать. Если данные собрали вы, оператор - вы, даже если считает и отвечает нейросеть.
Где ИИ в бизнесе встречается с персональными данными
Владельцы часто считают, что ИИ у них «не трогает клиентов». На практике персональные данные проходят через модель почти в любом рабочем сценарии:
- чат-бот на сайте или в мессенджере собирает имя, телефон и описание задачи;
- ИИ-агент разбирает входящие заявки и раскладывает их по CRM - подробнее о схеме в статье про автоматизацию обработки заявок;
- нейросеть расшифровывает и оценивает записи звонков отдела продаж;
- менеджеры просят чат-бот «написать ответ клиенту» и вставляют всю переписку;
- модель анализирует выгрузку базы клиентов для рассылки или сегментации.
В каждом из этих случаев важно ответить на три вопроса: какие именно поля уходят в модель, на чьих серверах она работает и что сервис делает с данными после ответа - удаляет или хранит и использует для дообучения.
Что требует 152-ФЗ, если вы используете ИИ
Ниже требования, которые касаются любого бизнеса с персональными данными. ИИ их не отменяет, а чаще добавляет точку, где их легко нарушить.
| Требование | Что это значит на практике | Где ломается с ИИ |
|---|---|---|
| Законное основание | Согласие клиента или договор, ради исполнения которого нужны данные | Данные собраны для звонка, а используются для анализа и обучения модели |
| Политика обработки | Опубликованный документ: какие данные, зачем, кому передаются | В политике нет ни слова о передаче данных ИИ-сервису |
| Уведомление в Роскомнадзор | Оператор сообщает регулятору, что обрабатывает данные | Уведомление подано давно и не описывает новые сервисы |
| Локализация | Данные граждан РФ сначала записываются и хранятся в базах на территории России | Бот пишет заявки сразу в иностранное облако |
| Трансграничная передача | Передача за рубеж - только после уведомления регулятора и с учётом страны получателя | Сотрудник отправляет переписку в зарубежный чат-бот |
| Поручение обработчику | Договор с сервисом, который обрабатывает данные по вашему поручению | Используется личный аккаунт сотрудника без договора |
| Защита данных | Доступы, журналы, меры против утечек | API-ключ лежит в общем чате, логи бота открыты всем |
Отдельно про штрафы: за последние годы ответственность за утечки персональных данных заметно ужесточилась, особенно для крупных утечек и повторных нарушений. Конкретные суммы зависят от масштаба и меняются, поэтому перед запуском сверьте актуальную редакцию с юристом, а не с этой статьёй.
Иностранные нейросети: главный риск
Большинство сильных моделей работают на серверах за рубежом. Сама по себе работа с ними не запрещена, но передача туда персональных данных - это трансграничная передача, и для неё нужны уведомление регулятора и законное основание. Плюс требование локализации: базу клиентов нельзя вести только в зарубежном облаке.
Рабочие варианты, из которых обычно выбирают:
- Обезличивание перед отправкой. Код заменяет имя, телефон и почту на метки вроде [КЛИЕНТ_1], модель работает с текстом без персоналки, ответ собирается обратно уже у вас.
- Российские модели или облака. Сервисы с серверами в России снимают вопрос трансграничной передачи, но договор обработчика и согласия всё равно нужны.
- Своя модель на своём сервере. Данные не покидают контур компании. Дороже и сложнее, подробнее в разборе своя нейросеть или API.
Как внедрить ИИ без нарушения 152-ФЗ: порядок действий
- Составьте список сценариев: где ИИ видит данные клиентов и какие поля ему реально нужны. Часто для ответа достаточно текста вопроса без имени и телефона.
- Уберите лишнее на входе: маскирование персональных данных кодом до отправки в модель.
- Выберите, где работает модель: в России, за рубежом с обезличиванием или на своём сервере.
- Обновите документы: политику обработки, текст согласия в формах, уведомление в Роскомнадзор, договор с сервисом.
- Настройте форму и бота так, чтобы согласие давалось явно, а не заранее поставленной галочкой. Это же нужно для честного учёта валидных заявок.
- Ограничьте доступы: ключи API в защищённом хранилище, логи диалогов доступны только ответственным, срок хранения логов задан.
- Запретите сотрудникам вставлять данные клиентов в личные чат-боты и дайте им рабочий инструмент взамен, иначе запрет не сработает.
Сколько стоит навести порядок
Цены ниже - рыночные ориентиры, а не прайс. Разброс зависит от числа сценариев, количества систем, где лежат данные, и от того, есть ли у компании юрист и актуальные документы.
| Работа | Ориентир | От чего зависит |
|---|---|---|
| Аудит потоков данных в ИИ-сценариях | от 20 000 до 80 000 ₽ | Число ботов, интеграций и отделов |
| Документы: политика, согласия, уведомление | от 15 000 до 60 000 ₽ | Есть ли базовый комплект, сложность обработки |
| Маскирование данных перед моделью | от 30 000 до 150 000 ₽ | Сколько каналов и форматов: чаты, звонки, файлы |
| Перенос на российскую или свою модель | от 50 000 ₽ до нескольких сотен тысяч | Объём запросов, требования к качеству ответов |
Срок для небольшой компании с одним ботом обычно укладывается в 2-4 недели, для нескольких систем и отделов - дольше.
Когда всё это не нужно и что может пойти не так
Не каждое использование ИИ касается 152-ФЗ. Если нейросеть пишет тексты для сайта, придумывает рекламу или разбирает обезличенную статистику, персональных данных там нет, и громоздкие процедуры не нужны. Тратить деньги на аудит ради генерации статей бессмысленно.
Обратная ситуация тоже бывает: компания делает всё по документам, но не учитывает, что модель может ошибиться и вывести в ответе данные другого клиента или выдумать факт. Это уже риск не столько юридический, сколько репутационный - подробно разобрали в статье про галлюцинации ИИ.
- Не полагайтесь на фразу подрядчика «мы ничего не храним» без договора.
- Не считайте, что раз бот на вашем сайте, то и данные у вас.
- Не запускайте анализ всей базы клиентов «для пробы» до оформления документов.
И главное ограничение этой статьи: это ориентир для владельца бизнеса, а не юридическое заключение. Финальную схему обработки данных стоит согласовать с юристом, который знает вашу отрасль.
Наши работы
Сайты, которые студия уже запустила
Четыре проекта N3MIROFF, которые можно открыть прямо сейчас и посмотреть, как они работают.
Агротех с ИИ
SkyFarm ↗
Редизайн сайта систем выращивания: первый экран с контейнерной фермой, схема работы из трёх шагов, карусель продуктов и экран приложения.
Сайт салона
ayvazzovsky.com ↗
Салон сложного окрашивания в Москве: онлайн-запись, видео работ, портфолио и команда. Переехал с Тильды на свой хостинг.
Онлайн-академия
ayvazzovsky.academy ↗
Видеоуроки колористики: каталог, посадочные страницы уроков, личный кабинет и промокоды.
Event-агентство
navsegda-event.ru ↗
НАВСЕГДА: корпоративы и конференции - услуги, кейсы, этапы работы и расчёт мероприятия.
Витрина магазина
Monkey Market ↗
Премиальная витрина магазина кроссовок с заказом в Telegram.
Услуги студии по теме: разработка сайтов под ключ и SEO-продвижение статьями.
Нужен сайт, который принимает заявки, а не просто существует?
Сделаем премиальный сайт на React за 1-2 недели от материалов, с заявками в Telegram или CRM.
Частые вопросы
Можно ли сотрудникам пользоваться ChatGPT для ответов клиентам?
Можно, если в запрос не попадают персональные данные: имя, телефон, почта, адрес, номер заказа с фамилией. Вставлять переписку целиком в зарубежный чат-бот - это трансграничная передача без оформления. Лучше дать сотрудникам рабочий инструмент с маскированием данных.
Нужно ли отдельное согласие клиента на обработку данных нейросетью?
Зависит от цели. Если ИИ помогает исполнить то, ради чего клиент оставил заявку, обычно хватает корректно оформленного согласия и политики, где упомянута передача данных сервисам. Для обучения моделей и аналитики сверх этого нужна отдельная правовая оценка.
Решает ли проблему российская нейросеть?
Она снимает вопрос трансграничной передачи и упрощает локализацию. Но договор с сервисом, политика, согласия и защита доступов всё равно нужны. Российский сервер не заменяет документы.
Что такое обезличивание и достаточно ли его?
Это замена данных, по которым можно узнать человека, на метки до отправки в модель. Для многих задач это сильно снижает риск, если таблица обратного сопоставления хранится только у вас, но юридически такие данные у вас остаются персональными, и документы всё равно нужны. Проверять стоит и свободный текст: клиенты сами пишут телефоны и адреса в сообщениях.
Кто отвечает за утечку - мы или разработчик бота?
Перед клиентом и регулятором отвечает оператор, то есть компания, которая собрала данные. С подрядчиком ответственность распределяется договором, поэтому договор поручения обработки нужно оформлять до запуска, а не после инцидента.
Проверим ваш ИИ-проект на риски с данными
Посмотрим, какие данные куда уходят, и предложим схему, где бот или агент работает без лишней персоналки.
Получить целевые заявки → Telegram