Договор с персональными данными стоит загружать в ChatGPT только в обезличенном виде: ФИО, паспортные данные, адрес и банковские реквизиты физлица — это персональные данные по 152-ФЗ, а серверы OpenAI размещены за рубежом. Обезличенный текст или переход на российскую модель снимают риск целиком.
Что считается ПДн
Типовой договор с физлицом по 152-ФЗ содержит в среднем три поля персональных данных — ФИО, адрес и телефон, по практике консультаций, — и этого набора уже достаточно, чтобы документ подпадал под закон целиком.
Персональные данные — любая информация, которая напрямую или косвенно относится к конкретному человеку. В договоре это ФИО стороны-физлица или контактного лица, паспортные реквизиты, адрес регистрации, номер телефона, банковский счёт или карта для расчётов.
- Договор аренды с арендатором-физлицом — ФИО, паспорт, адрес
- Договор с самозанятым или ИП-исполнителем — ФИО, ИНН, банковские реквизиты
- Трудовой договор и приложения — ФИО, паспорт, адрес, СНИЛС
- Договор с клиентом-физлицом на услуги — ФИО, телефон, иногда адрес доставки
Даже короткий договор оказания услуг на пару страниц обычно содержит ФИО заказчика-физлица и его телефон для связи — этого уже достаточно, чтобы документ подпадал под требования 152-ФЗ в полном объёме.
Общий разбор, что вообще можно грузить в нейросеть, а что нет, — в статье про персональные данные в нейросети. Здесь — именно про сценарий «договор плюс ChatGPT»: он встречается в практике заметно чаще общего случая.
Особый случай ChatGPT
Серверы OpenAI физически размещены за рубежом, а 152-ФЗ требует хранить и обрабатывать персональные данные россиян на территории России хотя бы при первичном сборе. Передача текста с ПДн в ChatGPT формально подпадает под трансграничную передачу данных.
| Модель | Где хранятся данные | Трансграничная передача |
|---|---|---|
| ChatGPT / Claude | Серверы за рубежом | Формально возникает, риск реален |
| GigaChat | Серверы в РФ | Отсутствует |
| YandexGPT | Серверы в РФ | Отсутствует |
Подробный технический разбор именно этого механизма — в статьях про серверы OpenAI и 152-ФЗ и про материалы дела в ChatGPT для адвоката — там ситуация острее из-за адвокатской тайны.
Для сравнения: у Claude от Anthropic та же история с зарубежным размещением серверов, а у DeepSeek — своя юрисдикция со своими вопросами к трансграничной передаче. Правило простое: любая модель с обработкой запроса за пределами России подпадает под ту же логику 152-ФЗ, что и ChatGPT.
Когда нужно согласие
Загрузка договора с ПДн в ChatGPT без согласия субъекта данных и без обезличивания — нарушение закона независимо от цели загрузки, будь то проверка на риски или простое форматирование текста.
- Согласие нужно, если в модель уходит текст с реальными ФИО, паспортом или адресом стороны
- Согласие незачем, если те же поля заменены на условные placeholder-значения
- Согласие нужно на каждую цель обработки отдельно: общее согласие действует только в границах заявленной цели, для новой цели нужен отдельный документ
- Отсутствие явного протеста стороны нельзя приравнивать к согласию — это разные вещи с разным юридическим весом
На практике проще держать короткое правило: любой текст с реальными реквизитами человека уходит во внешнюю модель только при наличии подписанного согласия на эту конкретную цель, иначе документ сначала проходит обезличивание.
Пример формулировки строки согласия под конкретную цель: «Согласен(на) на обработку персональных данных в целях проверки настоящего договора на юридические риски с использованием программ на основе искусственного интеллекта». Подписанный бланк удобно подшивать в само дело или папку договора рядом с оригиналом — на случай проверки регулятором должна быть возможность быстро показать оба документа вместе.
Как в компании сейчас проверяют договоры на персональные данные?
Как обезличить договор
Обезличивание перед загрузкой в ChatGPT занимает несколько минут, если делать это по чек-листу вместо разовой прикидки на глаз. Цель — убрать из текста всё, что прямо связывает документ с конкретным человеком.
- Замените ФИО сторон на условные «Сторона 1» и «Сторона 2» через find-replace
- Удалите или замаскируйте паспортные данные, СНИЛС и банковские реквизиты звёздочками
- Оставьте в тексте только пункты, которые нужны для конкретной задачи — риски, формулировки, структуру
- Прогоните финальный текст поиском по ключевым словам «паспорт», «счёт», «адрес» — убедитесь, что реквизиты убраны полностью
- Только после этой проверки вставляйте текст в ChatGPT
Практика такой обработки текста перед отправкой во внешнюю модель называется редактированием ПДн — коротко разобрано в термине pii-redaction. Для регулярной задачи такой чек-лист удобно оформить отдельным документом внутри компании и держать версию с датой последнего обновления.
Отдельно стоит помнить про приложения к договору: акты сверки, платёжные поручения и сканы паспорта в приложениях содержат те же риски, что и основной текст, и их обезличивание часто забывают сделать в первую очередь.
Для проверки готового текста удобно попросить саму модель назвать все поля, которые ещё похожи на персональные данные, — второй прогон другим промптом ловит то, что человек мог пропустить при ручной вычитке после долгого рабочего дня.
Когда проще российская модель
Если обезличивание превращается в рутину на десятках договоров в неделю, дешевле по времени перейти на GigaChat или YandexGPT для этой конкретной задачи — тогда вопрос трансграничной передачи данных снимается сам собой.
Введите внутреннее правило: любой документ с ПДн уходит во внешнюю модель только обезличенным, без исключений «просто быстро проверить» — и закрепите это письменным регламентом вместо устной договорённости между сотрудниками.
Если объём документооборота с ПДн большой, устная договорённость забывается уже через месяц, а разброс между сотрудниками растёт — тогда правило стоит встроить в процессы отдельным пунктом регламента. Разбор такой архитектуры делает аудит и консалтинг по ии. Смежный разбор для чат-ботов — статья про 152-ФЗ и персональные данные в чат-боте.
Итог для практики: договор с персональными данными и ChatGPT совместимы только через обезличивание или через переход на модель с хранением данных в РФ — третьего варианта закон здесь фактически оставляет мало, а риск штрафа реален для компании любого размера.
Проще всего проверить свою компанию за один вечер, по нашей практике аудита: выпишите пять последних договоров, отправленных сотрудниками во внешние модели, и сверьте каждый на присутствие реальных ФИО, паспорта или банковских реквизитов. Результат обычно сразу показывает, нужен ли отдельный регламент прямо сейчас.