01 Простыми словами
152-ФЗ — закон о персональных данных, и он касается ИИ ровно в той же мере, что и любой другой инструмент, который обрабатывает информацию о людях. Если в чат-бот или модель попадают имя клиента, номер телефона, адрес доставки или данные о здоровье — это персональные данные, и на них распространяются те же правила, что на CRM или базу клиентов в таблице.
02 Как это работает
Ключевые понятия закона в применении к ИИ-сервисам.
- Оператор персональных данных — компания, которая решает, зачем и как обрабатывать данные людей; при использовании стороннего ИИ-сервиса компания обычно остаётся оператором, а сам сервис — тем, кому данные переданы для обработки.
- Согласие — человек должен знать и подтвердить, что его данные обрабатываются, включая передачу в сторонний ИИ-сервис, кроме случаев, покрытых другим законным основанием.
- Локализация — персональные данные граждан России при первичном сборе записываются на серверы, расположенные в России, что важно учитывать при выборе облачного ИИ-сервиса.
На практике решение о том, какие данные можно передавать в конкретный ИИ-сервис, редко принимает один человек — обычно это совместное решение юриста и того, кто отвечает за данные технически.
03 Где применяется
- Служба поддержки. Перед подключением чат-бота к базе клиентов важно понять, какие поля там персональные, а какие можно обезличить.
- Юристы. Формулировка согласия на обработку данных должна явно покрывать передачу в сторонний ИИ-сервис, если она предполагается.
- ИТ-отдел. Выбор между российским и зарубежным ИИ-сервисом для работы с данными клиентов напрямую влияет на то, где физически хранится информация.
- HR. Данные кандидатов и сотрудников — тоже персональные данные, и загрузка резюме в публичный ИИ-сервис требует такой же осторожности, как и данные клиентов.
- Медицина и финансы. Данные о здоровье и финансовом положении человека относятся к специальным категориям, для которых основание на обработку продумывают особенно внимательно.
- Руководство. Понятная внутренняя практика по работе с персональными данными в ИИ-сервисах снижает репутационный и юридический риск при масштабировании.
04 Какие данные можно передать
Данные, которые проходят через ИИ-сервис, требуют разной степени осторожности — вот как обычно решают на практике.
| Тип данных | Кто решает | Кто проверяет решение |
|---|---|---|
| Обезличенный текст без имён и контактов — обычно без согласований | Ответственный за данные | Ответственный за данные |
| Имя и телефон клиента — только с согласием и по условиям сервиса | Юрист | ИТ-безопасность |
| Данные о здоровье, судимости, религии — нужно отдельное законное основание | Юрист, иногда руководство | Юрист повторно перед отправкой |
| Обезличенная агрегированная статистика по клиентам — как правило можно | Ответственный за данные | Ответственный за данные |
Пограничные случаи — например, текст письма клиента, где среди прочего упомянут номер заказа и город доставки, — решают по тому же принципу: если из текста можно однозначно узнать конкретного человека, к нему применяются правила персональных данных.
05 Ограничения и ошибки
- Закон одинаково применяется к любому обработчику данных вне зависимости от размера компании или модности используемого ИИ-инструмента.
- Согласие «на всё сразу» из старой формы сайта иногда обходит стороной именно передачу данных в новый ИИ-сервис — формулировку полезно перепроверять при каждом новом инструменте.
- Анонимизация данных остаётся отдельным вопросом от требования локализации хранения там, где оно применимо, — это две независимые обязанности оператора.
- Публичные облачные ИИ-сервисы физически хранят данные там, где расположена их инфраструктура, — для персональных данных россиян это важно уточнять заранее, до подключения сервиса.
- Внутренняя политика использования ИИ — удобное место зафиксировать, какие типы данных сотрудникам разрешено передавать во внешние сервисы, и один из способов снизить риск теневого использования ИИ, когда сотрудник подключает сервис на своё усмотрение без согласования с ИТ-отделом и юристом.
Что именно нарушает закон при использовании нейросетей — разобрано в статье про 152-ФЗ и нейросети. Выстроить корректную работу с персональными данными в рамках внедрения ИИ в компании помогает отдельная услуга — ИИ-консалтинг.