Зарубежная нейросеть и трансграничная передача персональных данных: что требует закон

Пункт 11 ст. 3 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства органу власти, иностранному физическому или иностранному юридическому лицу. Отдельного правила для чат-ботов закон не делает.

Если сервер сервиса и компания, которая обрабатывает запрос, находятся за рубежом, текст с данными доверителя получает иностранное юридическое лицо. Неважно, вставлен он в окно чата, загружен файлом или прочитан сервисом из почты.

Три типичных случая в работе юриста:

1. В запрос вставлен договор, исковое заявление или переписка с фамилиями, паспортными данными, адресами и телефонами.

2. В сервис загружены материалы дела: выписки, протоколы, доверенности, медицинские или банковские документы доверителя.

3. Сервис подключен к почте или хранилищу фирмы и сам читает входящие документы, включая вложения.

Запрос без персональных данных под ст. 12 не попадает. Общий вопрос о толковании нормы или просьба сократить опубликованный текст закона передачей данных не считаются.

Оператор в этой схеме фирма или компания, в которой работает юрист: она определяет цели обработки и отвечает за то, куда сотрудник отправил текст. Роли оператора и обработчика подробно разобраны в материале об ИИ и персональных данных.

Часть 3 ст. 12 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении вести трансграничную передачу до ее начала. Это отдельный документ: уведомление об обработке персональных данных по ст. 22 его не заменяет.

Порядок до первой отправки данных в зарубежный сервис:

1. Получить от получателя сведения о мерах защиты данных и об условиях прекращения обработки (ч. 5 ст. 12). Для публичного чат-ботачат-бот Чат-бот это программа, которая переписывается с человеком в окне чата: на сайте, в мессенджере или в приложении. Подробнее в словаре их придется собирать из пользовательского соглашения и политики конфиденциальности сервиса.

2. Оценить, как получатель соблюдает конфиденциальность и безопасность данных, и записать дату оценки: она входит в уведомление.

3. Указать в уведомлении правовое основание и цель передачи, категории и перечень данных, категории субъектов и список стран (ч. 4 ст. 12).

4. Подать уведомление и выждать срок: Роскомнадзор принимает решение о запрете или ограничении передачи в течение десяти рабочих дней (ч. 9 ст. 12).

Если страны получателя нет в перечне государств с адекватной защитой прав субъектов, до истечения этого срока передавать данные нельзя (ч. 11 ст. 12). Проверьте страну по перечню до подачи уведомления.

На практике уведомление пишут под конкретный сервис и конкретные данные. Юрист, который сам выбрал новый чат-бот и загрузил туда дело, пропускает эту процедуру, а отвечать за это будет фирма.

Вторая норма работает рядом со ст. 12. По ч. 5 ст. 18 152-ФЗ сбор и хранение персональных данных граждан России ведутся в базах на территории России, и уведомление о трансграничной передаче эту обязанность не отменяет.

Для фирмы, где юристы работают в зарубежном чат-боте, риск двойной. История диалогов с текстами договоров и материалов дел хранится на сервере сервиса: по сути это архив документов с персональными данными за рубежом, и фирма не управляет ни сроком его хранения, ни доступом к нему.

Что проверить в фирме по этой норме: где хранится история запросов к каждому ИИ-сервису, можно ли ее удалить со стороны фирмы и кто у поставщика имеет к ней доступ. Если ответа нет в договоре, считайте, что фирма этим не управляет.

За нарушение требования о локализации юрлицо платит по ч. 8 ст. 13.11 КоАП до 6 млн руб. Размеры штрафов за утечки разобраны в статье о штрафах за персональные данные.

С текстом уходят не только персональные данные. Сведения о деле защищает профессиональная тайна, и этот вопрос разобран на странице об адвокатской тайне и ИИ.

Уведомление, оценка получателя и десять рабочих дней ожидания нужны, пока данные уходят за рубеж. Если модель работает на сервере фирмы или в облаке в России, трансграничной передачи нет, и процедура по ст. 12 не запускается.

Закон 243-ФЗ, который действует с 1 сентября 2026 года, задает то же направление: данные суверенных и национальных моделей обрабатываются в России, а случаи обязательного применения таких моделей определяет Правительство.

Как выглядит такой контур для юридической фирмы:

1. Модель стоит на сервере фирмы или в российском облаке, и текст запроса не покидает страну.

2. Персональные данные обрабатываются на серверах в России по 152-ФЗ, а текст не уходит в сервисы без договора об обработке по поручению.

3. Система, данные и доступы остаются у фирмы, а модель можно заменить без переделки процесса.

Какую модель выбрать и на каком оборудовании ее запускать, разобрано в материале о локальной нейросети для юристов. Решение и подпись при этом остаются за юристом: ИИ готовит черновик и находит нужное в документах.