Словарь ИИ

Что такое персональные данные и ИИ

Коротко

Персональные данные и ИИ это правила и риски обработки сведений о людях нейросетями: что можно передавать модели, где хранить данные и какое основание нужно по 152-ФЗ.

Безопасность и право · personal data

Михаил МозгПроверено: 16 октября 20261 минута чтения

Подробно152-ФЗ и ИИ-агенты: где хранить данные клиентов

Ребенку

У каждого человека есть то, что знают только близкие: адрес, номер телефона, день рождения. Такие сведения нельзя рассказывать всем подряд, потому что ими могут воспользоваться нехорошие люди. Компьютерный помощник тоже может узнать о человеке многое, если ему это написать. Поэтому взрослые договорились о правилах: что о людях можно доверить компьютеру, а что нужно беречь.

Простыми словами

Персональные данные это любые сведения, по которым можно узнать человека: имя, телефон, адрес, номер договора, запись голоса. Когда компания подключает нейросеть к переписке с клиентами или к базе сотрудников, через модель начинают проходить эти сведения. Закон требует, чтобы у обработки было основание, например согласие человека, а данные граждан России собирали и хранили в базах на территории страны. Если отправить такую переписку в зарубежный сервис, можно нарушить закон, даже если никакой утечки не случилось.

Для бизнеса

Из-за этого вопроса ИИ-проекты чаще всего останавливает служба безопасности. Проверяют три вещи. Где физически обрабатываются данные и нужно ли до начала трансграничной передачи уведомить Роскомнадзор. Есть ли основание для обработки: согласие или договор с клиентом. Принимает ли система решения о людях сама: решения с юридическими последствиями только на основе автоматической обработки допускаются лишь при письменном согласии или прямом основании в законе. Варианты защиты: модель в российском дата-центре или в своем контуре, обезличивание до отправки, договор поручения обработки с подрядчиком. Эти вопросы закрывают до старта проекта, а не после первой проверки.

Для специалиста

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» применяется к ИИ-системам так же, как к любой другой обработке. Часть 5 статьи 18 запрещает при сборе запись, систематизацию, накопление и хранение персональных данных граждан России в базах за пределами страны, кроме отдельных случаев. Статья 12 требует уведомить уполномоченный орган до начала трансграничной передачи. Статья 16 запрещает решения с юридическими последствиями на основе исключительно автоматизированной обработки без письменного согласия или основания в федеральном законе и обязывает дать возможность возразить. Основания обработки перечислены в статье 6: согласие, исполнение договора с субъектом и другие. Для LLM-систем это превращается в архитектурные решения: инференс и журналы в российской юрисдикции, минимизация полей в промпте, псевдонимизация или маскирование перед внешним API, разграничение доступа в RAG, сроки хранения диалогов и отказ от обучения модели поставщика на этих данных.

Пример

Клиника хочет, чтобы ИИ-агент подтверждал записи пациентов. Агент работает на сервере в России, а в модель вместо ФИО и телефона уходят условные метки, которые подставляются обратно уже в системе записи.

Связанные термины

Вопросы и ответы

Можно ли отправлять персональные данные в зарубежную нейросеть?

Данные граждан России нужно собирать и хранить в базах на территории страны, а о трансграничной передаче заранее уведомить Роскомнадзор. На практике безопаснее обезличить сведения до отправки или использовать модель в российском дата-центре.

Нужно ли согласие клиента, если с ним общается ИИ-агент?

Нужно основание для обработки его данных: согласие или, например, договор с клиентом. Если агент сам принимает решения с юридическими последствиями, по 152-ФЗ требуется письменное согласие или прямое основание в законе.

Источники

Где это применяют в компании

Безопасность данных при внедрении ИИ-агентов

Не уверены, нужно ли это вашей компании?

Карта ИИ-решений