Нейросети и персональные данные: что нельзя вставлять в ChatGPT и другие AI-сервисы

Сотрудник копирует переписку с клиентом в ChatGPT, чтобы быстро составить ответ. Менеджер вставляет в нейросеть текст договора с ФИО и контактами, чтобы получить короткое резюме. Это происходит в большинстве компаний каждый день — и в большинстве случаев об этом даже не задумываются как о юридически значимом действии. А это именно оно.

Почему это передача данных, а не просто «использование инструмента»

С точки зрения 152-ФЗ, когда персональные данные клиента отправляются в ChatGPT, DeepSeek или любой другой AI-сервис, это передача персональных данных третьей стороне — оператору этого AI-сервиса. Юридически это то же самое действие, что передача данных любому внешнему подрядчику, просто незаметное, потому что происходит в один клик и без привычного «договора с подрядчиком» на экране.

Отсюда вытекают те же требования, что и к любой другой передаче данных:

• Согласие должно покрывать именно этот способ обработки. Согласие, которое клиент давал на «обработку для оказания услуг», не обязательно покрывает передачу его данных в сторонний AI-сервис — если в согласии не упомянут такой способ обработки, фактическая обработка выходит за его рамки.
• Если AI-сервис зарубежный — это трансграничная передача. ChatGPT (OpenAI, США) и многие другие популярные сервисы работают из юрисдикций, для которых требуется либо отдельное явное согласие пользователя, либо соответствие условиям трансграничной передачи по ст. 12 152-ФЗ.
• Нужен договорной контроль над обработчиком. Формально сервис, которому передаются данные, становится обработчиком, а по ст. 6 ч. 3 152-ФЗ оператор обязан заключить с обработчиком договор, фиксирующий условия обработки — простое принятие пользовательского соглашения AI-сервиса на это, как правило, не рассчитано.

Чем это отличается от использования AI внутри вашего собственного продукта

Если компания сама строит продукт на базе AI (как, например, анализ документов через DeepSeek) — она заранее продумывает согласие, договор с AI-провайдером и условия трансграничной передачи именно под этот процесс. Риск в описанном здесь сценарии — другой: это стихийное, непродуманное использование AI-инструментов сотрудниками в повседневной работе, без согласия, которое бы это покрывало, и без договора с AI-сервисом как с обработчиком.

Что реально происходит при проверке

Поводом для внимания регулятора обычно становится не сам факт использования нейросети — его сложно обнаружить снаружи — а жалоба клиента или утечка, в ходе расследования которой выясняется, что данные в какой-то момент прошли через внешний AI-сервис, не упомянутый ни в согласии, ни в договоре с обработчиками. На этом этапе добавляется ещё одно нарушение к уже существующему.

Что сделать, если без AI-инструментов в работе уже не обойтись

• Прямо прописать в согласии клиента, если AI-сервисы используются в обработке его данных — не нужно прятать это за общими формулировками
• Выбирать AI-инструменты с корпоративным тарифом, где есть явный договор об обработке данных и настройки, отключающие использование данных для обучения модели — а не бесплатную версию в браузере
• Там, где возможно — анонимизировать или обезличивать данные перед отправкой в нейросеть (убрать ФИО, контакты, номера документов), а не полагаться только на согласие
• Прописать во внутренней политике компании, какие AI-сервисы разрешены сотрудникам для работы с данными клиентов, а какие — нет, вместо того чтобы оставлять это на личное решение каждого

Как проверить, покрывает ли ваше согласие такие случаи

Автоматическая проверка документа показывает, упомянут ли в согласии и политике конфиденциальности способ обработки через AI-сервисы и трансграничная передача — то, что чаще всего просто забывают внести, когда AI-инструменты появляются в работе компании уже после того, как документы были написаны.

Проверьте документ бесплатно за 2 минуты → Загрузить документ

Похожие вопросы

• Что происходит с документом при AI-проверке
• 152-ФЗ и GDPR одновременно: что делать бизнесу с клиентами из России и ЕС

Материал носит информационный характер и не является юридической консультацией. Финальную оценку конкретной ситуации рекомендуем оставлять за юристом.