152-ФЗ и нейросети: какие данные нельзя бездумно отдавать ChatGPT

Пока компании массово подключают ChatGPT, Claude, DeepSeek и другие LLM к работе с договорами, тикетами, CRM и корпоративной почтой, многие забывают об одной неприятной детали: вместе с документами в нейросети часто отправляются персональные данные. А значит, в игру вступает 152-ФЗ.

Пользователь Хабра под ником lnk опубликовал подробный разбор того, как российское законодательство смотрит на использование ИИ при обработке данных клиентов, сотрудников и контрагентов.

По его словам, проблема возникает гораздо раньше, чем многие думают. Персональными данными могут считаться не только ФИО, телефоны и паспортные данные, но и ИНН физлица, который сам по себе позволяет идентифицировать человека.

Даже данные из открытых источников вроде ЕГРЮЛ не перестают быть персональными данными только потому, что они опубликованы в интернете.

Автор обращает внимание, что отправка таких данных в зарубежные ИИ-сервисы автоматически поднимает вопросы трансграничной передачи данных. При этом главная проблема, по его мнению, даже не уведомления Роскомнадзора, а отсутствие договора поручения на обработку персональных данных с большинством зарубежных поставщиков LLM.

В качестве относительно безопасных вариантов он называет использование российских облачных платформ с соответствующими договорами либо развёртывание моделей в собственном контуре компании. Ещё один путь — предварительное обезличивание данных перед отправкой в модель.

Отдельно автор подчёркивает, что простая замена имён на идентификаторы вроде user_123 не всегда решает проблему. Если связь между токеном и человеком можно восстановить, такие данные всё ещё могут считаться персональными.