Персональные данные и искусственный интеллект: правовые риски использования нейросетей в бизнесе

Бизнес уже применяет генеративные сервисы в переписке с клиентами, подготовке документов, анализе резюме, обработке обращений и внутренней автоматизации. Но там, где появляется персональная информация, вместе с удобством возникает и юридическая ответственность. Персональные данные и искусственный интеллект сегодня пересекаются не в теории, а в ежедневной работе компаний, и ошибка здесь способна привести не только к жалобе субъекта данных, но и к проверке Роскомнадзора, спору с контрагентом, репутационным потерям и убыткам.

Сложность в том, что многие организации воспринимают нейросеть как обычный цифровой инструмент, хотя с правовой точки зрения значение имеет не название технологии, а то, какие сведения в нее передаются, где они хранятся, кому становятся доступны и на каком основании вообще обрабатываются. Поэтому персональные данные и искусственный интеллект нельзя рассматривать отдельно от Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», норм о конфиденциальности, коммерческой тайне, врачебной тайне, трудовом законодательстве и договорных обязательствах перед клиентами.

Почему персональные данные и искусственный интеллект стали зоной повышенного риска

Юридическая проблема начинается с момента, когда сотрудник загружает в нейросеть фамилию клиента, номер телефона, паспортные сведения, историю обращения, медицинскую информацию, резюме кандидата или внутреннюю переписку. В этот момент компания фактически запускает обработку персональных данных с участием внешнего цифрового сервиса. Если такая передача не была заранее оценена и оформлена, организация может нарушить сразу несколько требований закона.

Федеральный закон № 152-ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу. Статья 3 этого закона дает широкое определение обработки персональных данных, куда входит сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача и удаление. Для правовой оценки не имеет большого значения, обрабатывает ли файл человек вручную или передает его в алгоритм. Если данные ушли в систему, которая их анализирует, преобразует или использует для генерации ответа, это уже юридически значимое действие.

Именно поэтому персональные данные и искусственный интеллект требуют отдельного управленческого решения внутри компании. Речь идет не о техническом интересе к новым продуктам, а о выборе правового режима работы с информацией. Особенно высоки риски там, где присутствуют специальные категории данных из статьи 10 Закона № 152-ФЗ, например сведения о состоянии здоровья, а также биометрические персональные данные, регулирование которых имеет собственные ограничения.

На практике проблема усиливается тем, что обработка данных нейросетью нередко происходит без участия юриста и без уведомления лица, ответственного за персональные данные. Сотрудник может считать, что обезличил текст, хотя в нем сохраняются косвенные идентификаторы: номер договора, редкая должность, адрес объекта, описание медицинского случая, комбинация дат и событий. Для регулятора и суда такая информация тоже может указывать на конкретного человека.

Какие нормы права регулируют персональные данные и искусственный интеллект в бизнесе

Прямого единого закона, который бы исчерпывающе регулировал персональные данные и искусственный интеллект, в российском праве нет. Однако это не означает отсутствие правил. Юридическая оценка строится на совокупности норм, которые уже действуют и применяются к обработке сведений с использованием автоматизированных систем.

Базовое значение имеет Закон № 152-ФЗ. В нем важны статьи 5 и 6, устанавливающие принципы и условия обработки персональных данных, статья 7 о конфиденциальности персональных данных, статья 18.1 об обязанностях оператора по принятию правовых, организационных и технических мер, а также статья 19 о мерах по обеспечению безопасности персональных данных при их обработке. Если компания использует нейросеть в кадровой, клиентской или сервисной работе, она остается оператором персональных данных либо лицом, организующим такую обработку в рамках своих бизнес-процессов.

Дополнительно необходимо учитывать положения статьи 13.11 КоАП РФ, которая предусматривает административную ответственность за нарушения законодательства о персональных данных. В зависимости от состава нарушения риски возникают из-за отсутствия правового основания обработки, нарушения обязанностей по опубликованию политики, обработки избыточных данных, непредставления субъекту информации или несоблюдения требований к хранению и защите.

Если сведения относятся к коммерческой тайне, применяются нормы Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне». Когда в нейросеть передаются материалы, составляющие результат интеллектуальной деятельности, документы разработки, базы клиентов, описания бизнес-моделей, дополнительно действует часть четвертая ГК РФ. В этом случае вопрос выходит за рамки только персональных данных. Он затрагивает режим исключительных прав и риск утраты контроля над охраняемым контентом. Для компаний, которые создают цифровые продукты, базы данных, бренды и контент, такая оценка часто пересекается с вопросами защиты интеллектуальной собственности.

Отдельный блок касается трудовых отношений. Если нейросеть используется для оценки резюме, анализа продуктивности персонала, составления характеристик, подготовки проектов дисциплинарных документов или обработки кадровых массивов, следует учитывать ТК РФ, в том числе нормы о защите персональных данных работника, а также локальные акты работодателя. Здесь персональные данные и искусственный интеллект затрагивают не только соблюдение Закона № 152-ФЗ, но и законность кадровых решений.

Когда организация работает в медицинской сфере, к общим правилам добавляются специальные режимы охраны врачебной тайны по Федеральному закону от 21.11.2011 № 323-ФЗ. Передача в внешние сервисы сведений о диагнозе, лечении, обследовании и документах пациента требует особенно осторожного анализа. В таких ситуациях правовая оценка часто выходит за пределы обычной ИТ-политики и требует сопровождения с учетом специфики работы медицинских организаций и их правовых обязанностей.

Где чаще всего возникают нарушения при передаче данных в нейросети

Юридические риски редко связаны с одной грубой ошибкой. Обычно проблема складывается из нескольких упущений: сервис подключили без аудита, сотрудники используют личные аккаунты, согласия и уведомления не обновлялись, внутренние документы не отражают новый способ обработки, а договор с поставщиком сервиса не отвечает на ключевые вопросы о хранении и доступе к данным.

Особенно заметны риски использования ChatGPT с данными клиентов и аналогичных зарубежных сервисов. Для компании важен не сам бренд платформы, а правовой режим передачи сведений третьему лицу, возможная трансграничная передача, условия пользовательского соглашения, технические настройки, а также возможность дальнейшего использования загруженной информации для обучения модели или улучшения сервиса. Даже если поставщик заявляет о мерах безопасности, оператор данных должен проверить, насколько фактический порядок обработки совместим с российскими требованиями.

В практике бизнеса повторяются несколько типичных сценариев, которые особенно уязвимы с правовой точки зрения:

• загрузка в нейросеть договоров, анкет, претензий и переписки без удаления идентифицирующих сведений;
• использование ИИ-сервиса сотрудниками с личных устройств и вне корпоративного контура безопасности;
• передача в модель медицинских, кадровых или финансовых данных без оценки правового основания и режима конфиденциальности;
• отсутствие локальных правил, определяющих, какие сведения запрещено вводить в внешние системы;
• автоматическое формирование решений по кандидату, клиенту или работнику без проверки человеком.

По статье 6 Закона № 152-ФЗ обработка персональных данных допускается при наличии конкретного основания. Согласие субъекта является лишь одним из вариантов и далеко не всегда решает проблему. Если цель, объем и способ обработки выходят за разумные пределы первоначального взаимодействия с клиентом или сотрудником, ранее полученное согласие может не покрывать передачу сведений в генеративный сервис. Поэтому персональные данные и искусственный интеллект нужно оценивать через реальную цель обработки, а не через формальную отметку в шаблонной форме.

Отдельного внимания требует конфиденциальность при использовании ИИ. Даже там, где формально речь не идет о специальной категории персональных данных, утечка или неконтролируемое раскрытие информации способно нарушить договор о неразглашении, условия оказания услуг, внутренний режим коммерческой тайны и обязанность обеспечивать безопасность сведений. В результате претензии может предъявить не только регулятор, но и клиент, который посчитает, что компания распорядилась его данными за пределами согласованной цели.

Трансграничная передача, локализация и регулирование ИИ в России

Когда сервис нейросети принадлежит иностранной компании или использует инфраструктуру за пределами России, на первый план выходит вопрос о трансграничной передаче персональных данных. Закон № 152-ФЗ требует, чтобы оператор до начала такой передачи оценил, обеспечивает ли иностранное государство адекватную защиту прав субъектов персональных данных, а в предусмотренных случаях выполнил дополнительные требования. Вопрос не решается общим предположением, что «сервис известный и крупный». Нужна конкретная правовая проверка.

Кроме того, для российских операторов действует требование о локализации отдельных процессов обработки персональных данных граждан РФ. В деловой практике именно на этом этапе часто выявляется несоответствие: данные изначально собираются в российской системе, но затем передаются в внешнюю нейросеть без ясного описания дальнейшего маршрута хранения и обработки. При таком подходе персональные данные и искусственный интеллект пересекаются с требованиями к инфраструктуре и архитектуре информационного обмена, а не только с содержанием документов.

Регулирование ИИ в России пока развивается поэтапно и не сводится к одному кодифицированному акту. Для бизнеса это означает, что нельзя ждать специального закона об искусственном интеллекте и до его принятия игнорировать действующие правила. Уже сейчас применяются нормы о персональных данных, информации, интеллектуальной собственности, рекламе, защите прав потребителей, медицинской тайне, банковской тайне и трудовых гарантиях. Иными словами, персональные данные и искусственный интеллект в российском праве оцениваются через действующие режимы защиты информации и ответственности.

Для компаний с постоянным документооборотом и большим количеством персональной информации безопаснее выстраивать не разовые запреты, а систему регулярного контроля. В этом смысле полезен формат абонентского юридического обслуживания, когда новые цифровые процессы проверяются до их внедрения, а не после претензии или инцидента. Такой подход особенно важен там, где маркетинг, продажи, HR и клиентский сервис подключают внешние решения независимо друг от друга.

Какие документы и доказательства определяют позицию компании

В спорах и проверках решающим становится не общее заявление о том, что компания «соблюдает закон», а конкретный набор документов. Если организация использует нейросети в операционной деятельности, она должна уметь показать, на каком основании обрабатываются сведения, кто и в каких пределах имеет доступ к сервису, какие категории данных туда допускаются, какие ограничения установлены и как обеспечивается удаление либо обезличивание информации.

Для правовой устойчивости обычно имеют значение следующие документы:

• политика в отношении обработки персональных данных и внутренние положения о порядке работы с ними;
• локальный акт или регламент по использованию ИИ-сервисов сотрудниками;
• договоры и пользовательские условия поставщика сервиса, включая положения о хранении и использовании загруженной информации;
• согласия субъектов данных, если именно согласие выбрано правовым основанием обработки;
• журналы доступа, инструкции, матрицы ролей и иные подтверждения организационных и технических мер защиты.

Если в компании есть кадровый контур, важно проверить, отражены ли новые способы обработки в документах работодателя, ознакомлены ли сотрудники с ограничениями, предусмотрена ли ответственность за загрузку запрещенных сведений в внешние сервисы. Там, где ИИ применяется в HR-процессах, правовая проверка нередко совмещается с кадровым аудитом, поскольку нарушение режима данных почти всегда связано с пробелами в локальных актах и процедурах допуска.

С точки зрения доказательств для спора важны не только бумаги, но и фактическая модель поведения компании. Если регламент существует, но сотрудники массово передают в нейросети полные файлы клиентов, суд и регулятор будут оценивать реальную практику. Поэтому персональные данные и искусственный интеллект требуют подтверждения не на уровне деклараций, а на уровне управляемого процесса.

Когда использование нейросетей влияет на договоры, ответственность и судебную перспективу

Правовые последствия не ограничиваются штрафами по КоАП РФ. Передача данных в нейросеть способна нарушить условия договора с заказчиком, исполнителем, пациентом, работником или партнером. Во многих соглашениях уже есть положения о конфиденциальности, запрете передачи информации третьим лицам, ограничении субподрядчиков и особом порядке обработки клиентских массивов. Если сервис ИИ подключен без проверки договора, компания рискует оказаться в ситуации, где нарушение очевидно еще до обсуждения качества самой услуги.

Отдельная проблема возникает тогда, когда результат, сгенерированный нейросетью, используется как основание для юридически значимого решения. Например, отказ кандидату в приеме на работу, изменение условий обслуживания клиента, автоматизированная оценка благонадежности, подготовка претензии или одностороннего уведомления. Если потом начинается спор, противоположная сторона вправе поставить под сомнение корректность исходных данных, логику обработки и соблюдение прав субъекта персональных данных.

В договорных конфликтах это может повлиять и на доказательственную базу. Документ, созданный при участии внешнего сервиса, иногда содержит фрагменты конфиденциальной информации, источник которых компания не сможет корректно объяснить. Если спор доходит до суда, приходится отдельно обосновывать законность получения, хранения и использования таких материалов. Когда конфликт связан с обязательствами по договору и убытки для бизнеса значительны, нередко требуется комплексное сопровождение арбитражного спора, где оцениваются и договорные, и информационные риски.

Поэтому персональные данные и искусственный интеллект имеют прямое значение для судебной перспективы. Нарушение режима обработки может ослабить позицию компании даже в том споре, который изначально не касался персональных данных. Суд оценивает поведение стороны в целом: насколько добросовестно она обращалась с информацией, были ли соблюдены ограничения договора, имелись ли внутренние правила и можно ли доверять представленным цифровым доказательствам.

Как бизнесу выстраивать безопасную модель работы с ИИ без формального запрета технологий

Полный запрет на нейросети редко бывает разумным решением. Обычно он либо не работает, либо уводит использование сервиса в неформальную зону, где сотрудники продолжают применять ИИ с личных аккаунтов и без какого-либо контроля. С юридической точки зрения важнее другое: компания должна определить допустимые сценарии использования, закрыть обработку чувствительных данных в неподходящих системах и заранее описать порядок согласования новых инструментов.

Рабочая модель строится не вокруг лозунга «использовать или не использовать ИИ», а вокруг вопроса, какие данные допустимо обрабатывать, в каком контуре, на каком основании и с какими ограничениями. В одних процессах достаточно обезличивания и внутреннего регламента. В других требуется пересмотр клиентских документов, договоров с подрядчиками, политик конфиденциальности и архитектуры хранения. Там, где затрагиваются медицинские сведения, данные работников, базы лояльности, кредитные анкеты или сервисные обращения, персональные данные и искусственный интеллект должны оцениваться до запуска проекта, а не после внедрения.

На практике разумно разделять сценарии по уровню риска. Генерация нейтральных маркетинговых текстов без передачи сведений о клиентах и сотрудниках юридически менее чувствительна, чем анализ обращений граждан, распознавание документов, оценка кандидатов или формирование персональных рекомендаций на основе поведенческих данных. Такой подход позволяет не тормозить цифровизацию, но и не смешивать безопасные задачи с обработкой защищенной информации.

Юридическая работа здесь включает анализ правового основания обработки, подготовку или корректировку локальных актов, проверку договоров с поставщиками, оценку трансграничной передачи, настройку согласий и уведомлений, а также проверку корпоративных процессов. Когда проект затрагивает несколько подразделений, полезно вовлекать не только ИТ-специалистов, но и управленцев, отвечающих за закупки, HR, клиентский сервис и безопасность.

Персональные данные и искусственный интеллект уже стали частью обычной бизнес-практики, и именно поэтому к ним нельзя относиться как к эксперименту без правовых последствий. Чем раньше компания определит границы допустимой обработки, тем легче ей будет защитить свою позицию при претензии клиента, внутреннем конфликте, проверке регулятора или судебном споре. Юридическая задача здесь не в том, чтобы остановить технологии, а в том, чтобы встроить их в законный и управляемый процесс.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.