152-ФЗ и искусственный интеллект: как внедрять ИИ законно

«А это вообще законно?» — первый вопрос, который задаёт бизнес перед внедрением ИИ. И правильно делает: как только в дело идут имена, телефоны и история клиентов, включается 152-ФЗ «О персональных данных». Разберём простым языком, где именно ИИ его задевает и как внедрять технологии, не нарушая закон.

Суть 152-ФЗ за минуту

Закон регулирует, как организации собирают, хранят и обрабатывают персональные данные граждан РФ. Ключевые принципы: данные собирают с согласия и под конкретную цель, хранят в защищённом виде, а базы с персданными россиян размещают на серверах в России. Нарушения — это штрафы и репутационные риски, которые в последние годы только растут.

Где ИИ пересекается с персональными данными

Почти везде, где ИИ работает с клиентами или внутренними данными:

• Чат-бот и голосовой ассистент — общаются с клиентами, видят имена, телефоны, обращения.
• Анализ документов — договоры и анкеты полны персданных.
• CRM-помощник — работает с базой клиентов напрямую.

Сам по себе ИИ закон не нарушает — важно, куда уходят данные при его работе.

Три главных риска — и что с ними делать

1. Трансграничная передача. Многие облачные ИИ — зарубежные, и запрос к ним отправляет данные за границу. Решение — обрабатывать персданные на локальной модели (on-premise) внутри РФ или применять обезличивание.
2. Согласие и цель. Клиент должен понимать, что его данные обрабатываются, и для чего. Решение — корректные согласия и политика конфиденциальности, в которых учтена работа ИИ.
3. Хранение и доступ. Данные должны лежать защищённо и в России. Решение — серверы в РФ, разграничение доступа, логирование.

Обезличивание — недооценённый приём

Часто ИИ для задачи не нужны настоящие имена и телефоны — достаточно сути обращения. Если убрать прямые идентификаторы до обработки, риск резко падает. Это не всегда применимо, но там, где работает, — отличный баланс пользы и безопасности.

Пара мифов

«Любой ИИ = нарушение 152-ФЗ». Нет. Нарушение — это бесконтрольная передача персданных не туда. Грамотно построенное решение (локально, с согласиями, данные в РФ) закону не противоречит.

«Раз данные в облаке — всё пропало». Не обязательно: многое решается обезличиванием и российским размещением. Но проектировать это нужно осознанно, а не «как получится».

Как мы помогаем в Avrora

Мы не юристы, но строим решения так, чтобы юридическую сторону было легко закрыть: данные остаются в России, чувствительное обрабатывается локально, заложены согласия, разграничение доступа и логи. На бесплатном аудите честно показываем, где у вашей задачи зона риска и как её убрать технически.