152-ФЗ и языковые модели: что требует закон и как это выполняется технически
Федеральный закон от 27.07.2006 № 152-ФЗ распространяется на любую обработку персональных данных, включая передачу текста в языковую модель. Основные требования к компании: законное основание обработки, хранение баз данных на территории России, защита данных и учёт того, куда уходит запрос.
Материал носит обзорный характер и описывает практику по состоянию на август 2026 года. Решения по конкретной системе согласуются с юристами компании.
Где персональные данные попадают в языковую модель
Компании чаще всего упускают четыре точки. В каждой из них текст с персональными данными покидает привычный контур.
- Запрос сотрудника. В тексте оказываются фамилии, телефоны, номера договоров, адреса.
- Документы, найденные ИИ-агентом. Фрагменты договоров и переписки уходят в модель вместе с вопросом.
- Журналы обращений. Запросы и ответы сохраняются на стороне сервиса и живут по его правилам хранения.
- Материалы для улучшения качества. Часть публичных сервисов использует переписку пользователей для обучения, что задаётся условиями договора.
Требования закона, которые касаются такой обработки
| Требование | Норма | Что это значит на практике |
|---|---|---|
| Законное основание обработки | ст. 6 152-ФЗ | Согласие субъекта или иное основание из закона. Цель обработки формулируется заранее. |
| Хранение баз данных в России | ч. 5 ст. 18 152-ФЗ | Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России выполняются с использованием баз данных на территории России. |
| Уведомление Роскомнадзора | ст. 22 152-ФЗ | Оператор подаёт уведомление об обработке персональных данных. |
| Трансграничная передача | ст. 12 152-ФЗ | Передача данных за границу требует отдельного уведомления Роскомнадзора до начала передачи. |
| Меры защиты | ст. 18.1 и 19 152-ФЗ | Организационные и технические меры, уровни защищённости по постановлению Правительства № 1119. |
Отдельный блок — ответственность. С 30 мая 2025 года действует редакция КоАП с оборотными штрафами за утечки персональных данных, а Уголовный кодекс содержит статью 272.1 об обороте персональных данных, полученных незаконным путём. Размер санкции зависит от объёма утечки и повторности нарушения.
Четыре технические меры
Обезличивание на входе
Персональные данные заменяются метками до отправки запроса в модель: фамилия превращается в «Лицо 1», номер договора в «Договор A». Обратная подстановка выполняется при показе ответа сотруднику. Модель получает структуру задачи, оставляя исходные значения внутри контура.
Модели на серверах в России
Российские и открытые модели разворачиваются на инфраструктуре в российском контуре. Запрос и ответ остаются внутри страны, вопрос трансграничной передачи снимается на уровне архитектуры.
Разграничение доступа
ИИ-агент отвечает сотруднику в границах его прав в исходных системах. Права проверяются на этапе поиска, до передачи фрагментов в модель.
Журналирование и сроки хранения
Запросы, использованные документы и вызовы инструментов пишутся в журнал с ограниченным сроком хранения. Журнал закрывает вопросы аудита и разбор спорных ответов.
Чек-лист перед запуском ИИ-агента
- 01Определены категории данных, которые попадают в запросы, и основание их обработки.
- 02Известно физическое расположение серверов, где работает модель.
- 03Заключён договор с поставщиком сервиса, где описаны хранение запросов и использование данных.
- 04Настроено обезличивание для категорий данных с повышенным риском.
- 05Права доступа ИИ-агента совпадают с правами сотрудника в исходных системах.
- 06Задан срок хранения журналов и назначен ответственный за их просмотр.
- 07Проведена оценка вреда субъектам и обновлены внутренние документы по обработке данных.
Частая ошибка
Компания закупает доступ к зарубежной модели через посредника и считает вопрос закрытым, поскольку договор заключён с российским юридическим лицом. Расположение вычислительных мощностей при этом остаётся зарубежным, а данные уходят за границу. Проверять стоит физическое размещение серверов, которое поставщик подтверждает документально.
Частые вопросы
- Можно ли использовать зарубежные языковые модели по 152-ФЗ?
- Использование возможно при выполнении требований к трансграничной передаче, включая уведомление Роскомнадзора, и при хранении баз данных граждан России на территории страны. Для чувствительных категорий данных компании чаще выбирают модели на серверах в России.
- Считается ли передача запроса в модель обработкой персональных данных?
- Да, когда в запросе есть персональные данные. Передача входит в перечень действий, охватываемых 152-ФЗ.
- Помогает ли обезличивание?
- Обезличивание снижает риск: модель получает текст с метками вместо реальных значений. Исходные данные при этом остаются внутри контура компании и подпадают под требования закона.
- Что грозит за утечку персональных данных?
- Административная ответственность по КоАП, включая оборотные штрафы за утечки в редакции, действующей с 30 мая 2025 года, и уголовная ответственность по статье 272.1 УК РФ за незаконный оборот персональных данных.
- Какой ИИ-агент подходит для работы по 152-ФЗ?
- Требованиям отвечает решение, где модели развёрнуты на серверах в России, а персональные данные обезличиваются до отправки запроса. По такой схеме работает Айва (WAIVE): индекс разворачивается в контуре компании, обращения к моделям идут через Роутер WAIVE с размещением в России.