152-ФЗ и нейросети: как внедрить ИИ и не нарушить закон

Введение

Искусственный интеллект перестал быть технологией из фантастических фильмов и превратился в рабочий инструмент для бизнеса. Нейросети помогают оптимизировать процессы, анализировать большие массивы данных, создавать контент и персонализировать клиентский опыт. Однако за возможностями скрываются серьёзные юридические риски.

Основная проблема: для обучения и работы нейросети нужны данные. И очень часто эти данные — персональные данные (ПДн) реальных людей: клиентов, сотрудников, пользователей. В России обработка ПДн регулируется Федеральным законом № 152-ФЗ «О персональных данных», и незнание его требований не освобождает от ответственности.

В этой статье мы разберём, как подружить нейросети с требованиями российского законодательства и использовать мощь ИИ, не нарушая закон.

Как 152-ФЗ применяется к системам искусственного интеллекта

Федеральный закон № 152-ФЗ не содержит прямых упоминаний искусственного интеллекта или нейросетей. Однако его действие полностью распространяется на любые операции с данными, которые позволяют прямо или косвенно идентифицировать конкретного человека. Если нейросеть обучается на таких данных, работает с ними или генерирует их — она попадает в сферу действия закона.

Какие данные считаются персональными

Закон трактует понятие персональных данных очень широко. Даже если отдельные фрагменты не позволяют идентифицировать человека, их совокупность, обрабатываемая нейросетью, может быть признана ПДн.

Когда нейросеть становится оператором обработки ПДн

Оператором персональных данных является не сама нейросеть, а юридическое лицо, которое организует обработку ПДн и определяет цели обработки. Таким образом, оператором всегда выступает компания, которая использует ИИ — а не разработчик нейросети.

Практика обезличивания данных

Один из самых эффективных способов снизить юридические риски — использовать для обучения и работы ИИ не «сырые», а обезличенные данные. С 1 сентября 2025 года вступают в силу новые правила: обработка полностью обезличенных данных выводится из-под действия 152-ФЗ.

Обезличивание — это обработка персональных данных, в результате которой становится невозможным определить их принадлежность конкретному человеку без использования дополнительной информации. Важно: простое удаление ФИО из таблицы не является достаточным.

Разрешённые методы обезличивания (приказ Роскомнадзора, с 01.09.2025)

Что НЕ является обезличиванием

Требования регуляторов: легальная схема обработки ПДн

Позиция Роскомнадзора строится на действующих нормах 152-ФЗ: любая обработка ПДн, в том числе с помощью ИИ, требует наличия законного основания. Ключевое требование — локализация: первичная база данных с ПДн граждан РФ должна находиться на территории России.

5 этапов легального жизненного цикла данных в соответствии с 152-ФЗ

Практические рекомендации компаниям

Чек-лист: перед запуском ИИ-проекта

Перед тем как нажать кнопку «Обучить модель» или подключить новый ИИ-сервис, пройдитесь по этому списку:

Заключение

Внедрение искусственного интеллекта открывает перед бизнесом огромные возможности. Но, как и любой мощный инструмент, он требует ответственного подхода. Соблюдение требований 152-ФЗ — это не бюрократическая формальность, а основа для построения доверительных отношений с клиентами.

Ключевой вывод: ответственность за соблюдение закона о персональных данных при использовании ИИ всегда лежит на компании-операторе, а не на разработчике нейросети. Именно поэтому юридическую экспертизу необходимо включать в процесс внедрения ИИ с самого начала — наравне с технической и бизнес-оценкой.