152-ФЗ и локальный ИИчто закон требует на самом деле — и где заканчивается зона, в которой нужен юрист, а не инженер
Вокруг темы много упрощений: «нельзя», «можно», «иностранную компанию это не касается». Разбираем по действующей редакции закона, что именно требуется и как это влияет на выбор между внешним API и развёртыванием в контуре.
Что чаще всего понимают неверно
Эти четыре формулировки встречаются в разговорах с заказчиками чаще остальных.
Отдельного запрета на использование генеративных моделей в российском праве нет. Ограничение касается не технологии, а данных: если в запрос попадают персональные данные, вы передаёте их за рубеж, и включается статья 12 — трансграничная передача со своим порядком уведомления.
Отдельно стоит доступ к самим сервисам: блокировки отдельных ресурсов — это режим доступа, а не запрет метода работы. Путать эти две вещи — самая частая ошибка.
Основание: ст. 12 152-ФЗ (трансграничная передача), а не запрет технологии.
Локализация и трансграничная передача — два разных требования. Часть 5 статьи 18 отвечает на вопрос «где данные впервые записываются и хранятся»: запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ должны выполняться с использованием баз данных на территории РФ.
Передача за рубеж после этого не запрещена — она регулируется статьёй 12 и требует соблюдения отдельной процедуры. Запрет на использование зарубежной базы как основной и разрешённая передача за рубеж — не одно и то же.
Основание: ч. 5 ст. 18 и ст. 12 152-ФЗ — разные нормы с разными последствиями.
Критерий — не страна регистрации, а то, собираются ли данные российских граждан целенаправленно. Иностранный сервис, который работает на российскую аудиторию, попадает в тот же режим, что и российское ООО.
Практика это подтверждает: механизм ограничения доступа к ресурсам, нарушающим требования к обработке данных, применялся к сервисам, у которых не было российского юрлица.
Основание: ч. 5 ст. 18 152-ФЗ (критерий сбора данных, не юрисдикции) и реестр нарушителей прав субъектов ПДн, который ведёт Роскомнадзор: блокировка LinkedIn в 2016 году — показательный случай.
Уведомление об обработке персональных данных и уведомление о намерении осуществлять трансграничную передачу подаёт оператор — то есть организация, которая обрабатывает данные в своих целях. Поставщик модели или облака оператором вашей обработки не становится.
Если вы отправляете данные клиентов во внешний сервис, обязанности по уведомлению возникают у вас, а не у него.
Основание: ст. 22 и ст. 12 152-ФЗ — субъект обязанности определён как оператор.
Какой формат подходит для вашего сценария
Таблица показывает логику выбора, а не окончательный правовой вывод. Строки — типовые сценарии, с которыми приходят на обследование.
| Сценарий | Персональные данные | Что это меняет | Разумный формат |
|---|---|---|---|
| Поиск по внутренним документам | Обычно нет, если в текстах нет данных о людях | Ключевой риск — коммерческая тайна, а не 152-ФЗ | Внешний API допустим; для закрытых документов — контур |
| Ассистент поддержки клиентов | Да: имена, телефоны, переписка | Локализация первичной записи и порядок трансграничной передачи | Развёртывание в контуре снимает вопрос передачи |
| Отбор резюме | Да, часто с расширенным составом | Решение затрагивает права субъекта — требуется прозрачность | Контур; внешние сервисы — после оценки рисков |
| Медицина, биометрия | Специальные категории | Наиболее строгий режим, отдельные основания обработки | Только контур, без передачи за рубеж |
| Аналитика без идентификации | Зависит от того, остаётся ли возможность идентифицировать человека | Обезличенные данные выводят из режима ПДн | Уточняется с юристом по составу данных |
Столбец «персональные данные» — не заключение, а отправная точка: окончательный вывод зависит от состава данных и целей обработки.
Что локальное развёртывание решает — и что не решает
Решает
- Первичная запись и хранение данных ведутся на вашей инфраструктуре — техническая сторона требования ч. 5 ст. 18 выполняется
- Трансграничной передачи нет: запросы не уходят за пределы контура, порядок статьи 12 не запускается
- Контроль доступа, журналирование и вывод данных из контура остаются в вашей зоне ответственности, а не у поставщика
- Нет зависимости от изменения тарифов и условий внешнего сервиса
Не решает
- Не делает вас автоматически соответствующим требованиям: политика, согласия, уведомление об обработке, оценка вреда, организационные меры — отдельная работа
- Не заменяет юридическое заключение по вашему случаю
- Не закрывает вопросы безопасности модели: инъекции в промпт, утечки через вывод, некорректные ответы
- Не отменяет обязанности оператора — они остаются на вас, где бы ни стоял сервер
- Не защищает от претензий, если данные попали в контур без законного основания
Что изменилось с 1 марта 2023 года
Если внешний сервис всё же остаётся в схеме, это регулируется обновлённой статьёй 12. Порядок кратко.
Оценка до первой передачи
До первой передачи оператор оценивает, как получатель обеспечивает конфиденциальность и безопасность данных. Методику закон не устанавливает — порядок проведения и оформления определяет сам оператор.
Уведомление Роскомнадзора до начала передачи
Уведомление подаётся до первой передачи и включает сведения об операторе, основаниях и цели, категориях данных и субъектов, перечне стран и дате оценки.
Страны с адекватной защитой и остальные
Перечень государств, обеспечивающих адекватную защиту прав субъектов, утверждён Роскомнадзором. При передаче в такую страну достаточно поданного уведомления; при передаче в страну вне перечня нужно дождаться рассмотрения — по общему правилу десять рабочих дней.
Право регулятора ограничить передачу
В установленных законом случаях Роскомнадзор может ограничить или запретить передачу. Тогда передача прекращается, а ранее переданные данные подлежат уничтожению получателем.
Что спрашивают чаще всего
Считается ли персональными данными запрос к модели, если я не указываю ФИО?
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Телефон, адрес электронной почты, номер договора, сочетание должности и подразделения могут позволить идентифицировать человека. Практика исходит из того, что совокупность технических данных тоже может относиться к субъекту.
Поэтому вопрос решается не формулировкой запроса, а составом сведений, которые в нём фактически передаются.
Достаточно ли поставить сервер в России, чтобы считаться соответствующим?
Нет. Локализация — одно из требований, а не всё соответствие. Помимо неё нужны правовое основание обработки, политика, опубликованная в свободном доступе, уведомление об обработке, меры защиты и оценка вреда субъектам. Сервер решает техническую часть.
Нужно ли уведомлять Роскомнадзор, если данные не покидают Россию?
Уведомление об обработке персональных данных — отдельная обязанность оператора, не связанная с трансграничной передачей. Она возникает при обработке данных, за исключениями, перечисленными в законе. Уведомление о трансграничной передаче нужно только если передача есть.
Что будет, если передавать данные за рубеж без уведомления?
Это самостоятельные составы правонарушений: непредставление сведений и обработка в случаях, не предусмотренных законом. Нарушение требования о локализации выделено в отдельный состав: ч. 8 ст. 13.11 КоАП РФ — штраф для юридических лиц от 1 до 6 млн ₽, при повторном нарушении (ч. 9) — от 6 до 18 млн ₽. Ответственность за утечки повышена отдельно, с 30 мая 2025 года.
Помимо штрафа действует механизм ограничения доступа к ресурсу — им пользовались и в отношении сервисов без российского юридического лица.
Может ли локальная модель помочь, если данные уже утекли за рубеж?
Нет. Развёртывание в контуре предотвращает будущие передачи, но не отменяет обязанностей, возникших из прошлых передач. Если ранее передача шла без уведомления, вопрос закрывается юридическим путём, а не переносом инфраструктуры.
Обязан ли сотрудник соглашаться на обработку его данных в ИИ-системе?
Обработка данных работника в новых целях требует отдельного основания и информирования. Универсального «согласия при приёме на работу» на любые будущие сценарии недостаточно — это вопрос к вашей юридической службе и к кадровым документам.
Разберём техническую сторону вашего сценария
Опишите, какие данные в запросах, где они хранятся сейчас и что должно получиться. Скажем, какой формат поставки закрывает техническую часть требований — и где начинается зона, в которой нужен ваш юрист, а не мы.
batony@agent.qq.comМатериал отражает требования 152-ФЗ и подзаконных актов в редакции, действующей на 3 ноября 2026 года. Законодательство меняется: перед принятием решений сверяйтесь с актуальной редакцией и с вашей юридической службой.