Что требует 152-ФЗ
- Законная основа обработки: согласия, договорные необходимости либо требования закона — для каждой категории данных.
- Целевое использование: данные собираются под объявленные цели, «дообучить нейросеть на всём подряд» целью не является, пока это не закреплено в документах.
- Локализация: первичные массивы персональных данных россиян при записи в базу должны храниться на территории РФ — публичные зарубежные ИИ-API это требование ломают.
- Безопасность: угрозы 2026 года — не только СЗИ, но и новые каналы: промпт-инъекции, утечки через chat-истории, избыточные полномочия ИИ-агентов.
- Уведомление Роскомнадзора и, для отдельных систем, аттестация.
Где ИИ сталкивается с персональными данными
| Элемент ИИ-контура | Чем опасен | Мера |
|---|---|---|
| Промпты сотрудников в публичные нейросети | ПДн и коммерческая тайна уходят на внешние серверы | Политика использования ИИ, корпоративный контур |
| Обучающие выборки | Данные «запекаются» в веса модели, их трудно изъять | Обезличивание до обучения — подробнее про обучение моделей |
| RAG-база знаний | Ассистент выдаёт ПДн в ответ любому спросившему | Разграничение доступа, тесты на утечку |
| Логи диалогов и LLM-логи | Неочевидное хранилище ПДн без сроков хранения | Регламент хранения, маскирование, SIEM-правила |
| ИИ-агенты с полномочиями | Агент действует от имени системы с избыточными правами | Ограничение полномочий, журналирование действий |
Штрафы и реальные риски
Собственных «ИИ-штрафов» закон об ИИ 243-ФЗ не вводит — ответственность отсылочная. Реальные деньги — это риски утечек персональных данных по 152-ФЗ: штрафы за утечку достигают 15 млн ₽, плюс приостановка обработки и репутационный ущерб. Для госсектора утечка — ещё и служебная история.
Как привести ИИ-контур в соответствие
- Ревизия (от 70 000 ₽): инвентаризация всех точек, где ИИ трогает ПДн — от chat-историй до датасетов; карта рисков.
- Аудит с регламентом (от 140 000 ₽): политика использования ИИ для сотрудников, модель угроз, порядок обезличивания, правила для логов.
- Полный контур (от 400 000 ₽): закрытый контур на отечественных моделях, разграничение доступа в RAG, мониторинг аномалий, документы к проверкам.
- Сопровождение (от 60 000 ₽/мес): контроль новых сценариев ИИ, обновления регламентов, поддержка при инцидентах.
Аттестация и смежные требования
Если ИИ-система входит в состав ИСПДн или ГИС, может потребоваться аттестация: рынок — 60–350 тыс. ₽ для ИСПДн и от 500 тыс. ₽ для ГИС; аттестацию проводит только лицензиат ФСТЭК — мы работаем через партнёра. Разбор — на странице аттестация ИИ-систем. Общий контур закона об ИИ (243-ФЗ, общая часть действует с 01.09.2026) — в сводной карте закона.