Согласие — краеугольный камень законного обучения моделей. Если датасет содержит персональные данные и они собирались именно для обучения (или используются для дообучения сверх изначальных целей), нужно отдельное согласие субъекта — коротко о том, когда оно обязательно, мы разбирали в ответе «нужно ли согласие на обработку данных для обучение ИИ». Ниже — как такое согласие составить: требования закона и структура образца по блокам.
Пять требований статьи 9
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. На практике это значит: отдельный документ под конкретную цель (не «пакет» на всё сразу), понятные формулировки без двусмысленностей, полное описание того, что будет происходить с данными, реальный выбор у субъекта и чёткое подтверждение волеизъявления. Для специальных категорий данных и биометрии установлена письменная форма.
Отдельный практический случай — обучение моделей на данных сотрудников: переписка, записи созвонов, обращения в поддержку. Здесь работает то же правило: трудовой договор не покрывает обучение ИИ, согласие собирается отдельно и отказ от него не должен влиять на доступ к рабочим инструментам. Если дообучение идёт на обращениях клиентов, проверьте ещё и договор с каждым клиентом: согласие и договорная оговорка должны существовать одновременно, одно другое не заменяет.
Образец структуры: семь блоков
| Блок согласия | Что написать (пример формулировки) |
|---|---|
| Стороны | кто оператор (название, ИНН, адрес) и кто субъект данных |
| Какие данные | конкретный перечень категорий: ФИО, контакты, тексты обращений, записи разговоров |
| Цель | «обучение и дообучение модели <назначение> для <эффект>» — без размытых «иных целей» |
| Действия с данными | сбор, запись, систематизация, накопление, использование, обезличивание |
| Срок и отзыв | срок действия согласия; как отозвать и что произойдёт с моделью |
| Третьи лица | кому передаются данные: вендор модели, облако, подрядчик — поимённо или категориями |
| Подтверждение | отдельная галка или подпись, не связанная с другими условиями сервиса |
Обратите внимание на шестой блок: если модель работает через API стороннего провайдера, передача данных ему должна быть прямо отражена в согласии. Для зарубежных сервисов дополнительно потребуется уведомление РКН о трансграничной передаче — порядок в статье уведомление РКН об ИИ.
Частые ошибки
- Галка в общей оферте. Согласие «на обработку данных в любых целях» не покрывает обучение модели — цель должна быть названа отдельно.
- Принуждение к согласию. Если без согласия недоступен базовый сервис, добровольность под вопросом — согласие получается вынужденным.
- Нет механизма отзыва. Субъект вправе отозвать согласие в любой момент; процесс отзыва и остановки дообучения стоит заложить заранее.
- Размытый перечень данных. «Иные данные» и «сведения, необходимые для сервиса» — не перечень; категории называются явно.
Что будет за сбор без согласия
Сбор и использование персональных данных без согласия — это составы по ст. 13.11 КоАП, а после усиления ответственности за утечки штрафы для юридических лиц по 420-ФЗ достигают 20 млн ₽, при повторной утечке применяются оборотные штрафы в 1–3% выручки. Конкретные случаи разбора — в статье штрафы за утечку по 420-ФЗ.
Как мы помогаем
НЬЮ-ССТ готовит комплект: матрица «данные — основания — меры», проекты согласий под конкретные продукты (ассистенты, видеоаналитика, голосовые агенты), регламенты отзыва и остановки дообучения. Ревизия — от 70 000 ₽, аудит с регламентом — от 150 000 ₽. Как согласия встраиваются в проект разработки — в статье 152-ФЗ при разработке ПО.