Суть требования
Локализация — не запрет на трансграничную обработку вообще, а правило первичной фиксации: пока данные россиян впервые записываются, систематизируются и накапливаются, база должна находиться в России. Обработка за рубежом возможна как вторичное действие — копирование, резервирование, отображение — после того как первичная запись сделана на российской инфраструктуре. Разница между «первичной записью» и «вторичной копией» — главный источник споров: Роскомнадзор трактует её строго, и сервис, сразу пишущий профиль пользователя в зарубежную базу, нарушает требование.
Кто под требованием
Все операторы персональных данных россиян: интернет-сервисы, мобильные приложения, HR-системы, CRM, чат-боты и платформы генерации. Не имеет значения, где находится сама компания — требование привязано к гражданству субъектов данных. Исключения узкие и предметные; общего «исключения для ИИ-сервисов» не существует и не появилось с принятием закона об ИИ.
Цена вопроса
| Нарушение | Ответственность |
|---|---|
| Первичное: база вне России | 1–6 млн ₽ (ч. 8 ст. 13.11 КоАП) |
| Повторное | до 18 млн ₽ |
| Утечка из неправильно размещённой базы | штрафы за утечку — от 3 до 20 млн ₽ |
Штрафы за локализацию и за утечки — независимые составы: одна и та же база может дать оба протокола. Рядом стоит процессуальная обязанность уведомлять Роскомнадзор о трансграничной передаче данных — с 01.03.2023 уведомление обязательно до начала такой передачи.
Практика: чем это кончалось
Дела против зарубежных сервисов показали механику: предписание, затем блокировка при неисполнении, затем штрафы. Snap Inc., Padi Americas, Likeme — имена, которые фигурируют в практике применения требования. Для отечественных компаний типичный сценарий мягче: предписание и протокол, но тренд 2025–2026 годов — рост числа проверок (более 159 тыс. проверок сайтов за полтора года) и готовность регулятора фиксировать нарушения у девяти из десяти проверенных ресурсов.
Локализация и ИИ-сервисы: три контура
- Пользовательские данные сервиса генерации. Промпты, загруженные документы, история диалогов — персональные данные; их первичная запись — в России. Использование зарубежного API для инференса не отменяет требование: сохранённые логи диалогов должны лежать в российской базе, а трансграничная передача — покрываться уведомлением и условиями договора.
- Данные для обучения. Датасеты с данными россиян — та же база данных; подробнее — в материале о персональных данных для обучения моделей.
- Локализация больших фундаментальных моделей. Новый, отдельный контур 243-ФЗ: с 01.03.2027 инференс и хранение данных статусных моделей — только в центрах обработки данных в России, принадлежащих российским юридическим лицам. Это требование к инфраструктуре модели, а не к каждой компании, использующей API.
Как проверить себя
- Составьте карту потоков: где первично пишутся данные каждого продукта.
- Проверьте зарубежные SaaS в цепочке: CRM, аналитика, вендоры моделей.
- Убедитесь, что уведомление о трансграничной передаче актуально.
- Для госсектора правило жёстче: запрет закупок иностранного ПО с 01.01.2025 по Указу № 166 работает независимо от локализации данных.
Чек-лист ИИ-комплаенса и дорожная карта к 2027 году связывают эти пункты в единый план.
Как проверить инфраструктуру подрядчиков
Требование локализации чаще всего ломается не в собственном коде, а в цепочке: аналитика в зарубежном SaaS, тикет-система с облаком за рубежом, тестовый стенд с реальными данными. Рабочий алгоритм проверки: составьте перечень всех систем, куда попадают персональные данные россиян; для каждой зафиксируйте страну первичной записи и страну хранения; у каждого подрядчика запросите подтверждение размещения баз и порядок удаления при расторжении. Отдельное внимание — бесплатным тарифам зарубежных сервисов: они часто обрабатывают данные без договорных гарантий, и именно такие сервисы регулярно становятся источником инцидентов.
Для гибридных сценариев помните: облачный рендеринг или инференс за рубежом допустимы как вторичная операция, если первичная запись пользовательских профилей ведётся в российской базе, а трансграничная передача покрыта уведомлением регулятора.