Когда согласие обязательно
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому человеку. Если вы дообучаете модель на текстах, где фигурируют клиенты или сотрудники (обращения, переписка, отзывы, записи звонков), обработка ПДн есть, и по 152-ФЗ нужно правовое основание. Для большинства бизнес-сценариев таким основанием становится согласие — письменное или фиксируемое иным способом, конкретное и отзываемое. Отдельный нюанс — биометрические персональные данные (голос, лицо): их обработка требует самостоятельного согласия.
Когда согласие не требуется
- Полное обезличивание — данные, из которых нельзя восстановить идентичность человека, перестают быть персональными.
- Публичные данные в объёме, предоставленном самим субъектом — узкий случай; размещение человеком информации в открытом доступе не означает согласия на любую обработку, и для обучения моделей это серая зона, которую мы рекомендуем закрывать юридическим анализом.
- Исполнение договора или требования закона — но эти основания редко покрывают именно обучение моделей «на будущее».
Как правильно оформить
- Политика обработки ПДн — актуальная, с описанием целей обучения моделей.
- Формы согласий — отдельные формулировки под обучение ИИ (для клиентов и для сотрудников), с правом отзыва.
- Локализация. При использовании иностранных сервисов проверяйте трансграничную передачу — для ряда данных требуется хранение на территории РФ.
- Журналирование — какие датасеты, на каком основании, когда использовались.
- Договор с оператором модели — если обучение идёт через API провайдера (например, российский GigaChat с договором обработки данных).
Риски без основания
Практика проверок показывает: штрафы прилетают не «за ИИ», а за утечки и нецелевую обработку ПДн — суммы достигают 15 млн ₽, а по оборотным составам возможны проценты от выручки. Дешевле построить основание заранее, чем объясняться после инцидента.
Альтернатива: RAG без обучения на ПДн
Часто обучение вообще не нужно: RAG-ассистент отвечает по документам, оставаясь в рамках их правового режима, без создания копии данных внутри модели. Это самый быстрый легальный путь к ИИ-ассистенту — пилот от 480 000 ₽ за 4–6 недель.
Подробные материалы: персональные данные для обучения ИИ, обучение модели и право, 152-ФЗ и ПДн при разработке ПО, локализация ПДн в России, услуга — ИБ и ИСПДн (152-ФЗ).
Если данные уже собраны: что делать
Типовая ситуация: архив обращений накоплен, а согласий на обучение моделей никто не собирал. Порядок действий: ревизия датасетов (какие ПДн и чьи там есть) → выбор стратегии (сбор согласий у активных субъектов или обезличивание массива) → фиксация в политике и журнале учёта → запуск обучения на юридически чистом срезе. Для звонков и голосовых записей помните об отдельном режиме биометрии. Аудит требований (от 300 000 ₽) раскладывает именно ваш случай по шагам с формулировками документов — дешевле, чем генерировать пакет «на всякий случай» целиком.