Любой ИИ с естественным языком втягивает бизнес в 152-ФЗ: локализация, шифрование, запрет автоматизированных решений — и цена проекта резко растет
Как ИИ автоматически втягивает бизнес в 152‑ФЗ
Когда ко мне приходят с фразой «купите нам ИИ, одну штуку», я уже знаю, что главные сложности начнутся не с выбора модели и не с серверов. Любая система, которая умеет работать с естественным языком, почти неизбежно оказывается в зоне действия 152‑ФЗ: пользователи все равно вводят ФИО, телефоны, e‑mail, должности и другие идентифицирующие данные, даже если на экране крупно написано «не вводите персональные данные». Юридически это означает, что компания становится оператором ПДн со всем набором требований: локализация данных в России, запрет на сбор через зарубежные базы, контроль трансграничной передачи, шифрование, ролевой доступ, уведомление регулятора и соблюдение новых правил по обезличиванию и обмену данными.
За последние годы требования только ужесточились: вводится прямой запрет на использование зарубежных баз при сборе ПДн, расширены обязанности по локализации, а штрафы за нарушение правил обработки и за отсутствие должных мер защиты данных измеряются уже миллионами рублей. В этой реальности «подключить внешний ИИ‑сервис за выходные» перестает быть опцией: приходится строить собственный контур, поднимать инфраструктуру в РФ, настраивать безопасность, обновлять регламенты и договоры, проводить обучение персонала. Сама по себе модель и вычислительные ресурсы стоят относительно недорого по сравнению с приведением всей экосистемы к состоянию «юридически безопасно».
Запрет на полностью автоматизированные решения: что нельзя отдавать ИИ
Отдельная история — запрет принимать решения с юридическими последствиями исключительно на основе автоматизированной обработки данных. Закон прямо закрепляет, что решения, которые создают для человека правовые последствия или существенно затрагивают его права и интересы (напрямую приводимый в практике пример — отказ в кредите, увольнение, штрафы и т. п.), не могут приниматься только алгоритмом без участия человека.
В теории закон допускает такие решения при наличии информированного письменного согласия субъекта данных, но на практике большинство компаний не готовы брать на себя риск конфликтов, проверок и судебных споров. В результате многие пилотные проекты по автоматизации «умных» процессов — скоринг, кадровые решения, санкции в отношении клиентов — так и остаются в песочницах или работают строго как системы поддержки принятия решений: ИИ‑агент готовит предложение, финальное решение подтверждает живой человек.
Парадокс: технологии готовы, а сдерживает нормативка
С технологической точки зрения мы уже умеем строить цепочки, в которых ИИ‑агенты обрабатывают документы, анализируют поведение клиентов, рассчитывают риски и даже предлагают конкретные действия. Ограничителем становится не мощность моделей и не доступность серверов, а правовая рамка: требования локализации, безопасности, прозрачности и запрета полностью автоматизированных решений.
Отсюда главный парадокс российского рынка: автоматизировать можно гораздо больше, чем сейчас делается, но компании боятся выходить за пределы пилотов из‑за рисков нарваться на проверки и штрафы. Те, кто научатся одновременно проектировать архитектуру ИИ‑систем и комплаенс под 152‑ФЗ и сопряженные законы, получат стратегическое преимущество: они смогут запускать в продакшн то, что другие пока показывают только в презентациях.
Что имеет смысл делать уже сейчас
Для владельцев бизнеса и ИТ‑директоров:
- Начинать любой ИИ‑проект с инвентаризации данных: какие именно категории ПДн затрагиваются, где они хранятся, какие системы участвуют.
- Сразу планировать выделенный контур для обработки ПДн с учетом требований локализации, шифрования и контроля доступа.
- Проектировать ИИ‑агентов как системы поддержки принятия решений, оставляя финальное слово человеку в зонах, где возможны юридические последствия для клиента или сотрудника.
Для юристов и комплаенс‑офицеров:
- Быть включенными в ИИ‑проекты с самого начала, а не «подписывать задним числом», когда все уже построено.
- Следить за изменениями в 152‑ФЗ и подзаконных актах, особенно по частям, касающимся локализации, обезличивания, автоматизированных решений и новых подходов к обмену данными.
В ближайшие годы конкурентное преимущество будет у тех команд, которые одинаково хорошо понимают и инженерную сторону ИИ, и правовые ограничения, в которых этот ИИ должен работать.
Выбор редакции
Публикации, которые получают больше внимания и попадают в Сюжеты РБК
Рекомендации партнеров: