Подключение сервиса на основе языковой модели меняет поток данных в компании: тексты клиентов, сотрудников и контрагентов могут оказаться у внешнего провайдера. Если среди них есть персональные данные, применяются требования Федерального закона № 152-ФЗ, независимо от того, насколько сервис удобен.
Основные риски связаны с тремя вопросами: на каком основании данные передаются сервису, где они хранятся и кто имеет к ним доступ. Нарушения могут привести к административной ответственности и репутационным потерям.
Разбираем, что нужно проверить до подключения и как оформить правила использования, чтобы сотрудники не передавали лишнего.
Что относится к персональным данным
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. В тексте для нейросети это могут быть ФИО, контакты, обращения клиентов, данные о здоровье или финансах. Особые требования действуют к специальным категориям данных.
Основание обработки
Согласие субъекта. Должно охватывать передачу данных ИИ-провайдеру, если он выступает обработчиком.
Договор с поставщиком. Поручение обработки оформляется договором с перечнем действий и мер защиты.
Цели обработки. Данные нельзя использовать для обучения модели, если это не предусмотрено основанием.
Минимизация. Передавать нужно только данные, необходимые для задачи.
Локализация и трансграничная передача
Закон требует, чтобы первичный сбор, запись и хранение персональных данных граждан России осуществлялись с использованием баз данных на территории России. Если сервис находится за рубежом, передача данных требует отдельной оценки: до начала трансграничной передачи оператор направляет уведомление в Роскомнадзор и проверяет, обеспечивает ли иностранное государство надёжную защиту. Требования уточняются, поэтому актуальные условия нужно проверять на дату подключения.
Что включить в договор с провайдером
Хранение и обучение. Запрет использовать данные для обучения без разрешения.
Место хранения. Страна и порядок локализации.
Безопасность. Меры защиты и уведомление об инцидентах.
Субподрядчики. Перечень и условия привлечения.
Удаление данных. Срок и порядок удаления после окончания договора.
Правила для сотрудников
Перечень допустимых сервисов. Только одобренные инструменты.
Запрет на передачу. Персональные данные и коммерческая тайна не вводятся в сторонние сервисы.
Обезличивание. Данные заменяются условными обозначениями.
Проверка результата. Ответы ИИ проверяются человеком.
Обучение. Сотрудники знакомятся с правилами под подпись.
Типичные ошибки
Использование бесплатных сервисов. Условия обработки данных не соответствуют требованиям.
Отсутствие уведомления Роскомнадзора. Трансграничная передача без уведомления.
Нет правил для сотрудников. Данные попадают во внешние сервисы стихийно.
Нет оценки рисков. Подключение происходит без юридической проверки.
Условный пример
Компания хочет подключить языковую модель для обработки обращений клиентов. До запуска проверяется, какие данные в обращениях, есть ли основание для передачи, где находится сервис, и оформляется договор с поставщиком. Для первых тестов используются обезличенные данные. Пример условный.
Расскажите о вашей задаче — определим возможную стратегию и дальнейшие действия.
