Интелликс
Меню
ГлавнаяКак мы работаемДля вузаАгент руководителяПлатформа договоровПакет 152-ФЗКурс ИИ-грамотностиSEO-руководствоАудитПрактикумПилот агентаБезопасный ИИРоликиКонсультация 152-ФЗДемоЧек-листСтатьиО компанииКонтактыОставить заявку
Главная / Статьи / 152-ФЗ и ИИ – какие данные можно отдавать

152-ФЗ и ИИ – какие данные можно отдавать нейросети, а какие нельзя

Сотрудники все чаще вставляют в чат с нейросетью фрагменты писем, таблицы и справки. Если в них есть фамилии, телефоны, адреса или сведения о здоровье, организация попадает в зону действия закона о персональных данных. Эта статья не заменяет консультацию юриста. Она объясняет логику закона простым языком и показывает, какие вопросы стоит задать себе до того, как открыть чат. Закон менялся несколько раз за последние годы, поэтому здесь названы номера статей, а подробности нужно смотреть в действующей редакции.

Что считается персональными данными

Закон 152-ФЗ «О персональных данных» относит к ним любую информацию, прямо или косвенно относящуюся к определенному или определяемому человеку. Это не только ФИО и паспорт. Номер телефона, адрес электронной почты, фотография, должность вместе с названием небольшой организации, а иногда и сочетание нескольких внешне безобидных признаков также позволяют узнать человека. Основные понятия, включая персональные данные, оператора и обезличивание, даны в статье 3 закона.

Мнение автора состоит в том, что на практике безопаснее считать персональными данными все, что относится к конкретному живому человеку, а исключения обсуждать отдельно с юристом.

Кто отвечает, если сотрудник отправил данные в нейросеть

Закон вводит понятие оператора – организации, которая определяет цели и способы обработки данных. Если сотрудник вставил данные клиентов в чат, обработку фактически выполнила организация-оператор, и основная ответственность лежит на ней. Это не значит, что сотрудник защищен полностью, ведь последствия по трудовому праву возможны. За нарушения при обработке персональных данных, в том числе за утечки, предусмотрены административные штрафы (статья 13.11 КоАП РФ). Размеры штрафов мы не приводим, их нужно смотреть в действующем тексте.

Поэтому правило использования ИИ – это не бюрократия, а защита самой организации.

Основные вопросы перед использованием модели

Задайте себе пять вопросов по порядку.

  1. Есть ли в запросе данные, по которым можно узнать человека.
  2. Можно ли заменить их метками, чтобы модель не видела настоящих.
  3. Если нельзя, есть ли у организации основание для обработки. Условия обработки описаны в статье 6, а требования к согласию – в статье 9. Согласие должно быть оформлено отдельно от других документов, которые человек подписывает или подтверждает (часть 1 статьи 9), поэтому прятать его в договоре или оферте нельзя.
  4. Где расположена модель и куда передаются данные. Передача за границу регулируется статьей 12, она предусматривает уведомление Роскомнадзора, и это отдельное уведомление, не то, что описано в статье 22. Отдельно статья 18 устанавливает требования к использованию баз на территории России при сборе данных граждан России. Подробности и исключения смотрите в действующей редакции и обсуждайте с юристом.
  5. Обработаны ли данные особой категории. Сведения о здоровье, расовой принадлежности, политических взглядах и некоторые другие относятся к специальным категориям, режим для них строже (статья 10). Биометрия, например изображение лица или голос, когда их используют для установления личности, выделена в статью 11.

Если на какой-либо вопрос нет уверенного ответа, данные отправлять не следует.

Обезличивание и подмена метками

Самый практичный прием – не отправлять настоящие данные. Фамилии, телефоны и почту заменяют метками вида «Клиент 1», а таблицу соответствий оставляют внутри организации. В ответе метки возвращаются на место.

Важна оговорка. Такая подмена обычно называется псевдонимизацией и не всегда равна обезличиванию в смысле закона. Обезличивание по статье 3 – это действия, после которых без дополнительной информации нельзя определить, кому принадлежат данные. У организации остается ключ, то есть таблица соответствий, поэтому подмена метками под это определение может не подойти. Требования к методам обезличивания устанавливаются отдельным актом Роскомнадзора, актуальную редакцию смотрите на официальных ресурсах. Считается ли подмена достаточной в вашем случае, решает оператор вместе с юристом.

Тем не менее подмена существенно снижает риск и объем данных, которые покидают организацию.

Что делать организации прямо сейчас

Начать стоит с четырех простых действий.

  • Составить короткое правило для сотрудников о том, что нельзя вставлять в чат с ИИ.
  • Определить список разрешенных сервисов и моделей.
  • Выяснить, какие процессы уже используют нейросети без вашего ведома, и спокойно обсудить это с командой.
  • Проверить документы оператора. Сюда входят политика в отношении обработки данных, меры защиты по статье 19 и уведомление Роскомнадзора об обработке по статье 22. Статья 22 содержит перечень случаев, когда уведомление не требуется, проверьте свой случай по действующему тексту.

Эти шаги не требуют больших затрат, но создают порядок, на который можно опираться при запуске агентов.

Особые случаи

Дети. Данные несовершеннолетних требуют особого внимания, порядок согласия законных представителей нужно уточнить у юриста, а в образовательных организациях добавляются отраслевые требования. Медицина. Врачебная тайна защищена отдельно, в статье 13 закона 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации». Распространение данных, например публикация фото сотрудников на сайте, подчиняется статье 10.1 закона о персональных данных, которая посвящена данным, разрешенным субъектом для распространения. Каждый из этих случаев требует отдельного разбора.

Как объяснить правило сотрудникам

Правило должно умещаться на одну страницу и опираться на примеры. Покажите два письма. В первом есть фамилия и телефон, и его нельзя вставлять в чат. Во втором все заменено метками, и его вставлять можно. Люди запоминают примеры лучше формулировок закона.

Назовите человека, к которому можно обратиться без страха, и скажите прямо, что вопрос не будет поводом для наказания. Мнение автора состоит в том, что открытая культура вопросов предотвращает больше утечек, чем строгие запреты.

Чек-лист

  • Определено, какие данные в организации относятся к персональным.
  • Написано правило для сотрудников о запросах к нейросетям.
  • Выбраны разрешенные сервисы, известно, где они расположены и куда уходят данные.
  • Для процессов с персональными данными используется подмена метками или российская модель.
  • Если сервис за границей, проверено, подано ли уведомление о трансграничной передаче.
  • Особые категории и данные детей обработаны отдельно, с участием юриста.
  • Согласия оформлены отдельным документом, документы оператора проверены на актуальность.
  • Назначен ответственный за обработку данных.

Чего не делает ИИ

  • Не определяет за вас, законна ли обработка в вашем случае.
  • Не гарантирует, что данные, отправленные в сервис, будут удалены.
  • Не заменяет юриста и ответственного за обработку данных.
  • Не знает, какое согласие вы получили, пока вы не предоставите документ.
  • Не следит за изменениями закона и не обновляет ваши документы сам.
  • Не защитит от утечки, если доступ к данным и устройствам настроен небрежно.

Пример на вымышленной организации

Пример вымышленный, организации и люди в нем не существуют, цифры не приводятся. Представим небольшую компанию, где менеджер хочет сократить длинное письмо клиента. В письме есть фамилия, телефон и название организации.

Менеджер задает себе пять вопросов. Данные личные, поэтому он заменяет фамилию и телефон метками и оставляет в тексте только суть жалобы. Название организации он тоже заменяет нейтральным словом. Модель сокращает текст, менеджер подставляет данные обратно и отправляет ответ. В отдельной таблице у него записано, какой сервис разрешен для таких задач. Если бы подмена была невозможна, письмо осталось бы без сокращения, и менеджер обратился бы к ответственному за данные.

Частые вопросы

Можно ли отправлять в нейросеть обезличенные данные?

Если данные действительно обезличены в смысле закона, ограничения мягче, но граница тонкая. Подмена фамилий метками при сохранении таблицы соответствий не всегда равна обезличиванию. Решение зависит от обстоятельств, его принимает оператор с юристом.

Нужно ли получать согласие, чтобы использовать ИИ?

Зависит от основания обработки. Если вы и без ИИ имеете законное основание обрабатывать данные для определенной цели, вопрос состоит в том, охватывает ли оно новый способ обработки и передачу исполнителю. Это вопрос к юристу, статья описывает только логику.

А если сервис обещает не хранить данные?

Обещание сервиса не заменяет анализ договора и места обработки. Мнение автора состоит в том, что надежнее не отправлять данные вовсе, чем полагаться на заверения.

С чего начать, если сотрудники уже пользуются ИИ?

Спокойно выяснить, чем именно они пользуются, и составить короткое правило. Наказание за честный ответ отбивает желание рассказывать. Затем предложить разрешенную замену.

Что предлагает Интелликс

На консультации «ИИ в организации и 152-ФЗ» за 90 минут разбираются данные, модели и план из трех шагов. Для технической защиты есть шлюз персональных данных, а для команды – практикум с памяткой. Интелликс не является юридической фирмой, юридические выводы делает юрист клиента.

Источники

Автор – команда Интелликс

Читайте также

Оставить заявку