Правовые риски загрузки корпоративных данных в публичные ИИ-сервисы и меры комплаенса в РФ
Анализируются правовые и регуляторные последствия неконтролируемой отправки сотрудниками корпоративных и персональных данных в зарубежные публичные сервисы искусственного интеллекта. Рассмотрены требования российского законодательства, включая нормы 152-ФЗ о локализации баз данных и трансграничной передаче, режимы коммерческой и иной тайны, а также риски привлечения к административной ответственности по статье 13.11 КоАП РФ с учетом повышенных штрафов за утечки. В качестве защитных мер предложены введение внутренних политик, замена чувствительных данных плейсхолдерами и запуск открытых LLM внутри закрытого контура организации.
Краткое изложение по материалу: Хабр
Что сообщает источник
Ниже — краткий пересказ материала источника; для правовых выводов сверяйтесь с первичным документом.
- Передача договоров в сторонние ИИ-сервисы сопровождается отправкой персональных данных (ФИО, паспортов, ИНН) в зарубежные дата-центры без ведома ответственных за ПДн лиц.
- По исследованию ГК «Солар», объем данных, передаваемых сотрудниками в публичные ИИ-сервисы за год, вырос примерно в 30 раз, при этом около 60% организаций не регламентируют данный процесс.
- В марте 2026 года Минцифры вынесло на общественное обсуждение проект закона «Об основах государственного регулирования сфер применения технологий искусственного интеллекта» с предполагаемым вступлением в силу не ранее 1 сентября 2027 года.
- С 1 июля 2025 года ужесточились требования части 5 статьи 18 закона № 152-ФЗ о запрете сбора персональных данных россиян с использованием баз данных, находящихся за рубежом.
- Ввод данных в иностранный чат-бот подпадает под правила трансграничной передачи персональных данных (статья 12 закона № 152-ФЗ), требующие предварительного уведомления Роскомнадзора.
- Федеральный закон от 30.11.2024 № 420-ФЗ обновил составы статьи 13.11 КоАП РФ, существенно увеличив штрафы с 30 мая 2025 года.
- Штрафы по КоАП РФ составляют до 700 тыс. рублей за незаконную обработку ПДн, от 3 до 15 млн рублей за утечку (до 20 млн рублей за биометрию), а за повторные утечки введены оборотные штрафы.
- Загрузка документов в публичные нейросети нарушает режим коммерческой тайны (закон № 98-ФЗ), что создает основания для увольнения и взыскания убытков с работника.
- Для минимизации утечек компаниям предлагается развертывать языковые модели в закрытом корпоративном периметре.
Редакционная оценка правового значения
Аналитический комментарий AIPravo; это не текст первичного документа и не официальное толкование права.
Использование сотрудниками публичных зарубежных нейросетей влечет повышенные риски нарушения требований закона № 152-ФЗ о локализации и трансграничной передаче данных, а также законодательства о коммерческой тайне. В условиях ужесточения санкций по статье 13.11 КоАП РФ (закон № 420-ФЗ), предусматривающих многомиллионные и оборотные штрафы за утечки персональных данных, компаниям необходимо внедрять локальные регламенты, применять обезличивание запросов и рассматривать переход на изолированные локальные языковые модели.