Данные клиентов и ИИ: что важно знать про 152-ФЗ

Владелец небольшой компании просит нейросеть «сделать выжимку из переписки с клиентом» и копирует в чат весь диалог: имя, телефон, адрес, реквизиты. Через минуту у него готовый ответ — и ни одной мысли о том, что персональные данные клиента только что ушли на чужой сервер. До первой проверки или до новости об очередном ужесточении об этом обычно не вспоминают.

Разберём, что сейчас меняется в правилах, где нейросети помогают бизнесу, а где создают риск, и что можно сделать в своей компании уже на этой неделе.

Что нового: правила для ИИ и данных клиентов ужесточаются

За последний месяц тема перестала быть теоретической. Три новости, мимо которых владельцу проходить не стоит.

• RB.RU, 8 сентября 2026 — российские компании могут обязать выбирать отечественные ИИ-модели, если их стоимость не превышает цену зарубежных аналогов более чем в 1,5 раза. В Минцифры обсуждают, для каких сфер это сделают обязательным.
• Ведомости, 10 сентября 2026 — эксперты Высшей школы бизнеса НИУ ВШЭ и Cloud.ru представили пятиуровневую модель оценки готовности компаний к промышленному использованию ИИ-агентов. Вопрос «готов ли мой бизнес к ИИ» переходит из разговоров в измеримые критерии.
• Фонтанка, 11 сентября 2026 — обсуждается поддержка малого бизнеса: разработчикам ИИ-решений могут компенсировать скидки, которые они дают небольшим компаниям.

Добавьте к этому приказ Роскомнадзора № 140 от 19.06.2025: он утвердил требования к обезличиванию персональных данных и сами методы обезличивания. Регулятор всё подробнее описывает, как можно работать с данными, и нейросети здесь не отдельная история, а часть общей.

Прямого запрета на нейросети нет — есть условия

152-ФЗ не запрещает использовать ИИ. Он требует другого: у обработки должно быть законное основание, данных можно собирать ровно столько, сколько нужно для задачи, а храниться и передаваться они должны безопасно. Отправка данных клиента в стороннюю нейросеть — это тоже обработка персональных данных, просто чужими руками.

Если вы не можете ответить, где лежат данные клиента и кто их видит, — риск уже есть. Неважно, пользуетесь вы нейросетью или обычной таблицей.

Четыре требования, которые касаются ИИ напрямую

1. Согласие и основание. С сентября 2025 года согласие на обработку персональных данных оформляется отдельно, его нельзя спрятать в общий договор или оферту. Если данные клиента попадают в нейросеть, он должен понимать, зачем это делается.
2. Минимизация. В запрос к нейросети идёт только то, без чего задача не решается. Номер полиса, паспорт и адрес для просьбы «сделай вежливый ответ» не нужны.
3. Обезличивание. Перед отправкой данные можно заменить на метки: вместо имени — «Клиент А», вместо телефона — «тел. 1». Требования к обезличиванию как раз и описаны в приказе № 140.
4. Контроль передачи. Важно, куда уходят данные: за пределы страны, в бесплатный публичный сервис, где ввод может использоваться для обучения, или в инструмент с договором и закрытым контуром.

Что чаще всего ломается на практике

• Сотрудник копирует всю заявку целиком, потому что так быстрее.
• Нейросетью пользуются в личном аккаунте без всяких правил — данные уходят в неизвестное место.
• Выгрузка клиентов из таблицы отправляется в чат-бот без обезличивания.
• Никто в компании не знает, какие сервисы вообще используются. Правила есть, а привычек — нет.

Ни один из этих пунктов не про хакеров. Это обычная ежедневная работа, в которой данные утекают сами.

Чек-лист: что сделать без покупки и без юриста

1. Выпишите, какими нейросетями и ботами реально пользуются в компании. Список часто удивляет владельца.
2. Заведите простое правило: перед отправкой уберите из запроса персональные данные: телефон, адрес, документы. Клиенту для вежливого ответа они не нужны.
3. Разделите задачи. Черновики писем, описания товаров, планы, заголовки — сюда данные клиентов не попадают. Анализ конкретной переписки — уже персональные данные, тут нужны правила.
4. Проверьте, где хранятся данные клиентов и кто имеет к ним доступ. Если ответ «не знаю», начните с этого.

Что будет за нарушение

Ответственность по статье 13.11 КоАП никто не отменял, а за утечки ввели оборотные штрафы, привязанные к выручке. Для небольшой компании это не предупреждение: одна необдуманная выгрузка в публичный чат может стоить дороже, чем весь эффект от сэкономленного времени. Поэтому порядок такой: сначала правила работы с данными, потом автоматизация.

Как это выглядит в нормальной работе

Данные клиентов и ИИ прекрасно уживаются, когда процесс продуман. Заявка обезличивается, нейросеть готовит черновик, сотрудник проверяет и отправляет. Клиент получает быстрый ответ, компания — экономию времени, а персональные данные не покидают контур. Именно на такой сценарий рассчитана «Нейросмена» — набор ИИ-инструментов для малого бизнеса: ответы клиентам, документы, рутина закрываются без того, чтобы выкладывать данные в интернет. Если хотите понять, с чего начать в вашем случае, — напишите, разберём задачи и подберём инструменты под них.

Читайте также: Как ставить задачу нейросети: разбор на примере и Промпт, который даёт результат: три частые ошибки, из-за которых он не работает.