Российские серверы и соблюдение 152-ФЗ в AI-среде

Российский адрес дата-центра сам по себе не подтверждает соответствие AI-среды требованиям 152-ФЗ. Он отвечает на один географический вопрос, но ничего не говорит о законности цели, составе данных, полномочиях пользователей, условиях поручения обработки, сроках удаления и скрытых получателях телеметрии.

В AI-среде разрыв между рекламным обещанием и реальным потоком особенно опасен. Пользователь вставляет в запрос переписку с клиентом, модель формирует ответ, платформа сохраняет историю, журналирует ошибку, делает резервную копию, а специалист поддержки получает диагностический архив. Один запрос проходит несколько систем, и каждая операция требует объяснения. Проверять надо маршрут данных целиком, а не флаг на карте поставщика.

152-ФЗ не выдает продуктам универсальный знак безопасности. Закон возлагает обязанности на оператора, то есть на того, кто определяет цели, состав и действия с персональными данными. Поэтому выбор российской инфраструктуры полезен, но решение о запуске принимают только после проверки конкретного сценария обработки.

Адрес дата-центра закрывает только один вопрос

Российские серверы помогают выполнить требование о локализации, но не заменяют остальные обязанности оператора. Действующая часть 5 статьи 18 Закона № 152-ФЗ запрещает при сборе данных граждан России использовать базы за пределами страны для записи, систематизации, накопления, хранения, уточнения и извлечения, кроме прямо названных законом случаев. С 1 июля 2025 года эта формулировка действует в редакции Закона № 23-ФЗ.

Обратите внимание на глаголы в норме. Закон проверяет не только место постоянного хранения. Если зарубежный узел первым принимает форму, определяет пользователя по адресу электронной почты, кладет запрос во временную очередь или извлекает профиль для подсказки, российская основная база не исправляет маршрут автоматически. Архитектор должен показать, где происходит каждая операция, включая промежуточные очереди, кеши, поисковые индексы, резервные копии и диагностические хранилища.

Исключения из части 5 статьи 18 нельзя превращать в общее разрешение для коммерческого AI-сервиса. Они ссылаются на отдельные основания из статьи 6, среди которых достижение целей международного договора или закона, осуществление правосудия, исполнение полномочий органов и профессиональная деятельность журналиста либо законная научная, литературная или творческая деятельность. Обычное согласие пользователя в этот перечень не входит.

Локализация также не равна запрету любой последующей передачи за рубеж. В письме от 24 марта 2025 года Управление Роскомнадзора по защите прав субъектов персональных данных пояснило: новая редакция части 5 статьи 18 сама по себе не запрещает трансграничную передачу данных, которые сначала собрали с использованием баз в России, однако такая передача должна отвечать статье 12. Это полезное различие, но расслабляться рано. Для передачи нужны самостоятельная проверка основания, получателя, страны и отдельное уведомление Роскомнадзора.

Запросите у поставщика не фразу «серверы в России», а схему с юридическими лицами и странами для каждого узла. Если на схеме отсутствуют сервис мониторинга, почтовая доставка, техническая поддержка, резервное копирование или модельный шлюз, схема неполна. Молчание договора о внешнем сервисе тоже ничего не доказывает.

Персональные данные появляются не только в анкете

К персональным данным относится любая информация о прямо или косвенно определенном или определяемом человеке, поэтому в AI-среде надо исследовать содержимое, контекст и возможность связать запись с человеком. Фамилия и телефон очевидны. Рабочая переписка, номер заказа, голосовая запись, адрес устройства, текст жалобы и комбинация должности с названием небольшого отдела тоже могут позволить определить человека.

Промпт нельзя заранее считать техническим текстом. Разработчик может вставить туда заявку из поддержки, резюме кандидата, историю болезни, расшифровку звонка или дамп строки из рабочей базы. Модельный ответ способен повторить исходные сведения или вывести новые сведения о человеке. История диалога, оценка ответа и комментарий проверяющего продолжают ту же обработку, даже если основная форма приложения не спрашивает имя.

Логи требуют отдельного разбора. Одно дело, когда журнал содержит код ошибки, время и случайный идентификатор с коротким сроком жизни. Другое дело, когда туда без фильтра попадает тело запроса, токен доступа, адрес электронной почты и полный ответ модели. Слово «лог» описывает техническую оболочку, а не правовой режим содержимого.

Псевдонимизация тоже не всегда делает данные обезличенными. Если команда может взять таблицу соответствия, учетную запись или иной дополнительный набор и снова связать запись с человеком, перед ней по-прежнему персональные данные. Настоящее обезличивание оценивают по возможности отнесения сведений к субъекту с учетом доступной дополнительной информации, а не по замене фамилии на UUID.

Попросите владельца продукта перечислить реальные входы: чат, загрузку файлов, импорт таблиц, API, мобильные события, обращения в поддержку. Затем добавьте производные данные: эмбеддинги, краткие пересказы, классификации, оценки, историю версий и резервные копии. Если команда описала только регистрационную форму, она проверила витрину, а не систему.

Цель определяет допустимый поток

Каждой операции с данными нужна конкретная и заранее определенная цель, а состав данных должен быть достаточным и не избыточным для этой цели. Статья 5 Закона № 152-ФЗ прямо связывает объем обработки с заявленными целями и запрещает объединять базы, созданные для несовместимых целей. Формула «для улучшения качества сервиса» слишком расплывчата, если под ней скрываются поддержка, аналитика поведения и дообучение модели.

Разделите хотя бы эксплуатацию приложения, исполнение договора с пользователем, защиту от злоупотреблений, техническую поддержку и развитие модели. Для каждой цели могут отличаться категории субъектов, поля, основание, получатели, срок хранения и способ удаления. Данные, нужные для ответа на обращение сегодня, не становятся автоматически материалом для обучения завтра.

Полезно завести паспорт потока до закупки. Его заполняет владелец процесса вместе с юристом и инженером, а поставщик подтверждает инфраструктурные поля. Такой файл можно хранить рядом с архитектурным решением и проверять при каждом изменении интеграции.

flow_id: support_reply_assistant
purpose: подготовка проекта ответа клиенту
subjects: [клиенты, сотрудники]
fields: [текст обращения, номер заявки, имя оператора]
source: российская система поддержки
legal_basis: заполнить со ссылкой на норму или согласие
primary_database_country: RU
processors: [поставщик AI-среды]
model_endpoint_country: RU
telemetry_country: RU
retention_days: заполнить
access_roles: [оператор поддержки, руководитель смены]
deletion_proof: акт или журнал операции
incident_contact: заполнить

Поле со словом «заполнить» блокирует запуск, а не приглашает дописать документ когда-нибудь потом. Если никто не может назвать срок хранения, данные почти всегда остаются дольше цели. Если неизвестен контакт по инцидентам, организация не уложится в обязательные сроки, когда счет пойдет на часы.

Цель надо сверить с интерфейсом. Если сотруднику разрешили загружать любой файл, а паспорт допускает только текст обращения и номер заявки, одного приказа недостаточно. Ограничьте типы файлов, вырезайте лишние поля до отправки, предупреждайте пользователя в точке ввода и запрещайте сохранение тела запроса в техническом журнале там, где оно не нужно.

Основание выбирают для каждой цели отдельно

Законность обработки нельзя собрать одним согласием на все действия AI-среды. Статья 6 содержит несколько оснований, и оператор выбирает применимое к конкретной цели: согласие, исполнение закона, исполнение договора с субъектом, осуществление прав и законных интересов при соблюдении прав субъекта и другие названные случаи. Основание надо записать точно, а не ставить слово «согласие» по привычке.

Если обработка объективно нужна для исполнения договора с самим человеком, требование отдельной галочки может создавать ложную картину. Если данные собирают для независимой аналитики или обучения, ссылка на исполнение договора часто не выдерживает вопроса «почему без этой операции нельзя оказать услугу». И наоборот, отзыв согласия не всегда прекращает обработку, которая законно продолжается на другом основании. Смешение оснований ломает ответы субъектам и сроки удаления.

С 1 сентября 2025 года статья 9 требует оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Спрятанная строка в пользовательском соглашении больше не годится как отдельное волеизъявление. Оператору все равно придется доказать, что согласие было конкретным, предметным, информированным, сознательным и однозначным, а также показать его содержание и момент получения.

Особые категории данных и биометрия требуют отдельной остановки. Сведения о здоровье, политических взглядах, религиозных убеждениях, интимной жизни и некоторые другие категории регулирует статья 10. Биометрические данные, которые используют для установления личности, регулирует статья 11. Наличие обычного согласия или российского сервера не отменяет специальных условий этих статей.

Внутренний запрет «не вводить чувствительные сведения» полезен только вместе с техническими и организационными барьерами. Дайте сотрудникам разрешенные сценарии, настройте фильтрацию известных полей, ограничьте интеграции и предусмотрите разбор нарушения. Если бизнесу действительно нужна обработка медицинского документа или записи голоса, проектируйте такой процесс отдельно, не проталкивайте его через общий корпоративный чат.

Поставщик обрабатывает данные, но оператор не исчезает

Заказчик обычно остается оператором, когда он определяет, зачем загружать данные людей в AI-среду, какие именно данные брать и что с ними делать. Поставщик может действовать как лицо, обрабатывающее данные по поручению, но вывеска «обработчик» в договоре не меняет фактическое распределение решений. Если поставщик использует запросы для собственной цели, например независимо развивает свою модель, этот участок нельзя молча считать прежним поручением.

Часть 3 статьи 6 Закона № 152-ФЗ требует закрепить в поручении перечень персональных данных, операции, цели, обязанность соблюдать конфиденциальность, требования статьи 18.1 и меры безопасности по статье 19. Поручение также должно обязывать по запросу подтверждать принятые меры и уведомлять оператора об инцидентах. Общая фраза «стороны соблюдают законодательство» этих сведений не дает.

Договор сопоставляют с техникой строка за строкой. Если архитектура создает резервные копии, договор должен охватывать хранение и уничтожение копий. Если поддержку оказывает другое юридическое лицо, надо выяснить основание его доступа и цепочку поручений. Если экспортированный проект размещают у выбранного заказчиком провайдера, роли и ответственность после экспорта описывают отдельно.

Спросите, может ли поставщик менять модельный маршрут без вашего согласования. Автоматическое переключение на внешний endpoint удобно для доступности, но оно способно изменить страну обработки и круг получателей. В договоре нужен порядок уведомления об изменениях, а в технической схеме нужен запрет маршрута, который заказчик не согласовал.

Отдельно закрепите возврат и уничтожение данных после прекращения услуги, формат подтверждения, судьбу резервных копий и сроки их перезаписи. Кнопка удаления проекта может скрыть запись из интерфейса, но оставить историю запросов, индекс поиска и копии. Поставщик должен объяснить каждое хранилище и дать проверяемое подтверждение завершения операции.

Ответственность перед субъектом за действия лица по поручению по общему правилу несет оператор. Поэтому сертификат, письмо о российских серверах и договор с широким возмещением убытков не заменяют проверки. Штраф можно переложить договорным требованием лишь после события, а нарушение прав человека уже произойдет в системе оператора.

Доступ проверяют по операциям, а не по должностям

Доступ к AI-среде должен соответствовать рабочей задаче пользователя и охватывать только нужные проекты, данные и операции. Название роли «менеджер» ничего не доказывает, если любой менеджер видит все диалоги компании, скачивает проекты и приглашает внешних участников. Матрицу строят по действиям: просмотр, создание, экспорт, удаление, изменение настроек, выдача доступа и чтение журналов.

Проверьте весь жизненный цикл учетной записи. Кто подтверждает доступ при приеме сотрудника, кто меняет его при переводе, через сколько времени закрывается доступ после увольнения, как пересматривают неиспользуемые права? Общая учетная запись отдела лишает журнал смысла: невозможно установить, кто загрузил файл, раскрыл данные или удалил проект.

Привилегированный доступ поставщика требует такой же ясности. Узнайте, может ли администратор инфраструктуры читать содержимое запросов, когда сотрудник поддержки открывает сессию, кто ее одобряет и что остается в журнале. Фраза «доступ только при необходимости» непроверяема без условий, ролей, срока и следа операции.

Статья 19 требует принимать правовые, организационные и технические меры для защиты данных. Конкретный набор зависит от угроз, категории данных, типа информационной системы и применимых нормативных актов. Постановление Правительства № 1119 задает требования к защите данных в информационных системах, а приказ ФСТЭК России № 21 определяет состав организационных и технических мер для соответствующих систем. Российская география не заменяет модель угроз, определение уровня защищенности и реализацию выбранных мер.

Многофакторная аутентификация, короткие сессии, разграничение проектов и журналирование полезны, но их нельзя перечислить и объявить вопрос закрытым. Проверьте, защищают ли они конкретные угрозы, сохраняет ли журнал нужное событие, кто его читает и можно ли незаметно изменить запись. Контроль, который никто не тестирует, существует только в презентации.

Уведомления должны совпадать с работающей схемой

До начала обработки оператор по общему правилу уведомляет Роскомнадзор по статье 22, а исключения применяет узко и документирует. После изменений 2022 года старые шаблоны и советы об освобождении часто устарели. Самый безопасный рабочий подход прост: проверить действующую редакцию статьи, найти организацию в реестре операторов и сопоставить запись с новым AI-процессом.

В уведомлении важны не красивые формулировки, а совпадение с реальностью: цели, категории субъектов и данных, правовые основания, перечень действий, способы обработки, меры, дата начала, срок или условие прекращения, сведения о местонахождении баз и лицах, действующих по поручению. Если AI-среда добавляет новую цель, категорию данных, способ или поставщика, прежняя запись может потребовать изменения.

Закон дает оператору срок до 15-го числа месяца, следующего за месяцем изменения, чтобы сообщить Роскомнадзору об изменившихся сведениях из уведомления. О прекращении обработки сообщают в течение десяти рабочих дней. Эти сроки не оправдывают запуск неописанной схемы: до релиза команда должна понимать, что именно изменится в реестре и кто отправит сведения.

Уведомление о начале обработки и уведомление о трансграничной передаче решают разные задачи. Наличие организации в реестре операторов не означает, что зарубежный модельный API или иностранная поддержка согласованы автоматически. Для статьи 12 существует отдельная процедура до начала передачи.

Назначьте владельца каждого уведомления и храните доказательства отправки вместе с версией схемы, договора и паспорта потока. Тогда при изменении модели или инфраструктуры команда увидит, какой документ устарел. Реестр без связанного архитектурного решения быстро превращается в историческую справку.

Трансграничная передача прячется в служебных каналах

Трансграничная передача возникает, когда персональные данные передают на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. В AI-проекте она часто проходит не через основную базу, а через модельный API, систему диагностики, обращение в поддержку, удаленную работу иностранного подрядчика или автоматическую репликацию.

Сначала назовите получателя как юридическое лицо, затем страну и цель. Название технологии или облачного региона не отвечает ни на один из этих вопросов. Договор с российской компанией тоже не исключает передачи, если ее иностранное связанное лицо получает диагностический архив или доступ к консоли.

До передачи оператор должен получить от иностранного получателя сведения, перечисленные статьей 12, и отдельно уведомить Роскомнадзор о намерении. Порядок зависит от того, обеспечивает ли государство адекватную защиту прав субъектов. Для стран вне соответствующего перечня закон ограничивает начало передачи на срок рассмотрения уведомления, кроме узкого случая защиты жизни, здоровья или иных жизненно важных интересов. Роскомнадзор вправе запретить или ограничить передачу.

Согласие субъекта не отменяет процедуру статьи 12 и требования локализации при сборе. Это распространенная, но неверная рекомендация: поставить широкую галочку проще, чем разобрать архитектуру, поэтому ее любят использовать как универсальный пропуск. Закон разделяет правовое основание обработки, локализацию операций при сборе и контроль трансграничной передачи. Выполнить надо каждый применимый блок.

Проверьте исходящий трафик тестового контура и настройки всех SDK. Сопоставьте адрес назначения с договором и схемой, но не делайте юридический вывод только по IP: сеть может меняться, а получателя определяют не одной трассировкой. Технический тест находит незаявленные маршруты, после чего поставщик должен объяснить их назначение, страну, юридическое лицо и состав данных.

Если зарубежный канал не нужен для цели, отключите его, а не оформляйте лишнюю передачу. Это уменьшает число получателей, объем документов и последствия ошибки. Когда канал нужен, включайте его только после проверки основания, уведомления, договора и мер защиты.

Документы должны описывать работающий продукт

Комплект документов имеет смысл только тогда, когда его формулировки совпадают с интерфейсом, настройками и договорами. Статья 18.1 требует от оператора меры, среди которых назначение ответственного, политика, локальные акты по вопросам обработки, внутренний контроль, оценка вреда и ознакомление работников. Политика на сайте обязательна для страниц, через которые оператор собирает данные, но одной политики недостаточно.

Начните с перечня процессов и информационных систем, а не с копирования чужого положения. Для каждого процесса свяжите цель, субъектов, поля, основание, операции, получателей, место баз, срок, доступы и способ уничтожения. Из этого реестра уже выводятся политика, формы согласий, поручения, инструкции, модель угроз и уведомления.

Срок хранения задают событием, которое система умеет определить. Формулировка «до достижения цели» законна по смыслу, но бесполезна для автоматизации, если никто не описал событие достижения. Укажите, например, закрытие обращения плюс обоснованный период для претензий, окончание договора или отзыв согласия с учетом других действующих оснований. Юрист определяет норму, владелец процесса задает событие, инженер реализует задание на удаление.

Удаление и уничтожение не сводятся к исчезновению строки с экрана. Проверьте основную базу, объектное хранилище, поисковый индекс, очередь, журнал, резервную копию и экспорт. Для копий допустим отдельный цикл, если данные изолированы и перезаписываются по установленному сроку, но этот цикл должен быть известен и подтвержден поставщиком.

Подготовьте процесс ответа субъекту: кто принимает запрос, как удостоверяет заявителя, где ищет данные, как исправляет неточность, блокирует спорную запись и сообщает результат. AI-производные данные усложняют поиск, потому что один исходный текст может породить пересказ, классификацию и эмбеддинг. Без карты связей команда удалит оригинал и оставит производные записи.

Нужен и план инцидента. Часть 3.1 статьи 21 обязывает сообщить Роскомнадзору о неправомерной или случайной передаче, предоставлении, распространении либо доступе, повлекших нарушение прав субъектов: первичное уведомление направляют в течение 24 часов, результаты внутреннего расследования предоставляют в течение 72 часов. Договор с поставщиком должен дать оператору сведения заметно раньше, иначе он потратит срок на ожидание чужой поддержки.

Решение о запуске принимают по доказательствам

AI-среду можно допустить к персональным данным, когда на каждый существенный вопрос есть проверяемый ответ и владелец. Ни российский сервер, ни сертификат, ни известное имя поставщика не заменяют этот набор. Если доказательство нельзя получить до договора, риск надо записать и либо закрыть ограничением сценария, либо отказаться от обработки персональных данных в этой среде.

Используйте таблицу как протокол приемки. В колонку «Доказательство» вписывают название документа, настройку или результат теста, а не обещание менеджера. Любая пустая ячейка в первых десяти строках блокирует промышленный запуск с реальными данными.

После заполнения проведите короткое испытание на данных, созданных для теста. Загрузите запись, найдите ее под разрешенными ролями, убедитесь, что запрещенная роль ее не видит, запросите экспорт, проверьте журнал, запустите удаление и получите подтверждение по всем хранилищам. Затем смоделируйте обращение субъекта и сообщение об инциденте. Такой прогон показывает разрыв между договором и продуктом быстрее, чем еще один круг правок политики.

Для среды без реальных данных допустим отдельный режим: синтетические наборы, запрет вставки рабочих сведений, отключенные интеграции и контроль выгрузки. Он полезен для прототипа, но запрет должен работать на практике. Если разработчик может одним действием подключить производственную базу, организация уже зависит от дисциплины человека.

TakProsto работает на российских серверах, использует локализованные модели с открытым исходным кодом и, по условиям платформы, не отправляет данные в другие страны. Это снимает часть географических вопросов при первичном отборе, но заказчику все равно надо описать свои цели, основания, категории данных, доступы, сроки и уведомления для конкретного приложения.

Финальное решение фиксируйте с границами допуска: какие процессы разрешены, какие данные запрещены, какие настройки неизменны без повторной проверки и кто останавливает интеграцию. Если поставщик не раскрывает маршрут данных или не подтверждает уничтожение, российский адрес его серверной не компенсирует неизвестность.