Нельзя вставлять в чат всё, по чему можно узнать конкретного человека: имя вместе с телефоном, адрес, переписку с клиентом, таблицу заявок, скан паспорта, договор с реквизитами. Слова «нейросеть» в законе нет, он говорит о персональных данных вообще. Если клиент придёт с претензией, отвечать придётся компании. На практике выручает простая привычка: перед отправкой заменить всё, что указывает на человека, метками, а в готовом ответе вписать настоящие значения самому. Разбор актуален на 15 октября 2026 года.
Это уже персональные данные
Статья 3 закона № 152-ФЗ относит к ним любую информацию о прямо или косвенно определённом либо определяемом человеке. Главное тут слово «косвенно». Даже имя без телефона бывает данными, если по контексту ясно, о ком речь: «Мария с третьего этажа, которая в пятницу жаловалась на задержку» в небольшом салоне найдётся без труда.
Возьмём вымышленную кофейню у дома: администратор хочет, чтобы нейросеть помогла ответить на жалобу.
| Что в тексте | Как поступить |
|---|---|
| Прайс, описание услуг, правила акции, ваши собственные тексты | Можно: людей в них нет |
| Жалоба без имени и подробностей («долго ждали, кофе остыл») | Можно |
| Имя клиента, дата и место визита, суть жалобы | Осторожно: вместе они указывают на человека. Заменить метками |
| Телефон, почта, адрес, дата рождения | Убрать до отправки |
| Выгрузка из CRM, таблица записей, переписка из мессенджера целиком | Не вставлять целиком: взять нужный фрагмент и обезличить |
| Паспорт, СНИЛС, ИНН, номера карт и счетов, фото документов | Не отправлять |
| Сведения о здоровье, например жалоба пациента клиники | Отдельная категория (ст. 10 закона): не вставлять ни в каком виде, пока не обсудили с юристом |
Строки «Можно» — основа для ведения соцсетей с нейросетью: что ей поручать, а что оставить себе, разобрано в статье соцсети бизнеса без маркетолога. Клиникам и стоматологиям последнюю строку таблицы стоит помнить особенно: о том, что можно публиковать в медицинском бизнесе, читайте в статье про рекламу медицинских услуг.
Чат чужой, а оператор вы
По той же статье 3 оператор — это тот, кто организует обработку данных и решает, зачем они нужны. Оператором бывает и юрлицо, и физлицо, так что ИП с самозанятым сюда тоже входят. Обработкой закон считает в том числе передачу и доступ. Когда администратор копирует клиентскую переписку в окно чата, это ваша обработка: вы отвечаете за неё и сами выбираете, кому данные уходят.
Поручить обработку другому лицу можно. По части 3 статьи 6 для этого нужны согласие человека и договор, а по части 5 перед самим человеком всё равно отвечает оператор. Публичный чат обычно предлагает пользовательское соглашение, а не договор под ваши обязанности. Есть ли у конкретной передачи законное основание, придётся выяснять в каждом случае отдельно.
Если сервис зарубежный
Локализация: часть 5 статьи 18
В редакции закона № 23-ФЗ от 28.02.2025 эта часть запрещает оператору, который собирает данные граждан России (в том числе в интернете), записывать, накапливать, хранить, уточнять и извлекать их в базах за пределами страны. Исключения даны в пунктах 2, 3, 4 и 8 части 1 статьи 6: функции, которые закон возложил на оператора, судопроизводство, полномочия госорганов, журналистская и творческая деятельность. Обычный бизнес, работающий с клиентом по договору, в этот список не входит.
Как читать эту норму, Минцифры объясняет в письме от 12.05.2025 № П25-44929 (текст письма мы нашли в базе pravo.ppt.ru, на сайте министерства не открывали). Ограничение действует при сборе. Данные, которые уже лежат в российской базе, под него не подпадают, но любая дальнейшая отправка за границу идёт по статье 12, и Роскомнадзор нужно уведомить до её начала. Министерство приводит в пример сервисы вроде Google Analytics: если их функции обрабатывают персональные данные, это трансграничная передача.
Трансграничная передача: статья 12
В статье 3 так названа передача на территорию иностранного государства, органу власти иностранного государства, иностранному физическому или юридическому лицу. Важен получатель; место, где стоит сервер, — не единственный критерий. До начала передачи оператор уведомляет Роскомнадзор (часть 3 статьи 12), а дальнейший порядок зависит от того, есть ли страна получателя в перечне с адекватной защитой. С 26 июля 2026 года статью 12 изменил закон № 265-ФЗ (по отметкам КонсультантПлюс затронуты части 2, 10 и 11), так что перед работой с юристом откройте действующую редакцию заново.
Что это значит для чата
Допустим, вы берёте данные из своей CRM и вставляете их в сервис иностранного юрлица. Это очень похоже на ту дальнейшую передачу, о которой пишет Минцифры. Прямого письменного разъяснения Роскомнадзора именно про чаты с нейросетями мы не нашли.
Есть и другая трактовка. Юристы BIRCH LEGAL пересказывают онлайн-день открытых дверей Роскомнадзора: по словам экспертов ведомства, если пользователь сам вводит свои данные в зарубежную нейросеть, оператор ничего за границу не передаёт и уведомлять не нужно. Видеозапись мы не смотрели, поэтому это пересказ, первоисточника у нас нет. К тому же там человек вводит собственные данные, а у вас сотрудник по работе загружает данные клиентов. Строить на таком объяснении защиту не стоит.
Согласие и политика обработки
С 1 сентября 2025 года согласие на обработку нужно оформлять отдельным документом (часть 1 статьи 9 в редакции закона № 156-ФЗ от 24.06.2025). По обзору ppt.ru, правило касается согласий, оформленных после этой даты. Одной галочки внутри договора или оферты уже мало.
Согласие — не единственное основание. Статья 6 называет и другие, например исполнение договора с клиентом (пункт 5 части 1). Но если переписку начали гонять через нейросеть для новой цели, скажем для аналитики, основание придётся искать заново. Есть и статья 18.1: она обязывает опубликовать политику обработки персональных данных с целями, категориями данных и способами обработки. Если клиентские данные проходят через нейросеть, напишите об этом в политике, а формулировку покажите юристу.
Штрафы
Суммы взяты из статьи 13.11 КоАП в редакции на 15 октября 2026 года, это выборка:
| Нарушение | Граждане | Должностные лица | Юрлица |
|---|---|---|---|
| ч. 1 — обработка в случаях, не допущенных законом | 10 000–15 000 ₽ | 50 000–100 000 ₽ | 150 000–300 000 ₽ |
| ч. 2 — обработка без нужного согласия или с согласием не по форме | 10 000–15 000 ₽ | 100 000–300 000 ₽ | 300 000–700 000 ₽ |
| ч. 8 — сбор данных без баз в России (локализация) | 30 000–50 000 ₽ | 100 000–200 000 ₽ | 1 000 000–6 000 000 ₽ |
| ч. 11 — не уведомили Роскомнадзор об утечке | 50 000–100 000 ₽ | 400 000–800 000 ₽ | 1 000 000–3 000 000 ₽ |
| ч. 12 — утечка данных 1 000–10 000 человек | 100 000–200 000 ₽ | 200 000–400 000 ₽ | 3 000 000–5 000 000 ₽ |
Полный перечень длиннее. За повторные нарушения и крупные утечки суммы выше, вплоть до оборотных штрафов от 1 до 3 % годовой выручки (ч. 15). Предприниматели по примечанию к статье отвечают как юрлица за части 1.1 и 8–18, в остальных случаях действуют общие правила КоАП. Для юрлица штрафы начинаются с сотен тысяч рублей, а по локализации и утечкам доходят до миллионов.
Как убрать из запроса сведения о клиенте
Обезличить, по статье 3, значит сделать так, чтобы без дополнительной информации нельзя было понять, чьи это данные. Дополнительная информация — ваша таблица соответствий («Клиентка 1» — такая-то Мария), и в чат она не попадает. Снова вымышленный пример:
Было: «Мария Петрова, +7 900 000-00-00, записана 14 октября в 18:00 на окрашивание к мастеру Ирине, пожаловалась на задержку на 40 минут. Напишите ответ».
Стало: «[Клиентка 1] записана [дата] на окрашивание, пожаловалась на задержку на 40 минут. Напишите ответ с извинением».
Готовый ответ вы читаете и подставляете в него настоящее имя уже в своём мессенджере. Если ответ нужен на публичный отзыв, у площадок свои правила, а шаблоны собраны в статье как отвечать на отзывы в Яндекс Картах и 2ГИС. Что ещё стоит учесть:
- меняйте не только имя и телефон, но и точный адрес, дату рождения и редкие подробности («единственная в районе клиентка с попугаем»): человека находят и без имени;
- вместо даты рождения хватит «около 40 лет», вместо суммы чека — «средний чек», если сумма не нужна;
- лишние столбцы таблицы удаляйте до загрузки: после неё поздно;
- скриншоты, PDF и записи звонков проверьте отдельно: персональные данные часто прячутся в углу кадра, в подписи или в имени файла;
- если без настоящих данных не обойтись, например нужно разобрать конкретный договор, чат не годится: с этим идут к юристу или в закрытое корпоративное решение.
Вручную всё это долго, и ошибаются обычно в спешке. Телефоны, почты и номера документов можно заменять автоматически, но результат всё равно просмотрите глазами.
Памятка для сотрудников
Её можно повесить у стойки администратора.
- В чат отправляйте только то, что показали бы незнакомому человеку на улице.
- Имя, телефон, почту, адрес, даты рождения, номера документов и карт заменяйте метками до отправки.
- Выгрузки из CRM, сканы, фото документов и записи звонков целиком не загружайте.
- Рабочие данные несите только в сервис, который одобрил руководитель, и только с рабочего аккаунта.
- Сомневаетесь, безопасен ли текст, — обезличьте сильнее или спросите, прежде чем отправлять.
- Диалоги с данными, которые больше не нужны, удаляйте, если сервис позволяет: история чата тоже хранилище.
- Ответ нейросети перечитывайте и правьте: в фактах и цифрах она может ошибиться. Как составить запрос, чтобы она не придумывала цены, — в статье пост нейросетью без выдуманных цен.
Что узнать у сервиса, прежде чем им пользоваться
- Кто оператор сервиса: какое юрлицо или ИП, где зарегистрировано и есть ли публичная оферта и политика обработки данных.
- Куда уходят запросы. Сервис российский, а модель зарубежная? Тогда передачу иностранному получателю делает сам сервис, и стоит спросить, как он её оформляет.
- Где хранятся данные и история диалогов и как их удалить.
- Обучается ли модель на ваших запросах. Это отдельный вопрос от локализации и трансграничной передачи: даже если не обучается, требования статей 12 и 18 никуда не деваются.
- Маскирует ли сервис персональные данные до отправки в модель и какие именно.
- Документы для бухгалтерии, если платит компания: договор, счёт, акт.
Частые вопросы
Можно ли вставить имя клиента без телефона?
Лучше заменить его меткой. Имя вместе с датой, местом и сутью обращения всё равно указывает на конкретного человека, а закон ставит «определяемого» на одну доску с «определённым».
В тарифе написано «данные не используются для обучения». Этого достаточно?
Нет. Так закрыт вопрос об обучении модели, но не о том, где данные хранятся и кому передаются: об этом говорят статья 18 и статья 12.
Это касается ИП и самозанятых?
Касается. Оператором по закону бывает физлицо, а ответственность ИП разбирают примечания к статье 13.11 КоАП.
Как это устроено в Maker
В чате Maker телефоны, почты, паспорта, номера карт и счетов, ИНН и СНИЛС заменяются метками до отправки в нейросеть, а данные хранятся на серверах в России. Имена людей не маскируются, поэтому лишнее о людях в задачу всё равно не вписывайте. Риск это снижает, но ответственность не снимает: оператором данных клиентов остаётесь вы. Подробности — на странице «Персональные данные», про сам чат — на странице «Нейросети без VPN». Как выбирать сервис вообще, разобрано в отдельной статье.
Это не юридическая консультация: в спорных случаях — к юристу.
Проверено: 15 октября 2026
Расскажите о бизнесе своими словами — Maker соберёт план, посты и баннеры в вашем стиле, с ценами только из ваших фактов.
Попробовать бесплатно
