ИИ и персональные данные: можно ли отдавать звонки нейросети
ИИ и персональные данные клиентов сталкиваются в отделе продаж каждый день: менеджер загружает расшифровку звонка в нейросеть, чтобы получить резюме или письмо клиенту, и вместе с текстом передаёт имя, телефон и детали сделки. Отвечает за это не менеджер и не сервис, а компания – она оператор персональных данных. Ниже – что говорит закон, какие сценарии рискованны и короткий регламент, который можно ввести за неделю.
Сколько сотрудников уже работают с нейросетями
Повод разобраться – свежий опрос НАФИ, опубликованный 27 октября 2026 года. В октябре аналитический центр опросил 1 619 россиян старше 18 лет, которые используют нейросети в работе. Результаты:
- 62% применяют нейросети «для большинства или практически для всех своих профессиональных задач»;
- 73% стали больше использовать ИИ для работы за последние полгода;
- 87% пользуются двумя и более сервисами из восьми, приведённых в опросе;
- чаще всех ИИ используют руководители: 52% – каждый или почти каждый день.
Среди сервисов опрошенные называют Алису AI (80%), ChatGPT (67%), ГигаЧат (58%), DeepSeek (41%) и Gemini (33%). Российские и зарубежные нейросети в одной и той же работе соседствуют: задачи распределяют между несколькими ассистентами.
Чего в опросе нет: НАФИ не спрашивал о персональных данных, корпоративных правилах и о том, загружают ли сотрудники записи разговоров. Но вывод для руководителя отдела продаж понятен и без этого: если сотрудники массово и по своей инициативе работают с несколькими нейросетями, вопрос не в том, попадут ли туда данные клиентов, а в том, по каким правилам.
ИИ и персональные данные: что говорит закон
В 152-ФЗ нет отдельной главы про нейросети, но к ним применяются общие правила. Для отдела продаж важны четыре нормы.
Локализация. По ч. 5 ст. 18 152-ФЗ запись, накопление, хранение и извлечение персональных данных граждан России «с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются». Это требование к базам, в которых данные записываются и хранятся. Передачу данных за рубеж закон регулирует отдельно – статьёй 12; в разборе на Sostav на этом различии сделан отдельный акцент.
Трансграничная передача. По ст. 12 152-ФЗ оператор «до начала осуществления деятельности по трансграничной передаче» обязан уведомить Роскомнадзор. Роскомнадзор утверждает перечень стран с адекватной защитой данных – от него зависит, какой режим передачи применяется.
Поручение обработки. Когда сервис обрабатывает данные по заданию компании, это поручение по ч. 3 ст. 6 152-ФЗ. Оно оформляется договором, где определены «перечень персональных данных, перечень действий (операций)… цели их обработки», обязанность соблюдать конфиденциальность и требования о локализации. Если менеджер загрузил звонок в личный аккаунт, такого договора между компанией и сервисом нет.
Цель обработки. Данные клиента собраны для сделки. Обработка, «несовместимая с целями сбора», – отдельный состав правонарушения.
Какие штрафы предусмотрены
Суммы из ст. 13.11 КоАП для юридических лиц. Индивидуальные предприниматели по этим частям отвечают как юрлица.
| Нарушение | Часть ст. 13.11 | Впервые | Повторно |
|---|---|---|---|
| Обработка, не предусмотренная законом или несовместимая с целями сбора | ч. 1 и 1.1 | 150-300 тыс. руб. | 300-500 тыс. руб. |
| Обработка без согласия, когда оно нужно | ч. 2 и 2.1 | 300-700 тыс. руб. | 1-1,5 млн руб. |
| Нарушение локализации баз данных | ч. 8 и 9 | 1-6 млн руб. | 6-18 млн руб. |
Какой состав применят в конкретном случае, решает регулятор и суд. Практики Роскомнадзора именно по загрузке данных в нейросети в открытых источниках пока нет, поэтому разумнее не проверять её на себе.
Можно ли передавать записи звонков нейросети
Запись и расшифровка разговора почти всегда содержат персональные данные: имя клиента, телефон, иногда адрес, состав заказа и договорённости. Поэтому ответ зависит от того, куда и на каких условиях уходит файл.
| Сценарий | Что происходит с данными | Оценка |
|---|---|---|
| Менеджер загружает звонок или расшифровку в личный аккаунт зарубежной нейросети | Передача данных зарубежному сервису без договора поручения; для такой передачи нужны основания и уведомление Роскомнадзора по ст. 12 | Не допускать |
| То же в личный аккаунт российской нейросети | Данные остаются в России, но договора поручения у компании нет; условия некоторых сервисов прямо запрещают загружать чужие персональные данные | Не допускать |
| Расшифровка без имён, телефонов и других идентификаторов | Риск ниже, но замена имени на условную метку не всегда делает данные обезличенными: клиента можно узнать по деталям сделки | Только по правилам, которые утвердила компания |
| Сервис анализа звонков, подключённый компанией по договору | Поручение обработки оформлено, известно, где хранятся и обрабатываются записи | Допустимо при правильном договоре |
По пересказу условий в разборе на Sostav, пользовательское соглашение GigaChat (п. 8.7) запрещает клиенту загружать персональные данные третьих лиц. Похожий запрет, по данным Нетологии, есть в условиях «Нейроюриста» Яндекса. Российский сервис сам по себе не решает вопрос: важны договор и условия, а не страна регистрации.
Отдельный вопрос – законность самой записи разговора и её оценки ИИ. Его мы разобрали в статье о прослушивании разговоров сотрудников.
Регламент для отдела продаж: что можно и что нельзя
Запретить нейросети целиком не получится: опрос НАФИ показывает, что сотрудники уже на них опираются. Работает короткий регламент, который менеджеры понимают с первого прочтения.
Шаг 1. Выясните, что уже происходит
Спросите менеджеров без поиска виноватых: какими нейросетями они пользуются, для каких задач и что туда загружают. Отдельно – руководителей групп: по данным НАФИ, именно руководители обращаются к ИИ чаще всех.
Шаг 2. Разделите данные на три группы
- Нельзя загружать в сервисы без договора: записи и расшифровки звонков, выгрузки из CRM, договоры, счета, переписку с клиентами, всё с именами, телефонами, почтой, адресами, реквизитами физлиц.
- Можно после очистки: фрагменты разговоров без имён, номеров и деталей, по которым узнаётся клиент, – например, формулировку возражения для подготовки ответа.
- Можно свободно: общие вопросы, шаблоны писем без данных клиента, тексты для обучения, скрипты.
Шаг 3. Назовите разрешённые инструменты
Перечислите сервисы, которые компания подключила по договору, и для каких задач каждый. Если для анализа звонков нужен ИИ, он должен работать в контуре, где компания знает место хранения записей и условия обработки. Как устроен такой анализ звонков, можно посмотреть на странице Convero.
Шаг 4. Проверьте договор с каждым сервисом
Вопросы поставщику:
- Где хранятся записи и расшифровки – в России или за рубежом?
- Есть ли договор поручения обработки с перечнем данных, действий и целей, как требует ч. 3 ст. 6 152-ФЗ?
- Используются ли ваши записи для обучения моделей?
- Передаются ли данные дальше – другим моделям или подрядчикам, в том числе за рубеж?
- Как удаляются записи по вашему запросу и в какие сроки?
Шаг 5. Зафиксируйте и обучите
Оформите правила приказом или положением, ознакомьте менеджеров под роспись и разберите на планёрке два-три примера из реальной работы: что можно отправить в нейросеть, а что – нет. Через месяц повторите опрос из шага 1.
Частые вопросы
Достаточно ли заменить имя клиента в расшифровке?
Не всегда. Замена имени на условную метку ещё не делает данные обезличенными – на это обращают внимание и практики. Если в тексте остались название компании, город, сумма сделки и дата звонка, клиента часто можно узнать и без имени.
Решает ли вопрос российская нейросеть?
Она снимает вопрос трансграничной передачи, но не остальные. Без договора поручения сервис обрабатывает данные клиентов не по поручению компании, а условия ряда российских сервисов прямо запрещают загружать персональные данные третьих лиц.
Есть ли штраф, если утечки не было?
Составы ст. 13.11 КоАП связаны с нарушением правил обработки, а не только с утечкой: обработка без оснований, без согласия или с нарушением локализации наказуема сама по себе. Утечка – отдельная история с собственными обязанностями и ответственностью.
Кто отвечает: менеджер или компания?
Оператором персональных данных клиентов является компания, поэтому требования закона адресованы ей, а штрафы для юрлиц самые крупные. По части нарушений КоАП предусматривает штрафы и для должностных лиц: например, за нарушение локализации – 100-200 тыс. руб. С сотрудником компания разбирается по своим внутренним правилам, поэтому их и нужно утвердить.
Нужно ли брать у клиента согласие на анализ звонка ИИ?
По ч. 3 ст. 6 152-ФЗ поручить обработку другому лицу оператор вправе с согласия субъекта, «если иное не предусмотрено федеральным законом». Сам подрядчик, по ч. 4 той же статьи, получать согласие не обязан. Нужно ли согласие в вашей схеме, зависит от оснований обработки – это стоит проверить с юристом по персональным данным.