152-ФЗ и нейросети: штрафы за персональные данные в ChatGPT и ответственность компании

Можно ли вставлять персональные данные в ChatGPT? Короткий ответ юриста: нет, если вы оператор ПДн и не заключили с OpenAI (или другим провайдером) соглашение об обработке по поручению. А поскольку серверы большинства ИИ-сервисов находятся за рубежом — добавляются требования о трансграничной передаче и локализации.

Что считается персональными данными

Категория	Примеры
Базовые ПДн	ФИО, телефон, email, адрес
Идентификаторы	паспорт, ИНН, СНИЛС, номера карт
Специальные	здоровье, биометрия, политические взгляды
Косвенные	IP-адрес, идентификаторы устройств

Достаточно одного элемента в тексте, чтобы вся вставка стала обработкой ПДн.

Ответственность в 2026 году

Нарушение	Штраф (юрлицо)	Штраф (должностное лицо)
Обработка без согласия / сверх целей	до 500 000 ₽	до 100 000 ₽
Передача третьим лицам без оснований	до 500 000 ₽	до 100 000 ₽
Неуведомление об утечке в 24 часа	до 500 000 ₽	до 100 000 ₽
Нет локализации БД граждан РФ	до 1 000 000 ₽	—

Плюс: внеплановая проверка, предписание, судебные иски от граждан (каждый пострадавший может требовать компенсацию морального вреда отдельно).

Три варианта работать с ИИ легально

Подход	Что делать	Минус
Полный запрет	запретить ИИ в регламентах	сотрудники обходят, риск остаётся
Договор с провайдером ИИ	B2B-соглашение об обработке, серверы в РФ	дорого, долго, не для всех ИИ
Анонимизация перед отправкой	скрыть ПДн до того, как текст уйдёт	модель не видит реальных данных

Третий вариант — самый быстрый и дешёвый: с момента анонимизации текст перестаёт быть персональными данными (определение из 152-ФЗ — сведения, относящиеся к определённому лицу; маркер [ФИО_1] к лицу не относится).

Как это выглядит в жизни

Юрист просит ChatGPT «сократить претензию». Расширение заменяет ФИО, ИНН, суммы на маркеры — до отправки.
Бухгалтер загружает акт сверки в ИИ для проверки — файл очищается локально, в чат уходит копия без реквизитов.
Ответ модели возвращается, у сотрудника маркеры раскрываются — документ готов.

Всё происходит на устройстве, без серверов посредников: НачекуAI работает как локальный фильтр.

Вывод

Штрафы за ПДн растут, а проверки после каждой громкой утечки становятся жёстче. Анонимизация на уровне браузера закрывает риск технически — независимо от того, прочитал ли сотрудник регламент.