Гайд от практиков

Закон об ИИ 2026 для бизнеса: что можно грузить в нейросети

Закон об ИИ 2026 для бизнеса: разбор 243-ФЗ и 265-ФЗ по тексту закона. Кого касается, надо ли маркировать контент, сколько стоят нарушения и что делать.

Дмитрий Попов 6 августа 2026 г. 16 мин чтения

#Право#Персональные данные#Безопасность#AI#Автоматизация#Гайды

Главы видео (10)

00:00 · Почему после закона об ИИ бизнесу пошли пугающие письма 01:30 · Главный риск: договор и выгрузка заказов в ChatGPT 03:10 · Кого касается закон: миллиард параметров и «разработчик»05:20 · Маркировка ИИ-контента: возможность, а не обязанность 08:00 · Откуда взялась шумиха вокруг закона 09:40 · Сколько на самом деле стоят нарушения 11:20 · Что происходит 1 сентября 2026 и 1 марта 2027 13:00 · Второй закон: трансграничная передача персональных данных 15:00 · Светофор данных: что грузить можно, а что нельзя 17:20 · Реестр РКН, обезличивание, пять документов и своя база

Определение

Федеральный закон от 26.07.2026 № 243-ФЗ регулирует не искусственный интеллект вообще, а большие фундаментальные модели: программы не менее чем с 1 миллиарда параметров. Обязанности он возлагает на разработчиков таких моделей и на тех, кто даёт к ним доступ другим. Компанию, которая просто пользуется ChatGPT или GigaChat, разработчиком это не делает. Новых штрафов закон не вводит.

Закон об ИИ 2026 для бизнеса начался не с закона, а с рассылок. Документ подписали 26 июля, а через неделю предпринимателям пошли письма: «ваш сайт не соответствует», «у вас нет уведомления», «штраф до 500 тысяч, но мы поможем оформить». Кто-то платит, не открывая сам текст.

Я открыл. Все 13 статей, плюс второй закон, который подписали в тот же день и про который почти никто не написал. Разбор занял вечер, и вывод получился неудобный для тех, кто рассылает эти письма: закон об ИИ большинству компаний не грозит ничем. Ни одного нового штрафа он не вводит.

Деньги стоит другое. Прямо сейчас ваш менеджер копирует выгрузку заказов с фамилиями и телефонами в ChatGPT, и отвечает за это компания. Норма старая, суммы новые, и к закону об ИИ она отношения не имеет.

Ниже разобрано, что означает закон об ИИ 2026 для бизнеса на самом деле, по состоянию на 6 августа 2026 года, и что из этого реально может стоить вам денег.

Коротко. Федеральный закон от 26.07.2026 № 243-ФЗ регулирует не искусственный интеллект вообще, а большие фундаментальные модели: программы не менее чем с 1 миллиарда параметров. Обязанности он возлагает на разработчиков таких моделей и на тех, кто даёт к ним доступ другим. Компанию, которая просто пользуется ChatGPT или GigaChat, разработчиком это не делает.

Дальше по пунктам:

обязательной маркировки ИИ-контента в законе нет: есть «возможность размещения» предупреждения (ст. 9 ч. 1);
собственных штрафов закон не вводит, вся ст. 11 — отсылка к действующему законодательству;
одна новая обязанность появится 1 марта 2027 года и только у тех, кто даёт доступ к модели своим клиентам (ст. 10);
настоящие деньги лежат во втором законе, № 265-ФЗ, и в ст. 13.11 КоАП: от 100 тысяч до 20 миллионов рублей на юрлицо, а за повторные утечки — процент от годовой выручки.

Закон об ИИ 2026 для бизнеса: кого он на самом деле касается

243-ФЗ регулирует отношения в сфере разработки, внедрения и применения больших фундаментальных моделей: программ не менее чем с 1 миллиарда параметров. Разработчик по закону — это ИП или юрлицо, которое такую модель проектирует, обучает или модифицирует. Пользуетесь чужой моделью — вы не разработчик, и обязанности статей 7 и 8 на вас не ложатся.

Что такое «большая фундаментальная модель»

Большая фундаментальная модель искусственного интеллекта — центральное понятие всего закона, и определено оно в статье 3 пункт 2. Определение длинное, но одна деталь в нём решает всё: программа должна содержать не менее 1 миллиарда параметров и применяться для выполнения большого количества различных задач, одновременно служа основой для создания и доработки другого программного обеспечения.

Чат-бот на сайте со сценарием ответов сюда не попадает. Скоринг заявок — тоже. Распознавание номеров на въезде — тоже. Подсказки в CRM — тоже. Всё это ИИ в бытовом смысле слова, но закон писали не про них.

Кто такой «разработчик» по букве закона

Статья 3 пункт 5: разработчик — это ИП или юрлицо, «осуществляющие разработку, в том числе проектирование и обучение, или модификацию» большой фундаментальной модели. Круг таких компаний в России узкий, и вы почти наверняка знаете их по названиям.

Метафора, которая закрывает вопрос: закон написали для завода, который делает машины. Вы водитель. У завода есть обязанности по конструкции, сертификации и отзыву партий. У вас — права и ремни безопасности.

Три даты, которые надо знать

Дата	Что происходит	Норма
1 сентября 2026	закон вступает в силу в общей части	ст. 13 ч. 1
1 марта 2027	вступают в силу п. 3–5 ч. 2 ст. 5, ч. 2–5 ст. 6, ст. 8–10	ст. 13 ч. 2
1 сентября 2032	до этой даты не применяются требования об исключительно суверенных и национальных моделях — но только к информационным системам с уже работающими БФМ и только при обработке и хранении данных в РФ	ст. 13 ч. 3

Первую дату обсуждают все, вторую почти никто, а третья вообще не про малый бизнес: отсрочка до 2032 года адресована владельцам информационных систем, где большие фундаментальные модели уже работают, и работает она при условии, что данные обрабатываются и хранятся в России.

Что делать вам: ничего. Проверьте себя по одному критерию — обучаете ли вы собственную модель на миллиард параметров. Нет? Раздел закрыт, идём к тому, что действительно касается.

Надо ли маркировать то, что написала нейросеть

Маркировка ИИ-контента по 243-ФЗ — право, а не обязанность. Статья 9 часть 1 говорит, что лицу, применяющему модель в целях создания информационного материала, «обеспечивается возможность размещения» информационного предупреждения. Обязанности маркировать в законе нет. Причём речь только об аудио- и визуальной форме, не о тексте.

Почему «возможность» это не «обязанность»

Дословно из закона:

«Лицу, применяющему большую фундаментальную модель искусственного интеллекта в целях создания информационного материала в аудио- и (или) визуальной форме, обеспечивается возможность размещения информационного предупреждения о применении технологий искусственного интеллекта.»

Обеспечивается вам. Не вами. Часть 2 добавляет, что формат, содержание и порядок размещения такого предупреждения «устанавливаются соглашением» между тем, кто применяет модель, и тем, кто даёт возможность её применять. То есть правила пишутся в вашем договоре с провайдером модели, а не в законе.

Кому маркировка всё-таки обязательна

Часть 3 статьи 9 адресована владельцам платформ с персональными страницами пользователей. Условия соединены через «и», то есть должны выполняться все сразу:

сайт, страница или программа предназначены и используются пользователями для распространения информации через созданные ими персональные страницы;
распространение идёт на государственном языке РФ, государственных языках республик или иных языках народов РФ;
на них может распространяться реклама, направленная на потребителей в России;
доступ к ним в течение суток составляет более 500 000 пользователей из России.

И даже при выполнении всех четырёх обязанность звучит иначе, чем её пересказывают: владелец платформы должен обеспечить пользователям возможность поставить пометку. Не маркировать за них и не заставлять всех маркировать.

Откуда взялась шумиха

Часть идей, которые обсуждались до принятия, в итоговый закон не вошла. В подписанном тексте 13 статей. Заголовки СМИ писались по проекту и по ожиданиям, а не по подписанному документу, и разошлись быстрее, чем сам текст закона.

Отдельно, как моё наблюдение, а не как норма: добровольная по закону маркировка станет обязательной по договору. Площадки и крупные заказчики впишут её в подрядные соглашения раньше, чем государство.

Практический вывод: не переделывайте контент-план и не лепите дисклеймеры на каждый пост. Один раз открыть пользовательское соглашение сервиса, которым пользуетесь, и посмотреть, что там написано про маркировку. Именно там теперь ваша обязанность или её отсутствие.

Единственная новая обязанность, и она наступает 1 марта 2027

Одна новая обязанность у обычной компании всё-таки возникает. Если вы даёте своим пользователям доступ к большой фундаментальной модели — встроенный ИИ-помощник, генератор текстов в личном кабинете, сервис расшифровки для клиентов, — вы обязаны уведомить их о правах на результат генерации и об условиях доступа к нему. Статья 10 вступает в силу 1 марта 2027 года.

Что говорит статья 10

Дословно: лица, предоставляющие возможность применения больших фундаментальных моделей, обязаны уведомить пользователя такой модели о двух вещах. Первое — о принадлежности прав на результаты интеллектуальной деятельности, полученные с помощью модели. Второе — об условиях обеспечения пользователю доступа, использования и сохранения этих результатов при наличии технической возможности.

Срок в статье 13 части 2: 1 марта 2027 года. Не сейчас. Не 1 сентября 2026.

Кого это не касается

Если нейросеть используют только сотрудники внутри компании, норма не применяется. Вы не даёте доступ к модели третьим лицам, значит уведомлять некого. Внутренний GPT для отдела продаж под статью 10 не подпадает.

Что дописать в пользовательское соглашение

Два абзаца, и оба короткие. Первый — кому принадлежат права на то, что сгенерировал ваш встроенный помощник. Второй — на каких условиях пользователь может этот результат получить, использовать, сохранить и выгрузить. Промпт, который собирает оба абзаца под ваш продукт, лежит во вкладке «Гайд» на этой же странице — но формулировки перед публикацией согласуйте с юристом, здесь шаблон из интернета не подойдёт.

Что делать вам: если в вашем продукте есть ИИ-функция для клиентов, поставьте себе напоминание на январь 2027 года и правьте соглашение заранее. Если нет, просто помните, что дата привязана к 2027-му, и не ведитесь на письма, где она стоит как «уже действует».

Почему все пугают штрафами и сколько нарушения стоят на самом деле

Собственных штрафов закон об ИИ не вводит. Вся статья 11 — одна отсылочная фраза: участники отношений несут ответственность в соответствии с законодательством Российской Федерации. Отдельных составов «за ИИ» в КоАП по состоянию на 6 августа 2026 года нет. Деньги стоят не нарушения закона об ИИ, а нарушения законодательства о персональных данных.

Статья 11 целиком

«За нарушение настоящего Федерального закона и принимаемых в соответствии с ним нормативных правовых актов участники отношений в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта несут ответственность в соответствии с законодательством Российской Федерации.»

Это вся статья. Ни новых составов, ни сумм, ни отсылок к конкретным нормам. Когда вам пишут про «штрафы по новому закону об ИИ», просите назвать статью. Её нет.

Что действительно стоит денег: статья 13.11 КоАП

Штрафы за утечку персональных данных начинаются с 3 млн ₽ и доходят до процента от годовой выручки. Суммы ниже — для юридических лиц. Источник санкций по частям 10–18 — Федеральный закон от 30.11.2024 № 420-ФЗ.

Норма ст. 13.11 КоАП	Нарушение	Штраф на юрлицо
ч. 1	обработка ПДн в случаях, не предусмотренных законом, либо несовместимая с целями сбора	150 000 – 300 000 ₽
ч. 1¹	обработка ПДн без письменного согласия, когда оно требуется	300 000 – 500 000 ₽
ч. 8	база с ПДн граждан РФ находится не на территории России	1 000 000 – 6 000 000 ₽
ч. 9	то же, повторно	6 000 000 – 18 000 000 ₽
ч. 10	не уведомили Роскомнадзор о намерении обрабатывать ПДн	100 000 – 300 000 ₽
ч. 11	не уведомили РКН об утечке	1 000 000 – 3 000 000 ₽
ч. 12	утечка данных 1 000 – 10 000 субъектов	3 000 000 – 5 000 000 ₽
ч. 13	утечка 10 000 – 100 000 субъектов	5 000 000 – 10 000 000 ₽
ч. 14	утечка более 100 000 субъектов	10 000 000 – 15 000 000 ₽
ч. 15	повторно по ч. 12–14	1–3 % годовой выручки, не менее 20 млн и не более 500 млн ₽
ч. 16	утечка специальной категории ПДн	10 000 000 – 15 000 000 ₽
ч. 17	утечка биометрических ПДн	15 000 000 – 20 000 000 ₽
ч. 18	повторно по ч. 16–17	1–3 % годовой выручки, не менее 25 млн и не более 500 млн ₽

Две строки в этой таблице стоят вашего вечера. Часть 10 — самый дешёвый в устранении риск: уведомление в Роскомнадзор подаётся за один вечер, а отсутствие компании в открытом реестре находится за секунды. Часть 8 — самый дорогой: от миллиона рублей за то, что база клиентов лежит в чужой юрисдикции.

Смягчение, о котором почти не пишут

По частям 15 и 18 штраф назначается в размере 1/10 минимального (но не менее 15 млн и не более 50 млн ₽), если оператор одновременно выполнил три условия: тратил на информационную безопасность не менее 0,1 % годовой выручки, документально подтверждённо соблюдал требования к защите ПДн в течение 12 месяцев до выявления нарушения и не имеет отягчающих обстоятельств. Норма — часть 3⁴⁻² статьи 4.1 КоАП, введена тем же 420-ФЗ.

Обратите внимание на слово «документально». Не «мы старались», а бумаги с датами.

Как отличить рассылку-пугалку от реальной претензии

Требования по персональным данным выставляет Роскомнадзор, а штраф назначает суд или должностное лицо по протоколу. Частная компания не может ни оштрафовать вас, ни «согласовать снижение штрафа». Три проверки за минуту:

в письме названа конкретная часть конкретной статьи КоАП или только «до 500 тысяч»;
отправитель — государственный орган с официального домена или ООО с формой оплаты;
вам предлагают устранить нарушение самостоятельно или заплатить посреднику.

Если вторая и третья проверки дали «ООО» и «заплатить» — перед вами коммерческое предложение, оформленное как угроза. Устраняйте нарушение сами, платить посреднику не за что.

Что делать вам: прямо сейчас проверить компанию по частям 10 и 8. Первое закрывается формой на сайте Роскомнадзора, второе — переносом базы. Остальные строки таблицы для малого бизнеса скорее теоретические.

Второй закон, про который молчат: 265-ФЗ и трансграничная передача

В тот же день, 26 июля 2026 года, подписали второй закон — № 265-ФЗ, который правит статью 12 закона о персональных данных. Он вступил в силу сразу, со дня опубликования. Раньше членство страны в Конвенции Совета Европы само по себе означало адекватную защиту данных. Теперь ориентир остался один — перечень Роскомнадзора.

Что именно изменилось

Было: страна считалась обеспечивающей адекватную защиту прав субъектов ПДн, если она сторона Конвенции Совета Европы либо входит в перечень Роскомнадзора. Членство в Конвенции работало как самостоятельное основание.

Стало: это самостоятельное основание из статьи 12 убрано. Соответствие Конвенции превратилось из отдельного основания в критерий включения страны в перечень. Остался один ориентир — сам перечень.

Разница выглядит юридической мелочью, а на практике меняет процедуру: раньше можно было свериться со списком стран Конвенции, теперь только с подзаконным актом, который ведёт регулятор и который меняется быстрее, чем закон.

Почему это касается компании из пяти человек

Когда менеджер вставляет в ChatGPT договор или выгрузку заказов с фамилиями и телефонами, файл физически уходит за пределы России. Это трансграничная передача персональных данных, и к ней применяются условия статьи 12 152-ФЗ. Обязанности по этому закону адресованы оператору — то есть компании, а не менеджеру, который нажал Ctrl+V.

Отдельной статьи «штраф за отправку данных в ChatGPT» в КоАП нет: слово «трансграничная» в статье 13.11 не встречается вообще. Юристы квалифицируют такие ситуации по общей части 1 статьи 13.11 — от 150 000 до 300 000 ₽ на юрлицо. Это позиция юристов, а не прямая норма, и подавать её честнее именно так.

Перечень Роскомнадзора: где смотреть и что там сейчас

По состоянию на 6 августа 2026 года действует приказ Роскомнадзора от 05.08.2022 № 128 в первоначальной редакции: 89 государств, из них 55 сторон Конвенции и 34 страны вне её. США в перечень не входят. Китайская Народная Республика в перечне есть, она прямо поименована во втором разделе.

Только читайте это правильно: перечень составлен из государств, а не из моделей и сервисов. «Разрешённых нейросетей» в нём нет и быть не может. И даже наличие страны в перечне не отменяет остальных требований статьи 12 152-ФЗ: основание обработки, согласие субъекта, отдельное уведомление о трансграничной передаче по части 3 статьи 12.

⚠️ 3 августа 2026 года Роскомнадзор опубликовал на портале проектов НПА проект нового приказа о пересмотре перечня. Логика понятна: после 265-ФЗ членство в Конвенции больше не даёт автоматического попадания, поэтому список может сократиться. Перед принятием решений проверяйте актуальную редакцию, а не пересказ в статьях, включая эту.

Что говорит практика

Публично известных дел, штрафов или предписаний Роскомнадзора к российским компаниям именно за передачу персональных данных в зарубежные ИИ-сервисы на август 2026 года не найдено. Практика ещё не сформирована, и первый кейс станет ориентиром для всех остальных.

Одно судебное дело по смежному сюжету всё же есть, и его стоит понимать точно, потому что пересказывают его неверно. Бабушкинский районный суд Москвы, гражданское дело № 02-1545/2026: суд признал законным увольнение директора по продажам за разглашение коммерческой тайны. Одним из эпизодов была выгрузка отчётов из внутреннего Power BI в DeepSeek. Четыре уточнения, без которых дело звучит не так:

это районный суд первой инстанции, а не Мосгорсуд; истица публично заявила об обжаловании, решение не окончательное;
спор трудовой, о коммерческой тайне по ТК РФ, а не о персональных данных и не о 152-ФЗ; Роскомнадзор в деле не участвовал;
иск удовлетворён частично: в восстановлении на работе и выплате 5 млн отказано, но дисциплинарное замечание отменено и взыскано 10 000 ₽ морального вреда;
DeepSeek был не единственным и не главным каналом: основной массив — пересылка корпоративной переписки, тендерной документации и файла с зарплатами на личную почту в скрытой копии.

Вывод из дела всё равно рабочий, просто другой: суд смотрит на внутренние документы компании.

Ваш следующий шаг: подать отдельное уведомление о трансграничной передаче (часть 3 статьи 12 152-ФЗ, подаётся до начала передачи) и проверить актуальную редакцию перечня перед тем, как принимать решение о сервисе. Не по чужому пересказу.

Что можно и что нельзя грузить в нейросеть: светофор по типам данных

Пользоваться ChatGPT можно, без чужих персональных данных внутри. Идеи, тексты без имён, описания товаров, скрипты продаж, маркетинговые исследования грузите свободно. Договоры, переписку с клиентом и отзывы — только после удаления имён и контактов. А вот что нельзя загружать в нейросеть вообще: сканы паспортов и выгрузки заказов с телефонами. Персональные данные в нейросети попадают одним движением мыши, и обратно их уже не вернуть.

Таблица ниже — операционное правило, выведенное из требований 152-ФЗ, а не цитата из закона. Норма нигде не перечисляет «скрипты продаж» и «выгрузки заказов». Логика простая: как только по тексту можно опознать конкретного живого человека, начинается обработка персональных данных со всеми последствиями.

🟢 Можно как есть	🟡 Можно после обезличивания	🔴 Нельзя в облачную модель
идеи, гипотезы, план	договор с контрагентом	скан паспорта, ИНН физлица
тексты без имён	переписка с клиентом	выгрузка заказов с ФИО и телефонами
описания товаров	отзывы с именами покупателей	база сотрудников, зарплаты
скрипты продаж	коммерческое предложение с реквизитами	медицинские и биометрические данные
маркетинговое исследование, обзор рынка	акт, счёт, спецификация	доступы, ключи API, выгрузки из банка

Скрытая колонка никуда не девается

Правило, которое нарушают почти все. Столбец с ФИО в Excel нужно удалить, а не скрыть. Скрытая колонка остаётся в файле, уезжает вместе с ним и прекрасно читается моделью. То же самое с примечаниями, историей правок и вторым листом книги, про который забыли. Порядок: сохранить копию, удалить колонки в копии, отправить копию.

Кнопка «Поделиться» — тихий канал утечки

Публичная ссылка на чат доступна всем в интернете и попадает в индекс поисковых систем вместе со всем содержимым чата. Кнопка есть во всех крупных сервисах, нажимается в один клик, и человек, который её нажал, обычно вообще не понимает, что сделал.

Запрещается она письменным регламентом, а не устной договорённостью: устная договорённость не приобщается к материалам дела. И отдельно пройдите по уже созданным публичным ссылкам в аккаунтах команды.

Что делать вам: распечатать светофор и повесить рядом с рабочими местами. Готовая памятка на одну страницу A4 с вашими реквизитами собирается во вкладке «Гайд» и печатается в один клик.

Как закрыть риск за один вечер: 7 шагов

Базовая защита собирается за вечер и закрывает самый дешёвый по деньгам и самый частый риск: штраф от 100 до 300 тысяч рублей за отсутствие уведомления в Роскомнадзоре. Дальше идут настройки моделей, обезличивание через код, комплект из пяти документов и лист ознакомления сотрудников, чтобы за нарушение отвечал тот, кто его допустил.

1. Проверьте себя в реестре операторов персональных данных. Откройте портал персональных данных Роскомнадзора, найдите поиск по реестру операторов, введите ИНН. Не нашли себя, а данные собираете — подавайте уведомление. Закрывает часть 10 статьи 13.11 КоАП: 100–300 тыс. ₽ на юрлицо.

Здесь же ловушка, о которой почти никто не знает. Отговорка «мы обрабатываем данные только своих сотрудников» больше не работает: пункты 1–6 части 2 статьи 22 152-ФЗ утратили силу с 1 сентября 2022 года. Осталось три исключения: государственные информационные системы для безопасности государства и общественного порядка, обработка исключительно без средств автоматизации и транспортная безопасность. Есть хоть один сотрудник, чьи данные вы ведёте в электронном виде — уведомление подавать надо.

2. Выключите обучение на ваших данных. В личном тарифе ChatGPT переключатель «Улучшать модель для всех» в разделе управления данными включён по умолчанию. Выключите. На корпоративных тарифах обучение на данных пользователя отключено по умолчанию, но тариф дороже, и это отдельная строка бюджета: сколько на самом деле стоит держать AI-команду в России — там же про подписки и токены.

3. Пользуйтесь временным чатом для разовых задач. Обработать один договор, разобрать одну выгрузку: история не сохраняется. Компромисс честный, у вас этот чат тоже не останется.

4. Запретите кнопку «Поделиться» регламентом и проверьте уже созданные публичные ссылки. Пять минут работы, закрывает канал, через который утекает больше, чем через взломы.

5. Обезличивайте подменой, а не на глаз. Обезличивание данных делается кодом до отправки, а не самой нейросетью: модель не спрячет то, что уже получила. После ответа значения подставляются обратно по словарю соответствий. Одинаковое значение всегда получает один и тот же плейсхолдер, иначе ответ невозможно собрать обратно. Промпт, который генерирует такой Python-скрипт, лежит во вкладке «Гайд». Там же работает обезличиватель прямо в браузере, без установки.

6. Соберите пять документов. Политика обработки ПДн на сайте · текст согласия рядом с формой · приказ об утверждении регламента · регламент использования нейросетей · лист ознакомления с подписями сотрудников.

Лист ознакомления — тот документ, ради которого собирается весь комплект. Он переводит ответственность за нарушение на того, кто его допустил. Пока подписи нет, «мы же всех предупреждали» существует только на словах. По содержанию регламента помогут принципы работы с AI-агентами, которые стоит зашить в регламент: что делегируем модели, что оставляем человеку, где ставим точку контроля.

7. Проверьте, где физически лежит база. Облачный Supabase и любой зарубежный managed-хостинг базы означают, что данные клиентов хранятся за пределами РФ. Это часть 8 статьи 13.11 КоАП: от 1 до 6 млн ₽ на юрлицо, повторно от 6 до 18 млн. Решение — self-hosted-инстанс на VPS в российской юрисдикции. Свои проекты я держу на Beget, подойдёт любой российский провайдер.

Одна деталь, которую пропускают: данные должны попадать в российскую базу первыми. Схема «собрали в зарубежном сервисе, потом синхронизировали в Россию» требование локализации не закрывает. И честная оговорка: перенос базы в РФ закрывает вопрос физического места хранения. Остальные требования 152-ФЗ (основание обработки, согласие, уведомление, меры защиты) он не закрывает, их считают отдельно.

Памятка для сотрудников на одну страницу

Документы лежат в папке, а сотрудник работает в браузере. Поэтому поверх регламента нужна памятка A4: три блока — что грузить свободно, что нельзя никогда, как обезличивать. Повесить рядом с рабочим местом, приложить к листу ознакомления. Готовый шаблон с вашими реквизитами печатается из вкладки «Гайд» в один клик.

Куда это ведёт дальше

Семь шагов закрывают базовый слой: самое частое и самое дешёвое в устранении. Гарантии, что к вам не придут, они не дают — 152-ФЗ шире этих семи пунктов, и по вашей ситуации его считает юрист. Дальше начинается то, ради чего вообще стоит наводить этот порядок: своя база знаний и локальные модели.

Юридический аргумент тут вообще второй по важности. Пока переписка, наработки и контекст компании живут внутри чужого чата, вы ими не владеете. Заблокировали аккаунт — данные оттуда не забрать. Когда база ваша, к ней можно подключить любую модель, менять модели местами и накапливать контекст о компании годами. Для чувствительных задач следующий шаг — локальная модель на своём железе, где вопрос трансграничной передачи не возникает в принципе.

Как выстроить этот переход по шагам, а не точечными подключениями, разобрано отдельно: как выстроить внедрение ИИ по шагам, а не точечными подключениями.

Что делать вам: пройти шаги 1, 4 и 6 сегодня вечером. Шаги 2, 3, 5 — завтра с командой. Шаг 7 — поставить в план на ближайший месяц, он требует рук разработчика.

Частые вопросы

Закон об ИИ 243-ФЗ касается моей компании, если я просто пользуюсь ChatGPT? Обязанности 243-ФЗ адресованы разработчикам больших фундаментальных моделей и тем, кто даёт к ним доступ другим. Разработчик по статье 3 пункт 5 — это ИП или юрлицо, которое модель проектирует, обучает или модифицирует. Компания, которая пользуется чужой моделью через подписку, под это определение не подпадает.

Надо ли маркировать посты и картинки, сделанные нейросетью? Обязательной маркировки ИИ-контента в 243-ФЗ нет. Статья 9 часть 1 говорит, что лицу, применяющему модель, «обеспечивается возможность размещения» информационного предупреждения. Это право, а не обязанность, и речь только об аудио- и визуальной форме, не о тексте. Формат предупреждения устанавливается соглашением с тем, кто даёт доступ к модели.

Какие штрафы ввёл закон об ИИ? Ни одного. Вся статья 11 закона — одна фраза: участники отношений несут ответственность в соответствии с законодательством Российской Федерации. Отдельных составов «за ИИ» в КоАП по состоянию на 6 августа 2026 года нет. Деньги стоят нарушения законодательства о персональных данных, и стоили они их до 26 июля 2026 года.

Что изменится 1 сентября 2026 года? С 1 сентября 2026 года 243-ФЗ вступает в силу в общей части (статья 13 часть 1). Обязанностей для компании, которая просто пользуется нейросетями, эта дата не создаёт. Пункты 3–5 части 2 статьи 5, части 2–5 статьи 6 и статьи 8–10 вступают в силу позже, с 1 марта 2027 года.

Можно ли загружать договор с ФИО клиента в ChatGPT? Только после удаления имён, контактов и реквизитов сторон. Договор с персональными данными, отправленный в зарубежный сервис, уходит за пределы РФ, и это трансграничная передача персональных данных со всеми условиями статьи 12 152-ФЗ. Обязанности по этому закону адресованы оператору — то есть компании, а не сотруднику, который нажал кнопку.

Что такое трансграничная передача персональных данных и почему отправка файла в ChatGPT — это она? Трансграничная передача — это передача персональных данных на территорию иностранного государства. Когда файл с фамилиями и телефонами уходит в сервис, серверы которого стоят за пределами России, данные физически покидают страну. Условия такой передачи описаны в статье 12 152-ФЗ, и с 26 июля 2026 года они изменились по 265-ФЗ.

Что грозит, если сотрудник загрузил данные клиентов в нейросеть без разрешения? Ответственность перед регулятором несёт оператор, то есть компания. Отдельного состава «за отправку данных в ChatGPT» в КоАП нет; юристы квалифицируют такие ситуации по части 1 статьи 13.11 КоАП — от 150 000 до 300 000 ₽ на юрлицо. Подписанный лист ознакомления с регламентом переводит внутреннюю ответственность на нарушителя.

Что со всем этим делать

Если сводить закон об ИИ 2026 для бизнеса к одной строке: он не ввёл ни одного нового штрафа. Деньги стоят не нарушения закона об ИИ, а нарушения закона о персональных данных, и стоили они их и до 26 июля.

Самый дорогой риск в вашей компании — не закон об ИИ, а менеджер, который прямо сейчас грузит выгрузку заказов в чужой дата-центр. Закрывается это не юристом за 200 тысяч, а одним вечером: проверка в реестре, три настройки в сервисе, пять документов и подписи сотрудников.

Первоисточники, по которым всё сверено, чтобы вы могли проверить меня, а не верить на слово: 243-ФЗ, 265-ФЗ, 420-ФЗ с санкциями статьи 13.11 КоАП, статьи 12 и 22 152-ФЗ в актуальной редакции, портал персональных данных Роскомнадзора.

Это разбор практика, а не юридическая консультация. Я предприниматель, который читает законы, потому что они касаются моих денег, и делюсь тем, что вычитал и проверил (кто я и чем занимаюсь). По вашей конкретной ситуации решение принимает юрист, который видит ваши договоры, процессы и данные. Материал актуален на 6 августа 2026 года; контрольные точки для пересмотра — 1 сентября 2026 и 1 марта 2027, плюс новая редакция перечня Роскомнадзора, проект которой опубликован 3 августа 2026.

А теперь практика. Во вкладке «Гайд» на этой странице лежит то, что превращает статью в сделанную работу: обезличиватель, который прячет ФИО, телефоны и паспорта прямо в браузере и возвращает их обратно в ответ нейросети; шесть промптов под уведомление в РКН, аудит сайта, скрипт обезличивания, пользовательское соглашение и оба комплекта документов; памятка сотруднику и лист ознакомления, которые печатаются с вашими реквизитами в один клик. Реквизиты вводятся один раз и сами подставляются везде.

👉 Открыть пошаговый гайд

Интерактивный гайд · 4 части · 15 шагов

Закон об ИИ 2026 для бизнеса: что можно грузить в нейросети

Что внутри

Проверка за 5 минут — есть ли вы в реестре операторов ПДн и не попадаете ли под штраф 100–300 тыс. ₽
Обезличиватель прямо в браузере — прячет ФИО, телефоны, ИНН и паспорта в тексте и возвращает их обратно в ответ нейросети
6 промптов под ChatGPT, Claude или DeepSeek: уведомление в РКН, аудит сайта, скрипт обезличивания, пользовательское соглашение, комплект документов компании и комплект для сотрудников
Памятка сотруднику и лист ознакомления — открываются и печатаются в один клик, с вашими реквизитами
Разбор, где физически лежит ваша база — и почему облачный Supabase может стоить от 1 млн ₽
Реквизиты вводятся один раз и сами подставляются во все промпты и документы

Шаг 1. Проверьте себя за 5 минут

Инструмент: Реестр Роскомнадзора + ChatGPT

1.0

Шаг 1.0

Заполните реквизиты один раз

Подготовка

Реквизиты компании

Заполните и нажмите «Подставить во все промпты» — данные разойдутся по всем промптам и документам гайда. Дальше по шагам ничего вводить не придётся.

Полное наименование {{КОМПАНИЯ}} Краткое наименование {{КРАТКОЕ_НАЗВАНИЕ}} ИНН {{ИНН}} ОГРН / ОГРНИП {{ОГРН}} Юридический адрес {{АДРЕС}} Сайт {{САЙТ}} E-mail для обращений {{EMAIL}} ФИО руководителя {{РУКОВОДИТЕЛЬ}} Должность руководителя {{ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ}} Ответственный за обработку ПДн {{ОТВЕТСТВЕННЫЙ}} Его должность {{ДОЛЖНОСТЬ_ОТВЕТСТВЕННОГО}}

Реквизиты сохраняются только в вашем браузере (localStorage). На сервер COMANDOS они не отправляются — можете проверить во вкладке «Сеть» в DevTools.

1.1

Шаг 1.1

Есть ли вы в реестре операторов персональных данных

Действия

Откройте портал персональных данных Роскомнадзора
Найдите поиск по реестру операторов и введите свой ИНН
Если компания нашлась — проверьте, что сведения актуальны: адрес, цели, категории данных
Если не нашлась и вы собираете хоть какие-то персональные данные — подавайте уведомление через форму на портале
Отдельно проверьте, подано ли уведомление о трансграничной передаче — это отдельный документ по ч. 3 ст. 12 152-ФЗ

Важно

Не уведомили Роскомнадзор до начала обработки — ч. 10 ст. 13.11 КоАП: от 100 000 до 300 000 ₽ на юрлицо. Это самый дешёвый в устранении и самый заметный снаружи риск: заполняется за вечер, а находится по открытому реестру за секунды.

Подсказка

Частое заблуждение: «мы обрабатываем данные только своих сотрудников, значит уведомление не нужно». Это исключение отменено с 1 сентября 2022 года — пункты 1–6 части 2 ст. 22 152-ФЗ утратили силу по ФЗ от 14.07.2022 № 266-ФЗ. Остались три исключения: государственные информационные системы в сфере безопасности, обработка полностью без средств автоматизации и транспортная безопасность.

1.2

Шаг 1.2

Промпт: сформировать содержание уведомления в Роскомнадзор

Промпт → ChatGPT / Claude / GigaChat

Ты — юрист по персональным данным. Помоги заполнить уведомление об обработке персональных данных для Роскомнадзора.

Мои данные:
Организация: {{КОМПАНИЯ}}
ИНН: {{ИНН}}
ОГРН: {{ОГРН}}
Юридический адрес: {{АДРЕС}}
Сайт: {{САЙТ}}
E-mail для обращений субъектов ПДн: {{EMAIL}}
Руководитель: {{ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ}} {{РУКОВОДИТЕЛЬ}}
Ответственный за организацию обработки ПДн: {{ДОЛЖНОСТЬ_ОТВЕТСТВЕННОГО}} {{ОТВЕТСТВЕННЫЙ}}

Чем занимается компания: [ОПИШИТЕ ОДНИМ-ДВУМЯ ПРЕДЛОЖЕНИЯМИ]
Чьи данные обрабатываем: [например: клиенты — физические лица, сотрудники, соискатели, подписчики рассылки]
Где собираем: [сайт, CRM, мессенджеры, бумажные анкеты, телефония]

Сформируй готовые формулировки для содержательных полей уведомления по ст. 22 Федерального закона № 152-ФЗ:
1. Цель обработки персональных данных
2. Правовое основание обработки — со ссылками на конкретные нормы
3. Категории персональных данных — перечисли конкретные поля, а не общие слова
4. Категории субъектов персональных данных
5. Перечень действий с персональными данными и способы обработки
6. Описание мер по обеспечению безопасности — по ст. 18.1 и ст. 19 152-ФЗ
7. Дата начала обработки персональных данных
8. Срок или условие прекращения обработки
9. Сведения о трансграничной передаче: есть или нет, в какие страны, на каком основании
10. Сведения о месте нахождения баз данных персональных данных граждан РФ

Формат: под каждым пунктом — готовый текст, который я скопирую в форму. Без пояснений и без воды.

Важно: ничего обо мне не выдумывай. Если данных не хватает — задай все уточняющие вопросы одним списком до того, как начнёшь.

Результат

На выходе — готовые формулировки под каждое поле формы. Останется скопировать их в уведомление на портале Роскомнадзора и отправить.

1.3

Шаг 1.3

Промпт: аудит своего сайта на соответствие 152-ФЗ

Промпт → ChatGPT с веб-поиском

Ты — аудитор по 152-ФЗ. Проверь мой сайт {{САЙТ}} на соответствие требованиям законодательства о персональных данных. Зайди на сайт и посмотри, что там есть на самом деле.

Оператор: {{КОМПАНИЯ}}, ИНН {{ИНН}}, адрес {{АДРЕС}}.

Дай отчёт таблицей: «Требование | Есть / Нет / Частично | Что конкретно исправить».

Проверь:
1. Есть ли политика обработки персональных данных и открывается ли ссылка на неё с любой страницы
2. Назван ли в политике оператор с полными реквизитами: наименование, ИНН, юридический адрес
3. Есть ли отдельное согласие на обработку ПДн у каждой формы, где собираются данные
4. Отделено ли согласие на рекламную рассылку от согласия на обработку персональных данных
5. Есть ли чекбокс согласия и не проставлен ли он заранее
6. Указаны ли цели обработки и срок хранения данных
7. Сказано ли, кому данные передаются: подрядчики, сервисы аналитики, CRM, рассылки
8. Указан ли адрес для запросов субъектов персональных данных
9. Есть ли уведомление об использовании cookie и систем аналитики
10. Названы ли зарубежные сервисы, в которые уходят данные, и есть ли основание для трансграничной передачи

В конце — список из трёх первоочередных действий по убыванию риска, с оценкой, сколько времени займёт каждое.

Если чего-то на сайте не видишь — так и пиши «не найдено». Не додумывай.

Подсказка

Примерно так и работают компании, которые рассылают «письма счастья»: автоматически проходят по сайтам, находят несоответствия и предлагают заплатить за молчание. Проверьте себя раньше них — отчёт по этому промпту закрывает большую часть их аргументов.

Шаг 2. Закройте утечку через нейросети

Инструмент: ChatGPT · Claude · DeepSeek

2.1

Шаг 2.1

Три настройки, которые закрывают большинство утечек

Действия

Отключите обучение на ваших данных. В ChatGPT: Настройки → Управление данными → выключить «Улучшать модель для всех». В личных тарифах этот тумблер по умолчанию включён, в корпоративных — выключен
Запретите кнопку «Поделиться». Публичная ссылка на чат доступна всему интернету и попадает в индекс поисковиков — вместе со всем, что в этот чат загрузили
Приучите команду к временным чатам. Значок временного чата рядом с выбором модели: переписка не попадает в историю и не используется для обучения
Пройдите те же три пункта в каждом сервисе, которым пользуется команда, а не только в ChatGPT

Важно

Кнопка «Поделиться» — недооценённый канал утечки. Запретите её регламентом, а не устной договорённостью: устная договорённость не приобщается к материалам дела.

2.2

Шаг 2.2

Что можно и что нельзя отправлять в нейросеть

Простое правило: можно всё, что не позволяет опознать конкретного человека. Как только в тексте появляется живой человек — обезличивайте.

Что отправляем	Можно?	Что сделать перед отправкой
Идеи, тексты без имён, описания товаров, скрипты продаж, маркетинговые гипотезы	Да	Ничего
Публичная информация, открытые данные, ваши собственные материалы	Да	Ничего
Договор, коммерческое предложение, переписка с клиентом	Да, обезличенным	Убрать ФИО, телефоны, адреса, реквизиты сторон
Выгрузка заказов, база клиентов, таблица с контактами	Да, обезличенной	Удалить колонки с ФИО и контактами, а не скрыть их
Резюме, анкеты, данные сотрудников	Да, обезличенными	Убрать ФИО, контакты, дату рождения, адрес
Скан паспорта, СНИЛС, медицинские сведения, биометрия	Нет	Не загружать в облачные сервисы вообще
Доступы, ключи API, пароли, выгрузки из банка	Нет	Не загружать никуда

Что отправляем

Идеи, тексты без имён, описания товаров, скрипты продаж, маркетинговые гипотезы

Можно?

Да

Что сделать перед отправкой

Ничего

Что отправляем

Публичная информация, открытые данные, ваши собственные материалы

Можно?

Да

Что сделать перед отправкой

Ничего

Что отправляем

Договор, коммерческое предложение, переписка с клиентом

Можно?

Да, обезличенным

Что сделать перед отправкой

Убрать ФИО, телефоны, адреса, реквизиты сторон

Что отправляем

Выгрузка заказов, база клиентов, таблица с контактами

Можно?

Да, обезличенной

Что сделать перед отправкой

Удалить колонки с ФИО и контактами, а не скрыть их

Что отправляем

Резюме, анкеты, данные сотрудников

Можно?

Да, обезличенными

Что сделать перед отправкой

Убрать ФИО, контакты, дату рождения, адрес

Что отправляем

Скан паспорта, СНИЛС, медицинские сведения, биометрия

Можно?

Нет

Что сделать перед отправкой

Не загружать в облачные сервисы вообще

Что отправляем

Доступы, ключи API, пароли, выгрузки из банка

Можно?

Нет

Что сделать перед отправкой

Не загружать никуда

Подсказка

Про таблицы отдельно: скрытая колонка в Excel никуда не исчезает. Она остаётся в файле, и модель её прочитает. Колонку нужно именно удалить и сохранить копию файла.

2.3

Шаг 2.3

Обезличьте текст прямо здесь

Инструмент

Обезличиватель персональных данных

Вставьте договор, выгрузку заказов или переписку — инструмент найдёт персональные данные и заменит их на переменные. Отправляйте в нейросеть обезличенный текст, а ответ модели вставьте во вкладку «Вернуть данные»: реальные значения подставятся обратно.

Исходный текст

Обезличенный текст — его и отправляйте в нейросеть

Что спрятано 0

Переменная	Тип	Исходное значение

Эта таблица существует только в памяти вкладки. Закроете страницу — соответствия исчезнут, и «Вернуть данные» уже не сработает. Так и задумано.

Сначала обезличьте текст во вкладке «Спрятать данные» — тогда здесь появится возможность вернуть реальные значения в ответ нейросети.

Ответ нейросети (с переменными)

Готовый текст с реальными данными

Всё считается в вашем браузере. Текст и таблица соответствий никуда не отправляются, не сохраняются и исчезают при закрытии вкладки.

Подсказка

Проверьте результат глазами перед отправкой. Автоматика ловит типовые форматы — ФИО, телефоны, ИНН, паспорта, счета, адреса, — но редкие и нестандартные написания может пропустить. Обезличиватель экономит время, а не заменяет внимание.

2.4

Шаг 2.4

Промпт: скрипт обезличивания для потока документов

Промпт → ChatGPT / Claude

Ты — Python-разработчик. Напиши скрипт обезличивания персональных данных для отправки текстов и таблиц в языковые модели.

Требования:
1. Вход: .txt, .csv, .xlsx или строка. Выход: обезличенный файл плюс JSON-словарь соответствий.
2. Прятать: ФИО, телефоны, e-mail, ИНН, ОГРН, КПП, СНИЛС, серию и номер паспорта, номера карт и расчётных счетов, адреса, даты рождения, номера договоров.
3. Замена на переменные вида [ФИО_1], [ТЕЛЕФОН_1]. Одинаковое значение всегда получает один и тот же плейсхолдер — иначе ответ модели невозможно собрать обратно.
4. Обратная функция: принимает ответ модели и словарь соответствий, возвращает текст с исходными данными.
5. Работает полностью офлайн, без обращений к внешним API. Только стандартная библиотека, для таблиц — pandas и openpyxl.
6. Для .csv и .xlsx — режим удаления колонок по списку имён, а не маскирования. Скрытая колонка в Excel остаётся в файле, поэтому её нужно удалять.
7. CLI: python anonymize.py hide input.csv и python anonymize.py restore answer.txt map.json
8. Корректная работа с кириллицей и юникодом, построчная обработка больших файлов.
9. Тесты на пяти примерах, включая договор и выгрузку заказов.

Сначала покажи структуру файлов и таблицу регулярных выражений с пояснением, что каждое ловит и на чём может ошибиться. Потом — код целиком. Комментарии на русском.

Результат

Получите рабочий скрипт, который встраивается в процесс: менеджер кладёт файл в папку, скрипт обезличивает, работа с нейросетью идёт с переменными, ответ собирается обратно. Человеческий фактор из цепочки уходит.

Шаг 3. Соберите комплект документов

Инструмент: ChatGPT · Claude

3.0

Шаг 3.0

Промпт: два абзаца в пользовательское соглашение (нужны, если ИИ-функция есть у ваших клиентов)

Промпт → ChatGPT / Claude

Ты — юрист по интеллектуальной собственности и пользовательским соглашениям. Подготовь два абзаца для моего пользовательского соглашения.

Контекст: моя компания {{КОМПАНИЯ}} (ИНН {{ИНН}}, сайт {{САЙТ}}) даёт своим пользователям доступ к функции на основе большой языковой модели.

Что это за функция: [ОПИШИТЕ — например: генератор описаний товаров в личном кабинете, ИИ-помощник в приложении, автоматическая расшифровка аудио для клиентов]
На какой модели работает: [например: через API OpenAI / Anthropic / GigaChat / YandexGPT / собственная]

Нужны два абзаца, закрывающие требования статьи 10 Федерального закона от 26.07.2026 № 243-ФЗ (вступает в силу 1 марта 2027 года):
1. Кому принадлежат права на результаты, созданные пользователем с помощью этой функции: пользователю, компании или распределены — и на каком основании.
2. На каких условиях пользователь получает доступ к этим результатам, может их использовать, сохранять и выгружать; что происходит с ними при прекращении подписки или удалении аккаунта.

Требования: язык понятный обычному пользователю, но юридически корректный. Без отсылок к нормам прямо в тексте абзацев. Два варианта на выбор — «права у пользователя» и «права у компании с широкой лицензией пользователю», с пояснением, кому какой вариант подходит.

Ничего не выдумывай про мой продукт: чего не хватает — спроси одним списком до начала.

Важно

Это единственная обязанность из закона об ИИ, которая может коснуться обычной компании, — и только если вы даёте доступ к модели своим клиентам. Срок — 1 марта 2027 года, не сейчас. Если нейросетью пользуются только сотрудники внутри компании, шаг можно пропустить.

Подсказка

Формулировки перед публикацией согласуйте с юристом. Это тот случай, где шаблон из интернета не подойдёт: права на результаты генерации завязаны на вашу модель монетизации и на условия провайдера модели.

3.1

Шаг 3.1

Промпт: пять документов компании

Промпт → ChatGPT / Claude

Ты — юрист по персональным данным с опытом сопровождения проверок Роскомнадзора. Подготовь комплект документов для моей компании.

Реквизиты:
Полное наименование: {{КОМПАНИЯ}}
Краткое наименование: {{КРАТКОЕ_НАЗВАНИЕ}}
ИНН: {{ИНН}}, ОГРН: {{ОГРН}}
Юридический адрес: {{АДРЕС}}
Сайт: {{САЙТ}}, e-mail для обращений: {{EMAIL}}
Руководитель: {{ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ}} {{РУКОВОДИТЕЛЬ}}
Ответственный за организацию обработки ПДн: {{ДОЛЖНОСТЬ_ОТВЕТСТВЕННОГО}} {{ОТВЕТСТВЕННЫЙ}}
Чем занимается компания: [ОПИШИТЕ]
Чьи данные обрабатываем: [клиенты / сотрудники / соискатели / подписчики]

Нужны пять документов:
1. Политика обработки персональных данных — для публикации на сайте
2. Текст согласия на обработку персональных данных — рядом с формой на сайте
3. Приказ о назначении ответственного за организацию обработки персональных данных
4. Регламент использования нейросетей и ИИ-сервисов в компании
5. Лист ознакомления с регламентом

Требования:
— Опирайся на действующие нормы: 152-ФЗ, в том числе статью 12 в редакции Федерального закона от 26.07.2026 № 265-ФЗ, а также статьи 18.1, 19 и 22.
— Учти, что после 265-ФЗ единственный ориентир при трансграничной передаче — перечень Роскомнадзора; членство страны в Конвенции Совета Европы само по себе больше не является основанием.
— В регламенте по нейросетям обязательно: перечень запрещённых к загрузке сведений, требование обезличивания, запрет на публичные ссылки «Поделиться», требование отключить обучение модели на данных пользователя, список разрешённых сервисов, порядок согласования новых сервисов, порядок действий при инциденте, ответственность.
— Документы делай полными, без сокращений и без «и так далее».
— Реквизиты подставь мои. Ничего не выдумывай: чего не хватает — спроси одним списком до начала.

Объём большой. Поэтому сначала предложи структуру всех пяти документов и дождись моей команды. Дальше выдавай по одному документу за сообщение — я буду писать «дальше».

Подсказка

Модель сама предложит разбить работу по документам — не спорьте с ней и идите по одному. Так каждый документ выходит полным, а не ужатым до оглавления.

3.2

Шаг 3.2

Промпт: четыре документа для сотрудников

Промпт → ChatGPT / Claude

Ты — юрист по трудовому праву и защите информации. Подготовь комплект документов, который защищает компанию, если сотрудник выгрузит рабочие данные в нейросеть.

Компания: {{КОМПАНИЯ}}, ИНН {{ИНН}}, адрес {{АДРЕС}}
Руководитель: {{ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ}} {{РУКОВОДИТЕЛЬ}}

Нужны четыре документа:
1. Приказ об утверждении регламента использования ИИ-сервисов
2. Регламент использования ИИ-сервисов — полный, на 8–12 страниц
3. Лист ознакомления работников с регламентом: таблица «№, ФИО, должность, дата, подпись»
4. Обязательство о неразглашении, которое подписывает работник

Что должно быть в регламенте:
— Запрещено загружать: персональные данные клиентов и сотрудников, сканы документов, выгрузки из CRM, договоры, финансовую отчётность, доступы и ключи
— Разрешено: обезличенные тексты, идеи, описания товаров, скрипты продаж, публичная информация
— Требование обезличивать данные и описание того, как это делается
— Запрет на публичные ссылки на чаты через функцию «Поделиться»
— Требование отключить обучение модели на данных пользователя
— Перечень разрешённых сервисов и порядок добавления новых
— Порядок действий при инциденте и сроки внутреннего уведомления
— Ответственность работника со ссылками на нормы Трудового кодекса

Реквизиты подставь мои. Чего не хватает — спроси одним списком до начала. Выдавай по одному документу за сообщение, я буду писать «дальше».

Важно

Шаблон от нейросети — это заготовка, а не готовый юридический документ. Перед подписанием покажите комплект своему юристу: он адаптирует формулировки под ваш бизнес и вашу структуру. Универсального документа, который закроет любую компанию, не существует.

3.3

Шаг 3.3

Памятка сотруднику — распечатать прямо сейчас

Печать в один клик

Документы, которые печатаются не выходя со страницы

Реквизиты подставятся из формы на первом шаге. Не заполняли — распечатается чистый бланк, его тоже можно использовать.

Памятка сотруднику

Одна страница A4. Повесить рядом с рабочим местом или приложить к регламенту

Памятка: работа с нейросетями и персональные данные

Памятка обязательна для всех работников {{КОМПАНИЯ}}, использующих в работе сервисы искусственного интеллекта — ChatGPT, Claude, DeepSeek, GigaChat, YandexGPT и любые другие.

Можно Можно загружать свободно

Идеи, черновики, тексты без имён и контактов
Описания товаров и услуг, скрипты продаж, маркетинговые гипотезы
Публичную информацию и материалы, которые компания и так публикует
Обезличенные документы — там, где вместо имён и реквизитов стоят переменные

Нельзя Нельзя загружать никогда

Персональные данные клиентов и сотрудников: ФИО, телефоны, адреса, e-mail
Сканы и фотографии паспортов, СНИЛС, ИНН физических лиц, водительских удостоверений
Выгрузки из CRM, базы заказов и клиентов, списки контактов
Договоры и коммерческие предложения с реквизитами сторон — до обезличивания
Финансовую отчётность, выгрузки из банка, зарплатные ведомости
Логины, пароли, ключи доступа и токены
Медицинские сведения и любые данные о здоровье

Правило Правила работы

Перед отправкой обезличьте текст: замените имена, телефоны и реквизиты на переменные
В таблицах удаляйте колонки с персональными данными, а не скрывайте их — скрытая колонка остаётся в файле
Отключите в настройках сервиса обучение модели на ваших данных
Не пользуйтесь кнопкой «Поделиться» — публичная ссылка на чат доступна всему интернету
Для разовых задач с чувствительным содержанием используйте временный чат
Работайте только с сервисами из утверждённого списка. Новый сервис — сначала согласование
Заметили, что данные ушли не туда, — немедленно сообщите руководителю и ответственному за обработку персональных данных

Лист ознакомления

Таблица под подписи. Тот самый документ, который спрашивают, когда что-то уже случилось

Лист ознакомления с памяткой и регламентом использования нейросетей

Работники {{КОМПАНИЯ}} ознакомлены с памяткой по работе с нейросетями и регламентом использования ИИ-сервисов, о чём свидетельствуют собственноручные подписи.

№	Фамилия, имя, отчество	Должность	Дата	Подпись

В печатной версии — 18 строк.

Результат

Пока лист ознакомления не подписан, любое «мы же всех предупреждали» существует только на словах. Подписанный лист — это то, что превращает устную договорённость в документ.

Шаг 4. Уберите базу из-за границы

Инструмент: VPS + Supabase

4.1

Шаг 4.1

Проверьте, где физически лежит ваша база

Пройдите по списку

Где хостится сайт и где лежит его база данных
Где развёрнут Supabase, Firebase или другой backend, если делали автоматизации
Где находится CRM и её сервер
Куда пишут данные формы с сайта, чат-боты и квизы
Где хранятся файлы: облачные диски, хранилища, бэкапы
Какие зарубежные сервисы получают данные клиентов: аналитика, рассылки, телефония, чаты

Важно

Это самый дорогой пункт всего гайда. Хранение персональных данных граждан РФ в базах за пределами России — ч. 8 ст. 13.11 КоАП: от 1 до 6 млн ₽ на юрлицо, повторно — от 6 до 18 млн ₽. Облачный Supabase на зарубежных серверах попадает сюда напрямую.

Подсказка

После ФЗ от 26.07.2026 № 265-ФЗ ориентир при трансграничной передаче остался один — перечень Роскомнадзора. США в него не входят, КНР входит: приказ Роскомнадзора от 05.08.2022 № 128. Но 3 августа 2026 года Роскомнадзор опубликовал проект нового приказа — перечень может измениться, поэтому сверяйтесь с актуальной редакцией, а не с пересказом.

4.2

Шаг 4.2

Перенесите хранение в Россию

Действия

Возьмите VPS с размещением на территории России. Я держу проекты на Beget — это сервис, которым пользуюсь сам; подойдёт и любой другой российский провайдер
Разверните Supabase в self-hosted варианте на этом сервере вместо облачного
Перенесите данные и переключите приложение на новый адрес базы
Проверьте, что первичный сбор данных идёт сразу в российскую базу, а не «сначала за границу, потом к нам»
Обновите сведения о месте нахождения баз данных в уведомлении Роскомнадзора

Подсказка

Ключевая деталь: данные должны попадать в российскую базу первыми. Схема «собрали в зарубежном сервисе, потом синхронизировали в Россию» требование локализации не закрывает.

4.3

Шаг 4.3

Что вы получаете, кроме соответствия закону

Результат

Своя база — это не только про проверки. Пока переписка и наработки живут внутри чужого чата, вы их не контролируете: заблокировали аккаунт — данные не забрать. Когда база ваша, к ней можно подключить любую модель, менять их местами и накапливать контекст о компании годами.

Следующий шаг

Дальше по этой же логике идут локальные модели — они разворачиваются на вашем железе и работают только на ваших данных. Для чувствительных задач это единственный вариант, где вопрос трансграничной передачи не возникает в принципе.

Хочешь так же в своём бизнесе?

COMANDOS AI — центр AI-автоматизации: готовые паки промптов, команды цифровых сотрудников под процессы бизнеса, обучение и сообщество практиков. Заходи и собирай свою систему.

Открыть COMANDOS AI →

← Все материалы