Отдел маркетинга подключил нейросеть для текстов, бухгалтерия прогоняет через ИИ первичные документы, а поддержка тестирует чат-бота на базе обращений клиентов. Через полгода выясняется, что никто не проверил, кому принадлежат права на сгенерированные тексты, куда уходят телефоны и почты клиентов из каждого запроса и что отвечать, если спросит Роскомнадзор. Это и есть поле правового искусственного интеллекта в бизнесе: не вопрос, как ИИ помогает юристу, а вопрос, какие риски берёт на себя компания, которая просто подключила готовый инструмент к своим процессам.
Три зоны риска повторяются из компании в компанию: авторские права на результат генерации, конфиденциальность данных внутри компании и требования 152-ФЗ к персональным данным, которые попадают в чужой сервис. Разбираемся, что из этого уже закреплено в законе и судебной практике, а что остаётся серой зоной, в которой решения принимает сама компания.
Три зоны риска правового искусственного интеллекта для бизнеса
Прежде чем разбирать каждый риск подробно, стоит увидеть картину целиком. У внедрения ИИ в бизнес-процессы три юридически значимых стороны, и они не пересекаются.
- Права на результат. Кому принадлежит текст, изображение или видео, которое сгенерировала нейросеть, и можно ли его защитить как объект интеллектуальной собственности.
- Конфиденциальность. Что происходит с коммерческой тайной и персональными данными клиентов, которые сотрудники вставляют в промпт.
- 152-ФЗ. Как закон о персональных данных регулирует передачу данных в нейросеть, особенно если она работает на серверах за пределами России.
Дальше по каждому пункту: что говорит закон сейчас и что с этим делать на практике.
Кому принадлежат права на тексты, картинки и видео, созданные нейросетью
Статья 1228 ГК РФ называет автором только гражданина, то есть человека, творческим трудом которого создано произведение. Нейросеть не может быть автором ни по этой норме, ни по какой-либо другой: в российском праве для ИИ как субъекта права места просто не предусмотрено.
Из этого вытекает развилка. Если сотрудник дал нейросети простой запрос и опубликовал результат без изменений, творческого вклада человека здесь нет. Такой контент не считается объектом авторского права и формально переходит в статус общественного достояния: его может скопировать кто угодно, включая конкурентов. Если же человек выбирал промпты, редактировал результат, компоновал его с другими элементами и вносил творческие решения, итоговое произведение может получить защиту. Автором признаётся человек, а не инструмент, которым он пользовался. Этот подход закреплён в разъяснениях Пленума Верховного Суда РФ о применении части четвёртой ГК РФ: технические средства создания произведения не лишают его защиты, если творческий характер сохраняется.
Для бизнеса из этого следуют два практических правила.
- Ключевые визуальные и текстовые материалы, логотип, слоган, обложку продукта, стоит дорабатывать человеком и фиксировать это в документах, а не публиковать сырой вывод нейросети.
- Если результат создаёт сотрудник при выполнении должностных обязанностей, права на него оформляются как на служебное произведение по статье 1295 ГК РФ. Это нужно прописать в должностной инструкции или трудовом договоре, а не оставлять на уровне устной договорённости.
Отдельный вопрос: что делать, если результат похож на работу конкретного художника или писателя, чей стиль нейросеть скопировала. Российские суды уже рассматривали споры о видео и изображениях, созданных с помощью ИИ, и подтверждали: использование нейросети само по себе не исключает защиту авторских прав, если итоговая работа содержит творческий вклад человека. Это работает и в обратную сторону: если вывод ИИ слишком похож на чужое охраняемое произведение, претензии может предъявить не компания, а правообладатель оригинала.
Что 152-ФЗ требует от компании, когда сотрудники общаются с нейросетью
Как только промпт содержит имя клиента, номер телефона, адрес или данные о покупках, это персональные данные, и на компанию распространяется 152-ФЗ целиком, независимо от того, что данные ушли в чат-бот, а не в CRM.
Три обязанности действуют уже сейчас.
- Данные россиян при первичном сборе должны обрабатываться и храниться на серверах, расположенных на территории России, по части 5 статьи 18 152-ФЗ. Если нейросеть собирает данные клиента напрямую, а не получает их от компании, это требование применимо и к ней.
- На обработку персональных данных нужно согласие субъекта, и оно должно охватывать именно передачу данных в конкретный ИИ-сервис, а не абстрактную обработку в целях улучшения сервиса.
- Оператор обязан уведомить Роскомнадзор о начале обработки персональных данных по статье 22 152-ФЗ, если компания раньше не делала этого для таких данных.
На практике риск чаще возникает не из-за самого факта использования ИИ, а из-за того, что сотрудники вставляют в промпт данные клиентов без всякого согласия: переписку из тикета, список контактов для рассылки, таблицу с номерами телефонов для анализа. Для нейросети это обычный текст, для регулятора это обработка персональных данных без законного основания.
Трансграничная передача данных: что сделать, прежде чем подключать зарубежный ИИ
Большинство популярных нейросетей работают на серверах за пределами России. Если промпт с персональными данными уходит иностранному провайдеру, это трансграничная передача персональных данных в смысле статьи 12 152-ФЗ, и здесь закон требует отдельного шага, который часто забывают.
С 1 марта 2023 года перед началом трансграничной передачи оператор обязан направить в Роскомнадзор уведомление о намерении её осуществлять, причём это отдельный документ, а не часть общего уведомления об обработке персональных данных по статье 22. Роскомнадзор ведёт перечень стран, которые обеспечивают адекватную защиту персональных данных: передача в эти страны идёт по упрощённому порядку, в остальные случаи требуют дополнительных условий, и регулятор вправе ограничить или запретить передачу по результатам рассмотрения уведомления.
Это касается не только крупных интеграций с иностранным ИИ в CRM, но и ежедневной работы сотрудников в браузере. Если специалист поддержки копирует переписку клиента в чат зарубежной нейросети, чтобы получить готовый ответ, формально это тоже трансграничная передача данных, только совершённая без уведомления и без согласия клиента на конкретно эту передачу.
Практический выход не в отказе от иностранных сервисов: закон не запрещает их использование как класс. Выход в том, чтобы развести потоки данных: обезличивать данные перед отправкой в нейросеть, использовать локальные или российские модели там, где в промпт попадают персональные данные, и подавать уведомление о трансграничной передаче там, где без иностранного сервиса не обойтись. Подробнее о том, как в принципе устроено регулирование ИИ в России, можно прочитать в обзоре регулирования искусственного интеллекта.
Утечка через ИИ-сервис: сколько это будет стоить компании
С 30 мая 2025 года в статье 13.11 КоАП РФ действует новая шкала штрафов за утечку персональных данных, и она применяется независимо от того, произошла утечка из CRM, базы 1С или из истории запросов к ИИ-сервису, подключённому без должной защиты.
| Масштаб утечки | Штраф для юридических лиц |
|---|---|
| От 1 000 до 10 000 субъектов | От 3 до 5 млн рублей |
| От 10 000 до 100 000 субъектов | От 5 до 10 млн рублей |
| Более 100 000 субъектов или специальные категории данных | От 10 до 15 млн рублей |
| Биометрические данные | От 15 до 20 млн рублей |
| Повторная утечка, оборотный штраф | От 1 до 3 процентов выручки за прошлый год, но не менее 20 млн рублей |
Процент для оборотного штрафа не фиксирован: нижняя граница применяется к компаниям, у которых есть сертифицированные средства защиты и зафиксирован факт целевой атаки, верхняя, до 3 процентов, к компаниям без таких средств. Отдельно наказывается отсутствие уведомления о самой утечке: компания, которая не сообщила о произошедшем добровольно, теряет возможность снизить штраф и рискует получить максимальную ставку. Чат-бот, подключённый к базе клиентов без контроля доступа и шифрования, с точки зрения этой статьи КоАП не отличается от взломанной базы данных: расследование Роскомнадзора будет одинаковым.
Конфиденциальность и коммерческая тайна: где теряются данные внутри компании
Юридический риск, который чаще всего реализуется на практике, не связан ни с авторским правом, ни с трансграничной передачей. Он проще: сотрудник вставляет в публичный чат-бот то, что не должен видеть никто за пределами компании, финансовую модель, текст договора с клиентом, базу контактов для рассылки, код с учётными данными доступа к серверу.
Проблема в том, что бесплатные версии многих нейросетей используют переписку пользователей для обучения моделей, и условия использования сервиса это прямо разрешают. Это означает, что данные, которые компания считала внутренними, формально переданы третьей стороне и могут всплыть в чужих ответах позже. Разбор именно этого риска на примере одного из массово используемых бесплатных сервисов есть в статье про риски DeepSeek для бизнеса и требования 152-ФЗ.
Что снижает риск на уровне процессов, а не технологий.
- Письменная политика о том, что можно и что нельзя вставлять в промпт: персональные данные клиентов, финансовые показатели и коммерческая тайна под запретом по умолчанию.
- Платные корпоративные тарифы нейросетей вместо бесплатных версий: у них обычно другие условия обработки данных, без использования переписки для обучения модели.
- Разграничение доступа: не каждому сотруднику нужен инструмент, который видит всю базу клиентов.
Как выбрать ИИ-инструмент, чтобы не плодить юридические риски
Выбор конкретной модели редко решает юридический вопрос сам по себе, но некоторые параметры стоит сверять до подключения инструмента, а не после инцидента.
| Критерий | Зачем проверять |
|---|---|
| Где расположены серверы обработки данных | Определяет, нужно ли уведомление о трансграничной передаче по статье 12 152-ФЗ |
| Использует ли сервис переписку для обучения модели | Влияет на то, останутся ли данные компании конфиденциальными |
| Есть ли корпоративный тариф с отдельным соглашением об обработке данных | Даёт основание для согласия клиента и внутренней политики компании |
| Кто по условиям использования владеет правами на результат генерации | Некоторые сервисы оставляют себе право использовать сгенерированный контент |
Сравнение конкретных моделей по цене и условиям обработки данных, включая разницу между российскими и зарубежными решениями, стоит делать отдельно под задачу, а не по общему рейтингу. Если же вопрос не в выборе инструмента, а в том, как ИИ помогает именно в юридической работе самой компании, это другая тема, которую мы разбирали в статье про нейросети для юриста: там речь об ИИ как инструменте юриста, а не о рисках для компании, которая просто внедряет ИИ в свои процессы.
Частые вопросы
Можно ли зарегистрировать авторское право на текст, который написала нейросеть?
Нет, если текст полностью сгенерирован без творческого вклада человека: автором по статье 1228 ГК РФ может быть только гражданин, а чисто автоматический результат не получает защиты и переходит в разряд общественного достояния. Защиту получает только итоговая работа, в которую человек внёс творческий вклад: отобрал, переписал, скомпоновал. Поэтому ключевые материалы бренда стоит дорабатывать вручную, а не публиковать сырой вывод генератора.
Что считается трансграничной передачей персональных данных при использовании ChatGPT или другой зарубежной нейросети?
Любой запрос с именем, телефоном, почтой или другими персональными данными клиента, который уходит к иностранному провайдеру нейросети, закон квалифицирует как трансграничную передачу по статье 12 152-ФЗ. Перед такой передачей оператор обязан направить в Роскомнадзор отдельное уведомление о намерении её осуществлять, иначе регулятор расценит это как непредставление сведений.
Какой штраф грозит компании за утечку персональных данных через ИИ-сервис?
С 30 мая 2025 года статья 13.11 КоАП РФ устанавливает штрафы от 3 до 5 млн рублей для утечек от 1 000 до 10 000 субъектов и от 15 до 20 млн рублей для утечек биометрических данных. За повторную утечку предусмотрен оборотный штраф от 1 до 3 процентов выручки компании за прошлый год, но не менее 20 млн рублей.
Нужно ли отдельное согласие клиента, чтобы передавать его данные в нейросеть?
Да. Общее согласие на обработку персональных данных не покрывает автоматически передачу в конкретный ИИ-сервис, особенно зарубежный. Согласие должно быть конкретным: называть цель, состав данных и, если сервис иностранный, факт трансграничной передачи. Без этого компания обрабатывает данные без законного основания, даже если клиент в целом согласился на обработку данных при заключении договора.
Можно ли вставлять данные клиентов в бесплатный чат-бот для работы?
Технически да, юридически рискованно: бесплатные версии многих сервисов используют переписку для обучения модели, и это прописано в условиях использования. Персональные данные клиентов и коммерческую тайну стоит вставлять только в платные корпоративные тарифы с отдельным соглашением об обработке данных, а лучше обезличивать данные перед отправкой в любую нейросеть.
С чего начать
Прежде чем расширять использование ИИ в компании, стоит пройти несколько шагов.
- Проведите аудит: где в компании сотрудники уже используют нейросети и какие данные туда попадают.
- Закрепите письменную политику о том, что можно вставлять в промпт, а что нельзя, и кто отвечает за служебные произведения, созданные с помощью ИИ.
- Проверьте, нужна ли трансграничная передача: если данные уходят зарубежному провайдеру, подайте уведомление в Роскомнадзор, прежде чем продолжать работу.
- Переходите на корпоративные тарифы или локальные модели там, где в промпт попадают персональные данные или коммерческая тайна.
Если разбираться в этом самостоятельно некогда, настройку безопасных процессов работы с ИИ и подключение инструментов под задачи компании делает команда автоматизации бизнес-процессов.
