ИИ-агент и 152-ФЗ: когда нужен закрытый контур, а когда нет

Почти каждый проект с агентом в какой-то момент упирается в один вопрос службы безопасности: «А куда уходят наши данные?» Отвечают на него обычно одной из двух крайностей. Первая — «везде всё шифруется, не переживайте». Вторая — «только свой сервер, только своя модель», что поднимает бюджет в несколько раз там, где это не требовалось.

Правильный ответ зависит от того, какие именно данные видит агент. Ниже — три варианта архитектуры, кому какой подходит и сколько стоит самый строгий из них. Оговорка: это инженерный взгляд, а не юридическое заключение. Решение по вашим данным должен подтвердить ваш юрист или специалист по защите информации.

Что на самом деле требует закон

152-ФЗ — про персональные данные: имя, телефон, адрес, паспорт, всё, по чему можно определить человека. Закон не запрещает языковые модели и не называет «разрешённых» поставщиков. Он регулирует обработку, и для проекта с агентом важны четыре вещи:

• Хранение в России. Базы с персональными данными российских граждан должны находиться на серверах в России.
• Передача за границу. Отправка персональных данных зарубежному сервису — это трансграничная передача, у неё свои правила и уведомления.
• Основание обработки. Согласие человека или другое законное основание. Чат на сайте, где клиент оставляет телефон, — тоже обработка.
• Поручение обработки. Если данные видит подрядчик или облачный сервис, это оформляется договором.

Отсюда главный практический вывод: вопрос не в том, «российская модель или нет», а в том, доходят ли до модели персональные данные вообще.

Вариант 1. Зарубежная модель с обезличиванием

Данные хранятся в России. Перед отправкой в модель текст проходит через фильтр: имена, телефоны, почта, номера договоров и карт заменяются метками вроде [ИМЯ_1] и [ТЕЛЕФОН_1]. Модель работает с обезличенным текстом, а в готовый ответ значения подставляются обратно уже на вашей стороне.

Кому подходит. Поддержка, продажи, внутренние ассистенты — там, где смысл вопроса не зависит от личности. «Где мой заказ [НОМЕР_1]» модель поймёт не хуже, чем с настоящим номером.

Слабое место. Фильтр не идеален на свободном тексте: клиент может написать о себе так, что шаблон этого не поймает. Поэтому качество обезличивания проверяют так же, как качество ответов, — на наборе реальных обращений.

Вариант 2. Российская облачная модель

GigaChat или YandexGPT: данные не покидают страну, договор заключается с российским юридическим лицом, вопрос трансграничной передачи снимается.

Кому подходит. Компаниям, у которых внешние зарубежные сервисы запрещены политикой, но облако как таковое допустимо.

Слабое место. На сложных задачах — длинные документы, многошаговые действия, вызов инструментов — качество может отличаться от зарубежных моделей. Насколько именно, зависит от задачи, поэтому сравнивать надо не по обзорам, а на своём проверочном наборе. Иногда разницы нет, иногда она решающая.

И важная оговорка: российская модель сама по себе не делает обработку законной. Согласия, договор поручения и сроки хранения журналов нужны в любом варианте.

Вариант 3. Закрытый контур

Открытая модель — Qwen, Llama, Mistral — разворачивается на ваших серверах или на арендованном сервере в российском дата-центре. Наружу не уходит ничего: ни запросы, ни документы, ни журналы.

Кому нужен. Банковская и врачебная тайна, коммерческая тайна в документах (договоры, финансовая отчётность), государственные заказчики, компании с запретом на любые внешние API.

Что это стоит. Честно — заметно больше, чем облако, и не только деньгами:

• Железо. Модели, которые справляются с деловыми задачами, требуют серверных видеокарт. Аренда такого сервера в российском дата-центре — порядка сотен тысяч рублей в месяц; покупка — миллионы. Точные цифры зависят от размера модели и нагрузки, их называет провайдер.
• Люди. Сервер с моделью нужно обновлять, мониторить и чинить. Это часть ставки инженера или договор сопровождения.
• Качество. Модель, которая помещается на один сервер, обычно слабее лучших облачных. На узкой задаче с хорошей базой знаний этого часто хватает, но проверять нужно до закупки железа, а не после.

Как выбрать

• Агент видит только обращения клиентов (заказы, доставка, вопросы по продукту) — вариант 1 или 2.
• Агент работает с документами, где персональные данные — суть (анкеты, кадровые документы, медицинские записи) — вариант 2 или 3.
• Данные под специальным режимом или политика запрещает внешние сервисы — вариант 3.
• Не уверены — начинайте с вопроса к юристу, а не с выбора модели.

Четыре ошибки, которые встречаются чаще всего

«Мы на российской модели, значит, всё по закону». Закон — про обработку, а не про модель. Без согласий и договора поручения нарушение остаётся.

Журналы с персональными данными хранятся вечно. Переписку агента пишут в лог для отладки и забывают. Срок хранения и обезличивание журналов нужно задать сразу.

Разработчикам отдали боевую выгрузку. Проверочный набор с настоящими именами и телефонами уходит подрядчику в архиве по почте. Набор нужно обезличить до передачи.

В чате нет текста о согласии. Агент просит телефон, а ссылки на политику обработки данных рядом нет.

Как это делаем мы

Персональные данные храним и обрабатываем на серверах в России, перед отправкой в модель обезличиваем. Если требования безопасности строже — разворачиваем российские или открытые модели в контуре заказчика. Помогаем оформить согласия и внутренние документы. Какой из трёх вариантов нужен именно вам, становится понятно на аудите — он бесплатный.