ИИ-чатбот на вашем сайте сам по себе не запрещён. Важно, какие персональные данные он обрабатывает, зачем это делает, кто их получает и как вы защищаете обработку. Сервер в ЕС, договор обработки данных или одна галочка не отвечают на все эти вопросы. Для понятного первого шага подойдёт помощник с чёткими границами: он объясняет общедоступную информацию о компании, а персональные обращения передаёт вашей команде.
Этот материал помогает разобраться в типичных решениях для малого бизнеса. Он не заменяет проверку вашего конкретного сценария, особенно если речь о медицинских данных, заявлениях на работу или других чувствительных процессах. Источники проверены 10 сентября 2026 года.
Сначала проследите путь одного сообщения
Представим небольшую компанию по ремонту: помощник объясняет услуги, а при просьбе перезвонить запрашивает номер телефона. Перед запуском проследите путь тестового сообщения от браузера до удаления. Таблица ниже — рабочая заготовка для проверки, а не описание конкретной платформы.
| Этап | Какие данные могут возникнуть | Что именно проверить |
|---|---|---|
| Сайт и виджет чата | IP-адрес, идентификатор сессии, сообщение | Какие соединения устанавливаются ещё до открытия чата? |
| Платформа и поставщик модели | Сообщение, история диалога, найденные фрагменты документов | Какие поставщики получают какие части? |
| Журналы и поддержка | Данные об ошибках, история чата, доступ сотрудников | Кто может просматривать данные и как долго? |
| CRM или почтовый ящик | Просьба перезвонить, контакты, краткое содержание | Что действительно необходимо? |
| Удаление и резервные копии | Активные записи и резервные копии | Как удаление обрабатывается во всех затронутых системах? |
Запросите эти сведения для вашего тарифа и его настроек. Общей рекламной брошюры обычно недостаточно. Проверьте и прерванные диалоги: данные могут оставаться не только после отправки заявки на связь.
Для каждого чата нужно согласие?
Нет. Для обработки персональных данных необходимо подходящее правовое основание. Согласие — один из вариантов, но не единственный. Обработка на основании договора должна быть необходима для его исполнения или для запрошенных действий до заключения договора. Законный интерес требует оценки цели, необходимости обработки и интересов, которые могут ей противостоять. Европейский совет по защите данных, EDPB, называет вспомогательные диалоговые системы возможным примером, но не даёт безусловного разрешения на любой такой сценарий. EDPB: заключение об ИИ-моделях.
Поэтому разделите как минимум три цели: ответить на текущий вопрос, обработать заявку на связь и использовать содержание диалога для улучшения продукта. То, что обосновано для первой цели, не обязательно подходит для остальных. Зафиксируйте решение до начала обработки реальных данных клиентов. Обязательное поле «Принимаю условия конфиденциальности» эту проверку не заменяет.
Cookies и хранилище браузера — отдельный вопрос. § 25 немецкого закона TDDDG по общему правилу требует согласия на запись информации на устройство пользователя или её чтение. Есть исключения, в частности для действий, без которых невозможно предоставить прямо запрошенную услугу. Это касается не только cookies, но может охватывать и другие технологии хранения. Применимо ли исключение к конкретной сессии чата, зависит от её фактической функции. § 25 TDDDG.
ЕС или США: проверьте место обработки и всю цепочку данных
Обработка в пределах Европейской экономической зоны может позволить избежать международной передачи данных. Она не отменяет другие обязанности по защите данных. Помимо места хранения проверьте обращения к модели, субподрядчиков, резервные копии и возможный доступ из третьих стран. «Хостинг в ЕС» и «все этапы обработки исключительно в ЕЭЗ» — разные обещания.
Передача данных в США не запрещена в целом. EU-US Data Privacy Framework предоставляет основание для охватываемых им передач участвующим американским компаниям. Проверьте конкретного получателя, его действующее участие и охваченные категории обработки. Если этот механизм не подходит, могут применяться другие инструменты, например стандартные договорные положения. Нужно проверить их условия и при необходимости дополнительные меры защиты. Сам по себе договор обработки данных не заменяет основание для международной передачи. Еврокомиссия: передача данных между ЕС и США.
При выборе поставщика четыре коротких вопроса полезнее общего знака качества: где модель обрабатывает данные? Какие ещё компании получают содержание? Используются ли входные данные для обучения? Как ограничивается и фиксируется доступ службы поддержки?
Что регулирует договор обработки данных и чего он не решает
Если поставщик услуги обрабатывает персональные данные по вашему поручению, отношения должны быть оформлены договором по статье 28 GDPR. Он охватывает, среди прочего, инструкции, конфиденциальность, безопасность, субподрядчиков, содействие в реализации прав людей и удаление данных. Если поставщик использует содержание для собственных целей, его роль нужно оценить отдельно. Название «договор обработки данных», или AVV, не превращает любую обработку в обработку по поручению. EDPB: контролёры и обработчики данных.
Сопоставьте договор и техническую конфигурацию. Запрет использовать данные для обучения в договоре должен соответствовать реальным настройкам. Согласованное удаление должно быть выполнимо на практике. Сохраните проверенную версию документа и дату проверки настроек.
Что проверить до первого настоящего диалога
| Проверка | Практическое подтверждение |
|---|---|
| Цель и границы определены | Краткий список разрешённых вопросов и исключённых действий |
| Правовое основание оценено для каждой цели | Зафиксированное решение с обоснованием |
| Известны пути данных и поставщики | Актуальная схема, включая модель, журналы и CRM |
| Урегулированы договоры и передачи данных | Подходящие договоры и проверка получателей |
| Уведомления доступны | Пометка об ИИ у чата и понятная информация о защите данных |
| Хранение ограничено | Обоснованные сроки вместо бессрочного хранения |
| Права людей можно реализовать | Проверенный порядок запросов на доступ, исправление и удаление |
| Доступ и передача сотрудникам работают | Права доступа, ответственная команда и проверенный способ связи |
Информация о защите данных должна соответствовать реальной обработке. Укажите, в частности, контролёра данных, цели, правовые основания, получателей, сроки хранения и права. Ссылка полезна, если она видна вовремя и понятно ведёт к нужным сведениям. Обработка запроса на доступ или удаление тоже входит в работу сервиса. EDPB: права субъектов данных.
Меньше данных — проще эксплуатация
Боту, который сообщает часы работы, не нужен номер клиента. Для обратного звонка часто достаточно нескольких контактных данных, а не всей истории разговора. Определите срок хранения для каждой цели: GDPR не устанавливает универсального правила «30 дней для любого чата». Минимизация данных и ограничение хранения требуют обоснованного выбора. EDPB: основы защиты данных.
Также проверьте на вымышленных данных, может ли кто-нибудь получить чужие диалоги или документы, доступ к которым не разрешён. Оценка воздействия на защиту данных необходима, если планируемая обработка, вероятно, создаёт высокий риск для людей, а не автоматически из-за самого слова «ИИ». EDPB: безопасность и оценка рисков.
Уведомление об ИИ — не согласие на обработку данных
Статья 50 AI Act регулирует прозрачность взаимодействия с ИИ. Соответствующая обязанность поставщика действует со 2 августа 2026 года. Понятное начало разговора может выглядеть так: «Вы общаетесь с ИИ-помощником. По персональным вопросам свяжитесь с нашей командой через раздел “Контакты”». Эта информация не заменяет ни правового основания, ни уведомления о защите данных. Роли и актуальные сроки разобраны в нашем руководстве по AI Act. Еврокомиссия: рекомендации по прозрачности.
При техническом внедрении границы задач, пути данных и передачу обращения человеку стоит планировать вместе. Наши услуги ИИ и автоматизации начинаются с этого процесса. Для предварительной оценки достаточно описать задачу; присылать конфиденциальные данные клиентов не нужно.