ИИ и персональные данные: правила для компаний РК

Что проверить перед внедрением алгоритмов: законность обработки, условия поставщика, размещение базы и контроль доступа сотрудников. ИИ и персональные данные: согласие, хранение, передача за рубеж и внутренние правила компаний Казахстана при подготовке к 2027 году.

Внедряете ИИ? Сначала проверьте, не нарушаете ли вы законы Казахстана

Разбор кучи резюме за пару секунд, боты на первой линии поддержки, автоматический анализ жалоб — нейросети реально экономят кучу времени. Но тут есть подвох, о котором многие забывают: алгоритм — это просто инструмент. Никаких особых прав на сбор и обработку данных о людях он вам не дает.

И если вы просто начнете «скармливать» внешнему сервису файлы с клиентами, можно быстро прилететь на штрафы сразу по двум законам РК — «Об ИИ» и «О персональных данных».

Давайте без сложной юриспруденции разберем, где бизнес чаще всего спотыкается.

Ошибка №1. «Мы купили платную подписку, значит всё защищено»

Нет, это так не работает. Обычный чек за корпоративный тариф не закрывает вопросы перед регулятором.

Главное, что нужно вычитать в договоре с сервисом — учится ли модель на ваших данных. Если вы загружаете туда договора, а система потом до обучает на них свой публичный софт, у вас проблемы. Плюс не забывайте про 12-ю статью Закона о персональных данных: сама база должна лежать на серверах внутри Казахстана. А если сервис гоняет запросы за рубеж, то тут уже вступает в силу 16-я статья про трансграничную передачу, и там тоже куча нюансов.

Ошибка №2. «Да мы просто имя с фамилией стёрли, всё анонимно!»

Не-а, не анонимно. Удалить из документа «Иван Иванов» — это ещё не значит обезличить данные.

Человека элементарно вычислить по косвенным уликам. Редкая должность, специфическая история покупок, номер договора, совокупность пары фактов из биографии — и вот любой специалист уже понимает, о ком речь. Если алгоритм может идентифицировать персону по контексту, данные всё ещё считаются персональными.

Что делать прямо сейчас, чтобы подстраховаться?

Не нужно ждать 2027 года, когда регулирование станет ещё жестче. Локализация серверов и перестройка внутренних процессов — штука долгая, так что начинать лучше сегодня.

1. Зажмите аппетиты. Берите от клиента только тот минимум информации, без которого сервис тупо не сможет работать.

2. Проверьте согласия. В бумажке или галочке на сайте должно быть четко написано: данные могут обрабатываться алгоритмами.

3. Закройте доступ. Составьте жёсткий регламент внутри компании. Сотрудники должны точно знать, в какие сервисы можно кидать рабочие файлы, а за какие их ждет нагоняй. Никаких «сливов» клиентских баз в публичные чат-боты для удобства.

4. Продумайте план Б. Если что-то утечет через подрядчика, вам придется реагировать мгновенно: рубить доступ, поднимать логи и отчитываться перед регулятором.

Смысл простой: ИИ — это круто, но ответственность за то, куда улетели данные ваших клиентов, всё равно останется на вас, а не на разработчиках нейросети.

Частые вопросы

Достаточно ли договора с разработчиком?
Нет. Нужно проверить правовое основание обработки, условия передачи, хранение и фактический доступ.

Корпоративная подписка автоматически решает юридические вопросы?
Нет. Значение имеют конкретные условия продукта и его настройки.

Удаление имени делает сведения обезличенными?
Не всегда. Человека могут определить по оставшимся сведениям и их сочетанию.

Нужно ли передавать алгоритму всю клиентскую базу?
Для начала следует определить, какие сведения необходимы для конкретной задачи, и ограничить передаваемый объём.

Можно ли считать эти требования новыми правилами 2027 года?
Нет. Год подготовки компании не равнозначен дате вступления правовой нормы в силу.

Заключение

Безопасное внедрение ИИ начинается с понимания того, как компания использует сведения о людях. До запуска необходимо проверить основания обработки, поставщика, размещение базы и полномочия сотрудников. Затем — закрепить порядок контроля и регулярно проверять, соответствует ли фактическая работа системы согласованным условиям.