Compliance AI-приложений — это обеспечение соответствия вашего AI-продукта законодательству о персональных данных. Для российских компаний ключевыми нормативными актами являются Федеральный закон 152-ФЗ «О персональных данных» и GDPR (если вы обслуживаете пользователей из ЕС). Нарушение этих требований грозит штрафами и блокировкой сервиса.
Правовые основания обработки данных в AI
Прежде чем отправить данные пользователя в LLM, вы должны иметь правовое основание для их обработки. Основные основания по 152-ФЗ:
- Согласие субъекта — пользователь явно соглашается на обработку данных. Согласие должно быть конкретным, информированным и осознанным
- Исполнение договора — обработка необходима для выполнения условий договора с пользователем
- Законный интерес — обработка необходима для защиты интересов оператора (применимость ограничена)
По GDPR список аналогичен, но добавлены более строгие требования к согласию и право на «забвение» (право на удаление данных).
Ключевые требования 152-ФЗ для AI-приложений
При использовании AI моделей через облачные API вы должны учитывать следующее:
- Уведомление Роскомнадзора — если вы обрабатываете персональные данные, необходимо подать уведомление в реестр операторов
- Локализация данных — первичная база персональных данных граждан РФ должна храниться на территории России
- Трансграничная передача — отправка данных в зарубежные AI-модели является трансграничной передачей и требует оценки уровня защиты в стране получателя
- Минимизация данных — собирайте и передавайте в LLM только те данные, которые необходимы для конкретной задачи
// Пример: минимизация данных перед отправкой в LLM
interface UserQuery {
userId: string; // НЕ отправлять
email: string; // НЕ отправлять
question: string; // Отправлять (после PII-фильтрации)
context: string; // Отправлять (после PII-фильтрации)
}
function prepareForLLM(query: UserQuery) {
return {
messages: [
{ role: "user", content: sanitize(query.question) },
{ role: "system", content: sanitize(query.context) },
],
};
}
function sanitize(text: string): string {
// Удаляем email, телефоны, имена перед отправкой
return text
.replace(/[w.-]+@[w.-]+.w+/g, "[EMAIL]")
.replace(/+?d[ds()-]{9,}/g, "[PHONE]");
}DPIA: оценка воздействия на защиту данных
И GDPR, и рекомендации Роскомнадзора предусматривают проведение оценки воздействия (DPIA — Data Protection Impact Assessment) для систем с высоким риском. AI-приложения попадают под это требование, если они:
- Обрабатывают данные в больших объёмах
- Принимают автоматизированные решения, влияющие на права субъектов
- Используют профилирование пользователей
- Обрабатывают специальные категории данных (здоровье, биометрия)
Документ DPIA должен содержать: описание обработки, оценку необходимости и пропорциональности, оценку рисков и меры по их снижению.
Практические меры для разработчиков
Чеклист compliance для AI-приложения:
- Политика конфиденциальности с описанием использования AI
- Механизм получения согласия пользователя (opt-in, не opt-out)
- PII фильтрация перед отправкой в AI API
- Логирование всех обращений к AI API (без персональных данных)
- Механизм удаления данных пользователя по запросу
- DPA (Data Processing Agreement) с AI-провайдером
- Использование AI Gateway (ModelSwitch), который не хранит содержимое запросов
- Регулярный аудит соответствия (не реже 1 раза в год)
ModelSwitch как российский AI Gateway упрощает compliance: данные проходят через российскую инфраструктуру, есть договор по российскому праву, логируются только метаданные (модель, токены, стоимость), а не содержимое запросов. Это существенно снижает риски трансграничной передачи.
Заключение
Compliance — это не разовая задача, а непрерывный процесс. Начните с минимизации данных и PII-фильтрации, оформите правовые документы (политика, согласия, DPA) и проводите регулярный аудит. Использование российского AI Gateway позволяет сократить юридические риски при работе с зарубежными моделями и обеспечить соответствие 152-ФЗ.