За полтора года правила работы с данными в России поменялись пять раз. Появилась уголовная статья, выросли штрафы, данные россиян запретили хранить в зарубежных базах, согласие вынесли в отдельный документ, а европейские серверы перестали считаться безопасными по умолчанию. При этом сотрудники продолжают грузить договоры и списки клиентов в ChatGPT, потому что так быстрее. Внедрять ИИ, не разобравшись в данных, стало рискованнее. К концу статьи вы будете знать, что именно поменялось, сколько это стоит и с чего начать за пять шагов.
Что поменялось с декабря 2024 по июль 2026
11 декабря 2024. Уголовная статья за персональные данные. В Уголовном кодексе появилась статья 272.1 (закон от 30.11.2024 № 421-ФЗ). Незаконное использование, передача, сбор и хранение компьютерной информации с персональными данными, полученной незаконно, стало уголовным делом. По первой части это штраф до 300 тысяч рублей, принудительные работы или лишение свободы до четырёх лет. За данные несовершеннолетних, специальные категории и биометрию до 700 тысяч и до пяти лет. За крупный ущерб, корысть, группу или служебное положение штраф до миллиона. База клиентов, которую «скинул знакомый», и база, которую менеджер унёс с прошлой работы, могут попасть под статью 272.1.
30 мая 2025. Новые штрафы для юрлиц. Заработали новые части статьи 13.11 КоАП (закон от 30.11.2024 № 420-ФЗ). Размер штрафа за утечку теперь зависит от числа пострадавших, а за повторную утечку считают процент от выручки. Если сотрудник загрузил в публичную нейросеть выгрузку из CRM (база клиентов в программе), такая загрузка может обернуться утечкой, а у утечки есть цена. Таблица ниже.
1 июля 2025. Данные россиян только в российских базах. Закон от 28.02.2025 № 23-ФЗ изменил часть 5 статьи 18 закона о персональных данных (152-ФЗ), изменения действуют с 1 июля 2025 года. При сборе персональных данных граждан России запрещено записывать, хранить, обновлять и извлекать их с помощью баз данных за пределами страны, кроме случаев из закона. Спросите у каждого сервиса, где физически лежит база с вашими клиентами и где хранится переписка.
1 сентября 2025. Согласие отдельным документом. По закону от 24.06.2025 № 156-ФЗ согласие на обработку персональных данных оформляется отдельным документом. Вписать его в договор, оферту или пользовательское соглашение больше нельзя, такое согласие недействительно. Старые согласия, полученные до этой даты, переделывать не нужно. Для владельца: если вы собираете заявки с сайта или из Telegram-бота и отдаёте их нейросети, проверьте, на что именно согласился клиент и где этот документ лежит.
26 июля 2026. Европейские серверы больше не безопасны по умолчанию. Закон от 26.07.2026 № 265-ФЗ изменил статью 12 закона 152-ФЗ. Участие страны в Конвенции Совета Европы (международное соглашение о защите данных) само по себе больше не делает её страной с адекватной защитой данных. Ориентир теперь перечень Роскомнадзора. О передаче данных за границу нужно заранее уведомить Роскомнадзор (ч. 3 ст. 12). Пользовательское соглашение публичной нейросети не заменяет поручение на обработку (договорённость с тем, кто обрабатывает данные за вас). Для владельца: фраза подрядчика «сервер в Европе, всё законно» больше не аргумент.
Что делать: выписать все сервисы с ИИ, которыми пользуется команда, включая личные аккаунты, и напротив каждого ответить: что туда попадает и где это хранится.
Сколько стоит одна ошибка
Штрафы для юрлиц по статье 13.11 КоАП с 30 мая 2025 года:
| Нарушение | Штраф для юрлица | Норма |
|---|---|---|
| Не уведомили Роскомнадзор об обработке персональных данных | 100–300 тыс. ₽ | ч. 10 ст. 13.11 КоАП |
| Обработка с нарушением закона | 150–300 тыс. ₽ | ч. 1 |
| Обработка без согласия | 300–700 тыс. ₽ | ч. 2 |
| Не сообщили об утечке за 24 часа | 1–3 млн ₽ | ч. 11 |
| Данные россиян в базах за рубежом | 1–6 млн ₽ | ч. 8 |
| Утечка данных 1 000–10 000 человек | 3–5 млн ₽ | ч. 12 |
| Утечка данных 10 000–100 000 человек | 5–10 млн ₽ | ч. 13 |
| Утечка данных больше 100 000 человек | 10–15 млн ₽ | ч. 14 |
| Утечка данных о здоровье | 10–15 млн ₽ | ч. 16 |
| Утечка биометрии | 15–20 млн ₽ | ч. 17 |
| Повторная утечка | 1–3% выручки, не меньше 20–25 млн и не больше 500 млн ₽ | ч. 15 и 18 |
Штраф за утечку данных 1 000–10 000 человек (3–5 млн ₽) больше, чем ИИ-агент под один процесс (300–600 тыс. ₽), стоимость которого мы разбирали в блоге.
Как это происходит на самом деле
По нашему опыту, около 80 процентов проверок начинаются с жалобы. Ведомство обязано рассматривать обращения и принимать по ним решение, это ч. 2 ст. 23 закона 152-ФЗ. Источников три.
- Клиент. Оставил заявку, получил поток спама или увидел свои данные там, где не ожидал. Написал в Роскомнадзор.
- Сотрудник. Уволился с обидой и знает, куда уходили выгрузки из CRM.
- Конкурент. Заметил, что у вас нет уведомления об обработке данных, и помог ведомству заметить тоже.
Вопрос в том, что найдут, если придёт жалоба: например, что сотрудники полгода загружали договоры в публичную нейросеть.
Что делать: проверить, подавала ли компания уведомление в Роскомнадзор об обработке персональных данных. Если не уверены, уточните у юриста.
Почему это вопрос владельца, а не ИТ-отдела
Можно поручить это ИТ-директору или сисадмину. Но решения, за которые прилетает штраф, принимает не он. Какие данные компания отдаёт наружу, с каким подрядчиком подписывает договор, какой сервис оплачивает, сколько закладывает на внедрение. Всё это решает собственник. Подпись под договором тоже его.
Есть и вторая причина. Подрядчик по ИИ продаёт результат, а не ответственность за ваши данные. «Всё анонимно», «мы ничего не храним» звучит убедительно, пока не спросишь, где база, кто оператор (тот, кто собирает и хранит данные) и есть ли поручение на обработку. Если владелец не знает, что спросить, он принимает решение на слух. После июля 2026 года это слишком дорогой способ.
Разобраться в ИИ сегодня значит разобраться и в данных. Не до уровня юриста. До уровня, на котором вы понимаете, какой процесс отдаёте агенту, что в нём за данные и какие три вопроса задать подрядчику до подписания.
Пять шагов практикума
Для этого мы собрали бесплатный практикум «ИИ для владельца бизнеса». Пять шагов по 20–30 минут, в Telegram, в своём темпе, без кода и терминала, для владельца бесплатно. Домашние задания делаются на вашем бизнесе, а не на учебном примере. Рутину курса держат ИИ-агенты: куратор и проверяющий, а финальный план разбирает лично Антон. Разбор приходит в тот же чат.
Шаг 1. Где уходят часы и деньги. Берёте один процесс, который бесит сильнее всего, и описываете простыми словами: что на входе, какие шаги, чем заканчивается, где теряется. На странице практикума есть калькулятор: по 15 часов в неделю у каждого из двоих при 600 рублях за час это 936 000 рублей в год. Подставьте свои цифры, расчёт пересчитается сразу. Результат: карта процесса и цифра потерь в часах и рублях.
Шаг 2. Первый помощник за двадцать минут. Собираете помощника текстом, без кода, и проверяете его на трёх разговорах, включая попытку увести в сторону. Результат: работающий помощник и понимание, где он ошибается.
Шаг 3. Как ставить задачу ИИ и команде. Пишете агенту задание как сотруднику: что берёт на себя, где граница, когда зовёт человека. Назначаете ответственного внутри компании. Результат: задание агенту и схема контроля с возможностью вернуть всё назад.
Шаг 4. Деньги. Считаете «было» и «стало» в часах и рублях, добавляете пользу помимо экономии, определяете бюджет разово и в месяц. Результат: расчёт эффекта и выбранный первый процесс.
Шаг 5. Безопасность и данные. Обязательный шаг. Разбираете, какие данные можно отдавать наружу, а какие нет, и что спрашивать у подрядчика до подписания договора. Результат: граница данных и три вопроса подрядчику.
Если хотите сначала посмотреть, как это выглядит внутри, на странице есть открытое демо без регистрации: настоящий ход работы по шагам с владельцем оптовой компании.
Что делать: выбрать один процесс, который съедает больше всего времени у вас или у команды. Именно его вы разберёте на первом шаге.
Что вы получите на выходе
В финале мы лично разбираем ваш план внедрения на один процесс. В нём четыре части:
- процесс как есть и что в нём забирает агент;
- эффект в часах и деньгах, посчитанный на ваших цифрах;
- бюджет разово и в месяц, с чего начинаем;
- безопасность данных и первые четыре недели по неделям.
Это не презентация и не сертификат, а план внедрения на один процесс, который мы разбираем лично и с которым можно говорить со своей командой предметно. Формат и демо смотрите на странице практикума.
Кто ведёт
Меня зовут Антон Баранов, я основатель Solaris AI. 16 лет в предпринимательстве, инженер-технолог. Мы внедряем ИИ в бизнес и производство, сотрудничаем с МГТУ им. Н. Э. Баумана по внедрению ИИ в бизнес и производственные процессы, состоим в МТПП. В Академии Solaris AI учится более 200 человек.
Всё, что разбираем на практикуме, работает у нас и у наших заказчиков прямо сейчас: расчёт сметы на производстве занимает час вместо четырёх дней, тот же состав в логистике закрывает вчетверо больше заявок, сложный отчёт в снабжении собирается за 30 минут вместо трёх часов.
Сегодня откройте бота и пройдите первый шаг: 20 минут, и у вас будет цифра, сколько ваш процесс стоит в год.
Частые вопросы
Какие штрафы за персональные данные в 2026 году
Для юрлиц действуют штрафы статьи 13.11 КоАП в редакции с 30 мая 2025 года. За обработку без согласия 300–700 тысяч рублей, за несообщение об утечке в течение 24 часов 1–3 миллиона, за утечку данных от тысячи человек от 3 миллионов и выше в зависимости от числа пострадавших. За повторную утечку штраф считают от выручки, от 1 до 3 процентов. С декабря 2024 года за незаконно полученные данные есть и уголовная статья 272.1.
Можно ли загружать договоры в ChatGPT
Если в договоре есть персональные данные россиян, безопаснее считать, что нельзя. С 1 июля 2025 года данные граждан России нельзя хранить и обрабатывать в базах за пределами страны, а пользовательское соглашение публичной нейросети не заменяет поручение на обработку. Коммерческая тайна тоже уходит на чужой сервер. Какие именно документы можно отдавать наружу, разбираем на пятом шаге практикума, а по спорным случаям уточните у юриста.
Обучение нейросетям для бизнеса бесплатно: где пройти
Практикум Solaris AI «ИИ для владельца бизнеса» бесплатный для собственника. Пять шагов по 20–30 минут в Telegram, без кода, домашние задания на вашем бизнесе с проверкой куратором. На выходе план внедрения на один процесс с расчётом эффекта, бюджетом и границей данных. Сначала можно посмотреть открытое демо без регистрации.
Нужно ли согласие на обработку персональных данных отдельным документом
Да, с 1 сентября 2025 года согласие оформляется отдельным документом по закону № 156-ФЗ. Согласие, вписанное в договор, оферту или пользовательское соглашение, считается недействительным. Старые согласия, полученные до этой даты, переделывать не нужно. Как это правильно оформить в вашей ситуации, лучше уточнить у юриста.
Как внедрить ИИ в компанию: с чего начать
Начните с одного процесса, который съедает больше всего времени, и посчитайте его в часах и рублях. Затем соберите простого помощника текстом, напишите ему задание как сотруднику и назначьте ответственного. Посчитайте эффект и бюджет, а перед выбором подрядчика определите границу данных и задайте три вопроса о том, где хранятся данные и кто за них отвечает. Именно этот путь мы проходим в практикуме за пять шагов.