152-ФЗ для AI-чатбота: чек-лист соответствия 2026

Что считается персональными данными в контексте чатбота

По 152-ФЗ любая информация, которая позволяет идентифицировать человека, — это ПДн. Для чатбота это:

• Имя + фамилия
• Номер телефона
• Email
• Telegram username или user_id
• Адрес
• Данные о здоровье (медданные = специальная категория ПДн)
• Финансовые данные
• IP-адрес (спорно, но безопаснее считать ПДн)

Отдельное согласие требуется на обработку каждой категории. Отдельное — на передачу третьим лицам (например, в облачный LLM).

Штрафы в 2026 году

Поправки 2025 года подняли потолки:

• До 15 млн ₽ за утечку (было до 10)
• До 1.3 млн ₽ для должностных лиц
• При повторном нарушении — оборотный штраф 0.1-3% выручки

Плюс репутационные потери: Роскомнадзор публикует реестр нарушителей.

Чек-лист соответствия для AI-чатбота

1. Уведомление РКН о намерении обрабатывать ПДн

Если клиника / юр. фирма / любой оператор собирает ПДн через бот — обязательно подать уведомление в Роскомнадзор. Форма — через Госуслуги, бесплатно, срок — до начала обработки.

Без уведомления — штраф 75-300 тыс ₽ для юрлица.

2. Согласие пользователя на обработку ПДн

Бот при первом контакте должен запросить явное согласие с:

• Целью обработки
• Перечнем ПДн
• Сроком хранения
• Способами обработки

Шаблон согласия должен быть в публичном доступе на сайте (/privacy) и на первом экране бота.

3. Локализация данных на серверах в РФ

242-ФЗ требует, чтобы персональные данные россиян хранились на серверах, физически расположенных в РФ. Это не опционально.

Это выбивает из рынка любого провайдера с серверами за границей (Chatfuel, Manychat, большинство международных LLM без российского контура).

4. Обезличивание данных при передаче в LLM

Если бот отправляет пользовательские сообщения в LLM (Gemini, Claude, GPT), то перед отправкой надо обезличить:

• Имена → [ИМЯ]
• Телефоны → [ТЕЛЕФОН]
• Адреса → [АДРЕС]
• Номера карт → [КАРТА]

Это требование 152-ФЗ при кросс-граничной передаче. Есть отдельные LLM, гарантирующие локализацию (YandexGPT, GigaChat), — в них можно передавать без обезличивания.

5. Право на удаление (RTBF)

Пользователь может в любой момент запросить удаление своих ПДн. Для бота это означает две команды:

• /my_data — выгрузить все данные о себе
• /delete_my_data — удалить все данные

Срок исполнения — 30 дней по закону. Бот должен удалять данные не только из БД, но и из логов LLM-провайдера (для этого провайдер должен поддерживать API удаления).

6. Audit log — неизменяемый журнал доступа

Оператор обязан вести журнал всех действий с ПДн: кто, когда, какие данные обрабатывал. Для бота это:

• Таблица audit_log с триггером, блокирующим DELETE/UPDATE
• Хранение минимум 3 года
• Доступ только для ответственного за ПДн (РЗПД)

7. DPA (Data Processing Agreement) с провайдером

Если вы ставите чей-то SaaS-бот, между вами (оператор) и провайдером (обработчик) должен быть подписан DPA — дополнительное соглашение об обработке ПДн. Это юридически защищает обе стороны.

Салебот / BotHelp / Jivo — обычно предлагают DPA по запросу. Многие мелкие провайдеры — не предлагают вообще.

Отдельно: медицина и юриспруденция

Для стоматологий, медцентров и юр. фирм:

• Медданные = специальная категория ПДн (ст. 10 152-ФЗ)
• Требуется письменное согласие в простой форме (не клик в боте, а подпись в анкете при первом визите)
• 242-ФЗ (о телемедицине) запрещает боту ставить диагноз, назначать лечение или интерпретировать снимки — только справочная информация + запись

Если бот случайно "даёт медицинский совет" — это юридический риск и штраф.

Edge-Node: архитектурное решение

Edge-Node — это когда сам бот разворачивается на сервере клиента (в его облаке или in-house), и ПДн физически никогда не покидают периметр клиента. Провайдер поставляет только ПО (лицензиар), а не услугу обработки.

Последствие:

• Клиент — оператор ПДн (и сам за них отвечает)
• Провайдер — лицензиар, юридически не видит данные
• DPA не нужен (нет передачи)
• Закрывается вопрос кросс-граничной передачи в LLM (если LLM тоже локальная, например GigaChat через Sber Cloud)

Edge-Node стоит дороже в развёртывании, но снимает класс юридических рисков. Имеет смысл для сетей 6+ клиник, крупных юр. фирм, медцентров.

Что мы предлагаем в Tyaga Lab

• Compliance Pack (включён в тариф Корпоратив): договор, DPA, NDA, 152-ФЗ аудит
• Edge-Node (Enterprise): ПО на вашем сервере, данные не покидают контур
• Обезличивание перед LLM — встроено во все тарифы
• Audit log с неизменяемостью — по умолчанию
• /my_data и /delete_my_data — работают из коробки

Обсудить compliance-пилот →