Федеральный закон «О персональных данных» — базовый закон, регулирующий сбор, хранение и обработку персональных данных, в том числе моделями ИИ.
ФЗ-152 «О персональных данных» — федеральный закон, принятый в 2006 году и регулирующий любую обработку персональных данных граждан России: от имени и телефона до биометрии и истории покупок. Закон устанавливает требования к согласию на обработку, целям сбора данных и мерам защиты.
Для ИИ-компаний закон особенно важен в двух аспектах: во-первых, требование локализации — персональные данные россиян должны храниться и обрабатываться на серверах в России, что напрямую влияет на выбор облачной инфраструктуры для обучения и работы моделей; во-вторых, требования к согласию усложняют использование пользовательских данных (диалогов, загруженных файлов) для дообучения моделей без явного разрешения.
Российские ИИ-сервисы, обрабатывающие персональные данные пользователей (например, чат-боты с историей переписки), обязаны размещать инфраструктуру хранения данных в РФ и получать явное согласие на обработку — это одна из причин, почему крупные российские компании развивают собственные дата-центры и облака.
Закон не запрещает использование зарубежных сервисов напрямую, но требует, чтобы персональные данные россиян обрабатывались с соблюдением требований к локализации хранения — это создаёт сложности при работе с зарубежными облачными ИИ-провайдерами.
Требования закона существенно мягче для обезличенных данных, не позволяющих идентифицировать конкретного человека, поэтому анонимизация — распространённый способ снизить регуляторную нагрузку.
Роскомнадзор — федеральный орган, ответственный за надзор в сфере персональных данных, вправе проверять компании и налагать штрафы за нарушения.