🎯 Через 8 минут вы сможете определять, когда использование данных, лиц и голосов в нейросети нарушает установленные правила.

Персональные данные и лица

Это, пожалуй, самый недооценённый урок курса. Про авторские права и маркировку все хоть что-то слышали. А вот про то, что нельзя просто взять клиентскую базу и вставить её в зарубежную нейросеть, — почти никто. И это как раз тот случай, где ошибка стоит не репутации, а реальных миллионов штрафа. Разберём спокойно и по делу.

Все факты — по состоянию на конец августа 2026 года. Где что-то может меняться — пометка «где смотреть».

Это не юридическая консультация. Право по ИИ в России молодое и меняется — перед запуском своего проекта сверься с первоисточником заново.

152-ФЗ на пальцах

Главный закон здесь — 152-ФЗ «О персональных данных». Персональные данные — это любая информация, по которой можно понять, о каком конкретном человеке речь: ФИО, телефон, email, адрес, паспорт, а часто и просто связка «имя + место работы».

Логика закона простая: чужие персональные данные — не твои. Ты можешь их обрабатывать только на законном основании (обычно — согласие человека), только для заявленной цели и обязан их защищать. Собрал базу клиентов — ты за неё отвечаешь.

Для нейросетей это важно вот почему: как только ты скармливаешь модели что-то про реальных людей — их имена, контакты, переписку, фото, — ты обрабатываешь персональные данные. И все правила 152-ФЗ включаются.

Изображение человека — статья 152.1 ГК

Отдельно про лица. Есть статья 152.1 Гражданского кодекса: использовать изображение гражданина без его согласия нельзя. Это работает независимо от того, кто и как выложил фото — даже если снимок в открытом доступе, это не значит, что им можно свободно пользоваться.

Исключения из правила есть, но узкие:

• пародия и карикатура;
• цитирование в оправданном объёме (ст. 1274 ГК);
• съёмка в публичных местах и на публичных мероприятиях, где человек не главный объект.

Практический смысл для ИИ: если ты берёшь фото реального человека и вставляешь в нейросеть — чтобы «омолодить», подставить в рекламу, сделать аватар, — тебе нужно согласие этого человека. «Я же нашёл фото в интернете» — не оправдание.

Где смотреть: ст. 152.1 ГК РФ; исключения — ст. 1274 ГК.

Фото — это ещё не биометрия

Тут частая паника: «любое фото лица — биометрия, а за биометрию огромные штрафы». Не совсем так.

Обычная фотография сама по себе не становится автоматически биометрическими персональными данными. Биометрией фото или иные данные становятся тогда, когда их используют именно для установления личности — например, прогоняют через систему распознавания лиц, чтобы идентифицировать конкретного человека. Вот тогда включается режим биометрии с самыми строгими требованиями и самыми большими штрафами.

Так что «выложил портрет» и «построил систему распознавания лиц по базе фото» — юридически очень разные вещи. Но осторожность не помешает: как только твой ИИ-сценарий начинает узнавать людей по лицу или голосу, ты в зоне биометрии.

Локализация — самое важное в этом уроке

Теперь — главное. Тезис номер один всего курса по части персональных данных.

Данные россиян нужно хранить на серверах в России. Это требование о локализации действует ещё с 2014 года. Первичный сбор, запись, хранение персональных данных граждан РФ должны идти в базах, физически находящихся в России.

А теперь примени это к нейросетям. Когда ты вставляешь клиентскую базу в зарубежный ИИ-сервис — ChatGPT, любой иностранный чат-бот или облачный API — ты отправляешь персональные данные россиян на зарубежные серверы. Это не «рискованно» и не «на грани» — это прямое нарушение закона о локализации.

Запомни формулировку, потому что её постоянно смягчают: не «может быть проблемой», а нарушение. Отраслевой разбор говорит об этом прямо: персональные данные россиян в зарубежном облаке — нарушение требования о локализации (sbsecurity.ru, 23.07.2026).

Что с этим делать:

• Не грузи в зарубежные ИИ-сервисы реальные данные клиентов — имена, телефоны, переписку, договоры с ФИО.
• Если очень надо использовать ИИ для такой задачи — обезличивай данные (убирай всё, по чему можно узнать человека) или бери российский сервис / локальную модель, где данные не уходят за рубеж.
• Российские ИИ-сервисы этот вопрос закрывают сами по себе — данные не покидают страну.

Где смотреть: требование локализации — 152-ФЗ; отраслевой разбор — sbsecurity.ru, 23.07.2026.

Штрафы — они выросли, и сильно

Чтобы было понятно, почему это не пустая формальность. Составы — статья 13.11 КоАП (актуальная редакция, по которой считают суммы, — с 30.05.2025):

• Массовая утечка (более 100 000 субъектов) — от 10 до 15 млн рублей для юрлиц.
• Повторная утечка — уже оборотный штраф: 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей. То есть считают от оборота компании, а не фиксированную сумму.
• Утечка биометрии или специальных категорий данных — до 500 млн рублей.

И это не только штрафы. Есть уголовная ответственность — статья 272.1 УК за незаконный сбор, хранение и использование персональных данных. Введена ФЗ от 30.11.2024 № 421-ФЗ, вплоть до лишения свободы. Под неё, кстати, может подпадать и сбор персональных данных для обучения моделей без основания.

Где смотреть: ст. 13.11 КоАП (ред. с 30.05.2025); ст. 272.1 УК (введена ФЗ от 30.11.2024 № 421-ФЗ).

Дипфейки живых людей — где закон

Ещё одна частая тема: сделали поддельное видео или голос реального человека. Что говорит закон?

Честный ответ: отдельного общего закона о дипфейках в России на август 2026 нет. Ответственность собирается из общих норм:

• ст. 152.1 ГК — если использован образ (лицо) человека без согласия;
• клевета — если дипфейк распространяет о человеке ложные порочащие сведения;
• мошенничество — если дипфейк использовали, чтобы обмануть и завладеть деньгами (например, поддельный голос «родственника» или «руководителя»);
• защита чести, достоинства и деловой репутации — по общим нормам ГК.

То есть закон против дипфейков есть — но не как один запрет «дипфейки нельзя», а как набор общих статей, каждая под свою ситуацию.

Что стоит знать про движение вперёд, но осторожно, это ещё не закон:

• В сфере предвыборной агитации дипфейки уже запрещены — это действующий ФЗ от 02.05.2026 № 130-ФЗ (подробно — в уроке про маркировку).
• Про охрану голоса внесён законопроект № 718834-8 (предлагает новую ст. 152.3 ГК — голос как личное неимущественное право, включая синтез нейросетью и имитацию в реальном времени). Это законопроект, он на рассмотрении, правительство его не поддержало. Не действует — держи в голове как тенденцию, а не как норму.

Где смотреть: ст. 152.1 ГК; ФЗ от 02.05.2026 № 130-ФЗ (агитация); карточка законопроекта № 718834-8 — sozd.duma.gov.ru/bill/718834-8.

Что запомнить

• Чужие персональные данные (ФИО, контакты, переписка, фото) — не твои; по 152-ФЗ обрабатывать их можно только на законном основании и защищать.
• Изображение человека защищено ст. 152.1 ГК — вставлять чужое лицо в нейросеть без согласия нельзя; исключения узкие (пародия, цитирование).
• Обычное фото не равно биометрии автоматически — биометрией оно становится, когда его используют, чтобы установить личность (распознавание лиц).
• Локализация — главное: вставить клиентскую базу в зарубежный ИИ-сервис — это нарушение закона (данные россиян хранить в РФ), а не просто «риск». Обезличивай данные или бери российские/локальные сервисы.
• Штрафы выросли: массовая утечка 10–15 млн, повторная — оборотный 1–3% выручки, биометрия — до 500 млн, плюс уголовная ст. 272.1 УК.
• Отдельного общего закона о дипфейках нет — ответственность собирается из ст. 152.1 ГК, клеветы, мошенничества. В агитации дипфейки уже запрещены (130-ФЗ); охрана голоса — пока законопроект.

---

Про то, что уходит вместе с текстом. Здесь мы говорили о законе. Как обращаться с данными на практике — что можно вставлять в чат, что обезличивать, а чего нельзя никогда, и почему поставщик это не инструмент, а контрагент, — разобрано в курсе Безопасность с искусственным интеллектом, модуль «Что вы отдаёте, когда пишете в чат».