Персональные данные для ИИ

Опыт Германии

В октябре 2025 г. принято Руководство по защите данных для компаний, использующих технологии генеративного ИИ на основе метода поиска и дополненной¹ генерации «RAG» – когда запрос пользователя дополняется контекстом, уточняется, прежде чем запрос поступает в ИИ для генерации ответа. Руководство предназначено для организаций, обрабатывающих персональные данные через системы RAG, включая использование² встроенных моделей ИИ и векторные базы данных. Выделяется 7 принципов работы:

1) точность данных, иначе это приводит к ложным ответам ИИ о человеке;

2) отслеживаемость источников, используемых для дополнения запроса;

3) безопасность данных за счет технических мер разграничения хранения данных;

4) классификация данных по целям их использования, чтобы не использовать данные для нерелевантных целей;

5) чтобы данные привлекались для генерации ответа в объёме необходимом для отработки запроса и не хранились дольше положенного срока;

6) комплаенс по законодательству ещё на этапе обучения языковой модели до имплементации метода RAG;

7) соблюдение всех прав субъектов персональных данных, включая право на доступ к информации об обработке данных.

Организации, использующие ИИ на методе RAG, должны быть готовы доступно объяснить субъектам принципы и условия использования их данных в ИИ-системах.

Практика регулирования защиты персональных данных для ИИ на уровне стандартов может стать популярнее в европейских странах на фоне инициатив по упрощению требований Регламента ЕС по защите персональных данных (GDPR) для целей стимулирования разработчиков ИИ- технологий. В ноябре 2025 г. ожидается презентация Еврокомиссией пакета поправок³ в GDPR . С учетом того, что европейский подход обращения с персональными данными стал образцом для многих зарубежных национальных законов, ожидается, что новый тренд быстро охватит и другие страны.

Опыт России

В России развиваются стандарты защиты данных для ИИ. Для ИИ в 2022 г. был утвержден ГОСТ по управлению процессами для анализа больших данных (но вопрос защиты персональных данных закрывается отсылкой к общим законодательным⁴ требованиям) . В июле 2025 г. Банк России представил Кодекс этики в сфере разработки и применения ИИ на финансовом рынке. В части защиты данных рекомендуется при разработке ИИ-решений использовать данные клиентов только в случаях, если ожидается существенное улучшение эффективности от внедрения ИИ для⁵ оказания финансовых услуг .

По опросу в 2025 г. в европейских странах, 84% респондентов убеждены, что чем подробнее регулирование вопросов конфиденциальности для ИИ, тем⁶ безопаснее его применение . Поэтому в России и мире можно прогнозировать разработку отраслевых стандартов защиты данных для ИИ в таких секторах, как медицинские услуги и электронная коммерция.

Материал из выпуска мониторинга №10 (22), октябрь 2025. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара