Как защитить данные клиентов в AI-чате (152-ФЗ)

152-ФЗ «О персональных данных» — про то, чтобы данные клиентов хранились правильно и не утекали. С AI-чатами есть нюансы: переписка, имена, телефоны, иногда — медицинская информация.

Разберём, что должно быть на стороне сервиса, что — на стороне бизнеса, и где риск штрафа в 2026 году.

Что хранится в AI-чате

• Имя клиента (по сообщению или из канала).
• Контакт (telegram-id, vk-id, телефон).
• Содержимое сообщений — может включать всё что угодно.
• Метаданные: время, IP, устройство.
• Данные о записях, услугах, оплатах.

Что требует 152-ФЗ

• Хранение в РФ или у оператора, имеющего трансграничное соглашение.
• Согласие на обработку — клиент должен подтвердить.
• Право на удаление — клиент должен иметь возможность стереть свои данные.
• Уведомление об утечке в Роскомнадзор — в течение 24 часов после обнаружения.
• Назначен ответственный за обработку ПДн (ИП — сам, ООО — приказ).

Технические меры в NovaLead

• Серверы — Москва (adminvps.ru), все данные физически в РФ.
• Шифрование секретов каналов AES-256-GCM.
• TLS 1.3 для всех внешних коммуникаций.
• Ежедневный бэкап с шифрованием, retention 30 дней.
• Аудит-лог критичных операций (доступ к перепискам, экспорт данных).
• Roles-based access — оператор видит только переписки своего бизнеса.

Где риск штрафа

• Хранение в зарубежном AI-сервисе без трансграничного соглашения — до 6 млн ₽ для юрлиц.
• Отсутствие согласия клиента — до 700 тыс. ₽.
• Отсутствие в реестре операторов — до 50 тыс. ₽.
• Утечка без уведомления Роскомнадзора — до 3 млн ₽.

Что читать дальше

Если вы разбираетесь в теме глубже, продолжите с материалами: Почему ManyChat уже не хватает бизнесу в РФ, MAX мессенджер для бизнеса, Knowledge Base для LLM-агента.