GDPR и ИИ: Правовое основание, передача данных и compliance

#

Дата исследования: 25 февраля 2026 Область исследования: Применение GDPR к ИИ-системам Целевая аудитория: Разработчики, издатели, деплойеры ИИ в ЕС/Португалии

Резюме

#

GDPR полностью применяется к ИИ-системам, обрабатывающим персональные данные. Данное исследование рассматривает:

• Правовое основание для ИИ-обработки данных (законный интерес vs. согласие)
• Международная передача данных (ЕС-США, SCCs, требования TIA)
• Требования DPIA (оценка воздействия на защиту данных)
• Права субъектов данных в контексте ИИ
• Последние правоприменительные действия и штрафы

Ключевой вывод: «Законный интерес» (Статья 6(1)(f)) является наиболее распространённым правовым основанием для ИИ-обработки, требующим документированного балансировочного теста и мер смягчения.

1. Правовое основание для ИИ-обработки данных

#

1.1 Применимые правовые базисы (Статья 6 GDPR)

#

ИИ-обработка данных требует правового основания по Статье 6(1) GDPR. Для генерации ИИ-контента и разработки применимы следующие основания:

a) Законный интерес — Статья 6(1)(f)

#

Наиболее распространённое правовое основание для ИИ-обработки.

EDPB в Заключении 28/2024 подтвердил, что законный интерес может служить правовым основанием для разработки и использования ИИ-моделей. Требуется трёхступенчатый тест:

Шаг 1 — Идентификация законного интереса:

• Создание информационного контента для публичных энциклопедических проектов — признаётся законным интересом
• Улучшение качества и полноты контента — также законный интерес
• Разработка open-source инструментов — подпадает под инновационную деятельность

Шаг 2 — Тест необходимости:

• Использование AI API необходимо для достижения заявленной цели (генерация качественного контента)
• Нет менее интрузивного способа достичь того же результата с тем же качеством
• Обработка ограничена минимально необходимым объёмом данных

Шаг 3 — Балансировочный тест:

• Интересы субъектов данных (контроль над персональными данными, финансовые интересы)
• Их права и свободы (защита данных, свобода выражения, доступ к информации)
• Влияние обработки на субъектов данных (определяется рисками)
• Разумные ожидания субъектов данных относительно обработки

Критически важно: Балансировочный тест должен быть задокументирован (Legitimate Interest Assessment, LIA). CNIL (Франция) в рекомендациях февраля 2025 подчеркнула, что документирование LIA обязательно для любого использования ИИ на основе законного интереса.

Смягчающие меры в балансировочном тесте:

• Минимизация данных: не передавать персональные данные в API, если это не необходимо
• Псевдонимизация: замена идентификаторов перед отправкой в API
• Право на возражение (opt-out): предоставить субъектам данных возможность возражения по Статье 21
• Прозрачность: уведомление об использовании ИИ в Privacy Policy

b) Согласие — Статья 6(1)(a)

#

Согласие не является оптимальным основанием для большинства ИИ-сценариев, потому что:

• Контент генерируется не о конкретных пользователях, а как информационный материал
• Получение предварительного согласия от всех потенциальных субъектов данных, упоминаемых в энциклопедическом контенте, практически невозможно
• Согласие должно быть свободным, конкретным, информированным и недвусмысленным (Статья 4(11))
• Может быть отозвано в любой момент (Статья 7(3)), создавая операционную сложность

Исключение: Согласие может быть правильным основанием для обработки данных зарегистрированных пользователей (через системы аутентификации), если их данные передаются в ИИ API.

c) Выполнение договора — Статья 6(1)(b)

#

Не применимо в большинстве сценариев, так как генерация контента через ИИ не является частью договорных отношений с посетителями сайта.

1.2 Роли контроллера и процессора

#

В контексте использования ИИ API:

Обязательства контроллера:

• Заключить DPA (Data Processing Agreement) с ИИ-провайдером — автоматически включён в коммерческие Terms of Service
• Вести реестр обработки (Статья 30) — даже для индивидуальных разработчиков при неоказиональной обработке
• Обеспечить правовое основание для каждого вида обработки
• Информировать субъектов данных (Статьи 13, 14)

1.3 Предложение Digital Omnibus (ноябрь 2025)

#

19 ноября 2025 Европейская комиссия опубликовала пакет Digital Omnibus, включающий поправки к GDPR:

• Новая статья 88c GDPR (проект): явно подтверждает, что разработка и эксплуатация ИИ-модели может преследоваться как законный интерес, при условии соблюдения необходимости и балансировочного теста
• Расширение Статьи 9: допускает обработку ограниченного объёма остаточных специальных категорий данных при разработке ИИ, если их полное удаление требует несоразмерных усилий
• Статус: Законопроект на стадии переговоров, ещё не вступил в силу

2. Международная передача данных

#

2.1 Правовая база: Глава V GDPR

#

Передача персональных данных в третьи страны (вне ЕЭП) регулируется Главой V GDPR (Статьи 44-49).

Использование ИИ API от американских компаний представляет собой трансграничную передачу данных.

2.2 Механизмы передачи

#

a) Решение об адекватности (Статья 45)

#

EU-US Data Privacy Framework (DPF) — принято 10 июля 2023 Европейской Комиссией (Решение C(2023) 4745). Позволяет передачу данных американским организациям, сертифицированным по DPF.

Важно проверить: Включён ли ИИ-провайдер в реестр DPF. На дату исследования многие ИИ-провайдеры не подтвердили публично свою сертификацию по DPF.

b) Стандартные договорные условия (SCCs) — Статья 46(2)(c)

#

Большинство ИИ-провайдеров включают SCCs в свои DPA:

• Модуль 2 (контроллер → процессор) — основной для данного сценария
• Модуль 3 (процессор → процессор) — для цепочки субпроцессоров

SCCs обновлены Решением Комиссии 2021/914 от 4 июня 2021.

Дополнительные требования после Schrems II (CJEU C-311/18):

• Transfer Impact Assessment (TIA) — оценка законодательства страны-получателя
• Дополнительные меры защиты (шифрование, псевдонимизация)
• Оценка доступа государственных органов к данным

c) Исключения (Статья 49)

#

В качестве разового исключения (не для систематической передачи):

• Явное согласие субъекта данных (Статья 49(1)(a))
• Необходимость для исполнения договора (Статья 49(1)(b))
• Важные публичные интересы (Статья 49(1)(d))

Не применимо для регулярного использования API — Статья 49 предназначена для разовых передач.

2.3 Региональная обработка (некоторые ИИ-провайдеры)

#

Некоторые ИИ-провайдеры запустили мультирегиональную обработку данных:

• Для пользователей в ЕС: данные обрабатываются и хранятся только в ЕС (при выборе EU-региона)
• Ключевое различие: обработка данных (inference) может происходить в ЕС, но историческое хранение данных могло быть в США

Рекомендация: Явно выбрать EU-регион в настройках API для минимизации рисков трансграничной передачи.

2.4 Практические шаги

#

1. Подписать DPA с ИИ-провайдером — доступно через консоль API, автоматически включено в коммерческие условия
2. Провести TIA — оценить риски передачи данных в третью страну с учётом FISA 702 и Executive Order 14086
3. Выбрать EU-регион для обработки данных (если доступно)
4. Минимизировать передачу — не включать персональные данные в промпты, если это не необходимо
5. Рассмотреть Zero Data Retention — для максимальной защиты

3. Оценка воздействия на защиту данных (DPIA)

#

3.1 Когда DPIA обязательна (Статья 35 GDPR)

#

Статья 35(1) требует DPIA, когда вид обработки, в особенности с использованием новых технологий, с учётом характера, объёма, контекста и целей обработки, может повлечь высокий риск для прав и свобод физических лиц.

Статья 35(3) — обязательные случаи:

• (a) Систематическая и масштабная оценка персональных аспектов на основе автоматизированной обработки, включая профилирование
• (b) Масштабная обработка специальных категорий данных (Статья 9) или данных о судимости (Статья 10)
• (c) Систематический масштабный мониторинг публично доступных мест

3.2 Критерии EDPB для определения необходимости DPIA

#

EDPB (бывшая WP29) определил 9 критериев (Руководство WP 248 rev.01). Если обработка соответствует двум или более критериям, DPIA предположительно обязательна:

Консервативная рекомендация: Провести DPIA, даже если формально можно аргументировать необязательность. Это:

• Демонстрирует принцип подотчётности (Статья 5(2))
• Снижает регуляторные риски
• CNIL и EDPS в ориентирах по генеративному ИИ (октябрь 2025) однозначно рекомендуют DPIA для любого использования генеративного ИИ с персональными данными

3.3 Содержание DPIA (Статья 35(7))

#

DPIA должна включать как минимум:

1. Систематическое описание обработки и её целей, включая, где применимо, законный интерес контроллера
2. Оценку необходимости и пропорциональности обработки по отношению к целям
3. Оценку рисков для прав и свобод субъектов данных
4. Меры по устранению рисков, включая гарантии, меры безопасности и механизмы обеспечения защиты

4. Права субъектов данных

#

4.1 Статья 22 — Автоматизированное принятие решений

#

Текст Статьи 22(1):

Субъект данных имеет право не подвергаться решению, основанному исключительно на автоматизированной обработке, включая профилирование, которое порождает правовые последствия в отношении него или аналогичным образом существенно на него влияет.

Применимость к генерации ИИ-контента:

Статья 22 скорее всего НЕ применяется непосредственно к генерации энциклопедического контента, потому что:

• Генерация контента не является «решением» в отношении конкретного субъекта данных
• Отсутствуют «правовые последствия» или «существенное влияние» на субъекта
• Контент проходит человеческую модерацию перед публикацией

Однако если ИИ используется для:

• Принятия решений о допуске/блокировке пользователей → Статья 22 применяется
• Персонализации контента на основе профиля пользователя → может применяться
• Автоматической модерации комментариев → потенциально применяется

4.2 «Право на объяснение»

#

GDPR не содержит явного «права на объяснение». Однако сочетание нескольких статей создаёт фактическое право на значимую информацию:

• Статья 13(2)(f): При сборе данных от субъекта — информация об автоматизированном принятии решений, включая профилирование, и значимая информация о логике, а также о значении и предполагаемых последствиях
• Статья 14(2)(g): То же самое при получении данных не от субъекта
• Статья 15(1)(h): Право доступа — включает информацию об автоматизированном принятии решений

4.3 Другие права субъектов данных в контексте ИИ

#

4.4 Практические последствия

#

• Необходим процесс обработки запросов субъектов данных (Статья 12 — ответ в течение 1 месяца)
• Для контента, содержащего персональные данные реальных людей, должен быть механизм исправления/удаления
• Право на возражение по Статье 21 требует индивидуального рассмотрения каждого случая

5. Уведомления о конфиденциальности

#

5.1 Обязательные элементы Privacy Policy (Статьи 13-14 GDPR)

#

При использовании ИИ для генерации контента Privacy Policy должна включать:

По Статье 13 (данные от субъекта):

1. Личность и контактные данные контроллера (Статья 13(1)(a))
2. Цели обработки и правовое основание (Статья 13(1)(c))
3. Законные интересы контроллера, если обработка основана на Статье 6(1)(f) (Статья 13(1)(d))
4. Получатели данных или категории получателей (Статья 13(1)(e))
5. Намерение передать данные в третью страну и ссылка на надлежащие гарантии (Статья 13(1)(f))
6. Срок хранения данных (Статья 13(2)(a))
7. Права субъектов данных (Статья 13(2)(b-d))
8. Право подать жалобу в надзорный орган — CNPD (Статья 13(2)(d))
9. Наличие автоматизированного принятия решений, включая профилирование (Статья 13(2)(f))

По Статье 14 (данные не от субъекта — например, если ИИ генерирует контент о третьих лицах):

• Все вышеперечисленные элементы
• Источник данных (Статья 14(2)(f))
• Категории обрабатываемых данных (Статья 14(1)(d))

5.2 Специфические раскрытия об ИИ

#

По GDPR:

• Факт использования ИИ для генерации контента
• Какие категории данных могут обрабатываться через ИИ API
• Правовое основание для такой обработки
• Информация о получателе данных (ИИ-провайдер) и трансфере в третью страну
• Ссылка на DPA и SCCs

По AI Act (Статья 50 — с августа 2026):

• Контент, сгенерированный ИИ, должен быть промаркирован в машиночитаемом формате
• Пользователи должны быть уведомлены о взаимодействии с ИИ-системой
• Публикации на темы общественного интереса, созданные ИИ, должны быть чётко обозначены

5.3 Рекомендуемая структура Privacy Policy

#

Многоуровневый подход (рекомендация WP29/EDPB):

Уровень 1 — Баннер/краткое уведомление:

• Использование аналитики
• Факт использования ИИ для контента
• Ссылка на полную политику

Уровень 2 — Полная политика конфиденциальности:

• Все обязательные элементы по Статьям 13-14
• Отдельный раздел об ИИ-обработке
• Отдельный раздел о международных трансферах

Уровень 3 — Детальные раскрытия:

• LIA (Legitimate Interest Assessment) — доступна по запросу
• DPIA (сводка) — доступна по запросу
• Список субпроцессоров

6. Последние правоприменительные действия

#

6.1 Италия: Garante vs OpenAI (ChatGPT)

#

Хронология:

Выявленные нарушения:

1. Отсутствие правового основания (Ст. 6 GDPR) — обучение ChatGPT на персональных данных без надлежащего правового основания
2. Нарушение прозрачности — недостаточная информация пользователям
3. Отсутствие верификации возраста — нет механизма защиты детей до 13 лет
4. Несообщение об утечке данных — утечка марта 2023 не сообщена своевременно в Garante

Дополнительные требования:

• 6-месячная образовательная кампания о работе ChatGPT и правах субъектов данных

Текущий статус: OpenAI подал апелляцию, называя штраф «непропорциональным» — предположительно в 20 раз превышающим выручку компании в Италии за спорный период.

6.2 Италия: Garante vs Luka Inc. (Replika)

#

Хронология:

Выявленные нарушения:

1. Отсутствие правового основания для обработки до 2 февраля 2023
2. Неадекватная политика конфиденциальности
3. Полное отсутствие верификации возраста — несмотря на заявление о запрете несовершеннолетних
4. После принятия мер: пользователи могли изменить дату рождения без верификации, обходить «период охлаждения» через режим инкогнито

6.3 Нидерланды: Dutch DPA vs Clearview AI

#

Решение 16 мая 2024: штраф €30,5 млн

Нарушения:

• Незаконная обработка биометрических данных без правового основания (Ст. 6 GDPR)
• Создание незаконной базы данных фотографий и биометрических кодов
• Недостаточная информация для субъектов данных
• Невыполнение запросов на доступ (Ст. 12, 15, 17 GDPR)

Дополнительно:

• Штрафы до €5,1 млн за несоблюдение
• DPA изучает возможность персональной ответственности директоров компании
• Clearview утверждает об отсутствии присутствия или клиентов в ЕС — DPA отклоняет

Контекст: Clearview AI оштрафован 7 раз различными DPA ЕС с 2020, совокупная сумма — более €100 млн.

6.4 Испания: AEPD

#

Общая статистика на 2024: €35,5 млн штрафов (рост 19% vs 2023), 10 штрафов свыше €1 млн.

ИИ-связанные решения:

• La Liga (Национальная профессиональная футбольная лига): штраф €1 млн (декабрь 2024) — биометрическое распознавание на входах на стадионы без соответствия GDPR
• FC Osasuna: штраф €200 000 (3 декабря 2024) — использование системы распознавания лиц на стадионе El Sadar в сезоне 2022-2023

Стратегические приоритеты AEPD 2024-2025:

• Усиленный проактивный мониторинг использования ИИ и биометрических систем
• Мониторинг технологий на рабочих местах и школьных систем наблюдения

7. Практические рекомендации

#

7.1 Немедленные действия (приоритет P0-P1)

#

P0 — Критично:

#

1. Privacy Policy для каждого публичного сайта

   • Все обязательные элементы по Статьям 13-14
   • Раздел об ИИ-обработке
   • Раздел о международных трансферах (ИИ-провайдер/третья страна)
   • На локальном языке + английском

2. DPA с ИИ-провайдером — подтвердить заключение через консоль API

3. Реестр обработки (Статья 30) — документировать все виды обработки:

   • ИИ API: промпты, ответы, категории данных
   • Аналитика: аналитические данные
   • Аутентификация: аутентификационные данные

P1 — Высокий приоритет:

#

4. Legitimate Interest Assessment (LIA) — задокументировать трёхступенчатый тест для использования ИИ API

5. DPIA — провести для использования генеративного ИИ, как минимум упрощённую

6. Выбрать EU-регион в ИИ API — минимизировать трансграничные трансферы

7. Процедура обработки запросов субъектов данных — шаблон ответа, сроки (1 месяц по Статье 12)

7.2 Для небольших цифровых издателей

#

Наиболее практичный и безопасный подход:

1. Контент: Установить формальный процесс человеческой редакции всего ИИ-генерированного контента + принять редакционную ответственность + добавить прозрачный дисклеймер (не обязательно, но повышает доверие)

2. Код (библиотеки, приложения): Нет специфических обязательств по GDPR, если сам продукт не обрабатывает персональные данные

3. Добровольные пожертвования: Структурировать как добровольные взносы без привязки к конкретным ИИ-функциям — для сохранения open-source статуса

4. Документация: Хранить записи о процессе создания контента — пригодится при проверках

Источники

#

Законодательство и регламенты

#

• Regulation (EU) 2016/679 (GDPR) — полный текст
• Article 6 GDPR — Lawfulness of processing
• Article 22 GDPR — Automated decision-making
• Article 35 GDPR — Impact assessment
• EU AI Act — Article 50: Transparency obligations

Заключения и руководства EDPB/EDPS

#

• EDPB Opinion 28/2024 — AI models and personal data (PDF)
• EDPS: Revised Guidance on Generative AI (октябрь 2025)

Рекомендации национальных DPA

#

• CNIL: AI system development — recommendations for GDPR compliance
• CNIL: AI and GDPR — new recommendations (февраль 2025)

Правоприменение и штрафы

#

• Italy fines OpenAI €15M EUR
• Italy fines Replika (Luka Inc) €5M EUR
• Dutch DPA fines Clearview AI €30.5M EUR
• GDPR Enforcement Tracker

Данный отчёт представляет собой результат правового исследования (OSINT) и не является юридической консультацией. Для принятия конкретных правовых решений рекомендуется обращение к квалифицированному юристу, специализирующемуся на защите данных в ЕС/Португалии.