# ИИ-ассистент и 152‑ФЗ: что нужно знать владельцу сайта

> Посетители пишут в чат имена, телефоны и детали заказов. Какие требования 152-ФЗ касаются ИИ-ассистента, что прописать в политике и договоре и как проверить поставщика.

Опубликовано: 2026-09-12 · Рубрика: Данные и закон · Автор: Редакция SetSearch

Источник: [https://setsearch.ai/blog/ai-assistant-152-fz/](https://setsearch.ai/blog/ai-assistant-152-fz/)

Посетитель пишет в чат: «Меня зовут Анна, телефон такой-то, перезвоните по заказу 1043». В этот момент ваш сайт получил персональные данные. Неважно, кто ответил, оператор или ИИ-ассистент: на обработку распространяется Федеральный закон № 152‑ФЗ «О персональных данных».

Многие владельцы сайтов вспоминают о законе уже после запуска чата, когда приходит запрос от службы безопасности крупного клиента или вопрос от юриста. Ниже то, что стоит продумать заранее: какие данные появляются в переписке, кто за них отвечает, какие требования закона касаются чата напрямую и как проверить поставщика ассистента.

_Статья носит информационный характер и не является юридической консультацией. Для решений по вашей компании обратитесь к юристу._

## Что считается персональными данными в чате

По ст. 3 закона персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Как это выглядит в переписке с ассистентом:

| Что пишет посетитель                   | Персональные данные?                                  |
| -------------------------------------- | ----------------------------------------------------- |
| «Сколько стоит доставка в Пермь?»      | Сам вопрос — как правило, нет                         |
| «Меня зовут Анна, перезвоните на +7 …» | Да: имя и телефон                                     |
| «Где мой заказ 1043?»                  | Да, если номер заказа связан с конкретным покупателем |
| «Доставьте на ул. Ленина, 5, кв. 12»   | Да: адрес в связке с заказом                          |
| «Пишу с почты anna@…, пришлите счёт»   | Да: e-mail                                            |

Обратите внимание на слово «определяемому». Номер заказа сам по себе ничего не говорит, но в вашей базе он однозначно указывает на человека. Поэтому разумно исходить из того, что почти любая переписка, в которой есть контакты или детали заказа, содержит персональные данные.

## Кто за что отвечает

С подключением внешнего сервиса роли распределяются так.

**Вы — оператор персональных данных.** По ст. 3 оператор — тот, кто организует обработку и определяет её цели и состав данных. Это вы решаете, зачем собираете контакты посетителей, и отвечаете перед ними и перед Роскомнадзором. Подключение стороннего сервиса эту ответственность не снимает.

**Поставщик ассистента — лицо, которое обрабатывает данные по вашему поручению.** Закон разрешает поручать обработку другому лицу на основании договора (ч. 3 ст. 6). Исполнитель обязан соблюдать принципы и правила закона, сохранять конфиденциальность и обеспечивать безопасность данных.

### Что обычно проверяют в договоре с поставщиком

- есть ли в договоре прямое поручение на обработку персональных данных;
- какие действия с данными разрешены поставщику и для каких целей;
- обязанности по конфиденциальности и защите данных;
- где хранятся данные и кто из сотрудников поставщика имеет к ним доступ;
- что происходит с перепиской после расторжения договора.

Если поставщик предлагает только публичную оферту без слова «персональные данные», это повод задать вопросы до подключения, а не после.

## Пять вопросов, которые нужно закрыть до запуска

### 1. Локализация: данные россиян на серверах в России

При сборе персональных данных граждан России, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение должны вестись с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18).

Для чата вывод простой: если переписки с посетителями сохраняются на зарубежных серверах, требование не выполнено. На этом пункте часто «спотыкаются» самодельные решения на базе зарубежных сервисов.

**Что проверить:** где физически хранятся диалоги и данные посетителей у вашего поставщика. Нужен конкретный ответ; «у нас всё надёжно» таким ответом не считается.

### 2. Политика обработки персональных данных

Оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ (ст. 18.1). Если на сайте появился чат, политика должна это отражать.

Условный пример фрагмента, который можно обсудить с юристом:

> «На сайте работает онлайн-чат с ИИ-ассистентом. В переписке посетитель может по своему желанию сообщить имя, телефон, адрес электронной почты, номер заказа и адрес доставки. Эти данные используются для ответа на обращение, обработки заказа и связи с посетителем. Обработку по нашему поручению осуществляет поставщик сервиса чата; данные хранятся на серверах в России».

**Что проверить:** в политике названы данные, которые посетитель может передать в чате, цели их использования и то, что обработку ведёт поставщик по поручению.

### 3. Законное основание и согласие

Когда ассистент собирает контакты (например, оформляет заявку на обратный звонок), нужно законное основание обработки. На практике для таких заявок часто используют согласие посетителя. По ст. 9 оно должно быть конкретным, предметным, информированным, сознательным и однозначным: человек понимает, что, кому и зачем передаёт.

Условный пример уведомления в виджете перед отправкой контактов:

> «Оставляя телефон, вы соглашаетесь на обработку персональных данных для обратного звонка по вашему обращению. Подробнее — в [политике обработки персональных данных]».

**Что проверить:** уведомление показывается до того, как посетитель отправит контакты, в нём есть цель и ссылка на политику, а формулировка не спрятана мелким шрифтом. Нужна ли отдельная галочка и в какой форме фиксировать согласие, решайте вместе с вашим юристом.

### 4. Уведомление Роскомнадзора

Оператор, как правило, обязан до начала обработки уведомить Роскомнадзор о своём намерении обрабатывать персональные данные (ст. 22). Сведения об операторах вносятся в публичный реестр.

**Что проверить:** ваша компания есть в реестре операторов на сайте Роскомнадзора, а сведения в уведомлении актуальны: например, в нём учтены новые цели или категории данных, если они появились вместе с чатом.

### 5. Гигиена данных в работе ассистента

К формальным требованиям стоит добавить несколько практических правил, которые снижают риски:

- **Минимизация.** Ассистент не должен просить больше, чем нужно для задачи. Для обратного звонка достаточно имени и телефона; дата рождения и адрес не нужны.
- **Срок хранения.** Храните переписки не дольше, чем это нужно для целей обработки, и договоритесь с поставщиком, как и когда они удаляются.
- **Доступы.** Переписки видят только сотрудники, которым это нужно по работе. Общий логин на весь отдел — плохая идея.
- **Удаление по запросу.** Должен быть понятный порядок: если посетитель просит удалить его данные, вы знаете, где они лежат и кто их удалит.

## Как ассистент должен вести себя с данными: четыре ситуации

**Посетитель сам пишет телефон, хотя его не спрашивали.** Ассистент не должен повторять номер в ответе целиком и не должен просить «на всякий случай» ещё и e-mail. Достаточно подтвердить: «Спасибо, передаю обращение менеджеру, он перезвонит».

**Ассистент оформляет заявку.** Перед просьбой оставить контакты он показывает короткое уведомление о цели и ссылку на политику. Собирается только то, что нужно для заявки.

**Разговор передаётся оператору.** Оператор получает историю переписки, и посетителю не приходится повторять вопрос. Правило доступов действует и здесь: историю видит тот, кто обрабатывает обращение. Как настроить саму передачу, описано в статье [о правилах передачи диалога оператору](https://setsearch.ai/blog/handoff-to-operator-rules/).

**Посетитель присылает лишнее:** фото паспорта, номер карты, подробности о здоровье. Ассистента стоит настроить так, чтобы он не запрашивал такие сведения и мягко предупреждал, что в чат их отправлять не нужно. Сведения о здоровье относятся к специальным категориям персональных данных и требуют особого порядка обработки (ст. 10). Если для вашей отрасли это типичная ситуация, обсудите её с юристом заранее. Пример такой настройки для медицины есть в статье [об ИИ-ассистенте для клиники](https://setsearch.ai/blog/ai-assistant-medical-clinic/).

> **Главное.** Ответственность за данные посетителей остаётся на вас как на операторе, даже если чат ведёт внешний сервис. Поэтому выбирать поставщика нужно не только по качеству ответов, но и по тому, где хранятся данные и готов ли он работать по договору поручения.

## Как проверить поставщика ИИ-ассистента

Хватит пяти вопросов. Сравните ответы поставщика с правой частью таблицы.

| Вопрос                                                  | Хороший ответ                              | Повод насторожиться                   |
| ------------------------------------------------------- | ------------------------------------------ | ------------------------------------- |
| Где хранятся и обрабатываются данные посетителей?       | В России, с указанием, где именно          | «В облаке», «надёжно», без конкретики |
| Готовы заключить договор с поручением на обработку ПДн? | Да, есть шаблон или готовы согласовать ваш | «У нас оферта, этого достаточно»      |
| Внесены ли вы в реестр операторов Роскомнадзора?        | Да, можно проверить по названию юрлица     | Уклончивый ответ                      |
| Кто и как получает доступ к перепискам?                 | Ограниченный круг, по ролям                | «Все, у кого есть доступ к кабинету»  |
| Как удаляются данные по запросу посетителя?             | Понятный порядок и сроки                   | «Такого не было»                      |

## Чек-лист перед запуском

1. Политика обработки персональных данных обновлена и упоминает чат.
2. Перед сбором контактов в виджете есть уведомление со ссылкой на политику.
3. С поставщиком подписан договор с поручением на обработку.
4. Данные хранятся на серверах в России.
5. Сведения в реестре операторов Роскомнадзора актуальны.
6. Ассистент настроен не запрашивать лишние и чувствительные данные.
7. Определены сроки хранения переписок и порядок удаления по запросу.
8. Доступ к перепискам есть только у нужных сотрудников.

## SetSearch по пунктам этого чек-листа

- данные обрабатываются в соответствии со 152‑ФЗ;
- хранение и обработка ведутся на серверах в России;
- ООО «Сет Офис», разработчик SetSearch, внесено в реестр операторов персональных данных Роскомнадзора.

Минимизацию и передачу оператору задают при настройке сценариев: например, что ассистент не запрашивает лишние данные и в каких случаях передаёт разговор оператору вместе с историей переписки. Отвечает он по материалам клиента (каталогу, статьям, документам). Детали договора и требования вашей службы безопасности согласуем на этапе подключения.

## Что передать юристу вместе с этой статьёй

- Имя, телефон, e-mail, адрес и номер заказа в чате — персональные данные; закон распространяется на чат так же, как на формы.
- Вы оператор, поставщик ассистента обрабатывает данные по вашему поручению на основании договора.
- Данные граждан России должны храниться в базах данных на территории России.
- Политика должна упоминать чат, а перед сбором контактов нужно понятное уведомление.
- Просите минимум данных, храните их не дольше, чем нужно, и ограничьте доступ.

Запуск ассистента выполняет команда SetSearch, разработчик с вашей стороны не нужен. Попробовать его на своих данных можно через [заявку на демо](https://setsearch.ai/#cta), подробнее о сервисе на [главной странице SetSearch](https://setsearch.ai/).

## Источники

- [Федеральный закон № 152‑ФЗ «О персональных данных»](https://www.consultant.ru/document/cons_doc_LAW_61801/) — текст закона, в том числе ст. 3, 6, 9, 10, 18, 18.1 и 22
- [Реестр операторов персональных данных Роскомнадзора](https://pd.rkn.gov.ru/operators-registry/operators-list/) — проверка компании или поставщика по названию юрлица

## Частые вопросы

### Распространяется ли 152‑ФЗ на онлайн-чат с ИИ-ассистентом на сайте?

Да. Если посетитель пишет в чат имя, телефон, e-mail, адрес или номер заказа, сайт получает персональные данные, и неважно, кто ответил — оператор или ИИ-ассистент.

### Кто отвечает за персональные данные, если чат на сайте ведёт сторонний сервис?

Владелец сайта остаётся оператором персональных данных и отвечает перед посетителями и Роскомнадзором. Поставщик ассистента обрабатывает данные по его поручению на основании договора, но это не снимает ответственность с оператора.

### Можно ли хранить переписку из чата с клиентами на зарубежных серверах?

При сборе персональных данных граждан России их запись, хранение и другие действия с ними должны вестись с использованием баз данных на территории РФ (ч. 5 ст. 18 152‑ФЗ). Если переписки хранятся на зарубежных серверах, это требование не выполнено.

### Что спросить у поставщика ИИ-ассистента про персональные данные?

Где хранятся и обрабатываются данные посетителей, готов ли он заключить договор с поручением на обработку, внесён ли в реестр операторов Роскомнадзора, кто получает доступ к перепискам и как удаляются данные по запросу посетителя.

### Нужно ли менять политику обработки персональных данных после подключения чата?

Да, политика должна отражать чат: какие данные посетитель может передать в переписке, для каких целей они используются и что обработку ведёт поставщик по поручению.