Проверено: 27 июля 2026 · Любовь Черемисина
Информационный материал. Не является юридической консультацией. Перед принятием решений по обработке персональных данных рекомендуется оценить ваш сценарий с юристом по 152-ФЗ.
Короткий ответ
Да, ChatGPT, Claude и MCP можно использовать в российском бизнесе — но последствия зависят от характера обработки. Пока AI работает с обезличенной статистикой (реклама, продажи, остатки), требования 152-ФЗ о локализации и трансграничной передаче к такому потоку обычно не применяются. Когда в модель попадают ФИО, телефоны и переписка клиентов — может потребоваться полный комплекс мер оператора ПДн.
1. Проблема
После ужесточения локализации (ч. 5 ст. 18 152-ФЗ с 1 июля 2025 года) и активной повестки про трансграничную передачу многие компании откладывают внедрение AI «до ясности». При этом маркетинг уже использует нейросети — часто без понимания, где проходит граница между бизнес-аналитикой и персональными данными.
2. Что говорит закон — практически
- 152-ФЗ регулирует персональные данные — сведения о конкретных физических лицах.
- Локализация — про то, где первично записываются и хранятся ПДн граждан РФ.
- Трансграничная передача — про передачу ПДн за рубеж; может потребоваться уведомление Роскомнадзора до начала передачи.
- Выручка, агрегаты по кампаниям, остатки на складе — как правило, не персональные данные.
3. Какие сценарии существуют
- AI только с аналитикой (Метрика, Директ, сводные отчёты)
- AI с обезличенными или агрегированными данными
- AI с корпоративными документами без данных клиентов
- AI с CRM — контакты, сделки, переписка
- AI с явными персональными данными (поддержка, HR, колл-центр)
| Сценарий | ПДн в потоке? | Что может потребоваться |
|---|---|---|
| Сводки по рекламе и продажам | Обычно нет | Внутренние регламенты по коммерческой тайне |
| Аналитические таблицы без ФИО | Обычно нет | Контроль утечек корпоративных данных |
| CRM с контактами клиентов | Да | Основание, согласие, локализация, возможно уведомление РКН |
| Разбор переписок через зарубежную LLM | Да | Минимизация полей, договор с провайдером, оценка трансгранички |
4. Архитектурные варианты
- Публичный SaaS-чат — быстрый старт; данные уходят к провайдеру модели.
- Enterprise API с DPA и отключённым обучением — больше контроля, но поток всё равно может быть трансграничным.
- Коробочный MCP-контур — ключи и журнал на вашем сервере; в модель уходит только то, что разрешили.
- Российская LLM on-premise — когда трансграничка недопустима для ПДн.
5. Почему коробочный MCP закрывает большую часть задач
MCP не «обходит закон» — он структурирует доступ: вы задаёте, какие инструменты и поля доступны модели. Платформа на вашем сервере хранит OAuth-токены, ведёт журнал вызовов и позволяет размещение в РФ. Для маркетинговой аналитики без ПДн это часто достаточный контур; для CRM — основа, на которую накладываются юридические процедуры.
6. Когда коробка особенно уместна
- Служба ИБ требует собственный периметр и аудит доступа
- Нужна локализация инфраструктуры в РФ
- Несколько AI-клиентов (Claude, ChatGPT, Cursor) — один управляемый MCP URL
- Интеграция с внутренними системами и регламентами
FAQ
Можно ли использовать ChatGPT и Claude в российском бизнесе?
Да, в ряде сценариев — но зависит от характера обрабатываемых данных, требований локализации и трансграничной передачи. Для обезличенной аналитики риски иные, чем при работе с CRM и контактами клиентов.
Подключение MCP автоматически означает обработку персональных данных?
Не обязательно. MCP — архитектурный слой доступа к данным. Персональные данные появляются, когда в поток попадают сведения о конкретных людях — чаще всего из CRM или переписки.
Что такое локализация персональных данных?
При сборе персональных данных граждан РФ первичная запись и хранение, как правило, должны осуществляться в базах на территории России (ч. 5 ст. 18 152-ФЗ). Точные требования следует оценивать для вашего сценария.
Нужно ли уведомлять Роскомнадзор?
При трансграничной передаче персональных данных может потребоваться уведомление до начала передачи (ст. 12 152-ФЗ). Если персональные данные в потоке отсутствуют, этот вопрос обычно не возникает.
Помогает ли коробочная AI-инфраструктура с compliance?
Она не заменяет юридическое оформление, но даёт контроль: где хранятся ключи, какие поля доступны модели, что попадает в журнал. Это упрощает выполнение внутренних регламентов и требований ИБ.
Материалы кластера
- AI, персональные данные и 152-ФЗ — главный обзор
- Изменения законодательства для иностранных AI
- ChatGPT и Claude в российском бизнесе
- Когда AI работает с персональными данными
- Коробочная AI-инфраструктура vs SaaS
- Как построить AI-контур предприятия
Нужна помощь с архитектурой?
Разберём ваш сценарий: какие данные подключаются, где размещается контур, какие ограничения может потребоваться учесть. Обсудить архитектуру AI или посмотреть что такое MCP.