Как проверить ИИ-агента перед запуском: персональные данные

Как провести первичную проверку ИИ-агента перед запуском, если Nextbot используется за пределами России и Казахстана.

Если вы используете Nextbot за пределами России и Казахстана, требования к персональным данным необходимо дополнительно проверить по законодательству своей страны.

Эта статья поможет провести первичную проверку ИИ-агента перед запуском.

После прохождения гайда у вас должны быть:

1. Схема движения персональных данных — какие данные получает агент, куда они передаются и где хранятся.

2. Список необходимых изменений — что нужно убрать из агента, перенести в Форму персональных данных, изменить в технической схеме или документах.

3. Список нерешённых вопросов для юриста — только там, где вы не смогли однозначно определить требования самостоятельно.

Общие правила работы с персональными данными в Nextbot описаны в статье «Персональные данные в Nextbot».

Шаг 1. Опишите, что делает ваш агент

Начните не с закона, а с конкретного сценария.

Например:

Агент консультирует по услугам, помогает выбрать тариф, спрашивает имя и телефон, после чего передаёт заявку менеджеру в CRM.

Или:

Агент клиники отвечает на вопросы, спрашивает симптомы, помогает выбрать врача и передаёт информацию в CRM.

Чем точнее вы опишете работу агента, тем проще будет понять, где именно возникают персональные данные.

Ответьте на три вопроса.

Что агент спрашивает у Клиента?

Например:

• имя;

• телефон;

• email;

• город;

• дату рождения;

• ИИН;

• симптомы;

• данные документов.

Что Клиент может прислать самостоятельно?

Например:

• паспорт;

• фотографию;

• медицинское заключение;

• голосовое сообщение;

• банковские реквизиты.

Что агент делает с этой информацией дальше?

Например:

• использует в диалоге;

• отправляет менеджеру;

• записывает в CRM;

• передаёт ИИ-модели;

• передаёт другому сервису.

Шаг 2. Нарисуйте путь данных

Теперь нужно увидеть не только, что собирается, но и куда эти данные идут.

Например:

Клиент → Telegram → Nextbot → ИИ-модель → CRM

Или:

Клиент → ИИ-агент → Форма персональных данных → CRM

Это две разные схемы.

Во второй модели контактные данные могут вообще не требоваться ИИ-модели.

Для каждого этапа заполните таблицу:

Этап	Какие данные	Куда передаются	Зачем
Чат	Вопрос о продукте	ИИ-модель	Сформировать ответ
Форма персональных данных	Имя, телефон	CRM	Передать заявку менеджеру
CRM	Имя, телефон, история заявки	Сотрудники	Продолжить продажу

Если в таблице появляется внешний сервис, добавьте ещё два вопроса:

• В какой стране он находится?

• Сохраняет ли он полученные данные?

Шаг 3. Уберите данные, которые агенту не нужны

До юридической проверки полезно сначала упростить саму схему.

Для каждого поля спросите:

ИИ действительно нужны эти данные, чтобы выполнить задачу?

Например, чтобы рассказать стоимость услуги, модели не нужен номер телефона Клиента.

Чтобы подобрать свободное время у врача, модели обычно не нужны ФИО и паспортные данные.

Если данные нужны только менеджеру или CRM, не обязательно пропускать их через ИИ.

Что делать

Если информация не нужна модели, уберите её из обычного диалога и собирайте через Форму персональных данных или другой предусмотренный канал.

Например:

Было:

Как Вас зовут? Оставьте телефон. Какой у Вас бюджет?

Стало:

Подобрал подходящий вариант. Оставьте контактные данные через Форму, и менеджер свяжется с Вами.

Чем меньше персональных данных проходит через ИИ, тем проще становится вся дальнейшая проверка.

Шаг 4. Найдите закон и регулятора своей страны

Теперь можно переходить к законодательству.

Найдите:

• основной закон о персональных данных;

• сайт государственного регулятора;

• официальные разъяснения регулятора;

• дополнительные правила для вашей отрасли, если они существуют.

Используйте в первую очередь официальные государственные источники.

Пример: Беларусь

В Беларуси действует Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных». Профильный регулятор — Национальный центр защиты персональных данных.

Белорусское законодательство использует понятия «оператор» и «уполномоченное лицо».

Если ваш бизнес решает, какие данные Клиентов собирать и зачем, необходимо проверить свои обязанности именно как оператора.

Зачем этот шаг

Вам не нужно прочитать закон целиком.

Нужно найти ответы на конкретные вопросы, которые появились в вашей схеме данных.

Шаг 5. Определите свою роль

Проверьте, как законодательство вашей страны называет организацию, которая определяет:

• какие данные собираются;

• для чего;

• как используются;

• кому передаются.

Чаще всего это оператор, владелец, контролёр или аналогичная роль.

Также найдите термин для компании, которая обрабатывает данные по вашему поручению.

Пример: Беларусь

Если белорусская компания решает, какие данные должен получать её агент, она выступает оператором.

Компания, которая обрабатывает данные от имени оператора, может выступать уполномоченным лицом.

Поэтому при подключении внешнего сервиса нужно проверить не только согласие Клиента, но и требования к отношениям между оператором и таким сервисом. Для Беларуси эти требования заданы Законом № 99-З «О защите персональных данных».

Шаг 6. Определите основание для каждого вида данных

Возьмите список из первого шага.

Для каждого типа данных определите, почему вы вообще имеете право их обрабатывать.

Например:

Данные	Цель	Что нужно проверить
Телефон	Связаться с Клиентом	Нужно ли согласие
Email	Отправить предложение	Основание обработки и дальнейших сообщений
Адрес	Доставка	Можно ли обрабатывать для исполнения заказа
Данные о здоровье	Подготовка к приёму	Специальные правила для медицинских данных

Не исходите из правила «Клиент сам написал — значит, можно делать с данными всё».

Отдельно проверяйте специальные категории данных: медицинские, биометрические, генетические и другие чувствительные сведения.

Шаг 7. Проверьте, где данные должны храниться

Теперь посмотрите на все системы из своей схемы:

Nextbot → CRM → таблица → сервер → облачный сервис

Для каждой определите страну размещения.

После этого найдите в законодательстве своей страны требования к локализации.

Возможны разные варианты:

• все или определённые персональные данные должны храниться внутри страны;

• локализация требуется только для некоторых категорий;

• зарубежное хранение разрешено при определённых условиях;

• специальных требований к локализации нет.

Пример: Узбекистан

С марта 2026 года законодательство Узбекистана требует обязательного хранения внутри страны определённых категорий данных — в частности биометрических, генетических и данных пользователей услуг операторов телекоммуникаций. Другие персональные данные могут храниться и обрабатываться за рубежом при выполнении предусмотренных законом условий.

Нельзя просто применить правило «все данные узбекских клиентов должны храниться только в Узбекистане». Сначала нужно определить, какие именно данные вы собираете.

Что делать после проверки

Если ваша система хранения не соответствует требованиям:

• поменять CRM или хранилище;

• изменить маршрут данных;

• исключить определённые данные;

• либо не запускать этот участок процесса до решения вопроса.

Шаг 8. Проверьте передачу данных в Nextbot

Определите, через какое юридическое лицо вы используете Nextbot.

У Nextbot два юридических контура:

• ООО «ИИ Платформа» — Россия;

• ТОО «ИИ Платформа» — Казахстан.

Если вы находитесь в другой стране и персональные данные действительно передаются юридическому лицу Nextbot за границу, для вашего бизнеса может возникать трансграничная передача.

Нужно определить:

• происходит ли фактическая передача персональных данных;

• в какую страну;

• разрешена ли она;

• нужны ли согласие, договор или другие условия.

Пример: Беларусь

Пользователи Nextbot из Беларуси обслуживаются через ООО «ИИ Платформа» в России.

Если конкретный процесс предполагает передачу персональных данных из Беларуси в Россию, это является трансграничной передачей.

Национальный центр защиты персональных данных указывает, что при передаче в государства с надлежащим уровнем защиты применяются общие правила обработки. К таким государствам относятся, в частности, государства — члены ЕАЭС. Россия входит в ЕАЭС.

Практический результат проверки: сама трансграничная передача в Россию не означает, что процесс нужно запрещать, но у бизнеса всё равно должно быть законное основание для обработки данных.

Шаг 9. Отдельно проверьте передачу в ИИ-модель

Nextbot и Поставщик языковой модели — не одно и то же.

Ваша схема может выглядеть так:

Клиент → Nextbot → иностранный Поставщик ИИ-модели

Поэтому отдельно определите:

• передаются ли персональные данные в модель;

• какой Поставщик их получает;

• где происходит обработка;

• сохраняются ли запросы;

• для каких целей Поставщик может использовать данные;

• разрешает ли законодательство вашей страны такую передачу.

Общие рекомендации Nextbot по работе с моделями описаны в разделе «Передача персональных данных в ИИ-модели».

Что делать по результату

• Если модели не нужны персональные данные, исключите их из запроса.

• Если данные нужны только вашему сотруднику, собирайте их через Форму персональных данных и передавайте напрямую в нужную систему.

• Если модель действительно должна работать с персональными данными, проверьте основание передачи, правила трансграничной передачи и условия Поставщика.

• Если определить допустимость не удалось, не передавайте эти данные модели до консультации с юристом.

Шаг 10. Проверьте другие зарубежные сервисы

Та же логика относится не только к ИИ.

Например:

• CRM;

• Google Sheets;

• системы аналитики;

• email-сервисы;

• телефония;

• облачные хранилища;

• внешние API.

Каждый сервис в цепочке может означать передачу данных ещё одной организации и иногда — в другую страну.

Пример: Кыргызстан

Агентство по защите персональных данных требует перед трансграничной передачей проверить, обеспечивает ли государство назначения адекватную защиту персональных данных.

Для государств без такого уровня Цифровой кодекс Кыргызской Республики предусматривает отдельные основания: например, согласие субъекта, исполнение договора или договор между владельцем данных и обработчиком с необходимыми гарантиями.

Поэтому пользователю из Кыргызстана нужно проверять не абстрактно, разрешён ли Nextbot, а каждую фактическую страну, куда уходят персональные данные.

Шаг 11. Проверьте дополнительные обязанности своего бизнеса

Теперь найдите, требует ли местный закон:

• зарегистрировать оператора;

• зарегистрировать базу данных;

• уведомить регулятора;

• назначить ответственное лицо;

• подготовить политику обработки персональных данных;

• оформить договор с обработчиком;

• установить процедуру работы с запросами субъектов;

• выполнять другие организационные меры.

Пример: Узбекистан

После изменений 2026 года базы с персональными данными, для которых установлено обязательное хранение на территории Узбекистана, подлежат регистрации в Государственном реестре баз персональных данных. Актуальные условия смотрите в Законе «О персональных данных».

Результат проверки может быть не техническим, а организационным: агента менять не нужно, но до запуска необходимо зарегистрировать соответствующую базу.

Шаг 12. Проверьте, сможете ли вы выполнить требования Клиента

Представьте, что завтра Клиент пишет:

Какие мои данные у Вас есть?

Или:

Удалите все мои данные.

Определите:

• знаете ли вы, в каких системах находятся его данные;

• можете ли исправить их;

• можете ли удалить их;

• можете ли определить, кому они передавались;

• можете ли прекратить дальнейшую обработку.

Если вы не можете найти данные человека во всей своей схеме, это сигнал, что архитектуру необходимо доработать ещё до запуска.

Шаг 13. Для каждого вопроса примите решение

После проверки у вас не должно остаться просто много заметок о законодательстве.

Каждый пункт нужно привести к одному из четырёх результатов.

1. Оставить как есть

Требования понятны, текущий процесс им соответствует.

Пример: ИИ отвечает на общие вопросы, персональные данные модели не передаются.

2. Изменить техническую схему

Законный сценарий возможен, но данные сейчас идут не туда.

Пример: телефону Клиента незачем попадать в ИИ-модель — перенесите его сбор в Форму персональных данных.

3. Подготовить документы или выполнить формальность

Техническую схему менять не нужно, но отсутствует необходимое юридическое действие.

Пример: нужно подготовить согласие, договор с обработчиком или зарегистрировать базу.

4. Не запускать до консультации

Вы нашли требование, но не можете однозначно понять, распространяется ли оно на ваш процесс.

Например:

Можно ли передавать медицинские данные Клиента этому иностранному ИИ-провайдеру при нашем основании обработки?

Это уже конкретный вопрос юристу.

Шаг 14. Соберите итоговую карту

В результате проверки должна получиться примерно такая таблица:

Этап	Данные	Куда идут	Что выяснили	Решение
Диалог	Вопросы без персональных данных	ИИ-модель	Ограничений для персональных данных нет	Оставить
Получение заявки	Имя, телефон	ИИ-модель	Модели эти данные не нужны	Перенести в Форму персональных данных
Форма	Имя, телефон	CRM	Нужно определить основание обработки	Добавить необходимое согласие
CRM	Имя, телефон	Зарубежный сервер	Есть требования к трансграничной передаче	Проверить страну и основание
Медицинский документ	Персональные данные и сведения о здоровье	ИИ-модель	Не удалось подтвердить допустимость	Не запускать до консультации

Это и есть основной результат работы с этой статьёй.

Пример: как выглядит готовая проверка

Допустим, компания из Беларуси хочет запустить агента для первичной обработки заявок.

Агент:

• консультирует по услугам;

• получает имя и телефон;

• передаёт заявку менеджеру;

• использует иностранную ИИ-модель.

Первоначальная схема

Клиент → чат → имя и телефон → Nextbot → ИИ-модель → CRM

После проверки выясняется:

1. Имя и телефон модели не нужны. Решение: вынести их в Форму персональных данных.

2. Компания определяет цели обработки данных. Она выступает оператором по белорусскому законодательству.

3. Нужно определить, проходит ли информация Формы через инфраструктуру Nextbot. Если да — проверить передачу Беларусь → Россия.

4. Россия относится к государствам ЕАЭС, для которых белорусский регулятор признаёт надлежащий уровень защиты.

5. После изменения схемы иностранная ИИ-модель больше не получает имя и телефон.

Итоговая схема

Клиент → ИИ-агент без персональных данных → Форма персональных данных → CRM

Вместо вопроса «можно ли использовать ИИ в Беларуси?» у компании остаются более конкретные задачи:

• оформить необходимые документы оператора;

• проверить технический маршрут данных Формы;

• убедиться, что CRM соответствует местным требованиям.

Это и есть цель первичной проверки.

Финальный чек-лист перед запуском

Запускать агента стоит после того, как вы можете ответить на следующие вопросы:

• Какие персональные данные получает агент?

• Зачем нужен каждый тип данных?

• Можно ли убрать лишние персональные данные из диалога?

• Куда передаются данные после получения?

• В каких странах находятся все сервисы в цепочке?

• Какую роль выполняет мой бизнес?

• На каком основании обрабатываются данные?

• Нужно ли согласие?

• Есть ли требования к локальному хранению?

• Возникает ли трансграничная передача?

• Попадают ли персональные данные в ИИ-модель?

• Есть ли специальные категории данных?

• Какие документы или регистрации нужны?

• Смогу ли я найти, изменить и удалить данные Клиента?

• Какие пункты остались неясными и требуют юриста?

Если после проверки по каждому пункту есть конкретное решение — оставить, изменить, оформить или уточнить у юриста — первичная проверка завершена.

Где искать информацию

Для проверки используйте в первую очередь:

1. официальный текст закона о персональных данных своей страны;

2. сайт местного регулятора;

3. официальные разъяснения и подзаконные акты;

4. документы Nextbot для юридического лица, через которое вы используете Сервис: Россия или Казахстан;

5. правила Поставщика выбранной ИИ-модели. Где их учитывать при настройке, описано в разделе «Передача персональных данных в ИИ-модели».

Если после этого остаётся вопрос, обращайтесь к местному юристу уже с готовой схемой:

какие данные → от кого → куда передаются → где хранятся → какой сервис их получает → для какой цели.

Так юрист сможет проверить конкретный процесс, а не отвечать на слишком общий вопрос, можно ли использовать ИИ с персональными данными.