Чат-бот на сайте и 152-ФЗ: какие данные видит нейросеть и что делать магазину

13 октября 2026 г.

Покупатель пишет в чат: «Меня зовут Ольга, позвоните по 8-926…, у меня вопрос по заказу». Для бота это обычное сообщение. Для закона это персональные данные, и от того, куда они попали дальше, зависит ответственность магазина. Разберём, где возникают риски и что с ними делать.

Это не юридическая консультация. Закон меняется, поэтому схему обработки данных стоит согласовать с юристом.

Что считается персональными данными

Статья 3 закона № 152-ФЗ определяет их как любую информацию, относящуюся к прямо или косвенно определённому физическому лицу. В чате магазина это:

имя, фамилия, телефон, адрес электронной почты;
адрес доставки;
номер заказа вместе с именем или телефоном;
любые сведения о человеке, которые он сам написал в свободном тексте.

Последний пункт самый неприятный. Покупатель решает, что написать, и вы не можете заранее запретить ему вставить паспортные данные или подробности здоровья.

Где данные проходят через ИИ-чат

Сообщение покупателя уходит в языковую модель вместе с найденными фрагментами каталога, чтобы она сформулировала ответ. Если в сообщении есть имя или телефон, они попадают туда же.
Форма заявки. Бот предлагает оставить контакт, когда не может помочь. Имя и телефон сохраняются у поставщика чата и показываются магазину.
История диалогов. Её видит магазин, и она хранится у поставщика.
Технические данные: IP-адрес, браузер.

Три риска

Персональные данные в запросе к модели

Если языковая модель находится у стороннего провайдера, всё, что вы ей отправили, обрабатывает он. Для магазина это вопрос о поручении обработки и о том, где эта обработка происходит.

Локализация

Часть 5 статьи 18 требует, чтобы при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение выполнялись в базах на территории РФ. Если история диалогов лежит на зарубежном сервере, это нужно обосновывать.

Трансграничная передача

Статья 12 регулирует передачу данных за границу. С 1 марта 2023 года оператор должен уведомить Роскомнадзор до начала такой передачи. Если языковая модель работает за границей, а в запросы попадают персональные данные, этот пункт касается вас.

Что снижает риск

Не просить персональные данные в диалоге. Бот не должен спрашивать телефон в потоке разговора. Контакты собираются отдельной формой.

Отдельное согласие в форме. Чекбокс с согласием и ссылкой на политику рядом с полями. С сентября 2025 года согласие на обработку персональных данных нужно оформлять отдельным документом, а не пунктом в других соглашениях, поэтому формулировку проверьте у юриста.

Договор поручения. Если чатом пользуется поставщик, а не вы сами, с ним нужен договор по части 3 статьи 6: что обрабатывается, зачем, какие меры безопасности.

Маскирование перед отправкой в модель. Телефоны, почты, номера документов и имена заменяются на метки вида [ТЕЛЕФОН_1] до того, как текст уходит к модели, а ответ возвращается уже с настоящими значениями. Тогда в модель попадает текст, по которому нельзя узнать человека. Это сильная мера, но не стопроцентная: распознавание имён и адресов в живой речи не идеально, поэтому его нужно измерять, а не принимать на веру.

Контакты из формы не отправлять в модель вообще. Им нечего делать в запросе на подбор товара.

Хранение в России и понятный срок хранения диалогов, с возможностью удалить их по запросу.

Политика на сайте. В политике магазина должно быть сказано, что используется чат с ИИ, кто обрабатывает данные и зачем.

Вопросы, которые стоит задать поставщику чата

Где физически хранятся диалоги и заявки?
Какая языковая модель и в какой стране обрабатывает запросы?
Что именно уходит в модель: весь текст или текст после маскирования?
Есть ли договор поручения и какие в нём меры безопасности?
Как удалить данные конкретного человека?
Сколько хранится история диалогов?

Если ответ на любой из этих вопросов «не знаем» или «это коммерческая тайна», считайте это ответом.

Как с этим устроен BotNow

На сегодня работают форма заявки с обязательным согласием и ссылкой на вашу политику, привязка чата к домену магазина и принцип «контакты из формы не попадают в модель». Маскирование персональных данных в сообщениях покупателя мы разрабатываем, оно будет включено до запуска для реальных посетителей. Хранение в России, срок хранения и список провайдеров моделей мы опубликуем на странице «Данные и 152-ФЗ» до запуска. Там же мы отмечаем, что уже сделано, а что нет.

Частые вопросы

Магазин или поставщик чата отвечает по 152-ФЗ за данные покупателей?

Оператором персональных данных обычно считается магазин: он определяет, зачем и как обрабатывать данные. Поставщик чата выступает обработчиком по поручению. Поручение оформляется договором (часть 3 статьи 6 152-ФЗ).

Можно ли отправлять переписку с покупателями в зарубежную нейросеть?

Если в переписке есть персональные данные граждан России, действуют требования о локализации (часть 5 статьи 18) и о трансграничной передаче (статья 12). Самый простой путь снизить риск: не передавать персональные данные в модель, а маскировать их до отправки. Конкретную схему стоит согласовать с юристом.