Можно ли отдавать нейросети данные клиентов — что написано в документах Яндекса, Сбера, DeepSeek, OpenAI и в 152-ФЗ

По документам провайдеров ответ зависит от того, какой продукт и по какому договору вы используете. У Яндекса для облачных моделей есть соглашение, по которому клиент поручает Яндексу обработку персональных данных, а базы — в России. Соглашение GigaChat API для корпоративных клиентов прямо говорит, что передача персональных данных через сервис не предполагается. DeepSeek на своём сайте и в приложении хранит данные в Китае. OpenAI не учится на данных бизнес-тарифов и API по умолчанию, но Россия не входит в список стран, где работает его API. Ниже — что именно написано в документах на 23 октября 2026 года и какие нормы 152-ФЗ с этим связаны. Это пересказ документов, а не юридическая консультация.

Что требует 152-ФЗ, когда данные уходят в чужой сервис

Персональные данные — любые сведения, по которым можно определить человека: имя, телефон, адрес, переписка с ним. Если вы вставляете их в нейросеть, данные обрабатывает уже не только ваша компания, но и провайдер модели. К этой ситуации относятся пять положений закона.

Норма	Что в ней сказано (кратко)
Статья 6, часть 3	Оператор может поручить обработку другому лицу — договором. В поручении перечисляются действия с данными, цели, обязанность хранить конфиденциальность и меры защиты
Статья 6, часть 5	За действия того, кому поручена обработка, перед человеком отвечает оператор, то есть вы
Статья 10	Сведения о здоровье и другие специальные категории можно обрабатывать только в случаях, которые перечислены в этой статье
Статья 12	Перед передачей данных за границу оператор уведомляет Роскомнадзор. Для стран вне утверждённого перечня передача запрещена, пока не истёк срок рассмотрения уведомления
Статья 18, часть 5	При сборе данных граждан России их запись, хранение и обновление ведутся в базах на территории России, кроме отдельных случаев

Из этого следуют три вопроса к любому сервису: есть ли договор с поручением обработки, где хранятся данные и используются ли запросы для обучения модели.

Что написано в документах провайдеров

Сверка 23 октября 2026 года, только официальные документы.

Продукт	Где обрабатываются данные	Учится ли модель на запросах	Что сказано о персональных данных
Yandex AI Studio: YandexGPT, Alice AI LLM	Соглашение об обработке данных Yandex Cloud: Яндекс использует базы в России, если клиент сам не выбрал инфраструктуру за рубежом	По умолчанию модели сохраняют данные запросов. С опцией отключения логирования содержимое не используется для улучшения сервиса	Клиент — оператор и поручает Яндексу обработку по части 3 статьи 6 152-ФЗ. Согласия людей и ответы на запросы регуляторов — на клиенте
GigaChat API, соглашение для корпоративных клиентов (ООО «СалютДевайсы», обновлено 11.03.2026)	Сервис размещён в облачной инфраструктуре правообладателя; страну соглашение в пункте о контенте не называет	В соглашении — лицензия на использование контента клиента «для целей обработки такого Контента в Сервисе»	Пункт 8.6: соглашение не предполагает передачу персональных данных физических лиц, кроме контактов сторон
DeepSeek на сайте и в приложении (политика от 10.02.2026)	Политика: данные собираются, обрабатываются и хранятся в Китайской Народной Республике	Запросы могут использоваться для обучения, есть право отказаться	Данные конечных пользователей приложений, которые разработчики строят на платформе DeepSeek, этой политикой не покрываются
DeepSeek в Yandex AI Studio	Модель с открытым кодом запускает Yandex AI Studio	Действуют правила AI Studio, см. первую строку	Как в первой строке: соглашение Yandex Cloud
ChatGPT для частных лиц: Free, Plus, Pro	Документы для частных лиц страну обработки не называют	Может учиться на переписке. Отключается: Settings → Data controls → Improve the model for everyone. Временные чаты для обучения не используются	Для бизнес-данных OpenAI предлагает другие тарифы
OpenAI API и ChatGPT Business, Enterprise	—	По умолчанию не используются для обучения	Есть DPA — соглашение об обработке данных. Данные API хранятся до 30 дней. Россия не входит в список поддерживаемых стран API, доступ из неё — риск блокировки аккаунта

1. 01Договоресть ли соглашение с поручением обработки по части 3 статьи 6
2. 02Где хранятсяв России или за рубежом — статьи 12 и 18
3. 03Обучениеучится ли модель на запросах и можно ли это отключить
4. 04Категория данныхнет ли сведений о здоровье и других особых категорий — статья 10

Данные графика: Четыре вопроса к сервису до того, как отдать ему данные клиентов

Что	Значение
1	Договор: есть ли соглашение с поручением обработки по части 3 статьи 6
2	Где хранятся: в России или за рубежом — статьи 12 и 18
3	Обучение: учится ли модель на запросах и можно ли это отключить
4	Категория данных: нет ли сведений о здоровье и других особых категорий — статья 10

Важная деталь про GigaChat. С 1 сентября 2026 года новые клиенты оплачивают модели Сбера на платформе cloud.ru, и условия там свои — мы их не сверяли. В таблице — соглашение для действующих клиентов «СалютДевайсы».

Что из этого видно

Обычный чат и бизнес-доступ — разные вещи. В ChatGPT для частных лиц обучение на переписке включено, пока вы его не отключите. В бизнес-тарифах и API OpenAI — выключено. У Yandex AI Studio запросы по умолчанию логируются, и это отключается отдельной опцией.

Одна и та же модель может жить у разных провайдеров. DeepSeek на своём сайте хранит данные в Китае. Та же модель с открытым кодом в Yandex AI Studio работает по правилам Яндекса.

Договор с поручением есть не у всех. Соглашение с поручением обработки по 152-ФЗ мы нашли только у Yandex Cloud — оно же действует для DeepSeek внутри Yandex AI Studio. В соглашении GigaChat API для корпоративных клиентов сказано обратное — передача персональных данных не предполагается. Документы OpenAI ориентированы на GDPR, а не на российский закон.

Если бота или ИИ-агента делает подрядчик

Часто бизнес не работает с нейросетью сам: бота для заявок или ИИ-агента настраивает подрядчик. Тогда между вашим клиентом и моделью появляется ещё одно звено:

Звено	Кто это	Что о нём сказано в документах
Ваша компания	оператор персональных данных клиентов	по части 5 статьи 6 за действия того, кому поручена обработка, перед человеком отвечает оператор
Подрядчик	сервис или студия, которые ведут бота	по части 3 статьи 6 обработка поручается договором, в нём перечисляются действия, цели, конфиденциальность и меры защиты
Провайдер модели	Яндекс, Сбер, DeepSeek, OpenAI	у каждого свои условия — таблица выше; договор с провайдером может заключать подрядчик, а не вы

В документах провайдеров эта ситуация описана по-разному:

• Yandex Cloud. Соглашение об обработке данных заключает тот, кто размещает данные в облаке, — его клиент. Если облачный аккаунт у подрядчика, клиент Яндекса — подрядчик.
• GigaChat API. В соглашении для корпоративных клиентов сказано, что клиент отвечает за действия своих пользователей и обязуется уведомить их об условиях лицензии на контент. Там же — что передача персональных данных через сервис не предполагается.
• DeepSeek. В политике сказано, что данные конечных пользователей приложений, которые разработчики строят на платформе DeepSeek, этой политикой не покрываются. Раскрывать свои правила должен разработчик.
• OpenAI. Соглашение об обработке данных (DPA) OpenAI заключает с клиентом API или бизнес-тарифа, то есть с тем, кто подключил модель.

Что из этого следует для разговора с подрядчиком — вопросы, ответы на которые стоит получить письменно:

1. Какая модель и у какого провайдера обрабатывает переписку с вашими клиентами?
2. Чей аккаунт у провайдера — ваш или подрядчика? По какому договору?
3. Где хранятся переписки и сколько времени? В России или за рубежом?
4. Используются ли переписки для обучения модели, и отключено ли логирование, если провайдер это позволяет?
5. Что будет с перепиской, если вы откажетесь от услуг подрядчика?
6. Есть ли в вашем договоре с подрядчиком поручение обработки персональных данных?

Если подрядчик не может назвать модель и место хранения, это повод разобраться до запуска, а не после.

Что можно сделать до отправки текста

Многие задачи малого бизнеса не требуют настоящих имён и телефонов: ответ на отзыв, разбор типовых вопросов, черновик письма. Перед тем как вставить текст в нейросеть, можно:

1. Убрать прямые идентификаторы: имя, телефон, почту, адрес, номер договора. Например, на «Клиент 1», «Телефон».
2. Убрать косвенные: редкую должность, точную дату визита, название маленькой организации — по ним человека тоже можно узнать.
3. Отдельно посмотреть на сведения о здоровье. Это особая категория по статье 10; как с ними работать в вашем случае — вопрос к юристу.
4. Для регулярной работы с данными — например, ИИ-агента, который отвечает клиентам, — сравнить сервисы по трём строкам таблицы: договор с поручением обработки, место хранения, логирование и обучение.

Частые вопросы

Можно ли вставить переписку с клиентом в ChatGPT?

В документах OpenAI сказано, что в версии для частных лиц переписка может использоваться для обучения, если это не отключено. Отдельно — что Россия не входит в список стран, где поддерживается API. Передачу данных за рубеж регулирует статья 12 152-ФЗ. Чтобы не упираться в эти вопросы, многие убирают из текста всё, по чему можно определить человека.

Нужно ли согласие клиента, чтобы передать его данные сервису?

По части 3 статьи 6 оператор поручает обработку другому лицу с согласия человека, если федеральный закон не предусматривает иного. Есть ли у вас другое основание — вопрос к юристу.

Учится ли YandexGPT на моих запросах?

По документации Yandex AI Studio, модели по умолчанию сохраняют данные запросов. Если передать опцию отключения логирования, содержимое таких запросов не используется для улучшения сервиса.

Что дальше

Документы меняются: мы сверили их 23 октября 2026 года, перед решением откройте актуальные редакции по ссылкам в списке источников. С вопросами по вашему случаю — к юристу.

Если вы планируете ИИ-агента или бота для работы с клиентами и хотите сразу выбрать схему без лишних рисков, начните с разбора процессов — стоимость после бесплатного разбора. Проверить, как нейросети видят ваш сайт, можно бесплатным аудитом.