ИИ-поддержка клиентов на сайте и юридические риски обработки данных 11.2026

Непрекращающийся поток однотипных запросов, необходимость круглосуточно отвечать клиентам и расходы на операторов делают внедрение ИИ-чата привлекательным решением. Но чем больше задач выполняет ИИ-поддержка, тем больше пользовательских данных может потребоваться для ее работы.

ИИ-поддержка может работать с историей заказов, получать сведения из CRM и передавать переписку внешнему провайдеру. При этом условия хранения сообщений, их удаления и использования для обучения моделей зависят от настроек сервиса и договоренностей с поставщиком.

Но одной технической настройки чат-бота недостаточно. Компании предстоит пересмотреть и юридическую документацию, прежде всего политику конфиденциальности для сайта, чтобы она отражала работу ИИ-поддержки и передачу клиентских данных внешним сервисам.

Какие сведения собирает ИИ-поддержка

Чат-бот способен обрабатывать email, IP-адреса, историю заказов, содержание обращений и технические идентификаторы. Даже без регистрации на сайте сообщения посетителя и сведения о его действиях могут относиться к персональнымданным.

Для сохранения переписки при переходе между страницами сайта часто используются cookies. Но здесь есть нюанс, на который обращает внимание французский регулятор CNIL: если они устанавливаются до активации чата, обычно требуется предварительное согласие пользователя. Исключение может работать для технически необходимого идентификатора, который создается только после открытия чата. При этом использование cookies для аналитики или рекламы оценивается отдельно.

Сроки хранения переписки также зависят от ее назначения. Одни сообщения можно удалить после завершения обращения, другие могут требовать более длительного хранения, например при рассмотрении претензии клиента.

Что стоит проверить: момент установки cookies, необходимость согласия пользователя и обоснованность сроков хранения переписки.

Должен ли клиент знать, что общается с ИИ

Статья 50 Регламента ЕС 2024/1689 (AI Act) устанавливает требования к прозрачности ИИ-систем, непосредственно взаимодействующих с людьми. Поставщики таких систем должны обеспечивать их разработку таким образом, чтобы пользователи были информированы о взаимодействии с ИИ, кроме случаев, когда это очевидно из обстоятельств.

На сайте можно разместить уведомление непосредственно в окне чата: «Вы общаетесь с ИИ-помощником. При необходимости обращение можно передать сотруднику поддержки».

При этом уведомление об использовании ИИ не заменяет информацию об обработке персональных данных по GDPR.

Что стоит проверить: видит ли ваш пользователь уведомление об ИИ до начала общения и может ли ознакомиться с информацией об обработке своих данных.

Когда пользователи передают в чат лишние персональные данные

Свободная форма сообщений создает дополнительный риск: клиент может отправить медицинский документ, паспорт или сведения о финансовом положении, хотя чат предназначен только для вопросов о доставке.

CNIL рекомендует заранее предупреждать пользователей о нежелательности передачи чувствительной информации и предусматривать удаление случайно полученных сведений, если их дальнейшее хранение не требуется.

Что стоит проверить: какие сведения пользователь может отправить в чат, какие вложения принимает система и передаются ли ИИ-провайдеру данные, не нужные для обработки обращения.

Какие требования учитывать в разных юрисдикциях

Единого набора правил для всех рынков не существует. Поэтому перед имплементацией ИИ-поддержки нужно учитывать, где находятся пользователи и какое законодательство распространяется на обработку их данных.

ЕС. Статья 13 GDPR предусматривает информирование пользователей о целях и правовых основаниях обработки, получателях данных и сроках хранения. Если ИИ-провайдер действует как обработчик по поручению компании, статья 28 требует соответствующего договорного оформления. При передаче данных за пределы ЕЭЗ дополнительно проверяется соблюдение правил главы V GDPR.

Украина. Статья 12 Закона «О защите персональных данных» № 2297-VI регулирует информирование человека о сборе его данных, целях обработки и лицах, которым они передаются. Эти требования необходимо учитывать и при комплаенс-проверке внешних сервисов поддержки

США. Для компаний, подпадающих под действие калифорнийского CCPA, предусмотрено уведомление Notice at Collection. Оно раскрывает категории собираемой персональной информации и цели ее использования. Эти требования к уведомлению введены в соответствии с критериями, установленными самим законом.

Что согласовать с ИИ-провайдером до интеграции

Договор с ИИ-провайдером должен определять цели обработки клиентской переписки, условия передачи данных третьим лицам, обязательства поставщика по их защите и, при необходимости, ограничения правообладателя ПО.

При согласовании условий сотрудничества рекомендуется получить ответы на несколько ключевых вопросов:

• какие субподрядчики получают доступ к информации;
• где хранятся диалоги и как организовано их удаление;
• какие меры предусмотрены для защиты данных и предотвращения утечек;
• кто и в какие сроки уведомляет об инцидентах безопасности.

На стадии подключении чат-бота к CRM необходимо ограничить его права доступа. Например, для ответа о статусе заказа ему достаточно соответствующих полей, а не полной клиентской базы.

Как подготовить политику конфиденциальности

Автоматизация клиентской поддержки ‒ отличный повод пересмотреть, как в компании организована работа с персональными данными. В первую очередь нужно понимать, куда попадает переписка, кто имеет к ней доступ и сколько времени она хранится.

Все это должна учитывать и политика конфиденциальности на сайт. Здесь важно отразить актуальные цели обработки, категории получателей данных и права пользователей. Заодно стоит проверить настройки cookies, уведомления в чате и условия договора с провайдером.

Лучше разобраться с этими вопросами заранее. Когда бот уже общается с сотнями клиентов, менять настройки и решать, что делать с накопленной перепиской, значительно сложнее.