ИИ
ИИ-чат-боты и данные клиентов: чек-лист по GDPR и KVKK для команд, работающих с мессенджерами
ИИ-агент в WhatsApp или Instagram передаёт сообщения клиентов через несколько компаний. Этот чек-лист показывает, как составить карту данных, выбрать провайдеров, задать сроки хранения и получить согласие по GDPR и турецкому закону KVKK.
Команда MonoChat Обновлено: 8 мин чтения
На этой странице
Чтобы ИИ-чат-бот соответствовал GDPR и KVKK, составьте карту всех систем, через которые проходят сообщения клиентов, определите законное основание и подготовьте понятное уведомление о конфиденциальности, заключите соглашение об обработке данных с каждым провайдером, используйте допустимый механизм передачи, когда данные покидают ЕС или Турцию, по возможности не включайте персональные данные в промпты, задайте сроки хранения и сообщайте людям, что они общаются с ИИ. Соответствие требованиям определяется тем, как вы внедряете чат-бота, а не самим чат-ботом.
Сложность в том, что один ответ в WhatsApp может затрагивать четыре-пять компаний: Meta, вашу платформу для обмена сообщениями, провайдера LLM, векторную базу данных и CRM, в которой агент ищет информацию. Этот чек-лист разбирает каждую из них. Это практическое руководство для команд, работающих с мессенджерами, а не юридическая консультация, поэтому уточняйте детали у вашего специалиста по защите данных или юриста.
Куда попадают данные клиентов, когда отвечает ИИ-агент
Начните с того, что нарисуйте путь одного сообщения. Типичная схема выглядит так:
| Шаг | Система | Какие данные | Ваш вопрос |
|---|---|---|---|
| 1 | Канал обмена сообщениями (WhatsApp, Instagram, Messenger) | Номер телефона или имя пользователя, текст сообщения, медиафайлы | Какие условия и правила хранения применяются? |
| 2 | Платформа для обмена сообщениями | История диалога, профиль контакта, теги, заметки | Кто имеет доступ, где это хранится, как долго? |
| 3 | База знаний и векторная база данных | Ваш контент; персональные данные только если вы их загрузили | Есть ли персональные данные в индексе? |
| 4 | Провайдер LLM | Промпт: инструкции, найденный текст, история, последнее сообщение | Хранятся ли данные, используются ли для обучения, где обрабатываются? |
| 5 | Подключённые инструменты (CRM, бронирование, магазин) | Данные заказов, записи, сведения об учётных записях | Что агент может читать и записывать? |
| 6 | Операторы-люди | Полный диалог после передачи | Кто и что видит, ведётся ли журнал? |
Каждая строка — это место, где обрабатываются персональные данные и где нужны договор, правило хранения и контроль доступа. Если вы не можете заполнить какую-то строку, это ваша первая задача.
Чек-лист по конфиденциальности ИИ-чат-бота
1. Выберите законное основание и зафиксируйте его
По GDPR (статья 6) для каждой цели обработки нужно правовое основание. Ответ клиенту, который вам написал, обычно опирается на договор или законный интерес. Маркетинговые сообщения обычно опираются на согласие. Использование диалогов для улучшения вашего агента — отдельная цель, и её нужно оценивать отдельно, а не считать, что исходное основание её покрывает.
В KVKK есть собственный перечень условий обработки. Если вы обслуживаете и клиентов из ЕС, и клиентов из Турции, документируйте основание по каждому из законов.
2. Сообщите людям об ИИ и об их данных
В уведомлении о конфиденциальности должно быть сказано, что диалоги может обрабатывать система ИИ, какие провайдеры обрабатывают данные, где и как долго, а также как связаться с живым человеком. Статьи 13 и 14 GDPR определяют, что включить, а в KVKK есть аналогичная обязанность информировать.
В ЕС обязательства по прозрачности из AI Act действуют с 2 августа 2026 года. Они требуют информировать людей о взаимодействии с системой ИИ, если это не очевидно из контекста. Короткое первое сообщение решает и юридический вопрос, и вопрос ожиданий клиента:
Здравствуйте, я виртуальный ассистент Northwind Home, искусственный интеллект.
Помогу с заказами, возвратами и доставкой. Напишите «оператор» в любой момент,
чтобы связаться с нашей командой.
Уведомление о конфиденциальности: northwindhome.example/privacy3. Заключите соглашение об обработке данных с каждым обработчиком
Ваша платформа для обмена сообщениями, провайдер LLM, хостинг векторной базы данных и любой поставщик инструментов, который обрабатывает персональные данные от вашего имени, — обработчики. Статья 28 GDPR требует письменного договора, который ограничивает обработку вашими инструкциями, требует конфиденциальности и безопасности и охватывает субобработчиков, удаление данных и аудиты. Ведите список субобработчиков и проверяйте его при смене провайдеров.
4. Проверьте передачу данных за пределы ЕС или Турции
Многие провайдеры LLM обрабатывают данные в других странах. По главе V GDPR передача за пределы ЕЭЗ требует решения об адекватности или надлежащих гарантий, например стандартных договорных условий.
Правила KVKK о передаче данных за рубеж изменились в июне 2024 года. Теперь передача опирается на решение об адекватности, надлежащие гарантии, такие как типовые договоры, опубликованные Советом по защите персональных данных, или ограниченные исключения. О типовых договорах нужно уведомить Управление в течение пяти рабочих дней после подписания. Проверьте, где каждый провайдер обрабатывает данные, и выбирайте регионы или провайдеров, которые соответствуют вашим обязательствам.
В WhatsApp Cloud API от Meta есть локальное хранение: для каждого рабочего номера телефона можно выбрать, где данные сообщений хранятся в состоянии покоя. Пока данные используются, их содержимое всё же может обрабатываться в дата-центрах Meta по всему миру в течение до 60 минут в Cloud API, после чего хранится только в выбранном регионе.
5. Выбирайте провайдера LLM осознанно
Провайдер модели видит всё, что вы помещаете в промпт. Прежде чем подключать его, проверьте:
- Использование для обучения. Использует ли провайдер данные API для обучения моделей, можно ли от этого отказаться?
- Хранение. Как долго хранятся промпты и ответы, в том числе для выявления злоупотреблений?
- Регион. Где данные обрабатываются и хранятся, можно ли выбрать регион?
- Договор. Доступно ли соглашение об обработке данных для вашего тарифа?
- Самостоятельный хостинг. Подойдёт ли модель с открытым исходным кодом на ваших собственных серверах для чувствительных сценариев?
Если вы используете собственную учётную запись у провайдера (свой ключ), то договор, настройки региона и параметры хранения принадлежат вам, а не наследуются из учётной записи поставщика.
6. Сокращайте объём данных в промптах и инструментах
Минимизация данных (статья 5 GDPR) — самая эффективная мера защиты конфиденциальности для ИИ-агентов.
- Не загружайте в базу знаний записи о клиентах, удостоверения личности и внутренние заметки.
- Отправляйте модели только ту историю, которая ей нужна, а не весь профиль контакта.
- Давайте инструментам минимально возможный доступ: инструменту проверки статуса заказа нужен номер заказа, а не вся база клиентов.
- Маскируйте или исключайте такие поля, как номера удостоверений личности, номера карт и пароли.
- Дайте агенту указание никогда не запрашивать чувствительные данные, которые ему не нужны.
Правило агента: никогда не запрашивай в чате номера карт, пароли или номера
документов. Если клиент прислал их сам, не повторяй их и предложи
защищённую ссылку для оплаты или звонок нашей команды.Если ваш агент подключается к бизнес-системам по таким протоколам, как MCP, то же правило действует для каждой подключённой системы. О рисках читайте в статье MCP для обмена сообщениями с клиентами.
7. Особенно осторожно обращайтесь с данными о здоровье и другими особыми данными
Данные о здоровье, религии, биометрические данные и подобные категории получают дополнительную защиту по статье 9 GDPR и в KVKK. Клиникам, аптекам и страховщикам стоит ограничить то, с чем работает ИИ, не давать медицинских советов с помощью ИИ и передавать клинические вопросы квалифицированным сотрудникам. Перед запуском ИИ-агента, который обрабатывает такие данные в больших объёмах, рассмотрите оценку воздействия на защиту данных (статья 35 GDPR).
8. Задайте сроки хранения для каждого хранилища
Ограничение хранения (статья 5 GDPR) означает, что вы храните персональные данные только столько, сколько нужно. Установите и задокументируйте срок для:
- истории диалогов в вашей платформе для обмена сообщениями,
- журналов у провайдера LLM,
- экспортированных расшифровок и аналитики,
- любых персональных данных в векторной базе данных или базе знаний.
Затем убедитесь, что удаление действительно происходит, по возможности в том числе в резервных копиях.
9. Будьте готовы к запросам о доступе и удалении
Клиенты могут спросить, какие данные о них у вас есть, и потребовать их удалить (статьи 15 и 17 GDPR, аналогичные права есть и в KVKK). Знайте, как найти диалоги конкретного человека во всех системах вашей карты данных и как удалить их в каждой из них.
10. Избегайте решений, принимаемых только ИИ
Статья 22 GDPR ограничивает решения, основанные исключительно на автоматизированной обработке и существенно затрагивающие людей. Пусть ИИ отвечает, собирает информацию и маршрутизирует обращения, а одобрения, отказы, кредитные решения и исключения остаются за людьми. Надёжная передача диалога от ИИ человеку — это и функция сервиса, и функция соответствия требованиям.
11. Защищайте доступ и ведите журналы
Ограничьте круг тех, кто может читать диалоги, используйте ролевой доступ, требуйте многофакторную аутентификацию и ведите журналы аудита с записью того, кто что делал. Статья 32 GDPR требует безопасности, соответствующей риску, а статья 33 устанавливает срок в 72 часа для уведомления надзорного органа о нарушении безопасности персональных данных, если оно создаёт риск для людей.
12. Соблюдайте правила самого канала
В Политике обмена сообщениями WhatsApp Business от Meta есть собственные требования к согласию на получение сообщений, использованию данных и ИИ. В нашем руководстве по политике WhatsApp для ИИ-чат-ботов на 2026 год описано, что разрешает Meta, а в материале об opt-in в WhatsApp рассказано о согласии на проактивные сообщения.
Краткий справочник: GDPR и KVKK рядом
| Тема | GDPR | KVKK (закон № 6698) |
|---|---|---|
| Информирование пользователей | Статьи 13 и 14 | Обязанность информировать |
| Договоры с обработчиками | Статья 28 | Оператор несёт совместную ответственность за безопасность у обработчика (статья 12) |
| Передача за рубеж | Глава V: адекватность, стандартные договорные условия | Адекватность, типовые договоры с уведомлением Управления, ограниченные исключения |
| Особые категории | Статья 9 | Особые категории персональных данных |
| Хранение | Ограничение хранения, статья 5 | Удаление, уничтожение или обезличивание, когда цель исчезла |
| Права субъектов данных | Доступ, удаление и другие | Аналогичные права, включая доступ и удаление |
Как MonoChat помогает сохранять контроль над ИИ и данными
MonoChat устроен так, чтобы чувствительные части стека оставались под вашим контролем. Вот что предоставляет продукт, как описано на нашей странице о безопасности и соответствии требованиям:
- Ваши собственные ключи LLM. С собственными LLM вы подключаете свою учётную запись OpenAI, Anthropic, Google, Azure, AWS или другого провайдера, сохраняя собственные цены и соглашения о данных, и сами решаете, какой ассистент какую модель использует.
- Модели на собственных серверах. Можно подключать модели, запущенные на ваших серверах, через Ollama или через API вашей собственной модели, когда промпты должны оставаться в вашей инфраструктуре.
- Ваша собственная векторная база данных. Интеграция с VectorDB хранит векторы базы знаний в выбранной вами векторной базе данных, с вашими политиками хранения, в выбранном вами регионе или облаке.
- Разделённые области знаний. ИИ-база знаний разделяет контент на области с собственным контролем доступа, поэтому каждый агент получает только то, что ему положено.
- Контролируемые действия ИИ. ИИ-инструменты функций работают с проверкой, разрешениями, списками разрешённых конечных точек и журналами, поэтому ассистент может делать только то, что вы разрешили.
- Контроль доступа и журналы. Ролевой доступ, изоляция рабочих пространств, журналы аудита и зашифрованные учётные данные провайдеров в пределах рабочего пространства.
- Официальные API каналов. WhatsApp подключается через официальную платформу WhatsApp Business Platform (Cloud API), а MonoChat — официальный Meta Business Partner.
- Сертификаты и политика. MonoChat имеет сертификаты ISO 27001 и ISO 9001, а его политика конфиденциальности подготовлена в соответствии с KVKK (закон № 6698). Запросы на доступ к персональным данным, их исправление или удаление обрабатываются в течение 30 дней.
- Вариант on-premise. Тариф Enterprise предлагает развёртывание на ваших серверах (on-prem) для более строгих требований.
Оценить продукт можно на бесплатном тарифе Basic (один агент, один канал) на app.monochat.ai, а перед проверкой прочитайте полную политику конфиденциальности.
Источники
Применяйте это на практике с MonoChat