Вайбкодеры vs Юрист

Разглашение коммерческой тайны прямо есть в Трудовом кодексе как основание для увольнения по виновной статье. Недавний кейс: сотрудницу крупной московской компании уволили именно по ней за выгрузку данных в DeepSeek. У компании были подписаны NDA и положение о коммерческой тайне, поэтому уволить так оказалось возможно.

Служба безопасности может видеть ваши действия и логи. Искать способы обойти корпоративную защиту Давид не советует.

• Поднять руку сразу. Если на собеседовании обсуждали работу с ИИ, а NDA запрещает всё, это противоречие. Попросите документ, где конкретно написано, что можно и что нельзя. Продвинутые компании, например Яндекс, такие положения пишут.
• Синтетические данные. Решать задачу на выдуманных данных вместо реальных.
• Корпоративная политика. Если позволяет грейд, инициировать стандарт использования ИИ в компании.

Та же структура и порядок цифр, но другие имена, оклады, суммы. Пример Давида: считал ROI автоматизации юротдела не на реальной штатке, а на выдуманной. Результат для задачи тот же, персональных данных сотрудников в нейросети нет.

Генерировать такие данные можно дома или в личном аккаунте нейросети, не на реальных данных.

Это технический вопрос, а не юридический: часть способов замазать ничего не скрывает. Как правильно анонимизировать конкретный файл, лучше спросить у той же нейросети, не показывая ей настоящих данных.

• Только телефон обычно нет: легальными средствами по нему человека не установить.
• Почта на gmail спорно. Корпоративная почта с фамилией и доменом компании уже да.
• Типичная связка: имя, телефон, возраст, адрес, ник в Telegram.
• Cookies и IP тоже считаются, если вместе показывают, кто зашёл и что делал на сайте.

Исходить стоит из простого правила: если человека можно идентифицировать, это персональные данные.

Оба закона работают экстерриториально. Компания на Сейшелах с сайтом на русском и пользователями из России должна соблюдать 152-ФЗ. РКН через Таганский суд регулярно блокирует иностранные сервисы, которые не встали в реестр операторов и не хранят базу российских пользователей в РФ.

Осенью РКН запустил ботов, которые сами ищут на сайтах пиксели и Google Analytics. То, что раньше проверяли вручную, теперь автоматизировано.

Для закона бот не отличается от Google Form, формы на сайте или бумажной анкеты. Если он собирает набор персональных данных, нужно:

• стать оператором персональных данных;
• разместить политику обработки;
• получить согласие на обработку. С сентября 2025 это отдельный документ от ознакомления с политикой;
• для рассылки взять ещё одно, третье согласие отдельной галочкой.

Если бот только проверяет подписку на канал и ничего не спрашивает, сбора данных нет и всё это не нужно.

На сайте человек заполняет форму и сам нажимает «Отправить». В боте он вводит имя, потом фамилию, и данные уже отданы, хотя ни с чем не ознакомился. Поэтому согласие нужно в самом начале диалога.

Ссылки на документ и кнопки «Согласен» достаточно, как галочки без предустановки на сайте. Факт нажатия храните в логах бота, технически это просто.

По логике РКН данные граждан РФ должны первично записываться на сервер в России. Бот всё равно складывает ответы в свою базу. Если база в РФ, регулятору неважно, пришли данные из Telegram, с сайта или из бота в Максе.

Google Form в этом смысле хуже: данные сразу попадают на серверы Google.

Регулятор смотрит на место хранения данных, где лежит код, значения не имеет.

Все законы о персональных данных исходят из одного принципа: нельзя собирать больше, чем нужно для целей сервиса. Для каждой цели указываются только нужные для неё данные:

• регистрация: имя, почта или логин;
• уведомления о работе сервиса: почта;
• рассылка: почта, отдельное согласие;
• улучшение сервиса: метаданные.

Спрашивать возраст или семейное положение ради уведомлений по почте уже избыточно. Форма регистрации оператора на сайте РКН устроена так же: цель, данные, способ обработки.

Шаблон соберёт любая нейросеть, если описать ей свои цели и данные, а не просить «согласие по best practice».

Требования местами взаимоисключающие: для российских пользователей нельзя Google Analytics и Google-авторизацию, для европейских нельзя Яндекс Метрику. На сайте можно показывать разные версии и политики по IP.

В боте аудиторию по IP не отсечь. Крупные сервисы вроде AliExpress и Amazon делают одну большую политику с разделами «для пользователей РФ» и «для пользователей ЕС».

Если у вас MVP, это не первый вопрос, которым стоит заниматься.

РКН не придёт завтра и не выпишет штраф в 18 млн за собранные имя и фамилию. В зоне риска B2C-проекты с большой аудиторией и бесплатными продуктами: недовольный пользователь пишет жалобу, а РКН обязан реагировать.

• Шаг первый: запрос на юрадрес ИП или компании. «Видим Google Analytics», «в политике одна цель, а у вас их десять», «есть ли трансграничная передача?»
• Если ответить быстро и всё поправить: политику, форму, уведомление оператора, дальше ничего не будет. Так решается около 90% случаев.
• Если проигнорировать, начинается проверка и административное дело, которое может закончиться штрафом.

Утечка базы идёт по другой, более жёсткой процедуре.

Сервис назначает оператором персональных данных компанию в России или дружественной юрисдикции. Она собирает данные, авторизует пользователя и передаёт сервису только токен. Объяснять такую схему РКН отдельная задача, но конструкция рабочая.

• Разделить. Паспортные и адресные данные хранить отдельно под одним токеном. Кредитную часть: банки, суммы, даты, платежи, под другим.
• Обработать. Нейросеть анализирует только кредитную часть без персональных данных.
• Склеить. Результат соединить с человеком обратно по токену внутри своего контура.
• Своя модель. Для обработки развернуть LLM на арендованном российском сервере с договором.

Главная сложность здесь не РКН, а партнёры-бюро и их безопасники. Им нужно на пальцах объяснить, как устроена работа с данными. Похожая схема с токенами помогла клиенту Давида пройти проверку безопасников крупной корпорации при работе с иностранным сервисом тестирования.

Нормы авторского права почти одинаковы в большинстве стран мира. Произведение охраняется, только если выполнены два условия:

• есть автор, и это человек;
• есть творческий вклад.

Нажал кнопку «сгенерировать» или написал промт в одну строку: творческого вклада нет, объекта нет. Такой результат нельзя продать, подарить, защитить в суде или внести в сделку с инвестором.

Пресненский суд Москвы: человек сгенерировал Мону Лизу с бутылкой вина, другой напечатал картинку на футболках. Суд отказал в компенсации: картинку сделала нейросеть, объекта права нет. Решение спорное, но логика показательна.

Принцип старше нейросетей. Снимки камер автофиксации не охраняются. В знаменитом споре про селфи обезьяны фотограф не смог защитить снимок, потому что кнопку нажала обезьяна.

Давид называет это правовым техдолгом. Как и технический, он копится незаметно, а платить приходится при продаже, привлечении инвестиций или в суде с конкурентом. Инвестор спросит: кто автор, как оформлено, есть ли договоры с соавторами. В лучшем случае снизят оценку.

• сохранять промты и итерации диалога с агентом;
• вести техническую документацию с самого начала;
• завести репозиторий и регулярно коммитить;
• если соавторов несколько, договориться о соавторстве письменно.

Позиция для суда и инвестора: код писала машина как исполнитель, а решения, постановка задач и 22 страницы промтов мои.