152-ФЗ требования 2026: персональные данные, AI и автоматизация

152-ФЗ требования к работе с персональными данными (ПДн) в 2026 году ужесточились: все операторы — от ИП до крупных производств — обязаны регистрироваться в Роскомнадзоре, получать согласие субъектов, обеспечивать локализацию данных на серверах в РФ и внедрять технические меры защиты. Исключение — только полностью неавтоматизированная (бумажная) обработка. Разбираем ключевые нормы, AI-риски и практические шаги для российских компаний.

Какие изменения регулирования вступили в силу к 2026 году?

Федеральный закон № 152-ФЗ действует с 2006 года, но в 2025–2026 регуляторная практика изменилась принципиально. Главное новшество: регистрация оператора ПДн в Роскомнадзоре перестала быть формальностью. С мая 2025 года это обязательное юридическое действие для всех, кто ведёт автоматизированную обработку.

Раньше малый бизнес часто полагал, что 152-ФЗ требования к нему не относятся. Сегодня это заблуждение опасно. Под обязанность уведомления подпадают все — включая ИП и самозанятых, если их работа связана с любой автоматизированной обработкой ПДн. Отсутствие регистрации — самостоятельное нарушение, которое грозит:

• административными штрафами по ст. 13.11 КоАП РФ;
• блокировкой сайта по решению РКН;
• повышенным вниманием надзорных органов при проверках.

Форма уведомления утверждена приказом РКН № 180. Уведомление подаётся до начала обработки; если обработка уже ведётся — немедленно.

Исключения перечислены в части 2 статьи 22 152-ФЗ. Ключевое: обработка исключительно без средств автоматизации — только бумажные картотеки без оцифровки. Как только появляется таблица в Excel, CRM или чат-бот — 152-ФЗ требования вступают в силу в полном объёме. Таковы базовые 152-ФЗ требования для любого оператора в 2026 году.

Кто подпадает под 152-ФЗ требования?

Любая компания или ИП, которые собирают и обрабатывают данные физических лиц с помощью вычислительной техники. Это значит:

• интернет-магазины с формами заказа;
• сервисы доставки и логистики;
• медицинские и образовательные онлайн-платформы;
• любые AI-сервисы, получающие на вход имя, email, телефон или IP-адрес пользователя.

Размер бизнеса не имеет значения. Единственный критерий — есть ли автоматизированная обработка ПДн.

Что такое автоматизированная обработка по 152-ФЗ?

Пункт 4 статьи 3 152-ФЗ даёт чёткое определение: обработка с помощью средств вычислительной техники. Под это подпадают:

• CRM и базы данных;
• сервисы email-рассылок;
• облачные хранилища и коллаборативные платформы;
• чат-боты и AI-ассистенты;
• сервисы машинного перевода и распознавания;
• рекомендательные алгоритмы.

Любой из этих инструментов делает вас оператором ПДн. 152-ФЗ требования распространяются на все перечисленные случаи одинаково — никаких послаблений для «простых» систем нет.

Какие риски создаёт искусственный интеллект?

ИИ не выведен из-под действия закона. Более того, он порождает риски, к которым традиционный комплаенс часто не готов.

Статья 16: запрет на полностью автоматизированные решения

Закон прямо запрещает принимать решения, затрагивающие права субъекта, исключительно на основе автоматизированной обработки. Если AI отказывает в кредите, страховке или приёме на работу — необходим человеческий контроль. Это одно из важнейших 152-ФЗ требований, которое часто упускают из виду.

Пять типовых AI-рисков

1. Отсутствие явного согласия. AI-сервисы работают «под капотом», пользователь не знает об обработке его данных моделью — а согласие должно быть конкретным и информированным.
1. Нарушение локализации. Данные граждан РФ обязаны храниться на серверах в России. Зарубежные AI-API по умолчанию нарушают 152-ФЗ требования к локализации.
1. Утечки через внешние API. Каждый интеграционный вызов — потенциальный канал утечки, и 152-ФЗ требования к защите ПДн применяются в полной мере.
1. Некорректная анонимизация. Обезличенные данные, которые можно сопоставить с другими источниками, остаются персональными. 152-ФЗ требования к ним сохраняются.
1. Передача данных третьим лицам. При интеграции внешнего AI-обработчика нужно отдельное правовое основание, а не общее согласие пользователя.

Как автоматизировать комплаенс без перегрузки юротдела?

Традиционный подход — ручная работа юристов и ИБ-специалистов. При активном внедрении AI он перестаёт масштабироваться: скорость внедрения новых инструментов опережает возможности аудита.

Рынок отвечает специализированными решениями. По данным TAdviser, сервис Privacy Box (Б-152) сокращает время на поддержание соответствия 152-ФЗ требованиям на 40% и более. Специализированное ПО помогает соблюдать 152-ФЗ требования без расширения штата.

Что автоматизируется уже сегодня

• Сканирование сайтов и приложений на наличие согласий, политик, точек сбора ПДн.
• Инвентаризация всех источников и точек хранения.
• Генерация политик, согласий и уведомлений на основе выявленных параметров.
• Мониторинг изменений законодательства и оценка их влияния на профиль комплаенса.

Алгоритм внедрения: 7 шагов

Шаг 1. Определите статус оператора. Проведите инвентаризацию данных. Если есть средства автоматизации — 152-ФЗ требования к вам применяются.

Шаг 2. Подайте уведомление в РКН. Используйте форму приказа № 180. Уведомление — одно из первых 152-ФЗ требований на старте работы.

Шаг 3. Получите правовые основания. Соблюдение 152-ФЗ требований начинается с проверки оснований для каждой цели обработки.

Шаг 4. Обеспечьте локализацию. Проверьте, где физически хранятся данные. Зарубежные серверы без первичной записи в РФ — нарушение.

Шаг 5. Внедрите меры защиты. Технические меры защиты — одно из базовых 152-ФЗ требований, и AI-системы здесь не исключение.

Шаг 6. Обеспечьте человеческий контроль. Если AI влияет на права субъектов — финальное решение принимает человек (ст. 16 152-ФЗ).

Шаг 7. Поддерживайте актуальность. Об изменениях сообщайте до 15-го числа следующего месяца. Регулярно пересматривайте модель угроз.

Часто задаваемые вопросы

Обязан ли я регистрироваться в РКН, если я ИП и веду базу в Excel?

Да. Excel — средство вычислительной техники, обработка считается автоматизированной. Исключение только при полностью ручной обработке (бумажные картотеки без оцифровки).

Относится ли 152-ФЗ к AI-ботам, обрабатывающим запросы пользователей?

Да. Если бот получает имя, контакты или ID пользователя, 152-ФЗ требования действуют в полном объёме. Никаких исключений для искусственного интеллекта законом не предусмотрено.

Можно ли использовать зарубежные AI-API (OpenAI, Anthropic) для данных российских пользователей?

Прямого запрета нет, но вы обязаны обеспечить локализацию — первичная запись и хранение на территории РФ. Если API передаёт данные за рубеж, риск нарушения высок. Нужно либо подтвердить локализацию у провайдера, либо исключить идентифицирующие данные из запросов.

Считаются ли обезличенные данные персональными?

Да, если по ним можно восстановить принадлежность лицу при сопоставлении с другими источниками. Анонимизация должна быть необратимой, чтобы вывести данные из-под действия закона.

Что будет, если не подать уведомление в РКН?

Штрафы по ст. 13.11 КоАП РФ, предписания об устранении, блокировка сайта. При систематических нарушениях — приостановка обработки ПДн.

Помогают ли инструменты автоматизации комплаенса?

Да. Специализированные сервисы сокращают время на поддержание соответствия 152-ФЗ требованиям на 40% и более, автоматизируя сканирование, документооборот и мониторинг.