AI-проект не образует отдельного правового режима: если запрос, документ или журнал позволяют определить человека, команда работает с персональными данными. Значит, требования нужно встраивать в архитектуру до пилота, а не добавлять после запуска.
Карта потока данных
- Отметьте все точки входа: формы, письма, документы, записи разговоров и CRM.
- Опишите, какие поля уходят в модель, поиск, логи и аналитику.
- Зафиксируйте поставщиков, регионы обработки и сроки хранения.
- Определите владельца процесса и основание обработки для каждого набора данных.
Минимальный технический контур
| Мера | Практическая реализация |
|---|---|
| Минимизация | Передавать только поля, нужные для результата |
| Маскирование | Удалять ФИО, телефоны, адреса и идентификаторы до модели |
| Доступ | Разделять роли пользователя, оператора и администратора |
| Журналы | Не хранить полный запрос без необходимости |
| Удаление | Обеспечить удаление из индекса, кэша и резервных копий по правилам |
Контроль перед запуском
Юрист проверяет цель и основание обработки, ИБ — угрозы и права доступа, владелец продукта — минимальный набор данных, техническая команда — фактический сетевой маршрут. Решение фиксируется в коротком паспорте AI-системы, который обновляется при смене модели или провайдера.
Важно: материал даёт организационную рамку, но не заменяет правовое заключение для конкретного процесса.
