Что нельзя отдавать
Понять, какие данные куда можно отправлять и что говорит закон Казахстана.
Вопрос, который в Казахстане встаёт первым на любой встрече про ИИ: а это вообще законно и что будет с нашими данными.
Ответ короткий: работать можно, но не со всем и не везде. Разбираемся, где проходит граница и как жить по ту сторону от неё.
Разложить данные, с которыми вы работаете, на три уровня и понять, какой уровень куда можно отправлять. На выходе классификация, по которой решение принимается за секунду, без размышлений каждый раз заново.
Что происходит, когда вы вставляете текст в чат
Механика, которую стоит проговорить вслух.
Облачный сервис это внешняя компания на чужой территории. Всё, что вы туда отправили, покинуло ваш контур: переписка, кусок договора, выгрузка с фамилиями и суммами. Дальше действуют условия этого сервиса. Ваши представления о приличиях там не действуют.
Отдельно про иллюзию, которая подводит чаще всего. «Я же просто спросил, что тут не так» с приложенным фрагментом реестра это полноценная передача данных третьему лицу. Размер фрагмента роли не играет.
Правовая рамка
Два закона, и они про разное.
Персональные данные: Закон РК № 94-V от 21.05.2013. Действует в отношении любого, кто обрабатывает персональные данные граждан Казахстана, независимо от того, где зарегистрирована компания. Что важно для нашей темы:
- обработка требует согласия субъекта, за отдельными исключениями;
- базы персональных данных должны размещаться на территории Казахстана, исключения есть (например для участников МФЦА), применимость к своему случаю проверяется отдельно;
- трансграничная передача регулируется статьёй 16;
- с 25.08.2026 действует правило: то, что данные человека где-то опубликованы, само по себе не даёт права их собирать и обрабатывать.
Искусственный интеллект: Закон РК № 230-VIII, в силе с 18.01.2026. Разбирали в прошлом модуле: пользователь готового сервиса несёт лёгкие обязанности, публикация сгенерированного материала наружу включает требование маркировки.
Здесь общий ориентир, чтобы вы понимали, о чём разговор. Применимость к вашей компании, исключения и режим трансграничной передачи разбираются с юристом на ваших фактах. Штрафы прогрессивные по размеру бизнеса и считаются в МРП, ставка меняется ежегодно.
Три уровня
Рабочая классификация, которая закрывает большинство случаев.
Публичная информация, ваши собственные черновики, обезличенная методика, учебные примеры. Отправляется в любой сервис без размышлений.
Внутренние документы без персональных данных: структура процессов, шаблоны, обобщённые цифры. Отправляется после снятия идентификаторов компании и людей, либо в сервис, с которым у вас есть договор о защите данных.
Персональные данные, финансовая первичка, договоры с коммерческими условиями, всё под обязательством о конфиденциальности. Контур не покидает. Работа идёт на локальной модели или руками.
Как работать с закрытым уровнем
Полный отказ от ИИ на третьем уровне это не единственный вариант.
Обезличивание до отправки. Фамилии заменяются на роли, ИИН и номера счетов убираются, реальные суммы заменяются на порядок величины или на пропорции. Работает, когда задача про структуру и логику. Для задач про конкретные значения приём не годится.
Проверка на восстановимость. Обезличивание считается сделанным, когда по остатку нельзя опознать человека или компанию. Небольшая организация, должность и зарплата вместе указывают на конкретного сотрудника даже без фамилии.
Локальная модель. Модель работает на вашем компьютере или сервере, данные никуда не уходят. Качество ниже облачных, зато вопрос передачи снимается полностью.
Разделение задачи. Логику и метод обсуждаете на обезличенном примере, применяете к реальным данным сами. Часто это и есть нужный компромисс: ценность лежала в подходе, взгляд машины на настоящие цифры ничего к нему не добавлял.
Практика
Выпишите типы данных, с которыми вы работаете за обычную неделю. Именно типы, на уровне «выписки по счетам», «переписка с клиентами», «зарплатная ведомость». Перечислять файлы не нужно.
Поставьте каждому уровень от первого до третьего.
Для всего, что попало на третий уровень, напишите, как вы будете решать такие задачи: обезличивание, локальная модель, руками.
Проверьте себя: вспомните последние пять обращений к ИИ по работе. Что вы туда отправляли и какой это был уровень.
Третий уровень непустой. Классификация, где всё оказалось на первом, означает, что вы либо не работаете с чужими данными вообще, либо не дочитали список. Второй признак готовности: шаг 4 нашёл хотя бы одно расхождение между тем, как вы решили, и тем, как делали раньше.
Если вы консультант, бухгалтер или аудитор, данные заказчика это третий уровень по умолчанию, даже когда договор про это молчит. Обязательство о конфиденциальности не требует отдельного упоминания ИИ, чтобы на него распространяться.
Самопроверка
Сервис обещает не обучаться на моих данных. Этого достаточно?
Это снимает один риск из нескольких. Данные всё равно переданы третьему лицу и хранятся у него какое-то время. Для персональных данных вопрос локализации обещанием об обучении не закрывается.
Я работаю через корпоративный тариф, там же безопаснее?
Обычно да, условия у бизнес-тарифов строже. Проверять надо конкретный договор: где хранятся данные, сколько, кто имеет доступ. Общая репутация сервиса здесь ничего не доказывает.
Насколько локальная модель уступает облачной?
Заметно на сложных рассуждениях и длинных документах, почти незаметно на простых задачах: переформулировать, извлечь, разложить по категориям. Для третьего уровня это часто приемлемый размен.
Что делать, если я уже отправлял туда лишнее?
Прекратить, разобраться в объёме и оценить, попадает ли случай под обязанность уведомления. Это разговор с юристом. Молча продолжать точно не вариант.
Структура курса и рамка 4D: AI Fluency: Framework and Foundations. Copyright 2025 Rick Dakan, Joseph Feller, Anthropic PBC, лицензия CC BY-NC-SA 4.0. Содержание этого модуля (правовой контур Казахстана, классификация данных, практика) подготовлено JB Solutions и распространяется на тех же условиях. Правовые ссылки: Закон РК № 94-V от 21.05.2013 «О персональных данных и их защите», Закон РК № 230-VIII от 17.11.2025 «Об искусственном интеллекте».