Главное
- Ни одна LLM не соответствует GDPR сама по себе. Соответствует ваше использование, которое зависит от правового основания, договора с обработчиком, места инференса и журналов и персональных данных, которые вы отправляете.
- Модели с открытыми весами позволяют запускать инференс на серверах под вашим контролем. Обязанности по GDPR как контролёра остаются за вами, и лицензию нужно прочитать.
- Обязанности Закона об ИИ для моделей общего назначения (статьи 53 и 55) лежат на поставщике модели и действуют с 2 августа 2025 года. Ваши обязанности зависят от сценария использования.
- Заключение 28/2024 EDPB говорит: если вы разворачиваете модель, сохраняющую персональные данные, оцените, не была ли она разработана незаконно. Спросите поставщика, что он может подтвердить.
Что делает LLM соответствующей GDPR?
Ни одна языковая модель не соответствует GDPR сама по себе. Соответствие описывает то, как вы её используете: правовое основание (статья 6, а для данных о здоровье ещё и статья 9), договор с обработчиком по статье 28, если поставщик обрабатывает ваши данные, законный механизм для любой передачи за пределы ЕС (статьи с 44 по 46) и меры безопасности по статье 32. Пометка «соответствует GDPR» от поставщика не заменяет эти проверки.
В ESADEX мы строим LLM-системы, которые соответствуют требованиям GDPR и Закона ЕС об ИИ. Мы исходим из ваших данных и вариантов развёртывания, затем выбираем модель и записываем обоснование в вашу DPIA.
Какое развёртывание подходит для ваших данных?
| Развёртывание | Кто обрабатывает ваши данные | Что проверить | Часто подходит для |
|---|---|---|---|
| API из региона ЕС у поставщика | Поставщик, в регионе ЕС | Материнскую компанию оператора и её юридическую уязвимость, условия передачи, хранение промптов и журналов и обучаются ли модели на ваших входных данных | Тексты с низкой чувствительностью, при наличии подписанного договора с обработчиком |
| Поставщик из ЕС, размещающий модели с открытыми весами | Компания из ЕС по праву ЕС | Место работы инференса, журналов и резервных копий, субобработчиков и доступ службы поддержки | Большинство бизнес-сценариев с персональными данными |
| Модель с открытыми весами на ваших серверах или в вашем облаке в ЕС | Вы | Собственную безопасность, журналы и обновления, а также лицензию модели | Медицинские, юридические, кадровые и другие чувствительные данные |
| Потребительский чат-инструмент | Поставщик по потребительским условиям | Содержат ли условия договор с обработчиком и исключают ли обучение на ваших входных данных | Не для персональных данных, если это не покрывают бизнес-условия |
Наше руководство по платформам ИИ в ЕС объясняет, как письменно проверить заявление о хостинге. Руководство по RAG, соответствующему GDPR, охватывает слой поиска.
Модель с открытыми весами или закрытая?
Открытые веса означают, что вы можете скачать модель и запустить её сами. Тогда ваши промпты остаются на инфраструктуре под вашим контролем, а сторонний обработчик исчезает из схемы. Это не делает систему соответствующей само по себе. Вы становитесь оператором, поэтому отвечаете за безопасность, контроль доступа, журналы и обновления. Прочитайте лицензию до того, как брать обязательства, потому что лицензии различаются по коммерческому использованию и другим условиям.
Закрытую модель через API часто проще запустить. Взамен поставщик обрабатывает ваши промпты, поэтому вам нужны договор с обработчиком, механизм передачи и письменные условия по хранению и обучению.
Какие правила ЕС применяются к языковой модели?
| Правило | Кого обязывает в первую очередь | Что это значит для вас |
|---|---|---|
| GDPR | Вас как контролёра и любого поставщика как вашего обработчика | Правовое основание, договор, передачи, безопасность и DPIA при высоком риске. |
| Закон об ИИ, правила для моделей ИИ общего назначения (статьи с 51 по 55) | Компанию, которая выводит модель на рынок | Техническая документация, политика авторских прав и краткое описание обучающих данных. Действуют с 2 августа 2025 года, а Комиссия может налагать штрафы с 2 августа 2026 года. Модели, уже находившиеся на рынке до 2 августа 2025 года, имеют время до 2 августа 2027 года. |
| Закон об ИИ, прозрачность по статье 50 | Поставщиков и пользователей систем чат-ботов и сгенерированного контента | Сообщайте людям, что они имеют дело с ИИ, и маркируйте определённый сгенерированный контент. Подробности в нашем руководстве по статье 50. |
| Закон об ИИ, правила высокого риска | Поставщиков и пользователей систем высокого риска | Зависят от вашего сценария, а не от модели. Обязательства по приложению III действуют с 2 декабря 2027 года согласно Регламенту (ЕС) 2026/1744. |
Использование модели через API обычно не делает вас её поставщиком. По данным Комиссии, дообучение делает вас им только в исключительных случаях, когда ваши изменения используют более трети вычислений, затраченных на обучение исходной модели. Поставщики моделей с открытым кодом получают послабления по части требований к документации, но не по политике авторских прав и описанию обучающих данных, и не тогда, когда у модели есть системный риск. Создание продукта на основе модели всё же может сделать вас поставщиком системы ИИ, а это отдельная роль.
Что EDPB сказал об обучающих данных?
В Заключении 28/2024, принятом 17 декабря 2024 года, Европейский совет по защите данных указал, что надзорные органы решают в каждом случае отдельно, анонимна ли модель. Вероятность прямого извлечения персональных данных из модели и вероятность получить их запросами должны быть незначительными с учётом всех средств, которые обоснованно могут использоваться. Если модель сохраняет персональные данные, а вы разворачиваете её как отдельный контролёр, Совет ожидает, что вы оцените, не была ли модель разработана путём незаконной обработки, с учётом источника данных и любого установленного органом или судом нарушения. Запросите у поставщика ответы и сохраните их в DPIA.
Шесть вопросов перед выбором
- Где находятся инференс, журналы, резервные копии и доступ службы поддержки?
- Какая компания заключает с вами договор и кому она принадлежит?
- Хранит ли поставщик ваши промпты или обучается на них, и подтвердит ли он письменно, что нет?
- Какие субобработчики работают с вашими данными и как вы узнаете об изменениях?
- Можете ли вы удалить промпты, ответы и журналы, когда кто-то реализует право на удаление по статье 17?
- Разрешает ли лицензия ваше использование и может ли поставщик показать документацию по Закону об ИИ для модели?
Опишите ваш сценарий, тип данных и где должна работать модель. Мы отвечаем в течение 4 рабочих часов и можем подготовить документ с объёмом и архитектурой с фиксированной оценкой примерно за пять дней.
Обсудить мой LLM-проектFAQ
Можно ли использовать ChatGPT или другую модель из США с персональными данными по GDPR?
Иногда да. Нужны бизнес-договор с соглашением об обработке, законный механизм передачи, например Рамочная программа защиты данных ЕС и США (если поставщик сертифицирован и решение действует) или стандартные договорные условия, и настройки, запрещающие обучение на ваших данных. Проверьте каждый пункт письменно и сначала оцените чувствительность данных.
Соответствует ли LLM с открытым кодом GDPR автоматически?
Нет. Запуск на собственных серверах оставляет данные под вашим контролем, но вам всё равно нужны правовое основание, меры безопасности, правила хранения и, при высоком риске, DPIA.
Важно ли, где размещена LLM, в Швеции, Германии или другой стране ЕС?
Для GDPR оператор важнее государства-члена, потому что GDPR действует во всём ЕС и ЕЭЗ. Выбирайте страну по задержке, ожиданиям клиентов или отраслевым правилам, а затем проверьте оператора, его субобработчиков и доступ службы поддержки.
Какие правила Закона об ИИ касаются компании, которая только использует LLM?
Ваши обязанности зависят от сценария. Чат-боту нужна прозрачность по статье 50. Система для найма или кредитного скоринга может быть высокого риска. Обязанности из статей 53 и 55 лежат на поставщике модели.
Источники
- Регламент (ЕС) 2016/679 (GDPR), статьи 6, 9, 17, 28, 32, 35 и с 44 по 46, Официальный журнал ЕС
- Регламент (ЕС) 2024/1689 (Закон об ИИ), статьи 25, 50 и с 51 по 55, Официальный журнал ЕС
- Европейская комиссия, руководящие указания для поставщиков моделей ИИ общего назначения, часто задаваемые вопросы
- Европейский совет по защите данных, Заключение 28/2024 по отдельным аспектам защиты данных в контексте моделей ИИ, 17 декабря 2024 года
- Регламент (ЕС) 2026/1744 (Цифровой омнибус по ИИ), Официальный журнал ЕС
- Имплементационное решение Комиссии (ЕС) 2023/1795 о Рамочной программе защиты данных ЕС и США, Официальный журнал ЕС
Об авторе
Artem Synytskyi · Сооснователь · ИИ
Artem возглавляет направление ИИ в ESADEX и создаёт LLM, RAG и системы транскрипции для отраслей с нормативными требованиями.
