Какие данные можно загружать в публичную нейросеть: правильный ответ для педагога и требования 152-ФЗ

Педагоги и методисты онлайн-школ всё чаще просят нейросеть составить план урока по реальному разбору ошибок ученика, написать индивидуальный отзыв на его домашнюю работу или сократить переписку с родителем. Вставил текст, получил результат за десять секунд — удобно. А юридически это почти всегда нарушение, если в тексте остались имя, контакты или другие данные, по которым можно опознать конкретного человека.

В этой статье — конкретный список того, что можно и что нельзя копировать в ChatGPT, Gemini, DeepSeek, Claude и аналогичные открытые сервисы, и как выстроить работу с нейросетью так, чтобы не попасть на проверку Роскомнадзора.

Что нельзя загружать в публичную нейросеть никогда

Персональные данные — это любые сведения, относящиеся к конкретному или определяемому физическому лицу (ст. 3 152-ФЗ). Проблема не в самом факте использования ИИ, а в том, что текст, который педагог вставляет в чат, уходит на серверы компании-разработчика нейросети. Большинство публичных сервисов — ChatGPT, Gemini, Claude, Perplexity — работают на зарубежной инфраструктуре; у DeepSeek и некоторых других сервисов серверы тоже расположены за пределами РФ.

На практике в зону риска чаще всего попадают пять категорий:

• ФИО ученика или родителя в сочетании с любым другим признаком (возраст, диагноз, оценка, telegram-контакт);
• скан или фото документа — паспорта, свидетельства о рождении, справки об инвалидности, медицинской справки;
• переписка с родителем или учеником, вставленная «для анализа тона общения»;
• развёрнутый отзыв на домашнюю работу с указанием имени и конкретных ошибок, если текст уникален и узнаваем;
• данные о здоровье, вероисповедании или судимости — специальная категория персональных данных, для которой 152-ФЗ и так ставит отдельный, более жёсткий режим обработки (ст. 10).

Типичный пример из практики онлайн-школ: куратор хочет быстро составить ответ родителю, который пожаловался на оценку ребёнка, и вставляет в нейросеть всю переписку целиком — с именем ученика, его оценками за месяц и фразой «у ребёнка СДВГ, поэтому…». В одном фрагменте текста здесь уже три признака персональных данных и один признак специальной категории, при этом куратор чаще всего даже не задумывается, что отправил эти сведения за границу.

Почему это трансграничная передача персональных данных

До 26 июля 2026 года критерием допустимости трансграничной передачи было участие страны получателя в Конвенции Совета Европы о защите персональных данных. С 26.07.2026 этот критерий убран: теперь ключевое условие — соответствие регулирования страны-получателя требованиям, а конкретный перечень таких стран формирует Роскомнадзор (ст. 12 ч. 1 152-ФЗ в ред. ФЗ № 265-ФЗ, проверено: октябрь 2026).

Если оператор (школа, ИП, методист) передаёт персональные данные за рубеж, он обязан до начала передачи уведомить Роскомнадзор — причём это отдельное уведомление, не то же самое, что базовое уведомление о начале обработки по ст. 22 (ст. 12 ч. 3 152-ФЗ). В уведомлении нужно указать категории передаваемых данных, перечень стран-получателей и дату оценки того, обеспечивает ли получатель конфиденциальность и безопасность данных (ст. 12 ч. 4).

Отдельное правило касается ответственности: если обработку поручили иностранному лицу — а разработчик публичной нейросети именно таким лицом и является, — перед учеником или родителем отвечают одновременно и оператор (школа), и сам подрядчик (ст. 6 ч. 6 152-ФЗ). Школа не может сказать «мы просто вставили текст в чат, дальше не наша зона ответственности» — отвечает она в любом случае.

Что можно загружать безопасно: обезличивание на практике

Обезличивание — это не просто «убрать имя». Роскомнадзор определяет обезличивание как действия, после которых невозможно без дополнительной информации определить принадлежность персональных данных конкретному субъекту. Для школы это означает: убрать не только ФИО, но и всё, что в сумме с контекстом однозначно укажет на человека — класс + редкий диагноз, город + редкая фамилия куратора, дата + единственный ученик, сдававший экзамен в этот день.

Рабочий алгоритм перед тем, как вставить текст в чат с нейросетью:

1. Замените имя на нейтральное обозначение: «ученик А», «студент 3 потока»;
2. Удалите любые контакты, адреса, даты рождения, номера договоров;
3. Перефразируйте специфичные детали так, чтобы текст описывал типовую, а не узнаваемую ситуацию («ошибка в постановке запятой перед союзом» вместо точной цитаты с подписью);
4. Если нужен анализ переписки целиком — прогоните её через внутренний шаблон, который автоматически заменяет имена и телефоны на плейсхолдеры, и только потом копируйте в нейросеть.

Какая ответственность грозит за нарушение

Административная ответственность растёт по шкале в зависимости от состава нарушения (ст. 13.11 КоАП, в ред. 2026 года, проверено: октябрь 2026):

Если тот же эпизод повторяется — штраф для юрлица вырастает до 300-500 тыс. руб. (ч. 1.1 ст. 13.11), а для ИП применяется та же, «юрлицовая», шкала (примечание 1 к ст. 13.11). Отдельно наступает ответственность, если в нейросеть попали специальные категории данных — о здоровье ребёнка, инвалидности, судимости родителя: такая передача без надлежащего основания квалифицируется строже и подпадает под более высокие составы ст. 13.11 КоАП.

Уголовная ответственность по ст. 272.1 УК РФ применяется к физическим лицам за незаконные сбор, передачу, распространение персональных данных в крупном объёме; часть 4 этой статьи — за деяния, сопряжённые с трансграничной передачей компьютерной информации, содержащей персональные данные, — наказывается лишением свободы на срок до 8 лет со штрафом до 2 млн руб. Разовая ошибка одного педагога редко доходит до такого масштаба, но систематическая практика «скидывать в нейросеть всё подряд» в масштабе целой школы — именно та ситуация, которую эта норма и описывает.

Есть и менее очевидный риск — утечка через сам ИИ-сервис. Публичные нейросети по умолчанию могут сохранять историю диалогов для обучения моделей или технической поддержки; формально это тоже «обработка» переданных данных, и школа как оператор не контролирует, сколько эта история хранится и кто к ней имеет доступ. Если позже выяснится, что данные ученика «утекли» именно так — школе придётся доказывать Роскомнадзору, что она предприняла разумные меры защиты (ст. 19 152-ФЗ), а объяснение «мы же просто спросили у ChatGPT» такой мерой не считается.

Чек-лист перед тем, как вставить текст в нейросеть

Простой тест, который можно внедрить как привычку у всей команды:

• Прочитайте текст заново глазами постороннего человека — сможет ли он назвать конкретного ученика или родителя?
• Проверьте, не осталось ли в тексте даты рождения, номера телефона, email, адреса, скана документа;
• Если тема касается здоровья, инвалидности или судимости — не отправляйте текст вообще, даже обезличенный, без консультации с юристом;
• Если сомневаетесь — перефразируйте ситуацию в максимально общем виде («ученик часто путает падежные окончания») и только потом используйте нейросеть.

Как настроить работу с ИИ в онлайн-школе на уровне регламента

Полный запрет использовать ИИ в работе школы обычно не выполняется — педагоги находят способ обойти его тихо, и контроля становится меньше, а не больше. Рабочий подход — встроить правило в документ, который и так обязана вести школа как оператор персональных данных: политику обработки ПДн и приказ об ответственном за обработку.

Три элемента, которые стоит закрепить письменно:

• Список разрешённых инструментов. Если школа подписала корпоративный тариф у поставщика ИИ с договором поручения обработки и условием о российском хостинге данных — такой инструмент можно использовать шире. Бесплатная публичная версия того же сервиса — только с обезличенным текстом.
• Обязательный шаг обезличивания. Перед вставкой текста в любой открытый ИИ-сервис сотрудник прогоняет его через внутренний шаблон или чек-лист (см. раздел выше) — это должно быть прописано как обязательная процедура, а не «на свой вкус».
• Ответственный за разбор спорных случаев. Тот же сотрудник, который отвечает за обработку персональных данных по приказу (ст. 18.1 152-ФЗ), берёт на себя вопросы «а можно ли это вставить в чат» — вместо того чтобы каждый педагог решал сам.

На практике удобнее всего завести короткую памятку на одну страницу и повесить её рядом с рабочими инструкциями: что можно, что нельзя, куда обращаться при сомнении. Памятка работает лучше длинного регламента именно потому, что педагог открывает её за секунду, а не ищет нужный пункт в двадцатистраничном документе. Раз в полгода стоит сверять список разрешённых сервисов: нейросети обновляют условия использования, и то, что было безопасно весной, к осени может поменять юрисдикцию хранения данных без отдельного уведомления пользователей.

Если школа уже проводила аудит персональных данных, этот же документ логично расширить разделом про ИИ-сервисы, а не заводить отдельную политику. Так риск использования нейросетей попадает в общую картину обработки ПДн, которую в любом случае проверяет Роскомнадзор при плановой или внеплановой проверке.

Не хотите разбираться в 152-ФЗ сами?

Проверим документы и подготовим к проверке Роскомнадзора.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на октябрь 2026 года. Для консультации по вашему случаю обратитесь к специалисту.