Чек-лист: обработка данных клиентов при внедрении ИИ в Казахстане

AI-ассистент в WhatsApp, по сути, новая система, которая собирает и обрабатывает переписку с вашими клиентами: имена, номера телефонов, иногда медицинские или финансовые детали. В Казахстане это подпадает под закон «О персональных данных и их защите» № 94-V, и внедрение ИИ не освобождает от этих требований. Ниже практический чек-лист, который мы проходим на каждом проекте.

Это не юридическая консультация. Формулировки политики и согласия для вашей компании должен проверить юрист. Здесь мы даём практическую карту того, что вообще нужно закрыть.

1. Где физически хранятся данные

База знаний ассистента, история переписки и записи в CRM должны находиться на сервере на территории Казахстана. Это не «пожелание», а требование закона о локализации персональных данных казахстанских граждан. Практически это значит: VPS в Казахстане, а не готовый зарубежный SaaS без локального контура.

2. Согласие: явное и до сбора данных

Клиент должен явно согласиться на обработку данных до того, как первое сообщение попадёт в вашу систему. Обычно это чекбокс на сайте и короткое сообщение в начале переписки с ассистентом со ссылкой на политику конфиденциальности.

3. Ассистент должен сообщать, что он ИИ

Закон Республики Казахстан «Об искусственном интеллекте» вступил в силу 18 января 2026 года и обязывает информировать пользователя о взаимодействии с ИИ-системой. На практике достаточно одной строки в приветственном сообщении: «Вас консультирует AI-ассистент компании…».

4. Трансграничная передача данных

Если ассистент использует зарубежный API языковой модели (OpenAI, Anthropic и подобные), часть переписки технически уходит за пределы Казахстана. Это трансграничная передача персональных данных, и она требует отдельного основания (обычно согласия субъекта) и упоминания в политике конфиденциальности. Практическое снижение риска: отправлять в модель минимум персональных данных, а не полный дамп переписки.

5. Реестр действий с данными

По актуальным правилам оператор обязан вести учёт того, что происходит с данными: кому передаются, когда, на каком основании, включая трансграничные передачи. Для небольшого бизнеса это может быть просто таблица, но она должна существовать и обновляться.

6. Договор с подрядчиком

Если ассистента строит внешний исполнитель (например, мы), в договоре должно быть прямо прописано: какие данные обрабатываются, с какой целью, где хранятся, кто ещё их видит (провайдер хостинга, провайдер языковой модели) и что происходит с данными после окончания сотрудничества.

7. План на случай инцидента

Даже простой ассистент должен иметь понятный ответ на вопрос «что мы делаем, если база данных утекла или переписка попала не туда»: кто уведомляется, в какой срок, что сообщается клиентам.

Что будет, если пропустить этот пункт

Штрафы за нарушения в этой сфере в последние годы выросли в несколько раз, а для серьёзных случаев речь может идти о десятках миллионов тенге. Помимо штрафа есть репутационный риск: клиенты в Казахстане чувствительны к теме утечек личных данных, особенно в медицине и финансах.