Персональные данные и нейросети?

Вы правы, кадровичка ошибается. Это персональные данные, и их нельзя загружать в сторонний сервис без согласия сотрудников и без договора об обработке.

Почему нельзя

Что говорит закон. Ст. 6, 7, 8, 9, 13, 19, 18.1 закона №152-ФЗ «О персональных данных»:

• ФИО + телефон + оклад + семейное положение — это персональные данные. Сведения о декрете прямо отнесены к специальной категории (ст. 10 152-ФЗ, ст. 86 ТК РФ) — раскрывать их третьим лицам можно только с письменного согласия и только если это прямо нужно по закону.
• Оклад — коммерческая тайна работодателя, плюс банковская тайна, если есть зарплатные карты.
• Оператор персональных данных — это вы, ООО. Вы обязаны письменно уведомить Роскомнадзор (ст. 22 152-ФЗ) и заключить со всеми подрядчиками, обрабатывающими ваши данные, договор (ст. 6 ч. 3).
• ChatGPT — иностранный сервис. Передача данных за рубеж (трансграничная передача) по ст. 12 152-ФЗ требует отдельного согласия сотрудников и подтверждения, что в принимающей стране есть адекватная защита. США в этот список не входят. На практике это значит: загружать туда таблицы нельзя вообще.

Кстати, OpenAI в своих условиях прямо пишет, что данные из бесплатных тарифов могут использоваться для обучения моделей. То есть оклады и телефоны сотрудников станут частью тренировочного набора.

Про штрафы (ст. 13.11 КоАП РФ)

Вы слышали верно, но цифры нужно уточнить — они индексируются:

• Нарушение порядка сбора/хранения/защиты (ч. 1): до ~70 000 ₽ для юрлица.
• Раскрытие третьим лицам / трансграничная передача без согласия (ч. 8): до ~700 000 ₽ за каждый факт, повторно — до ~1 500 000 ₽.
• Нарушение требований к защите данных (ч. 6): до ~500 000 ₽.

Для ООО на 14 человек это ощутимо. Штрафы накладывает Роскомнадзор, протоколы по таким фактам составляют регулярно — особенно после жалоб самого сотрудника.

Отдельно: если кто-то из сотрудников узнает и пожалуется (а декретчицы обычно узнают), будет ещё и моральный ущерб по ст. 150, 151 ГК РФ + возмещение убытков, если утечка нанесла вред.

Что делать

1. Прямо сейчас: попросите кадровичку удалить чаты с таблицами из ChatGPT и почистить историю (в настройках аккаунта можно удалить переписку). Полностью «выкинуть» данные из уже обученной модели не получится, но удаление снижает риск.
2. Запретить формально: издать приказ или включить в должностную инструкцию запрет на передачу персональных данных во внешние сервисы. Это ваша обязанность как оператора (ст. 19 152-ФЗ — меры по защите).
3. Перевести на локальное решение: если нужна сводка — есть локальные LLM (Llama, GigaChat от Сбера — российский, с размещением в РФ) или просто Excel/1С:ЗУП. GigaChat API для юрлиц работает на территории РФ.
4. Оформить хотя бы минимально: уведомление в Роскомнадзор (это бесплатно, делается онлайн через портал госуслуг), политика обработки ПДн, согласия сотрудников, приказ о лице, ответственном за организацию обработки.

Про «это же просто программа как ворд»

Разница принципиальная:

• Word работает локально на вашем компьютере, данные никуда не уходят.
• ChatGPT — облачный сервис: вы передаёте данные третьей стороне (OpenAI, Ирландия/США), которая становится оператором или со-оператором, и вы не контролируете, что с ними будет дальше.

Даже если кадровичка возразит «у них же есть политика конфиденциальности» — политика это не договор об обработке ПДн по ст. 6 ч. 3, и без согласия сотрудников её недостаточно.

Коротко: вы правы, она — нет. Действуйте по списку выше, особенно п. 1–2 — это то, что проверяющие ищут в первую очередь.

Правы вы. Ваша кадровичка ошибается в главном: ChatGPT нельзя сравнивать с Вордом.

Почему это не «просто программа»

Ворд работает на вашем компьютере и ничего никуда не отправляет. ChatGPT — облачный сервис: всё, что вставляете, передаётся на серверы OpenAI в США. Для закона это уже передача персональных данных третьему лицу и трансграничная передача.

Фамилии, телефоны, оклады и сведения о декрете — персональные данные по Федеральному закону № 152-ФЗ. Трудовые отношения не дают права отправлять их в такой сервис. Трансграничная передача в США требует отдельных условий, а без них она незаконна. Сведения о беременности и декрете, кроме того, близки к данным о здоровье, а это более строгая категория.

Про штраф

Вы слышали верно, но есть нюанс. Ответственность по ст. 13.11 КоАП одинаково касается и юрлиц, и должностных лиц. Для ООО штрафы составляют десятки и сотни тысяч рублей, в отдельных случаях до 300 тысяч. Директор может получить отдельный штраф. Реальные последствия при утечке ещё серьёзнее: жалобы сотрудников, проверка Роскомнадзора, иски.

Кадровые данные обрабатываются по трудовому законодательству, поэтому уведомлять Роскомнадзор о такой обработке обычно не нужно. Но соблюдать сам закон всё равно обязаны.

Что делать

1. Прекратите загружать таблицы с персональными данными в ChatGPT и любые подобные сервисы.
2. Сделайте сводку локально: Excel или 1С, формулы для подсчёта, сводные таблицы. Для отчётов сотрудникам и руководству этого хватит.
3. Если нужна помощь ИИ, обезличьте данные: вместо фамилий используйте «Сотрудник 1», вместо окладов и телефонов никаких реальных значений. Например, попросите шаблон формулы или структуру отчёта, а сами цифры подставляйте у себя.
4. Если ИИ нужен всерьёз, рассмотрите корпоративную версию с договором об обработке данных и серверами в РФ или локальную модель. Для 14 человек это обычно избыточно.
5. Минимальный порядок документов: приказ о назначении ответственного за персональные данные, согласия сотрудников на обработку, положение о работе с персональными данными. Если этого нет, сейчас самое время оформить.

Для разового спора с кадровичкой достаточно одной фразы: «Мы передаём данные сотрудников на серверы в США без согласия и без договора. Это нарушение 152-ФЗ, и отвечает за него компания и директор». Обычно после этого вопрос закрывается.