Персональные данные и нейросети?

Вы правы, она — нет. Это не «просто Ворд».

Почему нельзя

Загрузка ФИО, телефонов, окладов и данных о декрете в ChatGPT — это передача персональных данных третьему лицу (OpenAI, США) без правовых оснований. По 152-ФЗ это обработка ПД без согласия субъектов и без соблюдения требований к трансграничной передаче. Плюс утечка: данные уходят на зарубежные серверы и могут попасть в обучение моделей.

«Это просто программа» — не аргумент. Ворд стоит локально и никуда данные не отправляет, а ChatGPT — облачный сервис, который их обрабатывает на своей стороне.

Штрафы (КоАП)

• Ст. 13.11 — обработка ПД без согласия / без правовых оснований: для граждан 6–10 тыс. ₽, для должностных лиц 20–40 тыс. ₽, для юрлиц 60–300 тыс. ₽ (по некоторым составам до 500 тыс. ₽).
• Ст. 13.11 ч. 8 — нарушение требований к трансграничной передаче: до 1 млн ₽ для юрлиц.
• Отдельно есть ст. 13.11 ч. 10–11 за утечку — там суммы вплоть до 15 млн ₽ при повторных случаях.

ООО на 14 человек — это юрлицо, поэтому «для юрлиц» — как раз ваш случай. Отсутствие штатного кадровика ответственности не снимает: отвечает организация, а персонально — директор как должностное лицо.

Что делать практически

1. Запретить вносить любые ПД (ФИО + телефон + оклад + декрет — это всё ПД) в публичные LLM: ChatGPT, Claude, Gemini, DeepSeek и т.п.
2. Издать приказ/политику: «Запрещено передавать ПД сотрудников в сторонние облачные сервисы без письменного разрешения и оценки РКН».
3. Для сводок использовать обезличенные данные: табельные номера вместо фамилий, диапазоны окладов, без телефонов.
4. Если очень хочется ИИ — либо локальная модель (Ollama + Llama/Qwen на своём ПК), либо корпоративный контур с договором поручения на обработку ПД (ст. 6 ч. 3 152-ФЗ).
5. Уведомление в РКН об обработке ПД у вас, скорее всего, и так должно быть — проверьте, что в нём указано, и не появилось ли новых целей/получателей.

Если коротко: она нарушает закон и создаёт риск утечки, вы — правы. Разговор с ней стоит вести не «мне так кажется», а «это 152-ФЗ и ст. 13.11 КоАП, штраф до 300 тыс. ₽ на ООО, платить будет фирма, а отвечать — директор».

Нельзя загружать.

Персональные данные (ФИО, телефоны, зарплаты, декрет) — это обработка по 152-ФЗ. ChatGPT (OpenAI) — иностранный сервис, передача данных за границу без договора и согласий запрещена. Даже для ООО на 14 человек штрафы реальны: 30–300 тыс. руб. по КоАП 13.11, плюс возможные претензии от работников.

Сравнение с Word некорректно: Word на вашем устройстве, данные никуда не уходят. ChatGPT сохраняет и использует ввод для обучения.

Ты прав, без разрешения нельзя персональные данные передавать

она не права, запрещено передавать персональные данные без согласия

Это точно запрещено. Лучше, чтобы она перестала это делать. Покажите ей эту ветку.

Правы вы: публичный ChatGPT — не «просто Word». Word обычно хранит файл локально, а чат-бот передаёт введённые данные на серверы поставщика для обработки. Это обработка и потенциальная передача персональных данных третьему лицу, в том числе за границу.

В таблице есть персональные данные:

• ФИО и телефоны;
• зарплаты и иные сведения о доходах;
• сведения об отпусках по беременности и уходу за ребёнком;
• сочетание этих данных, позволяющее идентифицировать сотрудника.

Для ООО это может повлечь ответственность по статье 13.11 КоАП РФ. Штрафы зависят от конкретного нарушения: обработки без надлежащего основания, утечки, нарушения требований к защите, повторности и количества субъектов. Для юридических лиц это действительно может быть от десятков и сотен тысяч рублей до значительно больших сумм, а при утечке или повторном нарушении — существенно выше. Отдельно возможны претензии сотрудников, Роскомнадзора и трудовой инспекции.

Важно: согласие сотрудника не превращает любой чат в разрешённый инструмент. Работодатель всё равно должен:

• иметь законное основание и цель обработки;
• использовать только необходимые данные;
• уведомить Роскомнадзор об обработке, если нет исключения;
• обеспечить конфиденциальность и защиту;
• оформить отношения с сервисом, если он обрабатывает данные по поручению работодателя;
• учитывать требования о локализации и трансграничной передаче данных;
• не отправлять персональные данные в публичные нейросети без проверки их условий и юридического оформления.

Даже если ChatGPT ничего «не запоминает» в пользовательском интерфейсе, данные всё равно могут передаваться и обрабатываться поставщиком. Это не делает использование автоматически законным.

Что можно делать безопаснее:

1. Не загружать в публичный чат ФИО, телефоны, зарплаты и сведения о декрете.
2. Заменять сотрудников на Сотрудник 1, Сотрудник 2, а телефоны и другие идентификаторы удалять.
3. Для сводки передавать обезличенные данные, например: должность, подразделение, сумма — без возможности определить человека.
4. Использовать корпоративное решение с договором, настройками запрета обучения на данных, контролем доступа и проверкой размещения данных.
5. Издать внутренний запрет на загрузку рабочих персональных данных в публичные нейросети и включить это в правила обработки персональных данных.

Небольшой размер ООО — 14 сотрудников — не освобождает от требований закона. Кадровик может использовать нейросеть только в рамках утверждённого работодателем безопасного процесса; самовольно загружать такую таблицу в публичный сервис не следует.