ИИ и персональные данные в РК: что проверить клинике и банку до внедрения

Это не юридическая консультация. Чек-лист составлен по текстам двух законов на adilet.zan.kz по состоянию на 17.10.2026. Отраслевые нормы (тайна медицинского работника, банковская тайна, подзаконные акты) в него не входят. Перед запуском проверьте свою схему с юристом.

Перед запуском ИИ-агента клиника и банк должны ответить на четыре вопроса. На каком основании и для какой цели собираются данные клиента? Где они хранятся? Уходят ли они за рубеж, когда агент обращается к зарубежной модели? Знает ли клиент, что ему отвечает ИИ? Ответы дают два закона: Закон РК «О персональных данных и их защите» (№ 94-V, в редакции, действующей с 25.08.2026) и Закон РК «Об искусственном интеллекте» (№ 230-VIII от 17.11.2025).

Ниже 18 пунктов. У каждого есть ссылка на статью и «как проверить». Цитаты из законов даны дословно.

1. Данные и цели

• Цель и перечень данных. Сбор и обработка «должны ограничиваться достижением конкретных, заранее определенных и законных целей», а данные, «содержание и объем которых являются избыточными по отношению к целям их обработки», обрабатывать нельзя (ст. 7 п. 8–9). Собственник и (или) оператор обязан «утверждать перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ими задач» (ст. 25 п. 2 пп. 1). Как проверить: в утверждённом перечне есть отдельная строка для ИИ-агента: какие поля он получает (например, имя и телефон для записи) и зачем.
• Только заявленные цели. Данные используются «только для ранее заявленных целей их сбора» (ст. 14). Как проверить: данные из диалогов с агентом не используются для целей, которых нет в согласии и в перечне.
• Категория оператора и уведомление. По числу уникальных субъектов операторы делятся на малых (не более 10 000), средних (от 10 000 до 500 000) и крупных (500 000 и более). При обработке данных ограниченного доступа категория «повышается на один уровень» (ст. 25-1). Малые и средние вправе обрабатывать данные без уведомления, остальные до начала обработки уведомляют уполномоченный орган (ст. 10-1 п. 1–2). Как проверить: вы посчитали уникальных клиентов во всех системах, определили категорию и, если вы крупный оператор, направили уведомление.

2. Согласие клиента

• Согласие можно подтвердить. Согласие даётся «письменно, посредством государственного сервиса, негосударственного сервиса либо иным способом, позволяющим подтвердить получение согласия» (ст. 8 п. 1). Оператор обязан «представлять доказательство о получении согласия» (ст. 25 п. 2 пп. 5). Как проверить: по любому клиенту, который писал агенту, можно показать, когда и в какой форме он дал согласие.
• В согласии есть всё, что требует закон. Ст. 8 п. 4 перечисляет обязательные пункты: оператор, субъект, срок согласия, возможность передачи третьим лицам, «сведения о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки», перечень собираемых данных. Как проверить: текст согласия прямо говорит, передаются ли данные подрядчику ИИ-сервиса и уходят ли они за рубеж.
• Отзыв согласия. Клиент может отозвать согласие. В течение пятнадцати рабочих дней оператор обязан прекратить обработку или представить мотивированный отказ (ст. 8 п. 7). Как проверить: описано, кто принимает отзыв, пришедший в чат или на звонок, и как отключить обработку во всех системах, включая ИИ-агента.

3. Где хранятся данные и куда уходят запросы

• Хранение на территории РК. С 25.08.2026 хранение осуществляется «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан» (ст. 12 п. 2). До поправок Законом № 326-VIII норма говорила о хранении «в базе, находящейся на территории Республики Казахстан». Как проверить: для каждого места, где лежат данные из диалогов (CRM, история переписки, записи звонков, журналы, резервные копии), письменно указано, где оно физически находится. Подтверждение просите у подрядчика.
• Передача за рубеж при запросах к зарубежной модели. Трансграничная передача — это «передача персональных данных на территорию иностранных государств» (ст. 16 п. 1). В государства, которые не обеспечивают защиту персональных данных, она возможна только в случаях из ст. 16 п. 3, первый из них — согласие субъекта. Согласие нужно и по ст. 7 п. 6. По оценке юристов, если запрос с персональными данными уходит к модели за рубежом, это трансграничная передача, даже если поставщик эти данные не хранит. Как проверить: известно, в какой стране обрабатываются запросы агента, и на каком основании из ст. 16 идёт передача.
• Минимум данных в запросе к модели. Избыточные данные обрабатывать нельзя (ст. 7 п. 9). Закон об ИИ говорит, что локальные системы ИИ «применяются для обработки данных, доступ к которым ограничен законами Республики Казахстан», а открытые системы для таких данных допускаются только при соблюдении законодательства об информатизации (ст. 17 п. 4 Закона об ИИ). Как проверить: в настройках агента записано, какие поля не попадают в запрос к модели (ИИН, диагнозы, номера счетов). Режим работы с данными ограниченного доступа согласован с юристом.

4. Клиент знает, что общается с ИИ

• Информирование об ИИ. «Пользователи должны быть проинформированы о том, что товары, работы и услуги произведены или оказываются с использованием систем искусственного интеллекта» (ст. 21 п. 1 Закона об ИИ). Как и когда сообщать, закон не уточняет. Проще всего сказать об этом в первом сообщении чата и в начале звонка. Как проверить: тестовый диалог в каждом канале начинается с понятной фразы о том, что отвечает ИИ-ассистент.
• Соглашение и путь к человеку. Собственник или владелец системы ИИ обязан дать пользователю возможность ознакомиться с пользовательским соглашением «до начала ее использования» (ст. 15 п. 2 пп. 5). Пользователь вправе «отказаться от взаимодействия с системой искусственного интеллекта», если такое взаимодействие не обязательно по закону (ст. 16 п. 1 пп. 6). Как проверить: ссылка на соглашение доступна до начала диалога. Клиент, который попросил человека, попадает к сотруднику.
• Решения без человека. Запрещена автоматизированная обработка, «в результате которой у субъекта возникают, изменяются или прекращаются права, законные интересы», если нет согласия субъекта или прямого основания в законе (ст. 19-1 п. 1 закона о персональных данных; ст. 21 п. 4 Закона об ИИ). Оператор обязан разъяснить порядок такой обработки и дать возможность заявить возражение (ст. 19-1 п. 2). Как проверить: агент не одобряет и не отклоняет заявки, не меняет условия обслуживания и не ставит медицинских выводов. Такие решения принимает сотрудник.
• Риски и запрещённые функции. Собственники и владельцы систем ИИ ведут управление рисками с обновлением «не реже одного раза в год» (ст. 18 п. 1 Закона об ИИ). Запрещено, в частности, «определение эмоций физического лица без его согласия», если закон не предусматривает иное (ст. 17 п. 3 пп. 6). Как проверить: вы с юристом определили, кто в вашей схеме собственник, а кто владелец системы ИИ. Есть документ с оценкой рисков и датой пересмотра. Анализ эмоций в звонках выключен или на него есть согласие.

5. Доступ, сроки и права клиента

• Кто видит диалоги. Оператор обязан принимать меры, обеспечивающие «предотвращение несанкционированного доступа к персональным данным» (ст. 22 п. 1 пп. 1). Сотрудники, которым данные ограниченного доступа стали известны по работе, «обязаны обеспечивать их конфиденциальность» (ст. 11 п. 2). Как проверить: есть список ролей с доступом к истории диалогов и записям звонков. У каждого сотрудника свой вход, без общих логинов.
• Срок хранения и удаление. Срок хранения «определяется датой достижения целей их сбора и обработки», если законодательство не устанавливает иное (ст. 12 п. 2). Данные уничтожаются и удаляются по истечении срока хранения и при прекращении правоотношений (ст. 18). Как проверить: для переписки, записей звонков и журналов агента задан срок. Удаление в CRM удаляет данные и у подрядчика.
• Обращения клиента. Клиент вправе узнать цели, источники, способы и сроки обработки, а также требовать изменения, блокирования и удаления данных (ст. 24 п. 1). Изменить, блокировать или удалить данные по основаниям ст. 25 п. 2 пп. 8 нужно «в течение одного рабочего дня». Ознакомление с данными предоставляется безвозмездно (ст. 25 п. 2 пп. 9). Как проверить: у сотрудников есть инструкция на случай, когда клиент пишет агенту «удалите мои данные». Агент передаёт такое обращение человеку.

6. Подрядчики и инциденты

• Договор с подрядчиком ИИ-сервиса. Доступ к персональным данным «должен быть запрещен», если оператор или третье лицо «отказываются принять на себя обязательства по обеспечению выполнения требований настоящего Закона или не могут их обеспечить» (ст. 10 п. 1). Обязанности по защите данных лежат и на третьем лице (ст. 22 п. 1). Как проверить: в договоре записаны обязательства подрядчика по закону о персональных данных: место хранения, субподрядчики и страны обработки, сроки удаления, порядок действий при инциденте.
• Инцидент и ответственное лицо. Юридическое лицо обязано назначить лицо, ответственное за организацию обработки персональных данных (ст. 25 п. 2 пп. 10). О нарушении безопасности персональных данных нужно уведомить уполномоченный орган в течение одного рабочего дня с момента обнаружения, указав контакты ответственного лица (ст. 25 п. 2 пп. 8). Меры защиты должны обеспечивать своевременное обнаружение несанкционированного доступа и минимизацию последствий (ст. 22 п. 1 пп. 2–3). Как проверить: ответственный назначен приказом. Есть сценарий на случай инцидента у подрядчика: кто узнаёт первым, кто и когда уведомляет орган.

Границы этого чек-листа

• Чек-лист основан только на двух законах. Отраслевые требования к клиникам и банкам в него не входят. Закон о персональных данных упоминает «банковской, коммерческой тайне, тайне медицинского работника» среди охраняемых законом тайн (ст. 8-1 п. 1), а их режим задают другие акты.
• Подзаконные правила (меры защиты, порядок сбора и обработки) здесь не пересказаны. Сверяйте их с актуальной редакцией на adilet.zan.kz.
• Чек-лист не определяет, относятся ли конкретные данные к ограниченному доступу и в какую страну передача допустима. Это решает юрист по вашей схеме.

Частые вопросы

Является ли запрос к зарубежной ИИ-модели трансграничной передачей? По ст. 16 п. 1 трансграничная передача — это «передача персональных данных на территорию иностранных государств». По оценке юристов, отправка текста или файла с персональными данными на модель за рубежом подпадает под это определение. Нужно основание из ст. 16, а в согласии должны быть сведения о трансграничной передаче (ст. 8 п. 4 пп. 5).

Что изменилось 25 августа 2026 года? Вступили в силу поправки Закона № 326-VIII от 24.06.2026. В ст. 12 п. 2 вместо «базы» теперь говорится о «базе и (или) цифровом объекте», которые находятся на территории Республики Казахстан. Появились уведомление о начале и прекращении обработки (ст. 10-1), классификация операторов по числу субъектов (ст. 25-1) и реестр нарушений безопасности (ст. 23-2). Ст. 16 о трансграничной передаче этим законом не менялась.

Нужно ли говорить клиенту, что ему отвечает ИИ? Да. По ст. 21 п. 1 Закона об ИИ пользователи должны быть проинформированы, что услуги оказываются с использованием систем ИИ. Пользователь также вправе отказаться от взаимодействия с системой ИИ, если оно не обязательно по закону (ст. 16 п. 1 пп. 6). Поэтому заранее продумайте, как клиент попадёт к сотруднику.

Может ли ИИ-агент сам одобрить заявку или изменить условия для клиента? Без согласия клиента или прямого основания в законе нельзя. Ст. 19-1 запрещает автоматизированную обработку, после которой у субъекта возникают, изменяются или прекращаются права и законные интересы. Безопаснее, когда агент собирает информацию и записывает клиента, а решение принимает сотрудник.

Достаточно ли галочки «согласен» в чате? Закон требует, чтобы согласие давалось способом, который позволяет подтвердить его получение (ст. 8 п. 1), и чтобы оператор мог представить доказательство (ст. 25 п. 2 пп. 5). Подходит ли конкретная форма, решает юрист. Технически важно сохранять дату, текст согласия и идентификатор клиента.

Источники

• Закон РК «О персональных данных и их защите» № 94-V от 21.05.2013 — adilet.zan.kz/rus/docs/Z1300000094
• Закон РК № 326-VIII от 24.06.2026 (поправки, ст. 1 п. 37) — adilet.zan.kz/rus/docs/Z2600000326
• Закон РК «Об искусственном интеллекте» № 230-VIII от 17.11.2025 — adilet.zan.kz/rus/docs/Z2500000230
• Разбор для ИИ-сервисов: The Tech, «SaaS и зарубежные ИИ-модели: где хранить данные и что разрешает закон о персональных данных в Казахстане», 15.10.2026 — the-tech.kz

Что почитать дальше

• Чек-лист администратора: что отдать агенту

Cloud and On-premise. Индивидуальные тарифы и стоимость для больших объёмов и при проектном внедрении под ключ. Подробнее об Enterprise