Вторник, 14:40
Владелица небольшого бизнеса открывает таблицу с клиентами: имена, телефоны, история заказов, заметки о каждом. Она собирается загрузить её ИИ-агенту, который будет готовить напоминания и отвечать на обращения. Файл уже выбран. Курсор над кнопкой «Загрузить».
За секунду до загрузки стоит спросить: чьи это данные и что с ними разрешено делать?
Именно этот вопрос поправка 13 к закону о защите частной жизни сделала ещё важнее. Она вступила в силу 14 августа 2025 года и писалась не для ИИ-агентов. Но агент, который читает, копирует и отправляет сведения о клиентах, делает ровно то, что закон называет «обработкой персональных данных».
В этом руководстве мы прошли по тексту закона и по публикациям Управления по защите частной жизни Израиля и превратили их в чек-лист для малого бизнеса. Как и в статье о Muse и приватности, мы разделим то, что проверено по официальному источнику, и то, что остаётся открытым.
Речь здесь идёт об израильском законодательстве. Если вы работаете в другой стране, проверьте местные правила.
Коротко
- Поправка 13 к закону о защите частной жизни действует с 14.08.2025. По данным Управления по защите частной жизни, она, среди прочего, сужает обязанность регистрации баз данных, вводит обязанность назначать уполномоченного по защите частной жизни в некоторых организациях, денежные санкции и новые уголовные составы.
- Большинству малых компаний регистрация или уполномоченный не нужны, но основные обязанности на них распространяются: обрабатывать данные только для цели, защищать их, информировать людей и уважать запросы на доступ и исправление. Точную классификацию вашего бизнеса должен проверить специалист.
- Подключение ИИ-агента — это обработка персональных данных. Что агент видит, где данные хранятся и кто утверждает действия: на эти три вопроса стоит ответить до подключения.
- Практическое правило: меньше данных, меньше прав, определённый поставщик, журнал действий и подтверждение человека для всего, что уходит наружу.
Что изменилось в поправке 13 к закону о защите частной жизни и что из этого касается малого бизнеса?
Итог: поправка облегчила регистрацию баз данных, но усилила правоприменение. Денежные санкции и надзор Управления теперь часть картины.
Согласно профессиональному руководству Управления, поправка обновляет существенные определения в законе, сужает обязанность регистрации баз данных, добавляет обязанность уведомления о крупных базах с чувствительными данными, обязывает некоторые организации назначать уполномоченного по защите частной жизни, а также вводит механизм денежных санкций и новые уголовные составы. Там же сказано, что сокращённый срок давности по искам о нарушении частной жизни отменён.
Малому бизнесу важно различать обязанности, которые распространяются только на определённые организации, и те, что касаются любого, кто обрабатывает персональные данные. Таблица ниже подводит итог по тексту закона и показывает, к чему, скорее всего, относится ваш бизнес. «Скорее всего», потому что окончательная классификация требует профессиональной проверки.
| Тема | Что написано в законе | На кого распространяется |
|---|---|---|
| Регистрация базы данных (ст. 8א(א)) | База подлежит регистрации, если её основная цель — сбор персональных данных для передачи другим, в качестве занятия или за плату, и в ней данные более чем о 10 000 человек. А также если контролирующее лицо является публичным органом | Посредники по данным и публичные органы. Не обычный бизнес, который ведёт клиентов |
| Уведомление Управления (ст. 8א(ב)) | База, не подлежащая регистрации, с данными особой чувствительности более чем о 100 000 человек: уведомление Управления в течение 30 дней | Контролирующие лица крупных баз с чувствительными данными |
| Уполномоченный по защите частной жизни (ст. 17ב1) | Обязателен в публичных органах, у посредников по данным, у организаций, чья деятельность связана с постоянным и систематическим мониторингом в значительном объёме, и у организаций, которые обрабатывают чувствительные данные в значительном объёме | Четыре определённые категории |
| Безопасность данных (ст. 17) | Контролирующее лицо и держатель, каждый отвечает за безопасность данных. Подробности в правилах безопасности данных, которые делят базы на три уровня | Любой, кто держит базу данных |
| Информирование (ст. 11) | Обращение к человеку за персональными данными сопровождается уведомлением: цель, кому будут переданы, обязательно ли предоставлять, и данные контролирующего лица | Любой, кто собирает данные для обработки в базе |
| Права человека (ст. 13 и 14) | Право ознакомиться с данными о себе и потребовать исправления или удаления, если данные неверны, неполны, неясны или неактуальны | Любое контролирующее лицо базы |
Источники: профессиональное руководство Управления по защите частной жизни (gov.il) и текст закона о защите частной жизни, ст. 8א, в редакции на 14.08.2025.
Распространяется ли закон на ИИ-агента? И что говорит Управление
Итог: специальная статья об искусственном интеллекте не нужна. Достаточно того, что агент читает или отправляет персональные данные, чтобы закон применялся.
Закон определяет «обработку» как «любое действие над персональными данными», включая получение, сбор, хранение, копирование, ознакомление, передачу и предоставление доступа. Персональные данные — это сведения, относящиеся к идентифицированному человеку или к человеку, которого можно идентифицировать, в том числе косвенно. А таблица с клиентами, где есть больше, чем контактные данные, по определению является «базой данных», если обрабатывается в цифровом виде. Поэтому загрузка такого файла агенту — это обработка, и на неё распространяются обязанности.
Две части закона касаются агента напрямую. Ст. 8(ב): персональные данные в базе обрабатываются только для цели, установленной для неё в соответствии с законом. И ст. 8(ג): нельзя обрабатывать персональные данные из базы без разрешения контролирующего лица или с превышением разрешения. Когда вы определяете агенту, «что ему можно», вы по сути применяете эту статью.
Что сказало само Управление об ИИ? Две официальные публикации, и обе с оговоркой:
- Проект руководства от 28.04.2025 о применении закона о защите частной жизни к системам искусственного интеллекта. В заголовке документ назван проектом, и публику пригласили высказаться летом 2025 года. По найденным нами сводкам страницы Управления, проект устанавливает, что закон применяется на всех этапах жизненного цикла системы, и, среди прочего, что для обработки нужно правовое основание, а согласие должно быть осознанным. Подтверждения того, что опубликована окончательная версия, мы не нашли, поэтому относимся к нему как к направлению, а не как к обязанности.
- Документ с рекомендациями для публики об использовании ИИ-агентов, опубликованный в 2026 году. По вторичным сообщениям, он рекомендует сокращать данные, доступные агенту, по возможности ограничивать права только чтением и сохранять человеческий контроль над необратимыми действиями. Скорее всего, он написан для частных пользователей, и он не является обязательным предписанием. Полный текст стоит прочитать прямо на сайте Управления.
Эти рекомендации похожи на то, что мы и так советуем, и они подходят также бизнесу. Но для честности: это не «сертификация», и следование им не гарантирует соблюдения закона.
К чему прикасается агент: путь данных через агента
Итог: каждая точка пути — это решение. Кто отмечает их заранее, обычно обнаруживает, что половине данных вообще не нужно попадать к агенту.
Образ, который стоит запомнить: ИИ-агент — это курьер, входящий в ваш архив. Вопрос не в том, надёжен ли курьер, а в том, от каких ящиков вы дали ему ключ, что он копирует по дороге и куда передаёт скопированное.
Риск и действие: что делать с каждым
Итог: большинство рисков решается одним решением при настройке, а не исправлением постфактум.
Шесть рисков подключения агента к данным клиентов
Чувствительные данные, попавшие случайно
- Риск: в письмах и таблицах есть и сведения о здоровье, зарплате, финансовой деятельности или данные, на которые распространяется обязанность хранить тайну
- Действие: исключаем ящики, папки и столбцы. Начинаем только с данных, которые нужны задаче
Широкие права
- Риск: доступ ко всему ящику или ко всей системе, когда задаче нужна небольшая часть
- Действие: отдельная учётная запись для агента, сначала только чтение, письменный список действующих разрешений и отзыв, как только потребность исчезла
Поставщик, непонятно где хранящий данные
- Риск: данные уходят на сервер и к третьей стороне, а вы этого не решали
- Действие: короткий опросник поставщику и письменное соглашение. Проверяем место хранения, использование для обучения, удаление и кто имеет доступ
Клиенты не знают
- Риск: клиент не знает, что его обращением или его данными занимается ИИ-агент
- Действие: обновляем текст при сборе данных и политику конфиденциальности и прямо говорим, когда это агент
Нет журнала действий
- Риск: невозможно узнать, что агент прочитал, написал или отправил
- Действие: журнал, фиксирующий каждое существенное действие, в безопасном месте, с регулярным просмотром
Запрос на доступ или удаление
- Риск: клиент просит показать или удалить данные, а они разбросаны по системам и по разговорам агента
- Действие: письменная процедура: кто занимается, где искать и как удалять, в том числе из хранилища поставщика
Список данных особой чувствительности основан на определении в ст. 3 закона о защите частной жизни. Цель таблицы — карта вопросов, а не юридическое заключение.
Чек-лист перед подключением ИИ-агента: восемь тем
Итог: сначала решаем, что агент будет видеть, и только потом подключаем. Обратный порядок создаёт проблемы.
- Карта данных. Запишите, к каким персональным данным будет прикасаться агент: имена, телефоны, история покупок, переписка. Отметьте, какие из них чувствительные. Закон перечисляет, среди прочего, данные о здоровье, о зарплате и финансовой деятельности, биометрические идентификаторы, происхождение, политические взгляды или религиозные убеждения, определённые данные о местоположении и данные, на которые законом распространяется обязанность хранить тайну.
- Сокращение. Передавайте агенту только то, что нужно задаче. Правила безопасности данных обязывают контролирующее лицо проверять и документировать, что база не содержит данных больше необходимого для её целей. Агент — хороший повод провести эту проверку.
- Права. Отдельная учётная запись для агента, по умолчанию только чтение и права под задачу. Правила обязывают определять права доступа, вести актуальный список и отзывать право, когда его обладатель оставляет должность.
- Поставщики и соглашения. Кто обрабатывает данные и где? Закон определяет «держателя» как внешнюю сторону, обрабатывающую данные для контролирующего лица, и возлагает на него также ответственность за безопасность. Кроме того, правила обязывают оговаривать в договоре с внешней стороной определённые вопросы и контролировать их соблюдение. Если поставщик хранит данные за пределами Израиля, спросите у юриста о правилах передачи данных в базы за пределами страны.
- Прозрачность и согласие. Когда собираются персональные данные, уведомление должно включать цель, кому данные будут переданы и кто контролирующее лицо. Закон определяет согласие как «осознанное согласие». В проекте руководства по ИИ Управление подчёркивает также информирование о том, что человек общается с автоматизированной системой. Стоит обновить политику конфиденциальности, а не только настройки агента.
- Журналы. Документируйте, что делал агент. При среднем и высоком уровне безопасности правила обязывают иметь механизм контроля и фиксации доступа и хранить данные не менее 12 месяцев. Даже для малого бизнеса это правильная практика, потому что без журнала нельзя разобрать инцидент.
- Удаление и права. Определите, кто занимается запросами на доступ и исправление по ст. 13 и 14, где искать данные, которые сохранил агент, и как их удалять, в том числе у поставщика.
- Инциденты. Заранее определите, что считается инцидентом (несанкционированный доступ, отправка не тому адресату, скрытая команда, которую выполнил агент), кому сообщать и что делать. Правила обязывают документировать инциденты безопасности. При среднем и высоком уровне есть также немедленное уведомление Управления о тяжёлом инциденте.
Перед подключением ИИ-агента к данным клиентов
Кто обязан назначить уполномоченного по защите частной жизни, и вы ли это?
Итог: обязанность определена в четырёх категориях. Малый бизнес, который рассылает предложения и ведёт клиентов, скорее всего, не входит, но проверьте, потому что ответ зависит от данных и деятельности.
Согласно ст. 17ב1 закона, назначить уполномоченного по защите частной жизни обязаны:
- Контролирующее лицо базы, являющееся публичным органом, или держатель такой базы (кроме органа безопасности).
- Контролирующее лицо базы, основная цель которой — сбор персональных данных для передачи другим, в качестве занятия или за плату, и в которой данные более чем о 10 000 человек.
- Контролирующее лицо или держатель, основное занятие которого включает постоянный и систематический мониторинг людей в значительном объёме.
- Контролирующее лицо или держатель, основное занятие которого включает обработку данных особой чувствительности в значительном объёме, в том числе банки, страховщики, общие больницы и больничные кассы.
Обратите внимание на два выражения: «основное занятие» и «значительный объём». Закон уточняет, что считается значительным объёмом: число людей, их доля в населении, объём и виды данных, продолжительность и частота обработки, срок хранения и географический охват. Бизнесу, вся деятельность которого основана на чувствительных данных, например крупной клинике, нужно тщательно проверить себя. И компания, оказывающая услуги другим организациям, тоже может считаться «держателем».
Если обязанность есть, уполномоченному нужны знания в области законодательства о частной жизни, понимание технологий и информационной безопасности и знакомство со сферой деятельности. Им может быть и тот, кто не сотрудник организации, он не должен находиться в конфликте интересов и подчиняется генеральному директору или напрямую подчинённому ему сотруднику. В его задачи входят контроль соблюдения закона, проверка процедуры безопасности и работа с обращениями людей.
Управление опубликовало заключение о назначении уполномоченного, и у него есть также страница о политике неприменения санкций к части обязанности назначения. Содержание этой страницы в данном контексте мы не читали, поэтому не цитируем её. Проверьте там актуальное положение, прежде чем принимать решение.
Какие санкции? Денежные санкции, надзор и составы преступлений
Итог: суммы определяются по типу нарушения, и для малого бизнеса есть уменьшения. Управление не обязано налагать максимальную сумму, но вправе.
Согласно ст. 23כו, глава Управления вправе наложить денежную санкцию на контролирующее лицо или держателя, нарушивших определённые положения. Несколько примеров из текста:
- 150 000 шекелей (а если в базе данные о миллионе человек и более, то вдвое больше) за обработку данных в базе, подлежащей регистрации, без регистрации.
- 15 000 шекелей за отказ позволить человеку ознакомиться с данными о нём.
- 50 шекелей за каждого человека (и 100 шекелей, если речь о чувствительных данных, с минимумом 30 000 шекелей) за обращение за данными без уведомления, требуемого ст. 11.
- Отдельные суммы за нарушения правил безопасности данных в зависимости от уровня безопасности базы.
Закон определяет также «микробизнес», оборот которого за предыдущий год не превысил 4 миллионов шекелей, и «малый бизнес» с оборотом до 10 миллионов шекелей, для целей сниженных сумм. Подробности в пятом приложении к закону.
Помимо денег, текст включает полномочия надзора: инспектор вправе требовать документы и сведения, запрашивать копию компьютерных материалов, включая системные данные и выборочные данные, и входить в место, в котором есть основания полагать наличие базы данных (в жилое помещение требуется судебный приказ). Есть и уголовные составы, например воспрепятствование инспектору (шесть месяцев), введение Управления в заблуждение (два года) и обработка данных из базы без разрешения (три года).
Денежная санкция и подготовка заранее
Денежная санкция
Управление налагает её после уведомления о взыскании и с правом на возражения. Можно обжаловать в суде.
- Сумма зависит от типа нарушения
- Есть уменьшения для микро- и малого бизнеса
Что стоит делать
Быть в состоянии показать, что вы сделали, до того как поступит обращение.
- Карта данных и список прав
- Соглашение с поставщиком
- Журнал действий и процедура для инцидентов
На основе ст. 23י, 23כו и 23נג–23נה закона и пятого приложения. Суммы — это сумма, которую Управление вправе наложить, а не автоматический штраф.
Насколько ваш бизнес готов подключать агента?
Шесть вопросов. «Да» означает, что вы в лучшем положении. Ответы остаются только в вашем браузере, и это инструмент для размышления, а не проверка соответствия.
Что думаем мы
Итог: поправка 13 не запрещает пользоваться ИИ. Она превращает вопросы «что видит агент и кто утверждает» в те, на которые нужно уметь отвечать.
Типичная ошибка, которую мы видим, — думать, что вопрос в том, «безопасен ли инструмент». Это важный вопрос, но он второй. Первый — «что я ему даю». Надёжный агент, получивший доступ ко всему ящику, всё равно раскрывает данные каждого, кто вам писал. Мы подробно писали об этом в статье о Muse и приватности.
Второе, что мы делали бы иначе: не начинали бы с данных клиентов. Можно построить агента, который сначала работает с контентом, с согласованием встреч без данных клиентов или с внутренними материалами. Через несколько недель, увидев, как он себя ведёт, расширяйтесь небольшими шагами.
У нас структура такая: агент на отдельном облачном сервере для каждого бизнеса, отдельный пользователь и минимальные права для каждой системы, подтверждение владельца бизнеса для каждого чувствительного действия и журнал для каждого существенного действия. Это не заменяет юридическую консультацию, и не каждому бизнесу нужен специализированный агент. Platin Digital — это OpenAI Select Partner, и если вам подойдёт решение попроще, мы так и скажем.
Что почитать дальше: ИИ-агент для бизнеса: что он делает и как начать, что входит в создание ИИ-агента и из чего складывается цена ИИ-агента.
Частые вопросы
Что такое поправка 13 к закону о защите частной жизни?
Поправка 13 — это обширная поправка к израильскому закону о защите частной жизни, вступившая в силу 14 августа 2025 года. По данным Управления по защите частной жизни, она обновляет существенные определения, сужает обязанность регистрации баз данных, обязывает некоторые организации назначать уполномоченного по защите частной жизни и добавляет денежные санкции и уголовные составы. Она не предназначена для искусственного интеллекта, но закон распространяется на любую обработку персональных данных, в том числе агентом.
Распространяется ли поправка 13 на ИИ-агентов и чат-ботов?
Закон распространяется на обработку персональных данных любым средством. Поэтому агент, который читает, хранит или отправляет сведения о клиентах, подпадает под определение. Управление опубликовало проект руководства о применении закона к системам искусственного интеллекта, и подтверждения, что он опубликован в окончательной версии, мы не нашли. Рекомендуем относиться к нему как к направлению и посоветоваться со специалистом по вашему случаю.
Обязан ли малый бизнес назначать уполномоченного по защите частной жизни?
Как правило, нет, если он не входит в одну из четырёх категорий ст. 17ב1: публичный орган, посредник по данным с более чем 10 000 человек, организация, основное занятие которой включает систематический мониторинг в значительном объёме, или организация, основное занятие которой — обработка чувствительных данных в значительном объёме. Тот, кто уверен, что он вне категорий, всё равно подчиняется остальным обязанностям закона, а тот, кто не уверен, должен проверить у юриста.
Можно ли загружать список клиентов в ChatGPT или ИИ-агенту?
Единого ответа нет, и это не юридическая консультация. Ответ зависит от цели использования, от уведомления, которое вы дали клиентам, от прав, безопасности и условий поставщика, включая то, где хранятся данные и используются ли они для обучения. Более безопасный путь: передавать только данные, нужные задаче, без чувствительных, и заранее проверить условия.
Какие санкции предусмотрены за нарушение закона о защите частной жизни?
Согласно действующему тексту, глава Управления вправе налагать денежные санкции, определяемые по типу нарушения, например 15 000 шекелей за отказ позволить ознакомление и 150 000 шекелей за обработку в базе, подлежащей регистрации, но не зарегистрированной. Есть уменьшения для микро- и малого бизнеса, а также полномочия надзора и уголовные составы. Суммы — это сумма, которую Управление вправе наложить, а не автоматический штраф.
Нужно ли регистрировать базу данных, потому что я подключил ИИ-агента?
Само подключение обязанности регистрации не создаёт. Согласно ст. 8א, обязанность регистрации распространяется на базу, основная цель которой — сбор персональных данных для передачи другим в качестве занятия или за плату, с более чем 10 000 человек, и на публичные органы. Другие базы с чувствительными данными более чем о 100 000 человек обязаны уведомить Управление. Если вы не уверены, к какой категории относитесь, проверьте со специалистом.
Источники
- https://www.gov.il/he/pages/guide_tikon13_professional
- https://www.nevo.co.il/law_html/law00/71631.htm
- https://www.gov.il/he/pages/ai_234
- https://www.gov.il/BlobFolder/rfp/ai_reg/he/ai_regu_draft.pdf
- https://www.gov.il/BlobFolder/news/artificial-intelligence-agents/he/Recommendations-artificial-intelligence-agents.pdf
- https://www.gov.il/BlobFolder/rfp/dpo25_1/he/DPO_giloyDhat.pdf
- https://www.gov.il/he/pages/enforcement25
- https://www.gov.il/he/pages/tikun13_qa
- https://www.gov.il/he/pages/rishom_tikon13
- https://www.gov.il/en/pages/data_security_eng
