Привет! С вами Руслан Нуриев, методолог-аналитик компании Directum. Я много лет работаю в кадровой сфере и последнее время всё чаще наблюдаю одну и ту же картину: HR-специалисты хотят использовать искусственный интеллект в работе, но боятся. И эти страхи не беспочвенны.

С одной стороны, ИИ в HR реально экономит время: помогает составлять графики, анализировать документы, готовить ответы на нестандартные запросы. С другой — многие данные, с которыми работает кадровик, относятся к персональным. А значит, действуют особые правила. И если их игнорировать, можно получить не только утечку, но и штраф, размеры которого в 2025 году выросли в разы.

Давайте разберемся, что можно, что нельзя и как организовать работу с ИИ и ПДн безопасно. Я поделюсь своим опытом и наблюдениями, а вы решите, что применить в своей компании.

Что вообще считается персональными данными

Многие ошибочно думают, что персональные данные — это обязательно фамилия, имя, отчество. На самом деле всё немного сложнее.

Персональные данные — это любые данные, по которым можно идентифицировать конкретного человека. ФИО сами по себе — еще не ПДн. Ивановых Иванов Ивановичей может быть очень много. Но как только вы добавляете к ФИО идентификатор (табельный номер, СНИЛС, ИНН или даже должность в конкретной компании), это уже персональные данные.

Вот смотрите: «Нуриев Руслан Фаритович» — вроде бы конкретное имя. Но таких людей может быть несколько. А вот «Нуриев Руслан Фаритович, методолог-аналитик компании Directum» — это ПДн. Потому что по ним меня можно точно идентифицировать.

Есть и обратная сторона: агрегированные, статистические данные без конкретных идентификаторов не являются персональными. Это важно, потому что дает возможность работать с информацией, не нарушая закон.

Как ИИ помогает в кадровом делопроизводстве

Кадровая работа — это огромный объем рутины. И здесь ИИ действительно может быть полезен. Я сам использую его и вижу, как это упрощает жизнь.

Вот мой личный топ прикладных сценариев применения ИИ в HR.

●    Формирование списков. Например, нужно быстро собрать всех инженеров с определенными навыками для участия в тендере. Вручную перебирать данные в 1С — долго. А если загрузить информацию в ИИ, можно получить готовый список за минуты.

●    Составление графиков и табелей. Особенно когда нужно учесть часы, переработки и пожелания сотрудников.

●    Анализ документов: проверка трудовых договоров, дополнительных соглашений или заявлений на соответствие требованиям законодательства. Загружаешь документ в ИИ — и он подсказывает, на что стоит обратить внимание.

●    Подготовка нестандартных ответов. Шаблоны не всегда работают: сотрудники формулируют запросы по-разному. ИИ быстро подготовит разъяснение по любому вопросу.

Почему нельзя просто взять и загрузить всё в DeepSeek или ChatGPT

Кажется очевидным: если ИИ-инструменты для HR так удобны, почему бы не использовать их для всего? Здесь вступают в силу ограничения, которые нельзя игнорировать.

Зарубежные сервисы

ChatGPT, DeepSeek и другие подобные модели размещают свои серверы за пределами России. Это означает, что, загружая туда персональные данные, вы осуществляете трансграничную передачу. А по 152-ФЗ для этого требуется согласие субъекта. Причем оно должно быть оформлено отдельным документом.

Кроме того, вы теряете контроль над данными. Куда они уходят, как хранятся, не используются ли для дообучения модели — проверить это невозможно. И даже если разработчик утверждает, что не собирает данные, гарантий нет.

Российские облачные нейронки

GigaChat, YandexGPT и другие российские решения размещены на территории РФ, и это уже лучше. Но и здесь есть риски.

Во-первых, утечка. Ни один провайдер не может дать абсолютную гарантию, что данные не попадут в чужие руки. Во-вторых, необходимость согласия. Даже для российских сервисов нужно согласие сотрудника на передачу его данных третьей стороне. В-третьих, отслеживание согласий. Если вы работаете с большим количеством людей, придется постоянно актуализировать реестр тех, кто дал согласие, а кто — нет. В больших компаниях, где количество документов растет постоянно, это сложно делать вручную.

Что о персональных данных и ИИ говорит закон

С 1 сентября 2025 года согласие на обработку персональных данных обязательно оформлять  отдельным документом. Нельзя просто поставить галочку на сайте вместе с подпиской на рассылку. Кроме того, ужесточились требования к составу сведений в согласии.

А вот что касается ИИ — здесь есть пробел. В 152-ФЗ словосочетания «искусственный интеллект» нет вообще. Закон был принят в 2006 году, и он просто не рассчитан на современные технологии. Пока конкретных инициатив по регулированию ИИ нет, государству еще предстоит посмотреть в эту сторону.

При этом ответственность за нарушения ужесточается. С 30 мая 2025 года выросли штрафы за обработку персональных данных без согласия и за утечки. Вот актуальные цифры.

Это реальные риски, которые ложатся на компанию и, в конечном счете, на ее руководителя. Плюс никто не отменял репутационные издержки. Если персональные данные сотрудников утекли, компания намного быстрее потеряет свою привлекательность для новых кадров. Кандидаты проверяют надежность работодателя перед трудоустройством, и штрафы с частыми проверками их точно не вдохновят.

Защита персональных данных в ИИ: два рабочих подхода

Итак, что делать? Полностью отказаться от ИИ в HR — не вариант, интеллектуальные инструменты слишком полезны. Но можно использовать их безопасно. Я вижу два пути.

Способ 1: обезличивание данных

Прежде чем загрузить документ или запрос в ИИ, уберите из него всё, что может идентифицировать человека: ФИО, должность, номер телефона, паспортные данные, ИНН.

Например, вместо «Иванов Иван Иванович, начальник отдела» можно написать «Сотрудник А, руководитель подразделения». Или заменить конкретные данные на абстрактные: «Компания N», «Иван Иванович». Смысл сохранится, а персональные данные не утекут.

Минус способа в том, что это требует дисциплины. Нужно постоянно держать в голове, что можно загружать, а что нет. Это трудоемко, но эффективно.

Способ 2: локальный ИИ

Самый безопасный вариант — развернуть нейросеть на собственных серверах компании. В этом случае данные не выходят за пределы внутреннего контура и вы полностью контролируете их обработку.

У нас в компании Directum есть свой локальный искусственный интеллект, который не обращается к внешним ресурсам и обучается за счет корпоративных процессов. Мы используем в работе именно его, потому что это самый безопасный вариант.

При локальном размещении согласие на автоматизированную обработку персональных данных, которое сотрудник уже дал при трудоустройстве, как правило, покрывает и использование ИИ. Ведь в компании уже используются другие автоматизированные системы — 1С, КЭДО — и дополнительных согласий для них не требуется. Сложно представить организацию, в которой есть ИИ, но нет 1С.

Технический нюанс: почему «утечка токенов» — это не всегда утечка данных

Обработка персональных данных нейросетями устроена интереснее, чем кажется. Эксперт Directum по ИИ Илья Петухов объясняет, что даже когда вы передаете данные в облачную LLM, она не видит их в исходном формате. Языковая модель работает не с текстом, а с токенами — условными единицами, на которые разбивается текст.

Так, для модели слово «молоко» — это не молоко, а комбинация из трех токенов. Она обрабатывает токены, а не сам текст, анализирует их и готовит ответ, тоже собирая его из токенов. Потом токены преобразуются обратно в текст, и мы получаем читаемый ответ.

Это значит, что даже при перехвате данных злоумышленник получит не читаемый текст, а набор символов. Чтобы восстановить исходную информацию, нужна матрица токенизации, которая есть только у разработчика. И у разных моделей она разная: у GigaChat, например, четыре символа на токен, у DeepSeek — полтора.

Но это не снимает всех рисков. Если модель обучается на ваших данных, она может «запомнить» информацию в виде токенов и впоследствии воспроизвести ее. Поэтому использовать облачные сервисы для работы с персональными данными всё равно не рекомендуется. Технология защищает от прямого перехвата, но не от целенаправленного сбора данных.

Обсудили тему ИИ и ПДн с Ильей Петуховым в рамках подкаста «ИИ в фокусе Ильи».

Чек-лист по ИИ для кадровика: что проверить перед загрузкой данных в нейросети

1. Определите, относятся ли обрабатываемые данные к ПДн. Если да — нужны особые меры.

2. Проверьте, куда вы загружаете информацию. Если это зарубежный сервис — откажитесь от идеи или обезличьте данные.

3. Если сервис российский — убедитесь, что у вас есть согласие сотрудников на передачу их данных третьей стороне.

4. Рассмотрите возможность обезличивания. Уберите ФИО, должности, контакты, идентификаторы.

5. Если возможно — используйте локальный ИИ. Это самый безопасный вариант.

6. Помните о штрафах. Одна утечка может стоить компании миллионы.

ИИ и ПДн: что запомнить

ИИ в HR — мощный инструмент, который может значительно облегчить работу кадровика. Но он требует осторожности. Персональные данные — это ответственность, невнимание к которой может обернуться серьезными финансовыми и репутационными потерями.

Обезличивание и локальный ИИ дают возможность использовать все преимущества технологии без рисков.

Самое главное — соблюдать закон. Использование ИИ не запрещено. Проблемы возникают, когда мы передаем персональные данные во внешние сервисы без согласия или храним их там, где не должны. Помните об этом, и ИИ станет вашим помощником, а не источником проблем.

А вы используете ИИ в кадровой работе? Как решаете вопросы с персональными данными? Делитесь в комментариях — обсудим.