Хостинг данных для ИИ-инструментов: ЕС или США и почему это важно

При хостинге данных для ИИ-инструментов от места хранения зависит, какое право применяется к данным ваших клиентов, какие договоры нужны и сколько документации вам придётся вести. В этой статье разница между хостингом данных в ЕС и США объяснена простым языком, а в конце есть чек-лист, по которому можно проверить любого поставщика.

Почему для ИИ-инструментов место хранения важнее, чем для другого ПО

ИИ-ассистент, который принимает звонки или отвечает в чате на сайте, обрабатывает именно те данные, которые нуждаются в особой защите: имена, номера телефонов, пожелания по записи, а часто и саму суть обращения. В кабинете физиотерапии это упоминание боли в спине, в адвокатской конторе — спор с арендодателем, в автосалоне — вопрос о финансировании. Потом эти сведения оказываются в базе данных, но до этого их обрабатывает языковая модель, они попадают в журналы и, возможно, сохраняются для аналитики.

Поэтому одного вопроса о том, где стоит сервер, недостаточно. Не менее важно, кто управляет сервисом, какие субподрядчики задействованы и используются ли данные для обучения моделей.

Хостинг данных в ЕС и США: правовые различия

Обработка внутри ЕС

Если персональные данные обрабатываются в ЕС, напрямую действует GDPR (в Германии — DSGVO), и с поставщиком нужен договор об обработке данных. Дополнительные проверки для передачи в третьи страны не требуются, пока все субподрядчики тоже работают в ЕС или в странах с признанным уровнем защиты данных. Для вашей документации это самый простой случай.

Передача данных в США

Для передачи данных в третьи страны GDPR устанавливает дополнительные требования. Европейский суд уже однажды признал недействительным соглашение об обмене данными с США — это известное решение «Schrems II». Сейчас снова есть основа, на которую могут ссылаться американские компании, если они в ней зарегистрированы: EU-US Data Privacy Framework. Однако его уже оспаривают в суде, и насколько он устойчив в долгосрочной перспективе, сегодня никто достоверно сказать не может.

Если американский поставщик не включён в этот механизм, нужны другие гарантии — как правило, стандартные договорные условия и оценка того, достаточно ли защищены данные в стране получателя. Для небольшой компании это дополнительная работа по проверке и документированию.

Подвох с дата-центром в ЕС

Сервер во Франкфурте сам по себе решает не все проблемы. Если поставщик входит в американский концерн, по законам США он может быть обязан предоставить властям доступ к данным, даже если они хранятся в Европе. Специалисты по защите данных активно обсуждают этот вопрос. Для вас это значит: спрашивайте не только о расположении сервера, но и о том, где зарегистрирован оператор и его материнская компания. Сравнение вы найдёте в статье Немецкие и международные поставщики ИИ.

Где данные ИИ-инструментов незаметно покидают страну

Многие поставщики рекламируют хостинг в ЕС, но в фоне используют сервисы, работающие в других местах. Типичные точки:

• Языковая модель: приложение работает в ЕС, но запросы уходят к модели, которая работает в США.
• Сервисы распознавания и расшифровки речи: у телефонных ассистентов речь часто переводит в текст отдельный подрядчик.
• Поддержка и обслуживание: сотрудники в третьих странах имеют удалённый доступ к системам или журналам.
• Инструменты аналитики и мониторинга: отчёты об ошибках иногда содержат фрагменты разговоров.
• Мессенджеры: у WhatsApp и других сервисов дополнительно действуют их собственные условия.

Список субподрядчиков, который обязан предоставлять каждый добросовестный поставщик, обычно быстро показывает эти точки.

Чек-лист: как проверить поставщика ИИ

1. Расположение серверов: в какой стране и у какого оператора дата-центра хранятся и обрабатываются данные?
2. Оператор: где зарегистрирован поставщик и входит ли он в группу компаний за пределами ЕС?
3. Субподрядчики: какие сервисы задействованы, особенно для языковой модели, речи и поддержки, и где они находятся?
4. Договор об обработке данных: есть ли договор по ст. 28 GDPR и регулирует ли он сроки удаления и технические меры?
5. Обучение: используются ли данные ваших разговоров для обучения моделей? Можно ли исключить это договором?
6. Срок хранения: сколько хранятся переписка и записи и можете ли вы удалять их сами?
7. Безопасность: какие есть подтверждения, например система управления информационной безопасностью по ISO 27001 или сопоставимые проверки? Почему это важно, объясняет статья ISO 27001 при выборе поставщика.
8. Выход: как вы получите свои данные обратно по окончании договора и когда они будут удалены?

Поставщик должен уметь ответить на эти вопросы письменно и без уверток. Подробнее о безопасности в целом: Безопасность данных в ИИ-системах для бизнеса.

Особые требования для тех, кто хранит профессиональную тайну

Врачи, адвокаты, налоговые консультанты и психотерапевты дополнительно обязаны хранить профессиональную тайну. Если они привлекают внешних подрядчиков, тех нужно обязать к конфиденциальности, а передавать им можно только необходимое. Кроме того, данные о здоровье относятся к особым категориям персональных данных с более строгими правилами. В этих профессиях поставщик, у которого и работа сервиса, и хранение данных полностью в ЕС, обычно заметно более простой выбор. Если сомневаетесь, посоветуйтесь с уполномоченным по защите данных или со своей профессиональной палатой.

Neurobots запускает своих цифровых сотрудников в соответствии с GDPR на серверах во Франкфурте-на-Майне. Сертификация по ISO 27001 готовится. Независимо от этого мы рекомендуем пройти чек-лист выше и с нами и получить ответы в письменном виде.

Когда хостинг в США всё же допустим

Не все задачи одинаково деликатны. ИИ-инструмент, который только пишет обезличенные тексты или пересказывает общедоступную информацию о товарах, почти не обрабатывает персональные данные. Здесь американский сервис с надёжной договорной основой может быть приемлем. Но как только речь заходит о разговорах с клиентами, записях или сведениях о здоровье, место хранения становится гораздо важнее.

Частые вопросы

Достаточно ли сервера в Германии для соответствия GDPR?

Нет. Место хранения — важный элемент, но не менее важны договор об обработке данных, субподрядчики, порядок удаления, права доступа и информирование клиентов в политике конфиденциальности. Обзор даёт статья GDPR и ИИ-чат-боты.

Можно ли вообще ещё пользоваться американскими инструментами?

В принципе да, если есть надёжное правовое основание для передачи и вы это документируете. Работы больше, и риск того, что при изменении правовой ситуации придётся всё переделывать, вы несёте вместе с поставщиком.

А как же EU AI Act?

Регламент ЕС об ИИ (EU AI Act) регулирует не место хостинга, а обязанности, связанные с ИИ-системами. Для общения с клиентами это прежде всего значит: люди должны понимать, что разговаривают с ИИ. Сообщайте об этом в начале разговора.

Нужно ли информировать клиентов?

Да. В политике конфиденциальности должны быть указаны ИИ-ассистент, цель обработки и получатели данных. Если данные передаются в третьи страны, это тоже нужно указать.

Итог

Для хостинга данных ИИ-инструментов размещение в ЕС — более простой и менее рискованный выбор для большинства компаний малого и среднего бизнеса, особенно если речь идёт о данных о здоровье, данных клиентов юристов или финансовых данных. Но решает общая картина — оператор, субподрядчики и договоры, а не только адрес дата-центра. Как работает цифровой сотрудник с хранением данных в ЕС в деликатной среде медицинской практики, показывает страница ИИ-ассистент для медицинских практик.