Задача

К нам обратился ИИ-стартап, который использовал зарубежный
AI-сервис в работе своего продукта. При этом в процессе работы
с сервисом возник вопрос о передаче и обработке персональных данных.

Необходимо было сохранить возможность использовать зарубежную
AI-модель, но при этом выстроить работу с персональными данными
с учётом требований российского законодательства.

В ходе анализа мы рассмотрели различные варианты организации
обработки данных и предложили использовать предварительное
обезличивание персональных данных до их передачи во внешний
AI-сервис.

Что сделали

01. Проанализировали модель обработки данных

• Изучили, какие данные обрабатываются в сервисе и какие сведения
  могут попадать в запросы к зарубежному AI-сервису.
• Определили ключевые юридические риски, связанные с обработкой
  и возможной передачей персональных данных за пределы России.
• Определили модель работы, основанную на предварительном
  обезличивании персональных данных.

02. Разработали документы по обезличиванию

• Подготовили локальный акт, регулирующий порядок обезличивания
  персональных данных в компании.
• Подготовили акт по результатам оценки применяемых методов
  обезличивания.
• Определили порядок документального оформления операций
  по обезличиванию и распределения ответственности внутри компании.

03. Актуализировали действующие документы

• Внесли изменения в действующие локальные нормативные документы,
  связанные с обработкой персональных данных.
• Актуализировали политику в отношении обработки персональных данных
  с учётом выбранной модели.
• Привели документальную часть проекта в соответствие
  с фактической архитектурой обработки данных.

04. Подготовили рекомендации по внедрению

• Провели консультации с командой стартапа по практическому
  применению выбранной модели.
• Дали рекомендации по внедрению механизма обезличивания
  в работу сервиса.
• Объяснили, какие процессы и документы необходимо поддерживать
  в актуальном состоянии после запуска решения.