BitrixGPT и другие ИИ-инструменты Битрикс24 работают с данными вашей CRM - это означает, что вопрос о месте обработки и соответствии 152-ФЗ становится практическим, а не теоретическим. Разбираем, где реально обрабатываются данные, чем облако отличается от коробки и что нужно сделать до запуска ИИ в чувствительных отраслях.
Прежде чем говорить об ИИ - важно разграничить роли, которые определяет закон.
Ваша компания - оператор персональных данных. Именно вы:
ООО «1С-Битрикс24» - обработчик. Компания обрабатывает данные по вашему поручению, в рамках Поручения на обработку персональных данных и Политики обработки персональных данных.
Это разграничение критично: даже если BitrixGPT «что-то сделал» с данными клиента, юридическую ответственность несёт оператор - то есть ваша компания.
С 1 сентября 2022 года компании, работающие с персональными данными, обязаны уведомить об этом Роскомнадзор. Это требование касается и пользователей облачного Битрикс24.
Битрикс24 предоставляет только общую информацию и не консультирует по заполнению уведомления - это ответственность оператора.
Все облачные порталы Битрикс24 в доменной зоне .ru размещены в российских дата-центрах. Согласно п. 5 ст. 18 № 152-ФЗ, данные хранятся на серверах на территории РФ.
АО «Корп Софт»:
ООО «Цифровое облако»:
Провайдеры имеют лицензии и сертификаты безопасности. Это значит, что сам факт хранения ПДн в облачном Битрикс24 не противоречит требованию 152-ФЗ о локализации данных на территории России.
Ключевой вопрос для ИБ-специалиста: куда уходит запрос, когда сотрудник использует BitrixGPT?
Когда ИИ-функции работают в облачном Битрикс24, запрос (текст письма, содержимое сделки, транскрипт звонка) передаётся на серверы вендора для обработки моделью. Важно понимать несколько вещей:
Практический вывод для оператора: перед активацией ИИ-инструментов необходимо убедиться, что в вашем уведомлении в Роскомнадзор отражена передача данных обработчику (Битрикс24), и что поручение на обработку подписано или принято в рамках оферты.
Подробнее о том, что умеет BitrixGPT в CRM и как его включить, - в отдельном материале.
Для компаний с повышенными требованиями к приватности (медицина, финансы, госзаказ) коробочная версия даёт принципиально иной уровень контроля.
Что меняется:
ИИ в закрытом контуре:
Коробочный Битрикс24 может работать без доступа к внешним серверам. При этом часть ИИ-инструментов, которые по умолчанию обращаются к облачным серверам Битрикс24, в таком режиме будет недоступна или потребует настройки на серверах компании. Некоторые из них можно перенастроить на внутреннюю инфраструктуру - для этого нужно обратиться в поддержку Битрикс24.
Ключевой принцип: в закрытом контуре ИИ-инструменты с доступом к внешним серверам включаются осознанно и только там, где это допускает политика безопасности компании.
Подробнее о том, когда и зачем переходить на коробку: переход с облачного Битрикс24 на коробку.
При проектировании коробочной версии Битрикс24 безопасность закладывалась на всех этапах разработки и тестирования. Реализованы:
Код проверяется внутренним отделом ИБ и независимыми аудиторами. Финальное решение о включении нового функционала в обновления принимают специалисты по безопасности.
Как различается обработка данных при использовании ИИ в облачной и коробочной версиях: где проходит граница периметра компании, куда уходят запросы.
flowchart TD
U[Сотрудник] --> Q{Облако или коробка?}
Q -->|Облако| B24C[Битрикс24 облако]
B24C --> AI_C[BitrixGPT]
AI_C --> DC["Дата-центры в РФ"]
Q -->|Коробка| B24B[Битрикс24 коробка]
B24B --> INNER[Серверы компании]
B24B -- "Только с разрешения" --> EXT[Внешние ИИ-сервисы]
| Критерий | Облако | Коробка |
|---|---|---|
| Физическое расположение данных | Дата-центры РФ (Москва) | Серверы компании (любая локация) |
| Контроль над инфраструктурой | У вендора | У компании |
| Данные для ИИ уходят на сервер вендора | Да (в рамках Поручения) | Только при явном включении |
| Работа в закрытом контуре (без интернета) | Нет | Да |
| Поручение на обработку ПДн | Оферта / договор с 1С-Битрикс24 | Не требуется (данные внутри) |
| Уведомление в Роскомнадзор | Обязательно | Обязательно (как оператор) |
| Гибкость настройки политик безопасности | Ограничена тарифом | Полная (AD/LDAP, SSO, IP-фильтры) |
| Предпочтительно для | Большинства компаний | Мед., фин., госзаказ, режимные объекты |
Вне зависимости от варианта развёртывания, вендор применяет многоуровневую защиту.
Меры на стороне Битрикс24 (облако):
Меры на стороне дата-центров:
Перед тем как активировать BitrixGPT или ИИ-анализ звонков в промышленной эксплуатации, пройдите по следующим пунктам.
Организационные меры:
Технические меры:
Принцип минимизации данных - ключевой при работе с ИИ: не передавайте в запросы паспортные данные, СНИЛС, медицинские сведения, если задача этого не требует. ИИ эффективно работает с обезличенными или агрегированными данными.
Если вы настраиваете смарт-процессы или автоматизацию с участием ИИ - убедитесь, что роботы и триггеры не передают в ИИ-блоки поля с чувствительными ПДн без необходимости.
Для некоторых отраслей требования к обработке данных существенно строже:
Медицина. Медицинские данные относятся к специальным категориям ПДн (ст. 10 152-ФЗ). Для медицинских центров на Битрикс24 использование облачного ИИ с доступом к данным пациентов требует отдельного юридического анализа. Коробочная версия в закрытом контуре - предпочтительный вариант.
Финансы и банки. Помимо 152-ФЗ действуют требования Банка России по защите информации. Передача данных во внешние ИИ-сервисы без согласования с ИБ-службой недопустима.
Госзаказ и оборонные предприятия. Как правило, требуется полная изоляция от внешних сетей - только коробка в закрытом контуре без ИИ-инструментов с внешними обращениями.
Ритейл, логистика, B2B-сервисы. Облачный Битрикс24 с правильно оформленным Поручением и уведомлением в Роскомнадзор, как правило, достаточен при соблюдении принципа минимизации данных.
Оставьте заявку - мы свяжемся с вами и проконсультируем.
Эксперт АС Проект свяжется в течение 60 минут.