ИТ юрист Быкова Светлана

Мало лайков Про битву Николая Картозии https://t.me/kartozz против ИИ слушать не хотите 🥲

IaaS и персональные данные: два управления Роскомнадзора, две противоположные позиции. Нужно ли оформлять поручение на обработку персональных данных и получать согласия работников при переносе систем в облачный ЦОД по модели IaaS? Территориальные управления Роскомнадзора ответили по-разному. 1️⃣Позиция Управления по Курской области (18.06.2026 № 2467-02/46) Если у облачного провайдера есть техническая возможность доступа к персональным данным, отношения следует считать поручением обработки. Даже когда договор прямо запрещает такой доступ. По мнению Управления, оператору необходимо: 🟣оформить с провайдером поручение по части 3 статьи 6 Закона № 152-ФЗ; 🟣получить письменные согласия работников на передачу данных. Критерий: не только фактический доступ, но и потенциальная возможность обработки, например при техническом обслуживании инфраструктуры. Позиция Управления по ЦФО Ключевое значение имеет фактический доступ к данным, а не название облачной услуги. Если провайдер: 🟣не имеет доступа к системам и данным; 🟣технически не может получить доступ; 🟣запрет доступа закреплен в договоре, то он выступает только поставщиком инфраструктуры. В таком случае поручение и согласия работников не требуются. Что делать оператору Оценивать нужно не термин IaaS, а реальную архитектуру: 🟣может ли провайдер войти в операционную систему или базу данных; 🟣доступны ли ему резервные копии, снимки виртуальных машин и ключи шифрования; 🟣возможен ли временный или аварийный доступ технической поддержки; 🟣кто контролирует учетные записи администраторов; 🟣исключен ли доступ технически или только запрещен договором. Чем больше у провайдера возможностей администрировать среду заказчика, тем выше риск признания его обработчиком. Интересно, что консервативный подход Курского управления не является единичным. Схожую позицию ранее занимал и ЦА РКН в письме от 14.03.2025 № 08-119850, но немного в ином,вопрос о технически исключенном доступе провайдера там отдельно не рассматривался. Посмотрим, как будет развиваться правоприменительная практика. ❗️Сами письма не являются нормативными правовыми актами. Вывод: Безусловно, большинство операторов выберет более консервативный подход. Однако альтернативная позиция позволяет учитывать реальную архитектуру решения, а не автоматически признавать любое использование IaaS поручением обработки. Окончательная квалификация будет зависеть от условий договора, технических возможностей провайдера и фактического взаимодействия сторон. П.с. Позиции размещены на канале Дениса Лукаша, за что ему огромное спасибо! Ваш ИТ-юрист Светлана Быкова ВК // Макс

Пост без текстового описания.

Закон о поддержке ИИ проскочил все чтения за неделю. Переименован, принят стремительно. Фиксирую главное: ИИ - это комплекс решений, имитирующих когнитивные функции человека. Большая фундаментальная модель (БФМ) от 1 млрд параметров, основа для другого ПО. Ввели два статуса БМФ: суверенная (всё наше, вся цепочка в РФ) и национальная (можно зарубежные OS решениях, но ключевые характеристики определяет российское юрлицо). Обе должны пройти подтверждение соответствия и работать на российской инфраструктуре. Из практически важного: Маркировка ИИ пока не обязательная. Разработчик или платформа должны дать пользователю возможность поставить метку «сделано с помощью ИИ». Крупные соцсети и сайты (от 500 тыс. пользователей) обязаны такой инструмент предоставить. Авторские права..(спойлер все важные болезненные вопросы похоже придется решать в судах) Обучение суверенных и национальных моделей на правомерно полученных или публично доступных без техограничений материалах не нарушение (копировать нельзя, но использовать для анализа закономерностей и пр. можно, а грань эту придется, я так вижу, доказывать в суде). Плюс для владельца обязанность информировать пользователя, кому принадлежат права на сгенерированный результат. Страхование ответственности за вред от применения ИИ пока право разработчика, а не обязанность (п. 5 ст. 7). Сроки: закон в целом с 1 сентября 2026. Для уже внедрённых иностранных решений в чувствительных сферах переходный период до 1 сентября 2032 при условии обработки данных в РФ. П.С. Ну и главное, при разработке ИИ моделей не забывать учитывать национальные и духовные ценности.