Коротко

Запрета на ChatGPT и Claude для бизнеса нет ни в одной из стран этой статьи, кроме России, где сами OpenAI и Anthropic не работают. Но запрос к API с именем, телефоном или номером заказа клиента почти везде считается передачей персональных данных за рубеж: серверы OpenAI и Anthropic стоят в США. Значит, нужно законное основание для такой передачи, договор с тем, кто обрабатывает данные, и понятное место хранения базы.

Основания в разных странах разные. В Казахстане и Азербайджане спасает согласие клиента, в Узбекистане и Турции его мало, в Грузии и Армении без согласия понадобится разрешение регулятора. Ниже разобрано по странам, что требует закон и что мы делаем в проектах, чтобы агент в WhatsApp или корпоративный ChatGPT не стал нарушением.

Это обзор практики на 29 октября 2026 года. Законы меняются быстро, финальную схему для своей компании проверьте у юриста, который знает вашу страну.

Сначала про сами сервисы: какой ChatGPT и какой Claude

Ответ на вопрос «можно ли» зависит от тарифа: он решает, учится ли модель на ваших данных и сколько их хранят.

  • Личные тарифы ChatGPT (Free, Plus, Pro). Переписка может идти на обучение моделей, пока пользователь не выключит настройку «Улучшать модель для всех». Это прямо сказано в справке OpenAI.
  • ChatGPT Business, Enterprise и API. По умолчанию данные на обучение не идут. Запросы к API OpenAI хранит до 30 дней для контроля злоупотреблений, нулевое хранение включают по заявке (документация OpenAI о данных в API).
  • Claude Free, Pro и Max. Пользователь сам выбирает, разрешить ли обучение на своих чатах.
  • Claude для бизнеса и API. По умолчанию входы и выходы на обучение не используются.

Отсюда первое правило: данные клиентов не загружают в личный аккаунт сотрудника. Даже если закон страны это терпит, вы не контролируете ни настройки, ни доступ к истории, ни то, что останется после увольнения.

Второе правило касается места. Прямой API Anthropic обрабатывает запросы глобально или в США, европейского региона у него нет (документация Claude о резидентности данных). У OpenAI есть европейская резидентность для новых проектов API. Claude в регионе ЕС доступен через облака AWS и Google. Для стран, где Европа считается безопасным направлением, а США нет, это решает половину вопросов.

Что считается передачей персональных данных в ChatGPT

Персональные данные в переписке с агентом встречаются чаще, чем кажется:

  • имя, телефон, почта, адрес доставки;
  • ИИН, ПИНФЛ, номер паспорта или водительского удостоверения;
  • номер заказа или договора, если по нему можно найти человека;
  • запись голоса, фото документа, жалоба с описанием здоровья;
  • выгрузка из CRM, по которой агент отвечает клиенту.

Если хоть что-то из этого уходит в модель за рубежом, закон страны видит трансграничную передачу. Обезличенный текст («клиент спрашивает про сроки доставки в Шымкент») передачей персональных данных не считается. На этой разнице и строится практическая часть в конце статьи.

Казахстан: база в стране, передача с согласия

Закон РК «О персональных данных и их защите» № 94-V требует двух вещей одновременно.

Первое: хранить персональные данные в базе или цифровом объекте на территории Казахстана. Это пункт 2 статьи 12, его формулировка обновлена в августе 2026 года (текст закона на adilet.zan.kz). Второе: передавать данные за рубеж можно в страны, которые обеспечивают их защиту, а в остальные только с согласия человека и в нескольких особых случаях (статья 16). В самом согласии с 2022 года должно быть указано, есть ли трансграничная передача (подпункт 5 пункта 4 статьи 8). Уполномоченный орган сейчас Министерство искусственного интеллекта и цифрового развития.

Как это выглядит в проекте:

  1. Основная база (CRM, история обращений, логи агента) лежит на сервере в Казахстане.
  2. В модель уходит только текст, нужный для ответа. Имена, ИИН и телефоны мы заменяем метками до отправки и подставляем обратно в ответ.
  3. В согласии на обработку, которое клиент даёт на сайте или в первом сообщении бота, прямо сказано про передачу провайдеру ИИ за рубежом.

Если задача требует, чтобы данные вообще не уходили из страны, остаётся модель на собственном сервере. Сколько это стоит по сравнению с облачной моделью, мы считали в статье сколько стоит внедрить ИИ в Казахстане.

Узбекистан: локализацию отменили, но США в списке нет

В марте 2026 года Узбекистан снял общее требование хранить персональные данные граждан в стране. По закону ЗРУ-1125 от 26.03.2026 обязательно хранить внутри страны только биометрические и генетические данные и данные абонентов операторов связи (lex.uz). Остальное можно обрабатывать за рубежом при одном из условий:

  • страна признана обеспечивающей равнозначную защиту;
  • подписаны типовые договорные условия или приняты обязательные корпоративные правила;
  • оператор соблюдает международный стандарт из утверждённого перечня.

Список стран утвердил Кабмин постановлением № 415 от 29.07.2026 (lex.uz). В нём 49 государств, включая все страны ЕС. США отмечены звёздочкой: только для компаний, участвующих в EU-US Data Privacy Framework. Казахстана в списке нет.

Тонкость, которую часто пропускают: ни OpenAI, ни Anthropic в официальном списке участников Data Privacy Framework нет (мы проверили 29 октября 2026 года). Поэтому прямой API в США под «равнозначную защиту» не подпадает. Рабочие варианты: обработка в регионе ЕС или типовые договорные условия, требования к которым должны утвердить госорганы. Отдельный риск у голосовых ботов: запись голоса может оказаться биометрией, а её вывозить нельзя. Анализ звонков на внешнем API в Узбекистане мы до разбора с местным юристом не запускаем.

Кыргызстан: Цифровой кодекс и согласие клиента

С 5 февраля 2026 года персональные данные в Кыргызстане регулирует Цифровой кодекс от 31.07.2025 № 178, закон 2008 года утратил силу. Передачу за рубеж описывает статья 89 (текст кодекса). В страны без адекватной защиты данные можно отправить, в частности:

  • с согласия человека на трансграничную передачу;
  • для заключения или исполнения договора, где он сторона или выгодоприобретатель (переписка о его же заказе);
  • по договору с обработчиком на условиях, которые определит регулятор.

Перечня стран с адекватной защитой на конец октября 2026 года мы не нашли, условий для договора с обработчиком тоже. Поэтому на практике опираемся на согласие и на исполнение договора с клиентом.

Статья 86 добавляет обязанность для подрядчика: обработчик не вправе привлекать другого обработчика без предварительного письменного разрешения владельца данных. Если интегратор подключает OpenAI или Anthropic, это субобработчики, и разрешение компании должно быть в договоре.

Азербайджан: согласие или регистрация системы

Закон «О персональных данных» 2010 года запрещает передачу в страны, где защита ниже установленной законодательством Азербайджана (статья 14.2.2). С согласия человека передача разрешена независимо от уровня защиты (статья 14.3), текст есть на e-qanun.az. Информационные системы с персональными данными подлежат государственной регистрации (статья 15).

Для ритейла, услуг и клиник рабочая схема такая: согласие на передачу за рубеж в первом сообщении бота или в оферте, регистрация системы, минимум данных в модели. Банки, страховщики и госсектор живут по своим отраслевым требованиям. Там внешний API обычно не проходит, и мы сразу обсуждаем модель в контуре клиента.

Грузия: согласие или разрешение регулятора

Закон Грузии «О защите персональных данных» действует с 1 марта 2024 года и близок к GDPR (matsne.gov.ge). Без дополнительных условий данные передают в страны из списка, который утверждает Генеральный аудитор (статья 38). По нашим данным, в список 2024 года вошли страны ЕЭЗ, а США и Казахстан нет. В апреле 2026 года его заменил новый приказ, и появились ли там США, мы проверить не смогли.

Для остальных стран статья 37 даёт два практических пути:

  • письменное согласие человека после того, как его предупредили об отсутствии надлежащих гарантий;
  • договор с гарантиями плюс разрешение надзорного органа.

С марта 2026 года надзор перешёл от Службы по защите персональных данных к Государственной аудиторской службе. Для бота это значит: согласие собираем явно и с предупреждением, а не одной строкой в политике. Если согласие брать неудобно, хранение и обработка в регионе ЕС снимают большую часть вопросов.

Армения: согласие и перечень стран

Закон «О защите персональных данных» 2015 года в статье 27 разрешает передачу с согласия человека или если она вытекает из целей обработки. В страны из перечня Агентства по защите персональных данных данные передают без разрешения. В остальные только с разрешения Агентства, решение принимают в течение 30 дней (arlis.am).

Как эти части стыкуются, из текста однозначно не следует. Хватит ли согласия для страны вне перечня, зависит от толкования, и мы советуем решать это с армянским юристом. Безопаснее всего обезличивать данные до отправки и прописать передачу в США в оферте и политике заказчика.

Молдова: новый закон по образцу GDPR

С 23 августа 2026 года в Молдове действует Закон № 195/2024 о защите персональных данных, который переносит GDPR почти целиком: договор с обработчиком, реестр операций, уведомление об утечках (Национальный центр защиты персональных данных). Для передачи в страны без адекватной защиты нужен стандартный договор, и регулятор готовит приказ с текстом по образцу европейских SCC. Принят ли он, мы на конец октября не подтвердили.

Практика та же, что в ЕС: договор обработчика, хранение в ЕС, ничего лишнего в модели. Команда подрядчика, которая подключается к данным удалённо из Казахстана, тоже считается передачей в третью страну.

Израиль: согласие или договорное обязательство

С 14 августа 2025 года действует поправка 13 к Закону о защите частной жизни. Она расширила понятие персональных данных и дала Управлению по защите частной жизни право штрафовать без суда. Передачу за рубеж регулируют Правила 2001 года: в страну без равноценной защиты данные можно отправить, в частности, если получатель по договору обязуется соблюдать израильские условия. Что должно быть в таком договоре, Управление разъяснило в апреле 2026 года: использование только для исходной цели, право человека увидеть и исправить данные, конфиденциальность, защита по правилам безопасности данных или ISO/IEC 27001 (позиция Управления на gov.il).

В проекте руководства по ИИ, которое Управление опубликовало в 2025 году, есть и требование сообщать человеку, что он говорит с ботом. Финальной версии мы не видели, но в израильских проектах закладываем это сразу.

Турция: стандартный договор и 5 рабочих дней

Турция после поправок 2024 года выстроила передачу за рубеж ступенями (статья 9 закона KVKK № 6698, mevzuat.gov.tr):

  1. Решение об адекватности страны.
  2. Надлежащие гарантии, на практике стандартный договор KVKK. Его нужно заявить в Управление в течение пяти рабочих дней после подписания.
  3. Разовая передача по исключениям, в том числе с явного согласия после предупреждения о рисках.

Последний пункт важен. Явное согласие в Турции подходит для нерегулярных случаев, а агент, который весь день шлёт переписку в API, это регулярный поток. Для него нужен стандартный договор, а подпишут ли OpenAI и Anthropic турецкий текст, зависит от вашего контракта с ними. Пока это не решено, в модель отправляем текст без имён, телефонов и номеров TCKN, а базу держим у клиента в Турции.

ЕС: договор обработчика и SCC

В ЕС компания-клиент выступает контролёром, подрядчик и провайдер модели обработчиками. Нужен договор по статье 28 GDPR. Передачу в страну без решения об адекватности оформляют стандартными договорными условиями по решению Еврокомиссии 2021/914. Anthropic включает их в свой DPA, у OpenAI есть аналогичный договор. Подрядчик из Казахстана, который видит данные клиента, сам оказывается получателем в третьей стране, и с ним тоже подписывают SCC.

Если клиент требует, чтобы данные не покидали Евросоюз, берём OpenAI с европейским проектом или Claude через облако в регионе ЕС. Для клиентов из ЕС есть и второй закон, AI Act: с 2 августа 2026 года чат-бот должен сообщать, что он ИИ. Об этом отдельная статья: что требует статья 50 AI Act.

Россия коротко

В России действует 152-ФЗ: базы с персональными данными граждан РФ должны находиться в стране, а передачу за рубеж нужно заранее согласовывать с Роскомнадзором. К тому же OpenAI и Anthropic не обслуживают пользователей из России. Поэтому российским компаниям мы предлагаем российские модели или модель на своём сервере, подробности будут в отдельной статье об ИИ-агенте под 152-ФЗ.

Сводная таблица

Страна Можно ли отправлять в модель в США Что нужно
Казахстан Да, с согласием Базу держать в РК, в согласии назвать передачу за рубеж
Узбекистан Не напрямую Работать через регион ЕС или типовые условия, биометрию не вывозить
Кыргызстан Да, с основанием Взять согласие или опереться на договор с клиентом, письменно разрешить субобработчика
Азербайджан Да, с согласием Взять согласие, зарегистрировать систему
Грузия С согласием или разрешением Предупредить и взять письменное согласие либо работать в регионе ЕС
Армения Спорно Взять согласие и проверить у юриста или получить разрешение Агентства
Молдова Через договор Подписать договор обработчика и стандартный договор, хранить в ЕС
Израиль Да, через договор Получатель обязуется соблюдать правило 2(4), бот представляется ботом
Турция Через договор Подписать стандартный договор KVKK и заявить его за 5 рабочих дней
ЕС Да, через договор Подписать DPA по ст. 28 GDPR и SCC, по требованию клиента работать в регионе ЕС

Что мы делаем в каждом проекте

Правила по странам расходятся, а меры мы принимаем почти одни и те же. Вот чек-лист, по которому мы запускаем агентов и ИИ-ассистентов по документам:

Согласие. Первое сообщение бота и форма на сайте говорят, что ответы готовит ИИ и что переписка обрабатывается у провайдера за рубежом. Ссылка ведёт на политику, где провайдер назван по имени. Когда человек согласился и какую версию текста видел, мы храним вместе с диалогом.

Договор с клиентом. Мы как подрядчик подписываем договор обработчика: цели, состав данных, сроки, кто субобработчики, что делаем при утечке. Ключи API и аккаунт у провайдера модели оформляем на компанию-клиента. Тогда OpenAI или Anthropic работают с ней напрямую, а у нас остаётся только технический доступ.

Где хранить. CRM, история диалогов, база знаний и логи живут там, где требует закон: в Казахстане на сервере в стране, для ЕС, Молдовы и Грузии в регионе ЕС, в Турции у клиента. В модель уходит запрос, а не база.

Что маскировать. До отправки в модель заменяем метками имена, телефоны, почты, ИИН, ПИНФЛ, TCKN, номера паспортов и карт. Ответ модели получает метки обратно, а сервис подставляет настоящие значения уже у вас. Медицинские и финансовые данные идут в модель только после отдельного разбора, а часто не идут вовсе.

Тесты. В наборе проверок агента есть кейсы, где клиент сам присылает паспорт или номер карты. Мы смотрим, что маскирование сработало и ничего лишнего не попало в лог. Как устроены такие проверки, рассказано в статье про evals для AI-проекта.

На этих мерах построен, например, корпоративный ИИ-ассистент Magnum: база знаний и доступы остаются у компании, а модель видит только нужный для ответа фрагмент. Если хотите так же у себя, начните со страницы о внедрении ИИ в Казахстане или об ИИ-агентах. Сотрудникам, которые сами пользуются ChatGPT и Claude в работе, полезно корпоративное обучение: половина утечек начинается с выгрузки в личный чат.

FAQ

В личный аккаунт нельзя ни в одной из стран статьи: вы не контролируете обучение, хранение и доступ. Через API или ChatGPT Business можно, если для страны есть основание передачи (согласие, договор), основная база хранится там, где требует закон, а в модель уходит минимум полей.

Да, если в запросе есть персональные данные, а серверы провайдера в другой стране. Обезличенный текст без имён, телефонов и номеров документов такой передачей не считается, поэтому маскирование до отправки снимает большую часть вопросов.

Галочка работает, если текст согласия называет трансграничную передачу и провайдера, а факт согласия сохранён. Требование хранить базу на территории Казахстана согласие не отменяет: CRM и логи агента всё равно держат на сервере в стране.

По умолчанию нет. OpenAI не использует данные API и бизнес-тарифов для обучения, но хранит запросы до 30 дней для контроля злоупотреблений. У Anthropic для коммерческих продуктов действует такое же правило по обучению.

Ставить модель на свой сервер или у облачного провайдера в стране. Открытые модели сегодня справляются с поддержкой и поиском по документам, но требуют больше работы над качеством и железа. Это решение для банков, госсектора и медицины, а не для любого бота.

Источники

  • Республика Казахстан, Закон «О персональных данных и их защите» № 94-V, 2013 с изменениями 2026 года: хранение в базе на территории РК, передача за рубеж с согласия, указание трансграничной передачи в согласии.
  • Республика Узбекистан, Закон ЗРУ-1125, 2026: обязательная локализация только биометрических, генетических и абонентских данных, условия передачи за рубеж.
  • Кабинет Министров Республики Узбекистан, Постановление № 415, 2026: перечень из 49 стран, США только для участников Data Privacy Framework.
  • Türkiye Büyük Millet Meclisi, Закон KVKK № 6698, редакция 2024 года: стандартный договор и уведомление регулятора в течение пяти рабочих дней.
  • OpenAI, Data controls in the OpenAI platform, 2026: данные API не идут на обучение, хранение до 30 дней, нулевое хранение по заявке.
  • Anthropic, Data residency, 2026: прямой API обрабатывает запросы глобально или в США, региона ЕС нет.