ИИ-агенты и 152-ФЗ: где хранить данные и что сломается

Автономный ИИ-агент — это не чат-бот, который отвечает на вопросы. Это система, которая сама решает, к какому сервису обратиться: дёрнуть CRM, отправить письмо, вызвать внешний API, записать результат в базу. Внутри такого пайплайна почти всегда крутятся персональные данные — имена, телефоны, адреса, история заказов. И как только эти данные уходят на сервер условного OpenAI в США, вы попадаете под требования Федерального закона № 152-ФЗ «О персональных данных». Который прямо говорит: первичная запись и хранение ПДн граждан РФ должны происходить на серверах в России.

Проблема в том, что почти все популярные агентские фреймворки — LangChain, LlamaIndex, AutoGPT, CrewAI — по умолчанию собраны вокруг облачных моделей, которые физически стоят за рубежом. Запустить их «как в туториале» на данных российских клиентов означает нарушить закон ещё до первого полезного действия агента.

Что именно ломается в стандартной архитектуре

Разберём типичный агент поддержки. Пользователь пишет «где мой заказ №12345, я Иванов Иван, телефон +7...». Агент:

1. отправляет весь запрос в LLM для разбора намерения — ПДн уходят в модель;
2. вызывает инструмент lookup_order, который ходит в вашу CRM — тут ещё всё в порядке, если CRM в РФ;
3. формирует ответ через ту же LLM, снова передавая туда контекст с данными;
4. логирует диалог в систему трассировки вроде LangSmith — ПДн уходят в облако вендора трейсинга.

То есть утечка за пределы российского контура происходит минимум дважды, и один из этих раз — трассировка — легко упустить, потому что она включается «для отладки» и остаётся навсегда.

Самое опасное в агентах не то, что они принимают решения. А то, что каждый вызов инструмента и каждый шаг рассуждения где-то логируется — и логи расползаются по сервисам, которые вы даже не выбирали осознанно.

Три способа привести агента в соответствие

1. Полностью локальная модель

Ставите открытую модель (например, из семейств Qwen, GigaChat через API Сбера, YandexGPT, или self-hosted Llama) на серверы в РФ. Данные не покидают ваш периметр. Минус — качество и скорость reasoning у локальных моделей на потребительском железе заметно ниже топовых закрытых, а аренда мощного GPU-сервера стоит денег каждый месяц.

2. Российское облако с ИИ-сервисами

Yandex Cloud и облако VK/Cloud.ru предоставляют обработку запросов моделями в дата-центрах на территории России. Формально требование о локализации выполняется, ответственность за инфраструктуру частично переходит к провайдеру. Читайте договор: где именно происходит обработка и подписано ли поручение на обработку ПДн.

3. Обезличивание перед отправкой в зарубежную модель

Перед вызовом внешней LLM прогоняете текст через слой маскирования: заменяете имена, телефоны, номера на плейсхолдеры ([ИМЯ_1], [ТЕЛЕФОН_1]), а после ответа подставляете обратно. Юридически это спорная зона — обезличенные данные под определённых условиях перестают быть персональными, но качество маскирования нужно доказывать, и ошибка распознавателя (пропущенный телефон) сводит защиту к нулю.

Сравнение подходов

Про трассировку и логи отдельно

Если используете LangChain, по умолчанию трассировка может уходить в LangSmith (серверы за рубежом). Отключайте переменными окружения или разворачивайте self-hosted-вариант трассировки внутри контура. То же с векторными базами для RAG^*: облачные Pinecone или Weaviate Cloud держат ваши эмбеддинги вне РФ, а эмбеддинг клиентского документа — это по сути тот же документ, просто в другом представлении.

^* RAG (retrieval-augmented generation) — подход, при котором модель перед ответом подтягивает релевантные фрагменты из вашей базы знаний. Эти фрагменты и их векторные представления часто содержат ПДн.

Кому это пригодится и кому нет

• Нужно: банкам, клиникам, страховым, HR-платформам, любому сервису поддержки, где агент видит реальные данные клиентов. Здесь цена ошибки — не только штраф, но и репутация.
• Нужно с оговоркой: интеграторам, которые строят агентов на заказ — соответствие 152-ФЗ должно быть в ТЗ и договоре, иначе ответственность повиснет на вас.
• Можно проще: внутренним инструментам, которые работают только с обезличенными или синтетическими данными, публичными документами, кодом без секретов. Если агент не касается ПДн — 152-ФЗ к нему неприменим.

Цена вопроса

Штрафы за нарушение локализации ужесточались в 2025 году — суммы для юрлиц измеряются сотнями тысяч рублей за первое нарушение и могут доходить до процента от годовой выручки за повторные утечки. Точные размеры и составы смотрите в актуальной редакции КоАП РФ и в 152-ФЗ на pravo.gov.ru — они менялись, и приводить здесь цифру как вечную было бы неверно. Практический вывод: закладывать соответствие в архитектуру агента дешевле на этапе проектирования, чем переделывать боевую систему после проверки Роскомнадзора.

Готового «коробочного» решения, которое делает любого агента 152-ФЗ-совместимым, на рынке нет. Есть комбинация: российская инфраструктура плюс дисциплина в отношении логов, трассировки и векторных баз. Начинать стоит с аудита — нарисуйте схему, где на каждом шаге агента находятся данные и куда они физически уходят.