Чек-лист GDPR для ИИ-инструментов для встреч в 2026 году (руководство по выбору поставщика)

Практическое руководство для специалистов, которые хотят пользоваться ИИ-ассистентами для встреч, не создавая себе проблем с соответствием требованиям. О сравнении конкретных инструментов читайте наш подробный разбор лучшего ИИ-инструмента для встреч, соответствующего GDPR.

Использовать ИИ, чтобы фиксировать главное из встреч, создавать резюме и не упускать задачи, стало обычной практикой для работников умственного труда. Но если на вас распространяется GDPR (потому что ваша организация учреждена в ЕС или потому что вы предлагаете услуги людям в ЕС либо отслеживаете их поведение там), нужно внимательно продумать, как эти инструменты обращаются с персональными данными.

Этот чек-лист поможет вам оценить любой ИИ-инструмент для встреч и убедиться, что вы используете его в рамках требований. Мы также добавили рекомендации о том, что нужно сделать с вашей стороны, ведь даже самый внимательный к конфиденциальности инструмент не может выполнить за вас все обязанности по GDPR.

Часть 1. Оценка вашего ИИ-инструмента для встреч

Прежде чем внедрять любого ИИ-ассистента для встреч, проверьте следующие основы:

Соглашения об обработке данных

На что обратить внимание:

• Дополнение об обработке данных (DPA), соответствующее требованиям статьи 28 GDPR
• Чёткая документация о том, какие данные обрабатываются и для каких целей
• Определённые роли (вы как контролёр, поставщик инструмента как обработчик)

Почему это важно: DPA требуется, когда поставщик обрабатывает персональные данные от вашего имени (статья 28). Это отдельный вопрос от вашего правового основания по статье 6 для самой обработки: нужны оба. Использование обработчика без соглашения, соответствующего статье 28, нарушает требования независимо от вашего правового основания.

Международные передачи данных

Если поставщик вашего инструмента отправляет данные за пределы ЕС (многие базируются в США), для передачи нужно собственное правовое основание:

На что обратить внимание:

• Названный механизм передачи: решение об адекватности (для американского поставщика это сертификация по Data Privacy Framework ЕС и США) или стандартные договорные условия ЕС (SCC), включённые в соглашение
• Там, где используются SCC, оценка влияния передачи данных (TIA), документирующая правовую ситуацию в стране назначения и любые дополнительные меры
• Чёткая информация о том, какие субобработчики обрабатывают ваши данные и где
• Возможность настоящей резидентности данных в ЕС: данные ваших разговоров хранятся на инфраструктуре, физически расположенной в Европейском союзе

Почему это важно: решение Schrems II в 2020 году признало недействительным Privacy Shield между ЕС и США. Его преемник, Data Privacy Framework, всё ещё действует по состоянию на сентябрь 2026 года, но находится под давлением: оспаривание рассматривается в апелляции в Суде ЕС (дело C-703/25 P), а решение Верховного суда США по FTC в июне 2026 года вызвало новые сомнения в надзоре, на котором он держится (что это решение означает для передач данных между ЕС и США). SCC остаются доступными, но требуют оценки в каждом конкретном случае и, при необходимости, дополнительных мер. Резидентность в ЕС снимает этот вопрос для тех данных, которые она охватывает.

Технические и организационные меры (TOM)

На что обратить внимание:

• Документация о мерах безопасности (шифрование, контроль доступа и т. д.)
• Информация о том, где и как хранятся данные
• Политики хранения данных: как долго хранятся данные
• Варианты локальной обработки на устройстве или облачной обработки

Почему это важно: нужно убедиться, что у вашего обработчика есть меры безопасности, соответствующие чувствительности обрабатываемых вами данных.

Особенности, связанные с ИИ

На что обратить внимание:

• Подтверждение, что ваши данные не используются для обучения ИИ-моделей
• Чёткие политики хранения данных у ИИ-субобработчиков (в идеале нулевое хранение)
• Прозрачность в том, какие ИИ-сервисы обрабатывают ваши данные

Почему это важно: многие ИИ-инструменты отправляют данные разговоров сторонним ИИ-сервисам. Вам нужно видеть, кто обрабатывает ваши данные и на каких условиях. Хотя GDPR не устанавливает конкретных сроков хранения, принципы минимизации данных говорят в пользу более коротких сроков, а обязательства нулевого хранения у ИИ-субобработчиков снижают ваш риск.

Прозрачность субобработчиков

На что обратить внимание:

• Полный список субобработчиков с указанием целей и местонахождения
• Порядок уведомления об изменениях среди субобработчиков
• Возможность возразить против новых субобработчиков

Почему это важно: статья 28(2) требует, чтобы обработчики получали разрешение контролёра на привлечение субобработчиков. Вам нужно видеть всех, кто имеет доступ к вашим данным, и иметь возможность оценить, уместно ли их участие.

Часть 2. Ваши обязанности как контролёра данных

Даже при полностью соответствующем требованиям инструменте у вас есть обязанности, которые не может выполнить никакое программное обеспечение:

Перед началом записи

Правовое основание

• Определите своё правовое основание для обработки по статье 6 GDPR (законный интерес, согласие, исполнение договора и т. д.)
• Задокументируйте это основание и будьте готовы объяснить его, если спросят
• Примечание: согласие — один из вариантов, но законные интересы или необходимость для исполнения договора могут подойти в зависимости от вашего контекста

Прозрачность и уведомление

• Сообщите всем участникам встречи, что разговор будут обрабатывать ИИ-инструменты
• Объясните, что будет захвачено, как это будет обработано и у кого будет доступ
• Предоставьте эту информацию ясно и до начала обработки
• Короткое устное уведомление в начале встречи лучше всего работает как указатель на более полное уведомление о конфиденциальности (цели, сроки хранения, ваши контактные данные и права людей). Формулировки смотрите в статье Как попросить разрешения на запись встречи

Законы о записи (отдельно от GDPR)

• Проверьте местные законы о записи разговоров: во многих юрисдикциях требуется согласие участников независимо от GDPR
• Эти требования различаются по странам и могут быть строже самого GDPR
• Просить у всех согласие перед записью — самая надёжная привычка с точки зрения законов о записи, но она сама по себе не закрывает GDPR: вам всё равно нужно полное уведомление о конфиденциальности, а в трудовых отношениях согласие может не считаться свободно данным, так что может потребоваться другое правовое основание

Оценка рисков

• Рассмотрите, требуется ли оценка воздействия на защиту данных (DPIA)
• DPIA обязательны для обработки, которая, вероятно, создаёт высокий риск для прав и свобод людей
• Факторы, которые могут указывать на высокий риск: обработка в больших масштабах, чувствительные данные, новые технологии и систематический мониторинг
• Даже когда DPIA строго не требуется, это хорошая практика для обработки с помощью ИИ, которая помогает продемонстрировать подотчётность

EU AI Act (отдельно от GDPR)

• Обязанности по AI Act зависят от того, как классифицирована ИИ-система и какова ваша роль (поставщик или оператор), а не от того, обрабатывает ли она персональные данные
• Обязанности по прозрачности по статье 50 действуют с 2 августа 2026 года
• После AI Omnibus (вступил в силу 27 июля 2026 года) обязанности для высокорисковых применений из приложения III, например ИИ, оценивающего кандидатов на работу, действуют с 2 декабря 2027 года, а для продуктов из приложения I — с 2 августа 2028 года
• Обычные заметки о встречах не относятся к перечисленным высокорисковым применениям; если вы используете результаты ИИ для принятия решений о людях, посоветуйтесь со своим DPO или юристом

Постоянное соблюдение требований

Обновление политики конфиденциальности

• Обновите политику конфиденциальности, чтобы отразить использование ИИ-инструментов для встреч
• Включите: какие данные собираются, цели, правовое основание, сроки хранения, задействованные третьи стороны и права субъектов данных

Права субъектов данных

• Выстройте процессы для обработки запросов на доступ (люди могут спросить, какие данные о них у вас есть)
• Обеспечьте возможность запросов на удаление: вы должны уметь удалить чьи-то данные из записей ваших встреч
• Задокументируйте, как будете обрабатывать возражения, особенно если опираетесь на законные интересы

Хранение и удаление

• Определите, как долго будете хранить данные встреч, исходя из заявленных целей
• Внедрите регулярные графики удаления
• Принципы минимизации данных означают, что хранить данные дольше необходимого нельзя

Ведение записей

• Ведите реестр действий по обработке, как того требует статья 30
• Документируйте свои меры по соблюдению требований и принятые решения

Ежегодный пересмотр

Соответствие GDPR — не разовая задача:

• Пересматривайте обновлённые условия инструмента, его DPA и список субобработчиков не реже раза в год
• Пересматривайте правовое основание, если меняются ваши сценарии использования
• Обновляйте DPIA, если действия по обработке существенно меняются
• Проверяйте, соблюдаются ли ваши графики хранения

Часть 3. Решения по настройке

Большинство ИИ-инструментов для встреч предлагают различные функции, влияющие на вашу позицию в отношении конфиденциальности. Для каждой включаемой функции продумайте последствия для соответствия требованиям. (Рекомендации по настройке именно Hedy — что делает каждая настройка и рекомендуемые профили для юристов, медицинских работников и коучей — смотрите в статье Настройки конфиденциальности Hedy: подробный разбор.)

Примечание об аудиозаписях: голосовые записи — это персональные данные. Они могут относиться к особой категории биометрических данных по статье 9, если обрабатываются для уникальной идентификации человека (например, анализ голосового отпечатка, системы идентификации говорящего). Обычные записи встреч, используемые для транскрипции и ведения заметок, как правило, к этой категории не относятся, но если вы используете функции голосовой идентификации, требования статьи 9 действуют.

Общий принцип: включайте только то, что вам нужно. Каждая дополнительная функция расширяет масштаб обработки данных и требует обоснования исходя из принципов минимизации данных.

Особые категории данных

Если на ваших встречах обсуждаются чувствительные данные по статье 9 GDPR — сведения о здоровье, политические взгляды, религиозные убеждения, данные, обрабатываемые для уникальной биометрической идентификации и т. п., — вам нужна усиленная защита:

• Конкретное правовое основание по статье 6 И условие по статье 9(2)
• Часто используется явное согласие, но могут применяться и другие условия в зависимости от контекста
• Более строгие меры безопасности, соответствующие чувствительности данных
• DPIA, вероятно, потребуется
• Подумайте, уместны ли облачные функции с учётом профиля риска

Часть 4. Практическое внедрение

Образец уведомления и формулировки согласия

Перед началом любой записываемой встречи:

«Я хотел бы использовать ИИ-ассистента, чтобы фиксировать заметки и главное из нашего разговора. Это значит, что наша беседа будет транскрибироваться и анализироваться ИИ. Транскрипт остаётся под моим контролем и не будет использоваться для обучения ИИ-моделей. Вас это устраивает?»

Дождитесь подтверждения, прежде чем начинать. Такое устное уведомление охватывает основы, но само по себе не является полным уведомлением о конфиденциальности по GDPR. Укажите людям, где можно прочитать остальное (хранение, к кому обращаться, их права), и проверьте местные законы о записи. В трудовых отношениях согласие может не считаться свободно данным, поэтому не полагайтесь на него как на единственное правовое основание.

Дополнение к приглашению в календаре

«Эта встреча будет сопровождаться ведением заметок с помощью ИИ. Если у вас есть возражения, пожалуйста, сообщите мне до встречи».

Примечание: это даёт предварительное уведомление, что является хорошей практикой. В зависимости от вашего правового основания и местных законов о записи вам всё равно может понадобиться подтвердить согласие в начале встречи.

Формулировка для политики конфиденциальности (шаблон)

Включите в свою политику конфиденциальности:

Помощь ИИ на встречах

Мы используем инструменты на основе ИИ для транскрипции и анализа встреч с целью [фиксации задач / улучшения коммуникации / ведения точных записей]. Эта обработка основана на [вашем правовом основании, например, законных интересах в ведении точных деловых записей / исполнении договора / согласии].

Данные встреч могут обрабатываться поставщиком нашего ИИ-инструмента для встреч и его субобработчиками. Данные могут передаваться в Соединённые Штаты в рамках [Data Privacy Framework ЕС и США / стандартных договорных условий ЕС с соответствующими дополнительными мерами].

Транскрипты и резюме встреч хранятся в течение [X срока], после чего удаляются. Вы можете запросить доступ к своим данным, их исправление или удаление, обратившись по адресу [контактные данные].

Адаптируйте это к вашей конкретной ситуации и правовому основанию.

Как Hedy обеспечивает соответствие GDPR

Мы создавали Hedy, считая конфиденциальность основным принципом, а не чем-то добавленным задним числом. Полный разбор соответствия Hedy требованиям GDPR, включая DPA, SCC и оценку влияния передачи данных, смотрите в отдельной статье. Вот как мы выполнили требования этого чек-листа:

Договорная основа

• Дополнение об обработке данных со стандартными договорными условиями ЕС автоматически включено в ваш аккаунт
• Доступна оценка влияния передачи данных с описанием гарантий при передаче данных в США и дополнительных мер
• Полная документация по техническим и организационным мерам
• Прозрачный список субобработчиков с уведомлениями об изменениях

Архитектура с приоритетом конфиденциальности

• Распознавание речи на устройстве по умолчанию, так что ваше аудио не покидает устройство, если вы сами не выберете облачного провайдера транскрипции; сохранённое аудио сессий никогда не попадает на серверы Hedy
• Метки говорящих на устройстве с движком Nemotron, включая проверку после сессии с помощью Nemotron 3 Diarization от NVIDIA на поддерживаемых iPhone и Mac на Apple Silicon, без отправки аудио в облачный сервис
• Необязательный полностью локальный анализ ИИ на мощном оборудовании (Локальная обработка ИИ запускает весь конвейер на устройстве, в том числе без интернета)
• Для аккаунтов ЕС облачный ИИ обрабатывается в ЕС на Inceptron в Швеции по договору, ограничивающему обработку ЕС и ЕЭЗ, с Google Vertex AI в европейском регионе как запасным вариантом. Apple Private Cloud Compute, необязательная настройка на подходящих iPhone и iPad, не привязан к региону, поэтому не обеспечивает резидентность данных в ЕС
• Соглашения о нулевом хранении данных с ИИ-субобработчиками
• Ваши данные никогда не используются для обучения ИИ-моделей
• Детальные настройки: включайте только нужные функции

Документация по соответствию

• Полная документация доступна в нашем Trust Center
• Рекомендации по соблюдению GDPR для пользователей (обязанности контролёра)
• Завершены независимая проверка SOC 2 Type I и оценка HIPAA

Контроль пользователя

• Доступен полностью локальный режим для максимальной конфиденциальности
• Удаляйте свои данные в любой момент
• Экспортируйте свои данные для переносимости
• Регион данных ЕС выбирается при регистрации, так что синхронизированные разговоры хранятся в ЕС
• Настройки общего доступа: публичные ссылки не публикуются в списках, но и не приватны, и никогда не включают аудио; для конфиденциальных сессий используйте приглашения по электронной почте, чтобы получателю пришлось входить в аккаунт

Полную документацию по соответствию требованиям смотрите на trust.hedy.ai.

Часто задаваемые вопросы

Как оценить ИИ-инструмент для встреч на соответствие GDPR?

Проверьте четыре вещи: DPA, соответствующее статье 28, действующий механизм для любой передачи данных за пределы ЕС (Data Privacy Framework ЕС и США, если американский поставщик сертифицирован по нему, или SCC ЕС с оценкой влияния передачи данных), задокументированные технические и организационные меры и полный список субобработчиков с правом на уведомление. Если поставщик не может всё это показать, настаивайте на своём до подписания договора.

Какие вопросы задать поставщику о GDPR?

Пять базовых вопросов: (1) Можете ли вы предоставить DPA с положениями статьи 28? (2) Где физически хранятся данные и предлагаете ли вы резидентность данных в ЕС? (3) На какой механизм вы опираетесь при любой передаче за пределы ЕС (сертификация Data Privacy Framework или стандартные договорные условия ЕС) и есть ли TIA там, где используются SCC? (4) Кто ваши субобработчики и где они работают? (5) Используются ли мои данные когда-либо для обучения ИИ-моделей? Если на какой-то вопрос нет ответа, требуйте его.

Что такое стандартные договорные условия и нужны ли они мне?

Стандартные договорные условия (SCC) — это одобренные в ЕС типовые договорные формы, которые обязывают получателя данных за пределами ЕС обеспечивать защиту на уровне ЕС при передаче персональных данных за пределы ЕС. Это один из механизмов передачи, но не единственный. Американский поставщик, сертифицированный по Data Privacy Framework ЕС и США, может опираться на это решение об адекватности; например, Fireflies в первую очередь полагается на этот механизм, а SCC сохраняет как запасной вариант. Там, где механизмом служат SCC, нужны оценка влияния передачи данных и, при необходимости, дополнительные меры. В любом случае DPA по статье 28 вам по-прежнему нужно.

Нужна ли мне оценка воздействия на защиту данных для ИИ-инструментов для встреч?

DPIA обязательна по статье 35, если обработка, вероятно, создаёт высокий риск для субъектов данных. Систематический мониторинг, обработка в больших масштабах, чувствительные данные и новые технологии — распространённые признаки такого риска. Запись с помощью ИИ часто обладает одним или несколькими из них. Даже когда DPIA строго не требуется, это хорошая практика, которая демонстрирует подотчётность.

Какие у меня обязанности как у контролёра данных при использовании ИИ-инструментов для встреч?

Определить правовое основание по статье 6 (законный интерес, согласие, исполнение договора), предоставлять участникам уведомления о прозрачности до начала записи, вести реестр действий по обработке по статье 30, проводить DPIA там, где это требуется, обрабатывать запросы субъектов данных (доступ, удаление, возражение) и обновлять свою политику конфиденциальности. Поставщик отвечает за обязанности обработчика, а вы — за обязанности контролёра.

Остались вопросы?

Соответствие GDPR может казаться сложной темой, но разобраться в ней вполне по силам. Если у вас есть вопросы об использовании Hedy в соответствии с GDPR, напишите нам на privacy@hedy.ai или обратитесь к нашей справочной документации.

По сложным вопросам соответствия, касающимся именно вашей организации, рекомендуем обратиться к квалифицированному специалисту по защите данных или вашему уполномоченному по защите данных (DPO).

Это руководство содержит общую информацию о соответствии GDPR для ИИ-инструментов для встреч. Оно не является юридической консультацией, и полагаться на него как на таковую не следует. Требования могут различаться в зависимости от вашей конкретной ситуации, юрисдикции и характера обрабатываемых вами данных. Местные законы о записи разговоров могут устанавливать дополнительные требования помимо GDPR.