Искусственный интеллект в бухгалтерии и HR 2026-2027: как автоматизировать рутину и не получить штраф от Роскомнадзора

ИИ можно использовать в бухгалтерии и HR, если персональные данные остаются под контролем компании. Организация как оператор персональных данных отвечает за все, что передает в нейросеть. Безопасная схема строится на трех вещах: данные остаются в российском контуре, лишние сведения обезличиваются, а доступ и действия при инциденте описаны заранее.

Что произошло: почему тема ИИ и персональных данных стала острой

Бухгалтеры и кадровики первыми почувствовали пользу нейросетей. ИИ читает сканы накладных, сверяет акты, готовит черновики приказов и отвечает на вопросы сотрудников. Работа, которая занимала час, занимает пять минут.

Проблема в том, что в этих документах почти всегда есть персональные данные. ФИО, паспорт, СНИЛС, ИНН, банковские реквизиты, сведения о здоровье из больничных. Любая загрузка такого файла во внешний чат-бот является передачей данных третьему лицу.

Закон об этом говорит прямо. 152-ФЗ возлагает ответственность на оператора, а не на разработчика нейросети. Сотрудник, который из лучших побуждений загрузил реестр зарплат в публичный чат, создает юридический риск для всей компании.

Что изменил закон 420-ФЗ

Федеральный закон № 420-ФЗ вступил в силу 30 мая 2025 года. Он ужесточил статью 13.11 КоАП РФ. По данным, которые приводили ТАСС и 3DNews со ссылкой на пресс-службу Госдумы, для коммерческих организаций действуют такие ставки:

• за нарушение обязанности уведомить об утечке персональных данных грозит штраф от 1 до 3 млн рублей;
• за утечку данных более 1 тысячи человек или 10 тысяч идентификаторов штраф составляет от 3 до 5 млн рублей;
• за утечку данных более 10 тысяч человек или не менее 100 тысяч идентификаторов штраф составляет от 5 до 10 млн рублей;
• за утечку данных более 100 тысяч человек или более миллиона идентификаторов штраф составляет от 10 до 15 млн рублей;
• за утечку биометрических данных штраф достигает 20 млн рублей;
• за повторную утечку закон впервые вводит оборотный штраф до 3% выручки, но не менее 25 млн и не более 500 млн рублей.

Точные суммы для вашего случая зависят от квалификации нарушения. Перед внедрением сверьте актуальную редакцию КоАП РФ или спросите юриста.

Никлас Зеннстрем: история успеха

Что показывает статистика штрафов

Честная картина выглядит спокойнее, чем заголовки новостей. По обзору InfoWatch, известные штрафы за утечки в России в первом полугодии 2026 года составили 2,195 млн рублей. Всего за этот период вынесли 13 штрафов. Это больше, чем за весь 2025 год, но суммы пока далеки от потолка, который прописан в законе.

По сообщениям деловых СМИ за август 2026 года, оборотные штрафы за повторные утечки в России пока не назначались. Это не повод расслабляться. Закон действует, а Роскомнадзор получает уведомления об инцидентах и проводит проверки. Кроме штрафа, утечка означает потерю доверия клиентов и сотрудников, а ее последствия часто дороже самой санкции.

Где ИИ в бухгалтерии и HR работает с персональными данными

Бухгалтерия: сканы, расчет зарплаты, отчетность

В бухгалтерии ИИ встречается в четырех задачах:

• распознавание первичных документов: счета, УПД, акты, авансовые отчеты;
• подготовка проводок и черновиков в учетной системе;
• ответы на вопросы по законодательству;
• анализ расчетов с подотчетными лицами и сотрудниками.

Первичные документы от контрагентов содержат персональные данные редко, но все же содержат: подписи, контакты, паспортные данные физлиц-исполнителей. Зарплатные и кадровые документы состоят из них почти целиком.

HR: резюме, скоринг, видеоинтервью, КЭДО

В HR сценарии разнообразнее и опаснее:

• автоматический разбор резюме и ранжирование кандидатов;
• нейросетевые чат-боты для адаптации сотрудников;
• анализ видеоинтервью по голосу и мимике;
• заполнение кадровых документов и работа в КЭДО.

Анализ лица и голоса относится к биометрии. Для нее закон устанавливает особый режим и максимальные штрафы. Если вы не уверены, что без биометрии не обойтись, лучше без нее обойтись.

Какие сценарии опасны и какие безопасны

Пять ошибок, из-за которых компании попадают под проверку

1. Сотрудники используют личные нейросети для рабочих задач. Компания не знает, какие данные уходят наружу. Выход: разрешить конкретный перечень сервисов и запретить остальные письменно.
2. Нет согласия на обработку или оно оформлено формально. Согласие должно быть конкретным и отдельным от других документов. Требования к форме менялись, поэтому проверьте актуальные правила.
3. Данные уходят за рубеж без оценки. Трансграничная передача данных требует уведомления Роскомнадзора и оценки рисков. Многие зарубежные ИИ-сервисы эти условия не закрывают.
4. База данных граждан России хранится не в России. Закон требует, чтобы первичная запись, систематизация и хранение шли с использованием баз на территории страны. Это называют локализацией данных.
5. Нет плана на случай утечки. Роскомнадзор ждет уведомления в короткие сроки. Закон называет сутки на первое уведомление и трое суток на результаты внутреннего расследования. Без регламента уложиться в них трудно.

Кристиан Бейл: история успеха великого перевоплощения

Облако или свой сервер: что выбрать

Малому и среднему бизнесу часто проще работать в облаке. Сервер в бухгалтерии требует администратора, резервного копирования и защиты периметра. Облачный сервис берет часть этих задач на себя.

Что проверить у облачного провайдера

1С:Фреш и другие облачные сервисы учета работают на российских мощностях, но это нужно подтверждать документально. Перед подключением ИИ-функций проверьте:

• где физически находятся серверы и резервные копии;
• кто обрабатывает данные при работе ИИ-модуля: сам провайдер или сторонняя компания;
• есть ли в договоре условия о поручении обработки персональных данных;
• как провайдер уведомляет вас об инцидентах;
• можно ли отключить ИИ-функции для отдельных баз или пользователей.

Минусы облака и как их закрыть

У облака есть минусы. Вы зависите от провайдера и не контролируете сервер напрямую. Ответственность оператора остается на вас, даже если инфраструктура чужая.

Выход простой. Заключите договор с четким распределением ответственности, назначьте внутреннего ответственного за персональные данные и раз в год проверяйте соблюдение условий. Для данных повышенной чувствительности используйте разграничение прав: ИИ-инструмент видит только то, что нужно для задачи.

Пошаговый план внедрения ИИ без штрафов

1. Составьте карту данных. Выпишите, какие документы и сведения проходят через бухгалтерию и HR.
2. Определите, что можно отдавать ИИ. Разделите данные на три группы: свободные, обезличиваемые, запретные.
3. Выберите инструмент. Предпочитайте сервисы с российскими серверами, понятным договором и возможностью отключить обучение на ваших данных.
4. Обновите документы. Политика обработки персональных данных, регламент работы с ИИ, согласия, договоры поручения.
5. Обучите сотрудников. Короткая памятка с примерами работает лучше длинной инструкции.
6. Настройте права доступа. Бухгалтер не должен видеть данные кандидатов, рекрутер не должен видеть расчетные листки.
7. Проведите пилот. Начните с одного процесса, например с распознавания входящих счетов. Оцените ошибки и риски.
8. Подготовьте план на случай инцидента. Назначьте ответственных и заготовьте шаблон уведомления.

Мария Рамос: история успеха

ИИ ошибается. Нейросеть может неверно прочитать сумму или перепутать контрагента. Поэтому результат проверяет человек, особенно в отчетности и расчете зарплаты. Автоматизация снимает рутину, но не снимает ответственность главного бухгалтера.

Что делать, если утечка уже случилась

Действуйте по порядку и фиксируйте каждый шаг:

1. Остановите источник утечки: отзовите доступы, отключите сервис.
2. Зафиксируйте время обнаружения и объем затронутых данных.
3. Уведомите Роскомнадзор в установленные законом сроки.
4. Проведите внутреннее расследование и направьте его результаты в регулятор.
5. Сообщите пострадавшим, если этого требует ситуация.
6. Устраните причину и обновите документы.

Подтвержденные меры защиты и своевременное уведомление помогают показать добросовестность оператора. Скрытие инцидента почти всегда обходится дороже.

FAQ

Можно ли загружать сканы документов сотрудников в ChatGPT или другой публичный чат-бот?

Нет, это создает риск нарушения 152-ФЗ. Передача персональных данных внешнему сервису требует правового основания, договора и часто оценки трансграничной передачи. Безопаснее использовать корпоративные сервисы с российскими серверами или обезличивать документы.

Кто отвечает за утечку: компания или разработчик нейросети?

Перед Роскомнадзором отвечает оператор, то есть ваша компания. Разработчик отвечает перед вами по условиям договора. Поэтому договор с провайдером должен четко описывать обязанности сторон.

Нужно ли получать согласие кандидатов на обработку резюме нейросетью?

Да, если вы обрабатываете персональные данные кандидатов автоматизированно. Согласие должно быть конкретным и понятным. Если резюме поступает от самого кандидата для рассмотрения вакансии, объем обработки и сроки хранения лучше прописать в политике и уведомлении.

Безопасно ли использовать ИИ внутри 1С:Фреш?

Безопасность зависит от конкретного модуля и договора. Проверьте, где обрабатываются данные при работе ИИ, кто является исполнителем и можно ли ограничить функции для отдельных пользователей. Если провайдер не дает письменных ответов, считайте риск высоким.