Автоматизированная обработка и искусственный интеллект

Коротко

С начала 2026 года автоматизированная обработка, в результате которой у субъекта возникают, изменяются или прекращаются права и законные интересы, запрещена без согласия субъекта или прямого указания закона (ст. 19-1 п. 1). Субъекту нужно разъяснить порядок и последствия такой обработки и дать возможность возразить; возражение рассматривается за три рабочих дня (ст. 19-1 пп. 2–3). Цифровой кодекс добавляет право на объяснение ключевых факторов решения и его пересмотр человеком (ст. 43). Закон об искусственном интеллекте запрещает ряд функций ИИ-систем, в том числе обработку данных с нарушением закона и распознавание эмоций без согласия (ст. 17 п. 3). Отраслевой пример — стандарт применения ИИ в школах: решения об оценках принимает педагог, а материалы перед передачей внешним ИИ-сервисам обезличиваются (пп. 4–5).

Что такое автоматизированная обработка

Это обработка персональных данных объектом информатизации, «исключающая участие» собственника, оператора и третьего лица в процессе обработки (ст. 1 пп. 2-3). Цифровой кодекс отдельно определяет полностью автоматизированное решение, то есть принятое без участия человека в оценке обстоятельств либо утверждении результата (ст. 43 п. 3), и алгоритмическую систему, то есть систему, принимающую решения или влияющую на них на основе автоматизированной обработки, включая системы ИИ (ст. 43 п. 1).

Закон о персональных данных: ст. 19-1

Статья добавлена Законом от 17.11.2025 № 231-VIII, принятым в один день с Законом об ИИ.

• Запрет. Автоматизированная обработка, которая порождает, изменяет или прекращает права и законные интересы субъекта, допускается только с согласия или в случаях, предусмотренных законами (ст. 19-1 п. 1).
• Прозрачность. Нужно разъяснить порядок обработки и возможные последствия, предоставить возможность заявить возражение и разъяснить порядок защиты прав (ст. 19-1 п. 2).
• Возражение. Рассматривается в течение трёх рабочих дней с уведомлением субъекта о результате; действия оператора можно обжаловать (ст. 19-1 п. 3).

Интерпретация. Под запрет, по-видимому, попадают автоматический кредитный скоринг с отказом в займе, автоматическая блокировка аккаунта или карты, автоматический отсев кандидатов. Для таких процессов нужно отдельно указать автоматизированную обработку в согласии, описать её последствия и организовать приём возражений.

Цифровой кодекс: ст. 5 и 43

Алгоритмические и автоматизированные решения применяются с соблюдением прозрачности, недискриминации и возможности контроля со стороны субъекта (ст. 5 п. 3). Решения алгоритмических систем не должны приводить к дискриминации (ст. 43 п. 2). Субъект, в отношении которого принимается полностью автоматизированное решение, вправе «в случаях и порядке, установленных законодательством» (ст. 43 п. 4):

1. узнать о факте применения алгоритмической системы;
2. получить объяснение ключевых факторов и критериев решения без раскрытия алгоритмов, исходного кода и охраняемой тайны;
3. потребовать пересмотра решения с участием уполномоченного специалиста, если решение влечёт юридические последствия или способно повлиять на права.

Закон об искусственном интеллекте

Закон от 17.11.2025 № 230-VIII вступил в силу через 60 календарных дней после опубликования 18.11.2025 (ст. 31). Нормы, связанные с персональными данными:

• Автоматизированные решения. Требования к решениям, основанным исключительно на автоматизированной обработке персональных данных, устанавливает законодательство о персональных данных (ст. 21 п. 4). Пользователь, в отношении которого ИИ принимает решения, вправе знать о порядке и последствиях автоматизированной обработки и о возможности возразить (ст. 7 п. 2).
• Права пользователя: получать разъяснения о результатах, затрагивающих его права; запрашивать информацию о данных, на основании которых принято решение; отказаться от взаимодействия с ИИ, если оно не обязательно по закону (ст. 16 п. 1).
• Защита данных. Эксплуатация ИИ возможна только при соблюдении требований защиты данных, без неправомерного сбора, хранения и распространения персональных данных (ст. 10).
• Запрещённые функции (ст. 17 п. 3): оценка и классификация людей по социальному поведению или личным характеристикам (социальный скоринг), кроме случаев по закону; сбор и обработка персональных данных с нарушением законодательства; классификация по биометрическим данным для выводов о расе, политических взглядах, религии в целях дискриминации; определение эмоций без согласия, кроме случаев по закону; манипулятивные методы и использование уязвимости.
• Прозрачность. Пользователей информируют, что товары и услуги произведены или оказываются с использованием ИИ; синтетический контент маркируется (ст. 21 пп. 1–2).
• Управление рисками. Собственники и владельцы ИИ-систем оценивают риски не реже раза в год (ст. 18).
• Обучение моделей. Модели обучаются на библиотеках данных в пределах заранее определённых и законных целей; владельцы библиотек обязаны соблюдать законодательство о персональных данных (ст. 27 пп. 2–3). При аудите ИИ-систем оценивается правомерность использования библиотек данных (Цифровой кодекс, ст. 100 п. 4).

Обучение ИИ на персональных данных

Специальных правил нет, поэтому действуют общие:

• нужна основа обработки: согласие или случай ст. 9 (ст. 7 п. 1);
• цель обучения должна быть заявлена заранее, а использование данных, собранных для других целей, проблематично (см. заметку «Цели, объём и сроки хранения персональных данных»);
• нецелевое извлечение данных из общедоступных источников для создания баз запрещено (ст. 7 п. 11);
• открытые ИИ-системы для данных ограниченного доступа используются только с соблюдением законодательства об информатизации, а для таких данных предусмотрены локальные системы (Закон об ИИ, ст. 17 п. 4).

Интерпретация. Передача персональных данных во внешние ИИ-сервисы (чат-боты, облачные модели), серверы которых находятся за рубежом, означает трансграничную передачу, а иногда и проблему локализации. См. заметки «Трансграничная передача персональных данных» и «Локализация персональных данных в Казахстане».

ИИ в школах: отраслевой стандарт

С 28 сентября 2026 года в школах действует Стандарт применения искусственного интеллекта в системе среднего образования (приказ и. о. Министра просвещения № 283-НҚ). Он распространяется на все организации среднего образования, независимо от формы собственности (п. 2), и переносит общие правила об автоматизированной обработке на работу с учениками:

• решения принимает человек: автоматически принимать решения об оценивании, мерах педагогического или дисциплинарного воздействия и иные решения, непосредственно затрагивающие права ученика, без участия ответственного работника школы нельзя (п. 4). ИИ может помогать анализировать работы и готовить обратную связь, но окончательную оценку ставит педагог (п. 11);
• обезличивание перед передачей во внешние сервисы: учебные материалы, передаваемые в сторонние ИИ-инструменты, предварительно обезличиваются, если обработка содержащихся в них персональных данных этим инструментом не предусмотрена законодательством (п. 5);
• учётные записи учеников создаются с учётом возрастных ограничений ИИ-инструмента и, в случаях, предусмотренных законом, с согласия законного представителя (п. 6);
• без лишних сведений: нельзя требовать у ученика полную историю запросов к ИИ-инструменту или долю созданного с ИИ содержания, если это не относится к цели задания (п. 8);
• ИИ-детекторы дают вероятностную оценку и сами по себе не доказывают нарушение академической честности; ученику дают возможность объяснить ход работы (пп. 14–15);
• ответственность школы: руководитель обеспечивает соблюдение стандарта, а школа — безопасное применение ИИ, информирование учеников и их законных представителей и соблюдение требований кибербезопасности (п. 16).

Сроков хранения и правил удаления данных стандарт не устанавливает: обработка персональных данных при применении ИИ идёт по законодательству о персональных данных (п. 5).

Интерпретация. Запрет в п. 4 строже общего правила: ст. 19-1 Закона допускает автоматизированную обработку, меняющую права, с согласия субъекта, а стандарт требует участия работника школы всегда. Обезличивание по п. 5 снимает и вопрос трансграничной передачи, когда ИИ-сервис работает за рубежом, но только если обезличивание действительно не позволяет определить ученика.

Сравнение с GDPR и AI Act

Вопрос	Казахстан	ЕС
Автоматизированные решения	Запрет без согласия или закона, если затрагиваются права (ст. 19-1)	Запрет решений исключительно на автоматизированной обработке с юридическими или сходными последствиями; исключения: договор, закон, явное согласие (GDPR, Art. 22)
Гарантии	Разъяснение, возражение за 3 рабочих дня; объяснение и пересмотр по ст. 43 ЦК	Вмешательство человека, выражение позиции, оспаривание (Art. 22(3)); информация о логике (Art. 15(1)(h))
Регулирование ИИ	Закон об ИИ: уровни риска и автономности, запрещённые функции	AI Act (Регламент 2024/1689): уровни риска, запрещённые практики, требования к высокорисковым системам
Распознавание эмоций	Запрещено без согласия, кроме случаев по закону	Запрещено на работе и в учебных заведениях, кроме медицинских целей и безопасности (AI Act, Art. 5)
ИИ в образовании	Стандарт 2026 года: решения об оценках и дисциплине — только с участием работника школы (п. 4)	Системы оценки результатов обучения относятся к высокорисковым (AI Act, Annex III, п. 3)

Открытые вопросы

Открытый вопрос: «исключающая участие». Достаточно ли формального участия человека, который утверждает решения системы, не вникая в них, чтобы обработка перестала быть автоматизированной?

Открытый вопрос: «права, законные интересы». Затрагивает ли права персонализированная реклама, динамическое ценообразование или ранжирование выдачи?

Открытый вопрос: пользователь и субъект. Закон об ИИ говорит о правах «пользователя», а тот, в отношении кого принимается решение, может пользователем не быть (например, кандидат при отборе резюме). Распространяются ли на него ст. 7 и 16?

Открытый вопрос: анонимизированные данные. Можно ли обучать модели на анонимизированных данных без согласия, и выходят ли такие данные из-под действия Закона?

Что ещё изучить

• Подзаконные акты к Закону об ИИ: правила классификации, перечень документации, аудит.
• Установлен ли порядок пересмотра автоматизированных решений по ст. 43 Цифрового кодекса?
• Отраслевые правила о скоринге (банковское регулирование, кредитные бюро).