Закон о персональных данных Узбекистана и нейросети: что можно и что нельзя

В Узбекистане обработку персональных данных регулирует Закон «О персональных данных» (ЗРУ-547 от 2 июля 2019 года). С 2021 года в нём действовало жёсткое требование локализации: все персональные данные граждан, обрабатываемые через интернет, нужно было собирать и хранить на серверах в стране. Законом ЗРУ-1125 от 26 марта 2026 года правило смягчено: обязательная локализация теперь касается биометрических и генетических данных и данных абонентов местных операторов связи, а остальные персональные данные можно хранить и передавать за рубеж при соблюдении условий закона. Для ИИ вывод остаётся практичным: обезличенные и открытые данные передавать можно, а персональные данные в зарубежные нейросети — только если вы знаете, куда они уходят, и у вас есть законное основание.

Важно: эта статья — практичный обзор по состоянию на октябрь 2026 года, а не юридическая консультация. Для конкретных решений сверяйтесь с актуальным текстом закона на lex.uz и с юристом.

Что считается персональными данными

Персональные данные — любая информация, которая позволяет прямо или косвенно определить конкретного человека. На практике это:

• ФИО, дата рождения, ПИНФЛ, паспортные данные;
• номер телефона, адрес, электронная почта;
• фотографии и голос, по которым можно узнать человека;
• сведения о здоровье, доходах, кредитах, покупках;
• переписка, в которой упоминаются конкретные люди.

Важный нюанс: даже без имени набор данных («менеджер филиала банка в Карши, 34 года») может однозначно указывать на человека.

Основные требования закона простыми словами

1. Согласие. Как правило, данные можно обрабатывать с согласия субъекта, за исключением случаев, прямо предусмотренных законом.
2. Цель. Данные обрабатываются для заявленной цели, а не «на всякий случай».
3. Защита. Владелец и оператор обязаны принимать меры по защите данных.
4. Права человека. Субъект вправе знать, какие данные о нём обрабатываются, и требовать их исправления или удаления.
5. Точечная локализация. Биометрические и генетические данные, а также данные абонентов местных операторов связи по-прежнему обязательно хранятся в Узбекистане.
6. Трансграничная передача. Остальные данные можно хранить и передавать за рубежом, если выполнено хотя бы одно условие: страна получателя признана обеспечивающей адекватный уровень защиты; оператор применяет стандартные договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного органа; либо оператор соблюдает международные стандарты.

Что изменилось в 2026 году

• 2021 год. Закон ЗРУ-666 от 14 января 2021 года добавил в закон статью 27-1: с апреля 2021 года персональные данные граждан, обрабатываемые через ИТ и интернет, нужно было собирать и хранить на технических средствах, физически находящихся в Узбекистане, и регистрировать базы в Государственном реестре баз персональных данных. Именно об этом правиле до сих пор пишут многие статьи.
• 26 марта 2026 года. Закон ЗРУ-1125 сузил обязательную локализацию до биометрических и генетических данных и данных абонентов местных операторов связи. Для остальных данных появились законные пути хранения и передачи за рубежом — через адекватную страну, договорные условия или международные стандарты.
• 29 июля 2026 года. Постановлением Кабинета Министров утверждён перечень из 49 стран и территорий с адекватным уровнем защиты персональных данных. Текст опубликован на lex.uz.

Что это значит на практике: зарубежный хостинг, CRM или ИИ-сервис больше не запрещены «по умолчанию», но и не разрешены автоматически. Проверьте, в какой стране физически находятся серверы поставщика и входит ли она в перечень, есть ли в договоре стандартные договорные условия, и не относятся ли ваши данные к категориям с обязательной локализацией. Для госорганов, кроме закона, действуют внутренние правила информационной безопасности: служебная информация, сведения ограниченного доступа и чувствительные данные граждан не должны попадать в публичные зарубежные ИИ-сервисы — смягчение локализации этого не меняет.

Как это применяется к ИИ-сервисам

Когда сотрудник вставляет в ChatGPT или другой облачный ИИ список клиентов, текст обращения гражданина или резюме кандидата, данные передаются на зарубежные серверы. Это трансграничная передача: она законна, только если выполнено одно из условий закона (страна из перечня с адекватной защитой, договорные условия с поставщиком, международные стандарты) и данные не относятся к категориям с обязательной локализацией. У бесплатного публичного чат-бота, куда сотрудник вставляет данные по своей инициативе, обычно нет ни проверенного договора, ни согласованных условий — поэтому риск остаётся, даже если сервис надёжный, а цель безобидная.

Вопрос не в том, «хороший» ли ИИ-сервис, а в том, где физически оказываются персональные данные и есть ли у вас законное основание их туда передать.

Кто за что отвечает: собственник, оператор, третьи лица

Закон различает собственника базы персональных данных, оператора, который их обрабатывает, и третьих лиц, которым данные передаются. Когда компания отправляет данные клиентов во внешний ИИ-сервис, этот сервис фактически становится ещё одним участником обработки. Ответственность за то, законно ли это сделано, остаётся на компании, которая собрала данные. Поэтому выбор ИИ-инструмента — это не только вопрос удобства, но и юридическое решение, которое стоит согласовывать с юристом и службой безопасности.

Что можно, а что рискованно

Можно

• Работать в нейросетях с открытой информацией: опубликованные тексты, публичная статистика.
• Передавать обезличенные данные — без имён, номеров и признаков, по которым можно узнать человека.
• Использовать ИИ для шаблонов, структуры документов, маркетинговых текстов.
• Обрабатывать персональные данные в локальной модели на серверах в Узбекистане — подробнее в статье «Локальная нейросеть на своих серверах».

Рискованно

• Загружать клиентские базы и выгрузки CRM в зарубежные ИИ-сервисы.
• Отправлять обращения граждан, медицинские и финансовые сведения целиком.
• Анализировать резюме кандидатов в публичном чат-боте.
• Хранить переписку чат-бота с клиентами на зарубежном сервере, не проверив страну хранения и договорные условия.

Типовые ситуации: как поступить

• Маркетолог хочет сегментировать клиентскую базу с помощью ChatGPT. Вместо выгрузки с именами и телефонами — обезличенная таблица: возрастная группа, регион, категория покупок, сумма в диапазонах. Сегменты потом применяются к реальной базе внутри CRM.
• HR-менеджеру нужно быстро разобрать сотню откликов. Публичный чат-бот не подходит. Можно попросить ИИ составить критерии оценки и шаблон таблицы, а сами резюме обрабатывать во внутренней системе.
• Служба поддержки анализирует жалобы, чтобы найти частые проблемы. Из текстов удаляются имена, номера заказов и телефоны; в нейросеть уходят только формулировки проблем.
• Ведомство хочет ускорить ответы на обращения граждан. Обработка — в модели, развёрнутой на серверах в Узбекистане, с доступом только у ответственных сотрудников и журналом действий.

Распространённые заблуждения

• «Сервис платный, значит, можно». Тариф не меняет того, где физически хранятся данные.
• «Клиент дал согласие, значит, всё в порядке». Согласие на обработку не означает автоматически, что данные можно хранить или передавать за рубеж: для этого нужно ещё одно из условий закона о трансграничной передаче. Этот вопрос стоит отдельно проверить с юристом.
• «Локализацию отменили, значит, можно всё». Смягчение 2026 года не касается биометрии, генетических данных и данных абонентов связи, а для остальных данных нужны адекватная страна, договорные условия или международные стандарты.
• «Убрали имя — данные обезличены». Телефон, адрес или уникальное сочетание фактов по-прежнему позволяют узнать человека.
• «Это только для внутреннего использования». Закон применяется к обработке данных независимо от того, увидит ли результат кто-то за пределами компании.

Чат-боты и сайты: как соблюсти закон

Если ваш сайт или AI чат-бот собирает имена и телефоны, продумайте архитектуру:

1. Понятное место хранения. База заявок, CRM, логи переписки — на серверах в Узбекистане (самый простой путь) или у зарубежного провайдера в стране из перечня либо по договорным условиям. Биометрию и другие данные с обязательной локализацией — только в Узбекистане.
2. Минимизация. Во внешнюю модель передаётся только текст вопроса, без телефона и имени.
3. Согласие. Понятный текст согласия на обработку данных в форме или боте.
4. Политика конфиденциальности на сайте: какие данные, зачем, сколько хранятся, как удалить.
5. Доступы. Только нужные сотрудники видят персональные данные; действия логируются.

Как правильно обезличивать данные

Обезличивание — главный практический инструмент, который позволяет пользоваться ИИ без передачи персональных данных. Основные приёмы:

• Удаление. Убрать ФИО, ПИНФЛ, номера документов, телефоны, адреса.
• Замена. «Заявитель 1», «Клиент Б» вместо имён; условные суммы вместо реальных.
• Обобщение. «Житель Ташкентской области, 30–40 лет» вместо точного адреса и даты рождения.
• Агрегирование. Отправлять не список клиентов, а сводные цифры: количество, средние значения, доли.

Важный нюанс: если у вас остаётся «ключ», по которому «Клиент Б» легко сопоставить с реальным человеком, такие данные часто всё ещё считаются персональными. Поэтому в нейросеть отправляйте только то, что действительно нужно для задачи.

Кадровые данные и резюме

Отдельная зона риска — HR. Резюме кандидатов, анкеты, характеристики, данные о зарплатах содержат много персональных сведений. Анализировать их в публичном чат-боте рискованно и с точки зрения закона, и с точки зрения доверия сотрудников. Для таких задач лучше подходят внутренние системы на серверах в Узбекистане или обезличенные выборки.

Ответственность

Законодательство Узбекистана предусматривает ответственность за нарушение порядка обработки персональных данных. Конкретные меры зависят от характера нарушения, поэтому при построении процессов стоит привлекать юриста, а не полагаться на общие обзоры.

С чего начать: карта данных за неделю

Прежде чем решать, какие ИИ-инструменты разрешить, полезно понять, какие персональные данные вообще есть в компании. Простой порядок работы:

1. Перечислите источники. Формы на сайте, чат-боты, CRM, бухгалтерия, кадровые файлы, таблицы в общих папках, переписка в мессенджерах.
2. Для каждого источника ответьте: какие данные собираются, зачем, где физически хранятся, кто имеет доступ.
3. Отметьте зарубежные сервисы. Облачные таблицы, почта, конструкторы форм, ИИ-инструменты — всё, где данные могут оказаться за пределами страны.
4. Определите приоритеты. Начните с самых чувствительных и объёмных массивов: клиентские базы, кадровые и медицинские данные.
5. Зафиксируйте правила. Какие данные можно обрабатывать в каких инструментах — это станет основой внутренней политики по ИИ.

Такая карта часто показывает, что риски связаны не только с нейросетями, но и с привычными облачными сервисами.

Чек-лист для компании и ведомства

• Знаете ли вы, какие персональные данные собираете и где они хранятся?
• Если данные хранятся за рубежом — входит ли страна в утверждённый перечень или есть договорные условия? Хранятся ли биометрия и другие данные с обязательной локализацией в Узбекистане?
• Есть ли согласие на обработку там, где оно нужно?
• Есть ли внутреннее правило, запрещающее вставлять персональные данные в публичные нейросети?
• Обучены ли сотрудники обезличиванию?
• Опубликована ли политика конфиденциальности на сайте?

Для госорганизаций эти вопросы особенно чувствительны — подробнее в материале «ИИ в госорганизациях: безопасно ли».

Если вы разрабатываете сайт, чат-бот или внутренний сервис и хотите сразу заложить правильную архитектуру хранения данных, команда Dasta Creative учитывает эти требования при веб-разработке.