DSGVO и ИИ: 7 вопросов, которые надо задать поставщику

Я — Денис Шохирев, архитектор агентных AI-систем, работаю из Фрайбурга (Германия), собираю и вывожу в прод автономные системы на стеке Claude, Supabase, n8n, Doppler, self-hosted Postgres. В Германии любая ошибка в обработке персональных данных — это не просто баг, а риск 6-значного штрафа и блокировки проекта. Вот как я проверяю поставщиков AI, прежде чем пускать их в продуктовую цепочку клиента.

1. Где реально хранятся ваши данные?

В 2024 году 73% облачных AI-решений для DACH используют дата-центры за пределами ЕС (по данным Cloud Security Alliance, 2024), даже если обещают "европейский хостинг". Спрашивать надо не про маркетинг, а про физическое расположение серверов — и кто имеет к ним доступ.

Паттерн проверки

# Проверка IP-геолокации сервера
host live.gerdennisai.com
geoiplookup 

Если сервис на AWS, Azure или GCP, требуйте контракт с явным указанием региона (например, "eu-central-1" для AWS).

2. Как данные проходят через цепочку обработки?

В реальных B2B-проектах я вижу: данные часто гуляют через 3-4 сервиса (например, n8n, Claude, Supabase, Postgres). Если хотя бы один промежуточный этап не защищён или не логируется — появляется слепая зона. Вопрос для поставщика: где логи, кто их читает, и как быстро можно восстановить цепочку событий для аудита?

Пример простой схемы

steps:
  - Получение запроса от клиента
  - Передача в n8n для маршрутизации
  - Вызов Claude через API
  - Запись результата в Supabase/Postgres
  - Логирование действия

Требуйте схему обработки в виде диаграммы или YAML — это не бюрократия, а основа для анализа рисков.

3. Передаются ли персональные данные в LLM?

Многие думают: если LLM (тот же Claude) работает по API, то данные "не уходят в облако". На деле весь промпт, включая ФИО, email, номера счетов, может попасть на сервер модели. Например, OpenAI в 2023 году (см. OpenAI Data Usage Policies) хранит промпты до 30 дней для аудита. Значит, любой персональный кусок — потенциальный риск.

Что делать?

• Маскировать персональные данные до отправки в LLM
• Использовать self-hosted LLM, если нужен полный контроль
• Запрашивать описание механизма очистки данных у поставщика

4. Как реализована анонимизация и удаление данных?

GDPR требует: любой пользователь вправе потребовать удаление своих данных ("право быть забытым"). Если AI-сервис не поддерживает удаление по ID — это прямое нарушение. В моей практике: 80% no-code/low-code AI-инструментов (особенно SaaS) не умеют физически удалять записи из бэкапа.

Паттерн удаления в Postgres

DELETE FROM users WHERE id = 'user-123';
-- Проверка удаления
SELECT * FROM users WHERE id = 'user-123'; -- должно вернуть 0 строк

Требуйте у поставщика инструкцию по удалению данных и политику по Retention Period.

5. Кто реально отвечает за инциденты и сбои?

В Германии штрафы за утечку персональных данных доходят до 20 млн евро или 4% годового оборота (GDPR, источник). Если поставщик не прописал SLA на инциденты — вся ответственность ляжет на вас как на оператора продукта. Задача: добиться в договоре явного разграничения зон ответственности.

Внимательно читайте "Data Processing Agreement" (DPA) — это не формальность, а основной документ для суда.

6. Как тестируется безопасность цепочки?

Я не раз ловил у коллег внедрение AI-агентов без элементарных проверок: все верят API, но никто не делает анализ на SQL-инъекции, XSS или утечку токенов. Минимум: поставщик должен проводить регулярный аудит кода и инфраструктуры сторонними инструментами, например, bandit, semgrep, gitleaks, и предоставлять отчёт по итогам.

Пример запуска bandit для проверки Python-кода

bandit -r ./src -f html -o bandit-report.html

Если отчёта нет — это тревожный сигнал.

7. Какие права есть у клиента при выходе из сервиса?

В DACH-реальности: смена поставщика — обычно дело 5-9 рабочих дней (по опыту переходов между Supabase и AWS RDS). Но если контракт не предусматривает экспорт всех данных в открытом формате — вы заложник вендора. Требуйте API/CSV-экспорт без доплат и чёткий SLA на перенос.

Типовая процедура экспорта данных

# Пример выгрузки из Supabase
supabase db dump --file backup.sql
# Затем восстановление на новом сервере
psql -h new_host -U user -d new_db -f backup.sql

В договоре должно быть указано: сколько времени даётся на экспорт, и в каком формате он происходит.

FAQ

Сколько стоит аудит AI-сервиса на предмет GDPR?

В 2024 году сторонний аудит (например, у PwC, EY) стоит от 2 500 до 8 000 евро за одну цепочку обработки данных. Если у вас только один AI-модуль — дешевле сделать чек-лист самому, но без официальной бумаги.

Сколько занимает интеграция GDPR-ready AI-сервиса?

Если поставщик уже готов, интеграция займёт 2–4 недели; если нет — до 3 месяцев на согласование процессов, переписку с юристами и аудит.

Что происходит при сбое сервиса или утечке?

Вы обязаны уведомить регулятора в течение 72 часов (GDPR Art. 33). Если виноват поставщик, разбирательство идёт по DPA; но отвечаете перед законом вы.

Остаются ли данные внутри ЕС?

Если использован только локальный хостинг (например, Hetzner, IONOS), то да. Любой облачный AI (AWS, Azure, Google Cloud) требует проверки региона.

Кто несёт ответственность за ошибку AI?

Если ошибка связана с неправильной обработкой данных, ответственность лежит на операторе продукта. AI-поставщик отвечает только в рамках SLA/DPA.

Ваша текущая AI-цепочка покрывает все эти пункты? Или есть "слепые зоны", которые могут стоить лицензии и репутации? Где именно в вашей интеграции самый уязвимый участок — логика агента, хранение данных или экспорт? Я делаю бесплатный 30-мин аудит стека для DACH-фаундеров, которые строят AI в регулируемых индустриях. Пишите в LinkedIn или на @ger_dennis_ai.