Можно ли по 152-ФЗ использовать ИИ с данными пациентов
Коротко: да, можно – но с одним жёстким условием. Данные пациентов должны оставаться в российском контуре и не уходить в чужое облако. Облачный ИИ-чатбот, который отправляет запрос с данными пациента во внешний API, – это прямой риск по 152-ФЗ. Решается это не бумагой, а архитектурой: ИИ работает на серверах клиники (on-prem), и данные никуда не уезжают.
Что требует закон (без юридического тумана)
Три факта, которые задают рамку:
- Данные о здоровье – особая категория. По 152-ФЗ информация о здоровье относится к специальной категории персональных данных, к которой предъявляются повышенные требования [роском, 152-ФЗ ст.10].
- Локализация в России. Персональные данные граждан РФ должны храниться в базах на территории РФ. С 1 июля 2025 года требования по локализации (п.5 ст.18 152-ФЗ) ужесточили [ConsultantPlus; cisoclub; Lidings].
- Согласие и ответственность оператора. Клиника как оператор отвечает за то, как и куда уходят данные, и должна иметь согласие пациента на обработку.
Вывод простой: вопрос не «можно ли ИИ», а «куда уходят данные, когда вы используете ИИ».
Где попадают облачные ИИ-обёртки
Большинство «ИИ для клиник» – это обёртка над зарубежным облачным API. Когда врач отправляет туда данные приёма, происходит сразу два проблемных события:
- данные пациента физически уходят за пределы РФ-контура (вопрос к локализации);
- они оказываются у третьей стороны (вопрос к врачебной тайне и трансграничной передаче).
Можно обвесить это согласиями и договорами, но вы всё равно строите процесс на том, что данные уезжают. Это хрупко, и грамотный IT-директор или юрист клиники это срежет.
Как делать правильно: контур остаётся в клинике
Надёжный путь – не «получить разрешение отправлять данные наружу», а сделать так, чтобы они наружу не уходили вообще:
- On-prem. ИИ работает на серверах клиники. Данные пациентов не покидают контур.
- Российские открытые модели. В закрытом контуре можно развернуть открытые модели – без зависимости от заблокированных зарубежных сервисов.
- Обезличивание на стороне клиники. Если данные нужны для обучения или аналитики, обезличивает их сам оператор (клиника) у себя, а не передаёт «сырые» данные подрядчику.
- Договор поручения обработки + аудит-след. Формальная часть закрывается, но она надстройка над архитектурой, а не замена ей.
Так комплаенс и польза достигаются одним движением: данные у вас, ИИ помогает врачу, наружу ничего не уходит.
Чек-лист для IT и юриста клиники
- Где физически обрабатываются данные пациента, когда работает ИИ? (РФ или нет)
- Уходит ли запрос с данными к третьей стороне / в зарубежный API?
- Кто и как делает обезличивание, если оно есть?
- Есть ли согласие пациента и договор поручения обработки?
- Ведётся ли журнал обращений ИИ к данным?
Если на пункт 1 ответ «в зарубежном облаке» – дальше можно не продолжать.
Итог
«ИИ в клинике» и «152-ФЗ» не противоречат друг другу. Противоречит закону другое: гонять данные пациентов через чужое облако ради красивого чатбота. Держите контур в клинике – и ИИ становится и полезным, и законным.
Это информационный материал, не юридическая консультация. Перед внедрением получите заключение профильного юриста под вашу конкретную конфигурацию (особенно по границе «ассистент / система поддержки принятия врачебных решений»).
Источники
- 152-ФЗ, ст.18 (обязанности оператора, локализация) – ConsultantPlus: consultant.ru/document/cons_doc_LAW_61801/
- Изменения локализации с 01.07.2025 (п.5 ст.18) – cisoclub.ru/izmenenija-v-zakone-152-fz...; Lidings: lidings.com/ru/media/legalupdates/localization_pd_update/
- Специальная категория ПД (данные о здоровье) – roskom.online/articles/kakie-byvayut-kategorii-personalnyh-dannyh-po-fz-152-fz/