Привет, Хабр! На связи Руслан Нуриев, методолог‑аналитик Directum. Сегодня хочу обсудить с вами такую тему: есть ли место ИИ‑сервисам в работе кадрового специалиста? Я сам представляю эту профессию и вижу, что коллеги либо применяют ИИ и не особо задумываются о последствиях, либо опасаются даже пробовать (и не без оснований).
В этой статье поразмышляю, зачем вообще ИИ в HR, почему нельзя передавать нейронкам всю информацию без разбора и как использовать искусственный интеллект безопасно.
Какие данные считаются персональными
Если вы думаете, что это фамилия, имя и отчество, то предлагаю забить в любой поисковик ваши и посмотреть на результат. Иными словами, Ивановых Иванов Ивановичей может быть много, а значит, идентифицировать конкретного человека по ФИО возможно далеко не всегда.
Любые данные, по которым провести такую идентификацию можно, и есть ПДн. То есть как только вы добавляете к ФИО любой идентификатор, например табельный номер, СНИЛС, ИНН или даже должность в конкретной компании, эта комбинация становится персональными данными.
Интересный факт: в компании Directum работают два Руслана Нуриевых. Но только один из них — методолог‑аналитик. Соответственно, Нуриев Руслан — это еще не персданные, в вот Нуриев Руслан + должность — уже ПДн, так как по этой комбинации меня точно можно определить.
Почему сегодня только и разговоров, что о ПДн
Тема правильной обработки персональных данных не теряет актуальности. Причины понятны: с одной стороны, постоянно появляются новости о новых кибератаках и утечках, с другой — штрафы за нарушения при работе с ПДн растут. Напомню, что с 30 мая 2 025 года они увеличились и значительно. Актуальные цифры:
Обработка ПДн без согласия | До 300 тыс. руб. для должностных лиц, до 700 000 рублей для юридических лиц. При повторном нарушении — до 1,5 млн руб. |
Утечка ПДн (от 1 до 10 тыс. субъектов) | От 3 до 5 млн руб. для юрлиц |
Утечка ПДн (от 10 до 100 тыс. субъектов) | От 5 до 10 млн руб. |
Утечка ПДн (более 100 тыс. субъектов) | От 10 до 15 млн руб. |
Повторная утечка | Оборотный штраф до 3% выручки, но не менее 25 млн и не более 500 млн руб. |
В случае утечки компания рискует не только деньгами, но и репутацией. Если утекли данные о клиентах, новичок крепко подумает, прежде чем устроиться в эту организацию. Если о сотрудниках — аналогично. Я бы вряд ли решился заключить трудовой договор с работодателем, который допустил такую ситуацию.
Зачем ИИ в кадровом делопроизводстве
«Если с ПДн всё так сложно, зачем вообще вмешивать сюда ИИ?» — спросите вы. Чтобы снизить объемы рутины, которой хватает в работе кадровых специалистов.
Есть вполне конкретные кейсы, когда искусственный интеллект в HR упрощает процессы и ускоряет получение результата.
Вот мой личный топ таких сценариев:
Формирование списков, табелей, справочников, графиков работы с автоматическим распределением часов.
Анализ документов на соответствие требованиям законодательства. Очень пригождается в судебных спорах.
Подготовка ответов на нешаблонные запросы, а такие от сотрудников поступают регулярно.
Конечно, этот список неполный. Уверен, почти каждый кадровик уже примерил возможности ИИ на свои задачи, потому что не смотреть в эту сторону сегодня просто странно.
А в чём, собственно, проблема? Почему нельзя просто взять и загрузить персданные в ИИ?
Для начала разберемся с популярными зарубежными моделями. Серверы ChatGPT, DeepSeek и других нейронок находятся за рубежом, а значит, когда вы загружаете в них ПДн, происходит трансграничная передача. Согласно 152-ФЗ, чтобы ее осуществлять, требуется согласие субъекта, и оно должно быть оформлено отдельным документом.
Что страшнее, как только вы передали персональные данные ИИ, вы потеряли контроль над ними. Вы уже не узнаете, куда они отправились дальше, где хранятся, используются ли для дообучения.
А что насчет российских моделей, GigaChat, YandexGPT и подобных? Они базируются в России — это плюс. Но риски всё же есть и в этом случае.
Даст ли вам кто‑то гарантию, что данные не попадут в чужие руки? Нет. Вероятность утечки есть всегда. А еще любой ИИ‑сервис — это третья сторона, и чтобы передать ей данные, требуется согласие сотрудника. Во‑первых, мало кто согласится дать такое согласие. Во‑вторых, если в компании большой штат, придется создать некий реестр согласных и несогласных. И каждый раз, когда вам захочется показать ИИ данные какого‑то работника, нужно будет проверить, давал он согласие на передачу данных третьей стороне или нет. Сложно? Очень.
К слову, на уровне законодательства работа с ИИ и ПДн пока никак не регламентирована. В 152-ФЗ вообще нет словосочетания «искусственный интеллект». Закон вышел в 2 006 году. Надо ли говорить, как далеко за прошедшее время ушли технологии? Законодателям еще предстоит подумать над регулированием этой сферы.
Как работать с ПДн и ИИ безопасно?
Я вижу два достойных варианта.
Первый — обезличивание. Если для ваших задач нужно передать персональные данные ИИ‑сервису, сначала уберите из запроса всю информацию, с помощью которой можно идентифицировать человека: ФИО, должность, номер телефона, паспортные данные, ИНН. Вместо ФИО напишите только инициалы или «Руслан Н.», например. Номер телефона просто удалите. Да, это трудоемко и требует дисциплины, но минимизирует риски утечек и других неприятных последствий.
Второй вариант — развернуть ИИ локально на серверах компании. Именно так мы делаем в Directum. При таком сценарии данные не передаются вовне, их обработку контролирует организация.
А как быть с согласием? Дело в том, что скорее всего сотрудник уже его дал при трудоустройстве, ведь в компании наверняка используются какие‑то информационные системы, например для кадрового учета или КЭДО. Общее согласие на автоматизированную обработку персональных данных, как правило, покрывает и использование ИИ.
Чек‑лист по ИИ для кадровика: что проверить перед загрузкой данных в нейросети
Посмотрите, содержит ли ваш запрос персональные данные. Если да, потребуется более вдумчивый подход.
Если вы работаете с зарубежным сервисом, откажитесь от этой идеи здесь и сейчас.
Если модель российская, но общедоступная, обезличьте всю чувствительную информацию.
Если модель развернута локально, проверьте, что у вас есть необходимые согласия сотрудников.
ИИ и ПДн: что запомнить
Использовать ИИ в HR‑процессах удобно, но делать это нужно осознанно. Рекомендую всегда соизмерять риски и ценность, которую вы получите от применения искусственного интеллекта (ускорение работы, уменьшение рутины). Если с конкретной задачей ИИ поможет справиться на 80% быстрее, странно отказываться от этой возможности.
Главное — помнить базовые правила: российские модели, обезличивание, локальное размещение. При грамотном подходе вы получите все преимущества ИИ без последствий в виде штрафов и разбирательств.
И напоследок: если вы хотите узнать больше о технической стороне вопроса, предлагаю посмотреть выпуск подкаста «ИИ в фокусе Ильи». Там мы с Ильей Петуховым, экспертом Directum по ИИ, как раз обсуждали особенности работы с персональными данными и ИИ‑сервисами.
