Методолог-аналитик компании Directum Руслан Нуриев опубликовал разбор практики применения искусственного интеллекта в кадровом делопроизводстве, указав на растущее противоречие между удобством нейросетей и требованиями законодательства о персональных данных. По его наблюдениям, HR-специалисты всё чаще хотят автоматизировать рутинные операции, но опасаются юридических последствий, и эти опасения имеют под собой реальную основу. С 30 мая 2025 года в России выросли штрафы за обработку персональных данных без согласия и за утечки, а с 1 сентября 2025 года согласие на обработку ПДн должно оформляться отдельным документом, а не галочкой в общем пакете. Это меняет правила игры для всех, кто привык загружать рабочие документы в публичные чат-боты.

Ключевая проблема, по мнению эксперта, заключается в том, что многие сотрудники ошибочно трактуют понятие персональных данных слишком узко или, наоборот, слишком широко. ФИО само по себе не является ПДн, поскольку полных тёзок может быть множество, однако добавление любого идентификатора — табельного номера, СНИЛС, ИНН или даже указания на должность в конкретной компании — превращает запись в персональные данные. Агрегированные и статистические сведения без привязки к конкретному человеку под действие закона не попадают, что открывает легальную возможность анализировать обезличенные массивы информации. Нуриев приводит собственный пример: сочетание «Нуриев Руслан Фаритович, методолог-аналитик компании Directum» позволяет однозначно идентифицировать человека, тогда как просто фамилия и имя такой возможности не дают.

Среди прикладных сценариев, где ИИ реально экономит время кадровика, автор перечисляет формирование выборок сотрудников по компетенциям для участия в тендерах, составление графиков и табелей с учётом переработок и пожеланий, проверку трудовых договоров и дополнительных соглашений на соответствие законодательству, а также подготовку нестандартных ответов на запросы работников. Во всех этих случаях нейросеть выступает как ускоритель рутинных операций, которые вручную занимают часы. Однако техническая реализация такого сценария упирается в инфраструктуру: зарубежные сервисы вроде ChatGPT и DeepSeek размещают серверы за пределами России, что автоматически означает трансграничную передачу данных и требует отдельного согласия субъекта. Кроме того, компания теряет контроль над тем, как хранятся сведения и не используются ли они для дообучения модели.

Российские облачные решения — GigaChat, YandexGPT и аналоги — размещены на территории страны, что снижает юридические риски, но не устраняет их полностью. Эксперт указывает на три сохраняющиеся проблемы: вероятность утечки, невозможность дать абсолютную гарантию защиты у любого провайдера, необходимость получать согласие сотрудника на передачу его данных третьей стороне и сложность отслеживания актуальности таких согласий в крупных компаниях. В организациях с тысячами работников реестр согласий приходится постоянно обновлять, а рост документооборота делает ручное ведение такого учёта практически невозможным. Отдельно Нуриев отмечает пробел в законодательстве: в 152-ФЗ, принятом в 2006 году, словосочетание «искусственный интеллект» вообще отсутствует, и профильных инициатив по регулированию ИИ пока не появилось.

Для российского рынка описанная ситуация означает, что внедрение ИИ в HR будет развиваться по пути обезличивания и локальных решений, а не через публичные облачные сервисы. Компании, которые уже автоматизировали кадровые процессы, вынуждены пересматривать регламенты и обучать сотрудников правилам безопасной работы с нейросетями. Репутационные издержки также играют роль: кандидаты проверяют надёжность работодателя перед трудоустройством, и новости об утечках персональных данных сотрудников снижают привлекательность компании на рынке труда. Штрафы в такой ситуации ложатся на организацию и её руководителя, а не на рядового кадровика, что усиливает мотивацию руководства к формализации политики использования ИИ.

В качестве рабочих подходов автор предлагает два способа. Первый — обезличивание данных перед загрузкой в модель: удаление ФИО, должностей, телефонов, паспортных данных и ИНН, замена конкретных значений на абстрактные обозначения вроде «Сотрудник А» или «Компания N». Смысл запроса сохраняется, а риск утечки персональных данных снижается. Минус метода — необходимость постоянной дисциплины: сотрудник должен каждый раз осознанно проверять, что именно он отправляет в модель. Второй способ, который подразумевается логикой материала, связан с использованием локальных или корпоративных решений, где обработка происходит внутри контура компании без передачи данных внешним провайдерам. Сравнение с альтернативами показывает, что полностью отказаться от ИИ в HR уже нереалистично: объём рутинных операций слишком велик, а конкуренты, освоившие безопасные сценарии, получают ощутимое преимущество по скорости работы.

В перспективе ключевым вопросом остаётся появление профильного регулирования ИИ в России. Пока законодательство не содержит прямых норм, компании вынуждены действовать на основе общих требований 152-ФЗ и собственных внутренних политик, что создаёт правовую неопределённость. Открытым остаётся и вопрос ответственности провайдеров облачных моделей за утечки: сейчас риски в значительной степени перекладываются на клиента. Дальнейшее развитие рынка, вероятно, пойдёт по пути корпоративных ИИ-решений с локальным развёртыванием, встроенных в кадровые системы и не требующих передачи данных вовне. До момента, когда регулятор закроет пробел в законе, кадровикам придётся балансировать между эффективностью и осторожностью, а компаниям — инвестировать в обучение персонала и технические средства защиты.