Данные из старых чатов, публикаций, аккаунтов и других цифровых сервисов могут получить новую ценность для разработчиков искусственного интеллекта. Страны Евросоюза обсуждают поправки к GDPR, которые прямо разрешат компаниям ссылаться на «законный интерес» при использовании персональных данных для разработки и работы ИИ. В сентябрьском проекте поправок председательство Совета ЕС заметно ослабило часть гарантий, присутствовавших в первоначальном предложении Еврокомиссии.
Спорная норма появилась в пакете Digital Omnibus, представленном Еврокомиссией в ноябре 2025 года. Комиссия предложила добавить в GDPR отдельную статью 88c, посвящённую обработке данных при разработке и эксплуатации ИИ. Первоначальный вариант статьи разрешал использовать законный интерес, но сохранял несколько прямых ограничений: интерес компании не должен был перевешивать права человека, особая защита распространялась на детей, а законы, требующие согласия пользователя, продолжали действовать.
Еврокомиссия также прописала дополнительные меры защиты. Разработчики должны были минимизировать объём персональных данных при выборе источников, обучении и тестировании моделей, повышать прозрачность обработки и предоставлять человеку безусловное право запретить использование собственных данных.
В редакции Совета ЕС статья получила номер 88 bis и стала заметно короче. Новая формулировка говорит, что обработка персональных данных при разработке и работе ИИ может проводиться в законных интересах компании или третьей стороны в соответствии со статьёй 6(1)(f) GDPR. Из самой статьи исчезли отдельное упоминание детей, прямое требование сопоставлять интерес компании с правами человека, исключение для случаев обязательного согласия, минимизация данных, усиленная прозрачность и безусловное право на возражение. Последнее всё ещё упоминается в преамбуле среди возможных защитных мер, но больше не закреплено в самой статье как отдельная обязанность.
Поправка не означает, что любой массив пользовательских данных автоматически станет разрешённым сырьём для нейросетей. Статья 6(1)(f) GDPR продолжает действовать и требует проверить законность цели, необходимость обработки и соотношение интересов компании с правами человека. Европейский совет по защите данных ранее описал трёхэтапную проверку: компания должна сформулировать реальный законный интерес, доказать необходимость обработки и убедиться, что права людей не перевешивают заявленную цель.
Практический спор вокруг подобной схемы уже возникал. В 2025 году Meta* собиралась обучать модели на публичных данных взрослых пользователей Facebook* и Instagram* в ЕС, используя именно законный интерес вместо предварительного согласия. Правозащитная организация noyb выступила против такого подхода и потребовала прекратить обработку без явного разрешения пользователей.
Нынешние предложения идут дальше спора вокруг одной социальной сети. noyb считает, что новая конструкция позволит крупным технологическим компаниям пытаться использовать для ИИ данные, накопленные за десятилетия, включая информацию людей, которые никогда не становились клиентами конкретного разработчика. Организация назвала реформу «цифровой экспроприацией». По оценке noyb, преимущество получат прежде всего компании с огромными историческими массивами пользовательской информации. Утверждение о практически неограниченном доступе к данным представляет позицию правозащитников, а не уже действующее правило ЕС.
Отдельные изменения касаются чувствительной информации. Проект допускает случайное и остаточное присутствие данных о здоровье, политических взглядах, религии, происхождении, биометрических характеристиках и других специальных категориях в наборах для обучения, тестирования и проверки моделей. Разработчик должен пытаться отфильтровать подобные сведения заранее и удалять найденные данные. Если удаление технически невозможно или требует явно несоразмерных усилий, компания должна заблокировать дальнейшее использование информации, исключить влияние на ответы модели и не передавать сведения третьим лицам.
Ещё одна часть реформы затрагивает границу между персональными и неперсональными данными. Проект предлагает учитывать реальные возможности конкретной организации установить личность человека. Подобный подход особенно важен для псевдонимизированных записей, где имя заменяют идентификатором, но связь с человеком при определённых условиях можно восстановить. Европейские регуляторы раскритиковали попытку расширить случаи, когда псевдонимизированная информация может перестать считаться персональной для отдельной организации. По мнению EDPB и EDPS, подобная норма способна фактически изменить границы действия GDPR и добавить правовую неопределённость вместо обещанного упрощения.
Похожая дискуссия развивается и за пределами ЕС. Летом 2026 года «Яндекс», Сбер и VK предложили расширить возможности использования обезличенных персональных данных для разработки и обучения ИИ в России. Компании связывали инициативу с необходимостью предоставить разработчикам больше качественных данных, одновременно сохранив защиту пользователей.
Еврокомиссия представляет Digital Omnibus как способ снизить расходы на соблюдение цифрового законодательства, убрать пересекающиеся требования и повысить конкурентоспособность европейского бизнеса без отказа от прежних целей регулирования. Правозащитники и европейские органы по защите данных опасаются, что под видом упрощения компании получат значительно больше свободы при повторном использовании персональной информации.
Новые правила ещё не приняты. Законодательная процедура по Digital Omnibus продолжается, а сентябрьский документ представляет компромиссный текст председательства Совета ЕС для дальнейших переговоров. До утверждения окончательной редакции действуют нынешние требования GDPR, а формулировки статьи 88 bis ещё могут измениться.
