Можно ли загружать базу клиентов в ChatGPT? Персональные данные и ИИ в маркетинге Казахстана

Маркетолог хочет сегментировать базу клиентов. Выгружает из CRM таблицу на пять тысяч строк — имена, телефоны, суммы покупок — и вставляет её в ChatGPT с просьбой «раздели на сегменты и предложи офферы». Через минуту у него отличный результат. А у компании — проблема, о которой никто не знает.

Эта статья — не юридическая консультация. Но базовые правила стоит знать каждому, кто работает с ИИ и данными клиентов.

Что считается персональными данными

Персональные данные — любые сведения, по которым можно определить человека. В маркетинге это:

• имя и фамилия, телефон, email, адрес;
• ИИН и паспортные данные;
• история покупок, привязанная к человеку;
• переписка с клиентом, записи звонков и встреч;
• фото и видео, где человек узнаваем.

Обезличенные данные — где человека определить нельзя — это другое дело. «Клиент №1234, купил 3 раза, средний чек выше среднего» — уже не персональные данные, если связь с человеком убрана.

Почему загрузка базы в ChatGPT — это риск

Передача третьему лицу

Внешний ИИ-сервис — это третья сторона. Передача ей персональных данных требует правового основания. Наличие телефона клиента в вашей CRM не означает его согласия на то, чтобы этот телефон обрабатывал зарубежный сервис.

Трансграничная передача

Серверы большинства популярных ИИ-сервисов находятся за пределами Казахстана. Требования к трансграничной передаче применяются независимо от того, осознавал ли сотрудник, что передаёт данные за рубеж.

Обучение на ваших данных

На потребительских тарифах запросы пользователей часто могут использоваться для улучшения моделей. Отозвать данные из обученной модели невозможно.

Нет следа

Когда сотрудник вставляет данные в личный аккаунт, компания не может ни показать, что именно ушло, ни доказать, что не ушло ничего лишнего.

Самый частый канал утечки в маркетинге — не взлом, а сотрудник, который хотел быстрее сделать хорошую работу.

Что можно, а что нельзя отправлять в ИИ

Как работать с ИИ и данными клиентов безопасно

1. Составьте список «никогда»

Пять строк: что нельзя отправлять во внешние сервисы ни при каких условиях. ИИН, паспортные данные, базы с контактами, данные под NDA, финансовые данные клиентов. Этого хватает в подавляющем большинстве случаев.

2. Обезличивайте до отправки

Заменяйте имена на идентификаторы, удаляйте телефоны и ИИН, агрегируйте данные. Для сегментации ИИ не нужны имена — нужны поведение и характеристики.

3. Уберите личные аккаунты из рабочих задач

Личный аккаунт — это работа на условиях потребительской оферты без договора и без контроля компании. Дайте сотрудникам рабочую альтернативу, иначе запрет не сработает. Подробнее — в статье про ChatGPT в компании.

4. Проверяйте подрядчиков и сервисы

Прежде чем подключить ИИ-инструмент, выясните, где обрабатываются данные, используются ли они для обучения и есть ли договор. Это та же логика, что и при проверке подрядчиков.

5. Выбирайте решения с хранением в контуре

Если задача требует работы с персональными данными — например, квалификация заявок или follow-up по встречам, — используйте решения, где данные обрабатываются в Казахстане или на ваших серверах.

Что ещё меняется для маркетологов

Помимо закона о персональных данных, в Казахстане действует закон об искусственном интеллекте, который касается прозрачности ИИ-систем и маркировки синтетического контента. Что из этого важно маркетологу, мы разобрали в отдельной статье.

План на первые две недели

1. День 1. Спросите команду, какие данные и в какие ИИ-сервисы они отправляют. Без поиска виноватых — нужна картина.
2. День 2. Составьте список «никогда» и разошлите команде.
3. День 3–5. Определите разрешённый способ работы с ИИ для задач с данными клиентов.
4. Неделя 2. Проверьте договоры с подрядчиками, которые работают с данными ваших клиентов.
5. Итог. Назначьте ответственного за правила работы с ИИ и данными и срок пересмотра.

Частые вопросы

Можно ли загружать в ChatGPT базу клиентов?

Базу с персональными данными — имена, телефоны, ИИН — загружать во внешний сервис без правового основания и договора рискованно. Безопаснее обезличить данные до отправки или использовать решение, где обработка идёт в контуре компании.

Если контакт клиента опубликован, его можно использовать?

Публикация контакта в открытом доступе не означает автоматического согласия на любую его обработку и рассылки. Работайте с деловыми контактами законно и давайте понятный способ отказаться от переписки.

Корпоративная подписка на ИИ-сервис решает проблему?

Частично: корпоративные тарифы обычно дают договор и исключают обучение на ваших данных. Но вопрос трансграничной передачи и того, какие данные вообще можно отправлять, остаётся. Решение стоит согласовать с юристом.

---

ИИ и персональные данные совместимы — если данные знают своё место. Правило простое: людей — в контуре, задачи — в ИИ.