Печенин Даниил Вячеславович, магистрант направления «Цифровое право (IT-Law)»
125993, г. Москва, Садовая-Кудринская ул., д. 9
Daniil V. Pechenin, Master’s Student, IT-Law Master’s Course
В статье рассматривается соответствие законодательству РФ процесса обработки биометрических персональных данных в системах генеративного ИИ, проводится сравнение правового регулирования данных отношений в России и ЕС. Выявлены системные пробелы в реализации правомерной обработки биометрических персональных данных системами генеративного искусственного интеллекта. Установлено, что запреты на использование биометрических персональных данных в запросах носят декларативный характер, это подтверждается анализом политик конфиденциальности GigaChat и DeepSeek, возлагающих ответственность за неправомерное использование персональных данных на пользователя. Непрозрачный механизм получения согласия субъекта на обработку биометрических персональных данных и обусловленность доступа к сервису их обязательной обработкой для обучения нейронной сети представляются главными проблемами реализации правомерной обработки данных системами генеративного искусственного интеллекта. На основе сравнительного анализа российского и европейского законодательства сформулированы следующие предложения: 1) закрепить императивный запрет на обработку биометрических персональных данных системами генеративного искусственного интеллекта с установлением юридической ответственности либо обязать операторов систем генеративного искусственного интеллекта внедрять меры верификации письменных согласий субъектов на обработку; 2) обработка биометрических персональных данных исключительно для целей обучения нейронных сетей должна производиться с отдельного информированного согласия субъекта, без которого использование сервиса должно оставаться возможным. Предложенные меры направлены на устранение противоречий, обеспечение реального контроля субъектов над своими биометрическими персональными данными и их правовой защиты.
The paper examines the compliance of biometric personal data processing in generative AI systems with the legislation of the Russian Federation and provides a comparative analysis of the legal regulation of relations under examination in Russia and the European Union. The study identifies systemic gaps in ensuring the lawful processing of biometric personal data by generative artificial intelligence systems. The study has established that prohibitions on the use of biometric personal data in user prompts are largely declaratory in nature, as evidenced by an analysis of the privacy policies of GigaChat and DeepSeek, which place responsibility for the unlawful use of personal data on the user. The opaque mechanism for obtaining a data subject’s consent to the processing of biometric personal data, as well as conditioning access to the service on the mandatory processing of such data for neural network training purposes, appear to constitute the principal challenges to ensuring lawful data processing by generative artificial intelligence systems. Based on a comparative analysis of Russian and European legislation, the author proposes the following: (1) to establish a mandatory prohibition on the processing of biometric personal data by generative AI systems, coupled with the imposition of legal liability, or alternatively to require operators of generative artificial intelligence systems to implement mechanisms for verifying the existence of the data subject’s written consent to processing; and (2) to require that the processing of biometric personal data exclusively for neural network training purposes be carried out only on the basis of separate informed consent of the data subject, while access to the service should remain possible even in the absence of such consent. The proposed measures are aimed at eliminating existing contradictions, ensuring genuine control by data subjects over their biometric personal data, and strengthening their legal protection.
The authors declare that there are no conflicts of interest present.