RAG и персональные данные: 152-ФЗ и хранение в РФ

Если в документах или запросах к RAG попадают персональные данные, важно понимать, где они обрабатываются и хранятся. Типовой облачный RAG подразумевает загрузку документов и запросов на серверы провайдера — часто за пределами РФ. Для соответствия 152-ФЗ и политикам хранения в РФ нужны меры: минимизация ПД или развёртывание на своей территории.

В договоре и DPA обычно проверяют зону размещения (region, «дата-центр в РФ»), субобработчиков и сроки хранения логов.

Где могут лежать данные в типовом RAG

• Документы и чанки — хранятся в хранилище провайдера (облако). Геолокация зависит от дата-центров провайдера.
• Векторные эмбеддинги — считаются на серверах провайдера или внешнего API (OpenAI, и т.п.) и хранятся в векторной БД.
• Текст запросов и ответов — обрабатываются LLM, часто через облачные API; логи могут сохраняться у провайдера.

При использовании зарубежного облака данные могут покидать РФ; для персональных данных это создаёт риски с точки зрения 152-ФЗ и требований к локализации.

Как минимизировать риски

• Не загружать ПД в RAG — по возможности использовать только обезличенную или неперсональную документацию. Запросы формулировать без ФИО и явных идентификаторов.
• Хранение и обработка в РФ — выбирать провайдера с дата-центрами в РФ или развёртывать RAG on-prem / в своём облаке на территории РФ. Тогда документы, эмбеддинги и запросы не уходят за периметр.
• Соглашения и политики — при использовании облака провайдера уточнять, где хранятся данные, как долго хранятся логи, и оформлять необходимые соглашения (DPA, условия обработки ПД).

Практика с библиотекой Adminica

Тема «RAG и персональные данные» лучше всего раскрывается на ваших материалах: кураторская библиотека плюс документы профиля и org-библиотека (если подключена). Задайте в чате конкретный вопрос, проверьте блок источников и при необходимости уточните формулировку — так RAG даёт воспроизводимый ответ, а не общий пересказ.

Короткий чек-лист

• Один главный вопрос за сообщение; контекст — во вложении или ссылке на запись архива.
• После обновления документов дождитесь индексации, прежде чем сравнивать ответы.
• Для командных регламентов храните master-копию в согласованном разделе базы знаний.

Тарифы и on-prem зависят от контура; начните с чата на своих данных и оцените качество по цитатам, а не только по гладкости текста.

Итог: В типовом облачном RAG данные обрабатываются у провайдера; для 152-ФЗ и хранения в РФ важны минимизация ПД, выбор локализации обработки и при необходимости on-prem или российское облако.