Совет ЕС разрешил обучать ИИ на персональных данных по законному интересу

Евросоюз сделал решающий шаг к тому, чтобы разрешить обучение ИИ-моделей на персональных данных без согласия человека. 21 октября Комитет постоянных представителей (Coreper) согласовал переговорную позицию Совета ЕС по «цифровому омнибусу» — пакету поправок к GDPR, директиве ePrivacy и правилам обмена данными. Текст мандата (документ ST 14756/26) опубликован 22 октября.

Что именно предлагает Совет

Ключевая норма — новая статья 88 bis GDPR (в предложении Комиссии она шла под номером 88c). Согласно ей обработка персональных данных «в контексте разработки и работы ИИ-системы или ИИ-модели» может вестись на основании законного интереса контролёра или третьей стороны по статье 6(1)(f) GDPR.

• Законный интерес не становится автоматическим: в новой преамбуле прямо сказано, что разработка и работа ИИ сами по себе законным интересом не являются, и каждый случай оценивается индивидуально.
• Право на возражение по статье 21 сохраняется при любой правовой основе, как и обязанность применять технические и организационные меры защиты.
• Отдельное послабление для чувствительных категорий данных — здоровья, религиозных убеждений и других — сужено до данных, попавших в обучающие наборы «случайно и остаточно», а не собранных намеренно. Если такие данные обнаружены, их нужно удалить, а при технической невозможности — прекратить их использование для вывода или передачу.
• Определение персональных данных из GDPR решено не менять: это требование было принципиальным для части стран. Вместо этого добавлены положения о псевдонимизации.
• Срок уведомления об утечках предлагается увеличить, а для cookie-правил — расширить список целей, не требующих согласия: базовая работа сервисов, измерение аудитории, ИТ-безопасность.

Сделку разблокировал компромисс ирландского председательства по коммерческой тайне, из-за которого Германия и Франция блокировали голосование: ноу-хау предлагается передавать только после введения мер конфиденциальности.

Это ещё не закон

Мандат Совета — только одна половина процедуры. Европарламент свою позицию пока не принял, и трилоги начнутся лишь после этого. Только после согласования единого текста обе институты смогут его формально принять, а регламент вступит в силу после публикации в Official Journal. До изменения правил пройдут месяцы, и итоговая формулировка может отличаться.

Важно и то, что «цифровой омнибус» состоит из двух частей: часть про ИИ-акт вступила в силу 27 июля 2026 года, а часть про данные и cookie-правила всё ещё в первой читательской стадии.

Почему это важно

Для любой компании, которая обучает модели на европейских данных, статья 88 bis снимает главную юридическую неопределённость последних лет: раньше приходилось либо собирать согласия, либо доказывать законный интерес в суде. Теперь в проекте появляется явная норма — но с оговорками, которые переносят спор в плоскость оценки каждого конкретного случая.

Правозащитники уже заявили, что норма фактически отменяет согласие для ИИ-обучения: из проекта Комиссии убрали часть ограничений, включая отдельные гарантии по правам детей. Для компаний, работающих на европейских пользователях, это тоже практический вопрос: правила экстерриториальны, и зафиксированную базу обработки будут проверять по итоговой версии из Official Journal.

Источники: мандат Совета ЕС, документ ST 14756/26 (разбор legal247), IAPP о позиции Совета, techUK о разблокировке компромисса, Европарламент: процедура Digital Omnibus.