В среду, 21 октября, государства-члены ЕС одобрили поправку к GDPR, по которой обработка персональных данных «в контексте ИИ» становится законной автоматически. Согласие людей больше не нужно: достаточно предположить, что у компании есть перевешивающий законный интерес.

Австрийская правозащитная организация noyb, которую основал Макс Шремс, назвала решение цифровой экспроприацией европейцев. Формулировка не преувеличение. Под новую норму попадают данные, собранные за десятилетия, включая переписку и посты людей, которые никогда не были клиентами ни одной ИИ-компании.

Разбираем, что именно изменилось в тексте, почему юристы называют это легализацией целой технологии, а не отдельной цели обработки, и что это значит для тех, кто обучает модели или просто пользуется европейскими сервисами.

Что именно одобрил Совет ЕС

Поправка прошла в рамках пакета Digital Omnibus. Еврокомиссия подавала его как техническую реформу: убрать лишнюю бюрократию, сохранив «высокий уровень защиты». Для скорости выбрали fast-track, без оценки воздействия на фундаментальные права и без прямого участия Европейского совета по защите данных, той самой экспертной группы, которая для таких текстов и существует.

Норма называется Article 88c в предложении Комиссии и стала Article 88bis в документе Совета. Смысл простой: если обработка персональных данных происходит «в контексте ИИ», она считается законной по умолчанию.

Совет добавил две ссылки на уже существующие статьи: 21-ю, о праве на возражение в отдельных случаях, и 24-ю, о технических и организационных мерах. В noyb считают, что эти гарантии ничего не добавляют: они применялись бы и без упоминания в новом тексте, а материальных ограничений Article 88bis не содержит.

Как это работает в деталях

Под действие нормы попадает всё, до чего компания может дотянуться: данные, введённые десятилетия назад в чатах и соцсетях, записи людей, которые клиентами никогда не были, сведения, полученные через партнёров. Спрашивать согласия не нужно, потому что закон сам предполагает перевешивающий законный интерес у любой компании, которая обучает или применяет ИИ-продукт.

Шремс формулирует это без дипломатии: «В среду государства-члены ЕС согласились забрать наши данные и бесплатно скормить их ИИ-компаниям. Десятилетиями мы говорили людям, что их данные в безопасности и в худшем случае пойдут на рекламу. Теперь Google, Meta и Microsoft могут использовать всё собранное почти без ограничений и под любой проект, где есть хоть какая-то компонента ИИ. Это самый большой подарок, который государства ЕС когда-либо делали американскому Big Tech».

Круг выгодоприобретателей noyb перечисляет прямо: OpenAI, Anthropic, Google, Meta, SpaceX. Именно их интересы, по оценке организации, оказываются выше права европейцев на защиту данных.

Цель обработки или целая технология

Обычный GDPR разрешает обработку под конкретные цели: хранение налоговой отчётности, предотвращение мошенничества, исполнение договора. Проверяется цель, а не инструмент. Article 88bis устроен иначе: он легализует целый класс технологий независимо от того, зачем их применяют.

Практический эффект noyb показывает на примерах. Персонализированная реклама без согласия в ЕС сейчас незаконна. С новой нормой она станет законной, если персонализация идёт через ИИ. Под ту же логику попадают системы манипуляции, генерация дезинформации, создание изображений без одежды и автономное оружие: всё это обработка данных «в контексте ИИ».

«Это как сказать, что позволено всё, что угодно, если делается с ИИ, говорит Шремс. Если что-то незаконно в таблице Excel, то оно законно, если сделано ИИ-агентом. Абсурдно давать преференции одной высокорисковой технологии перед любой другой компьютерной системой».

Логика действительно переворачивается. Раньше регулятор спрашивал, есть ли у компании основание обрабатывать конкретные данные для конкретной задачи. Теперь достаточно заявить, что задача связана с ИИ, и основание появляется само.

Определение персональных данных тоже сужают

Вторая часть пакета касается того, что вообще считать персональными данными. Государства предлагают сузить определение через псевдонимизацию: если данные заменены на псевдонимы, они в ряде случаев перестают попадать под GDPR.

Проблема в том, что почти все ИТ-системы работают именно с псевдонимами: идентификаторы пользователей, рекламные и трекинговые ID, IP-адреса, номера социального страхования. Решение, остаются ли такие данные персональными, фактически передаётся компаниям, которые как раз и регулируются законом. Споры об этом тянутся годами, а процедуры тонут в задержках и издержках, что плохо сочетается с обещанным упрощением.

«Эти изменения прямо из плейбука крупных юрфирм, защищающих Big Tech, говорит Шремс. Мы годами добивались в судах и у регуляторов, чтобы такие аргументы отклоняли. Теперь законодатель ЕС их, скорее всего, усилит и сделает право ЕС ещё сложнее и неисполнимее».

Кто выигрывает от упрощения

Выгоду получают те, у кого уже накоплены массивы европейских данных, то есть в первую очередь американские и китайские корпорации. Ирландия, председательствующая сейчас в Совете, принимает у себя штаб-квартиры большинства из них. Германия и другие крупные экономики ЕС поправку поддержали.

Расчёт на то, что дерегуляция поможет европейской экономике, в noyb считают обратным: у компаний ЕС нет ни сопоставимых объёмов данных, ни капитала, чтобы конкурировать с гиперскейлерами. Часть данных, собранных европейскими компаниями, но обрабатываемых на внешних платформах, уйдёт провайдерам в США и Китай вместе с ноу-хау.

«Это законодательное изменение в первую очередь выгодно крупным игрокам, тем, кто накопил огромные массивы европейских данных. Это полная распродажа европейских данных глобальным корпорациям, а с точки зрения промышленной политики такой подход безумие».

Обещание, которое держалось 45 лет

На европейском уровне законодательство о защите данных существует с 1981 года. Все эти десятилетия людям обещали: корпорации могут хранить данные, но использовать их вправе только в оговорённых целях. Именно на этом обещании держалось доверие к платформам, которые собирают почти всё.

Article 88bis снимает это обещание одним абзацем: всё собранное становится доступным любому ИИ-проекту. В noyb считают, что так закрывается не отдельная лазейка, а сама конструкция европейского компромисса между бизнесом и правами. Разница между «мы храним ваши данные для сервиса» и «мы используем ваши данные для чего угодно, если добавим ИИ» исчезает юридически, оставаясь очевидной для пользователя.

Это ещё не закон

Согласованный текст Совета не финальный. Дальше трилог: Совет, Европарламент и Еврокомиссия. Позиция парламента пока в работе. Большая часть Европейской народной партии выступает за новые послабления в цифровых законах, левоцентристские фракции настаивают на сохранении статус-кво, а часть правых групп неожиданно возражает против бесплатного пропуска для Big Tech.

Отдельный сюжет в том, как быстро поменялась позиция Комиссии. Изначально она обещала минимальные правки для бизнеса, теперь, по оценке noyb, приоритет явно смещён в сторону отраслевых лобби, а не фундаментальных прав.

Пока трилог не завершён, у противников нормы остаётся пространство для манёвра. Парламент может усилить ограничения, например вернуть требование оценивать цель обработки, а не только её технологическую обёртку. Может и просто затянуть процесс, что для fast-track реформы уже чувствительно.

Последняя инстанция

Если текст дойдёт до финала в нынешнем виде, главный вопрос уйдёт в Суд ЕС: совместима ли норма без содержательных ограничений с фундаментальными правами. Прецеденты есть. Суд уже отменял директиву о хранении метаданных и соглашения о передаче данных в США, известные как Schrems I и Schrems II, причём по нарушениям куда менее масштабным.

Шремс видит в этом главный риск для самих компаний: экстремальный закон с высокой вероятностью отмены создаёт только большую правовую неопределённость вместо обещанного упрощения. Компания, построившая продукт на норме, которая через два года развалилась в суде, останется с датасетом, происхождение которого придётся объяснять заново.

Что это значит на практике

Для тех, кто обучает модели на данных европейских пользователей, норма выглядит как индульгенция, но пользоваться ей рано. Финальный текст появится только после трилога, а любой принятый закон может быть оспорен в Суде ЕС. Строить пайплайн в расчёте на автоматическую законность значит закладывать риск пересмотра задним числом.

Практический минимум, который остаётся разумным при любом исходе: фиксировать происхождение данных и правовое основание обработки, хранить аудит согласий и договоров с поставщиками, проводить DPIA для крупных датасетов. Если норма выживет, эти документы станут доказательством добросовестности. Если её отменят, они останутся единственным, что защитит от претензий.

Отдельно стоит посмотреть на контракты. Провайдеры данных и платформы могут начать трактовать свои права шире, ссылаясь на контекст ИИ. Европейским компаниям имеет смысл заранее проверить, какие права на данные они передают партнёрам за пределами ЕС, потому что именно этот поток noyb называет главным каналом утечки ноу-хау.

Для обычного пользователя механизмов защиты почти не осталось. Право на возражение по статье 21 работает в узких случаях, а массовые жалобы в национальные органы защиты данных упираются в те же перегруженные процедуры. Реальный рычаг здесь один: парламентские слушания и суды.

Часто задаваемые вопросы

Что такое статья 88bis GDPR?

Это норма из пакета Digital Omnibus, которую Совет ЕС согласовал 21 октября 2026 года. Она делает обработку персональных данных «в контексте ИИ» законной по умолчанию: согласие не требуется, а перевешивающий законный интерес компании предполагается автоматически. В предложении Комиссии норма называлась Article 88c, в документе Совета получила номер 88bis.

Можно ли уже сейчас обучать модели на любых персональных данных в ЕС?

Нет. Текст Совета не закон: его должна согласовать с Европарламентом и Комиссией в рамках трилога, затем последует принятие и период вступления в силу. До этого действует нынешний GDPR с проверкой цели обработки и требованием правового основания для каждого случая.

Почему критики называют норму цифровой экспроприацией?

Потому что она позволяет компаниям использовать данные, собранные за десятилетия, без согласия и без конкретной цели, включая данные людей, которые никогда не были их клиентами. Термин принадлежит Максу Шремсу из noyb: по его оценке, коммерческие интересы ИИ-корпораций ставятся выше права европейцев на защиту данных.

Итог

Совет ЕС сделал шаг, который меняет базовую логику GDPR: закон больше не спрашивает, зачем компании данные, ему достаточно того, что обработка идёт «в контексте ИИ». Пока это позиция Совета, а не финальный закон, и всё решится в трилоге и, вероятно, в Суде ЕС.

Если вы работаете с данными европейских пользователей, следите за текстом трилога и держите в порядке документацию по правовым основаниям. Финальную версию разберём, когда парламент определится с позицией.

А как вы считаете: дойдёт ли норма до финала в таком виде, или парламент её заметно перепишет?