Использование зарубежных сервисов требует особого внимания к персональным данным. Передача ПДн за границу регулируется ст. 12 закона № 152-ФЗ и допускается только при соблюдении требований законодательства, включая локализацию данных (ст. 18.1 закона № 152-ФЗ).
Нарушение этих требований может привести к серьезным штрафам: до 6 млн рублей, а при повторном нарушении — до 18 млн рублей (ч. 8–9 ст. 13.11 КоАП РФ).

Если клиент отзывает согласие, оператор обязан прекратить обработку его персональных данных и подтвердить их уничтожение в установленный законом срок (как правило, не превышающий 30 дней). Отсутствие документально оформленного акта приравнивается к неисполнению требования клиента, может рассматриваться как нарушение требований законодательства и повлечь административную ответственность.

Можно потратить часы рабочего времени квалифицированных работников на ручное стирание паспортов, ФИО и ИНН в договорах вместо основной функции. Стоимость часа работы корпоративного юриста или бухгалтера в разы превышает стоимость автоматизации.

IT-команде требуются текстовые датасеты для обучения нейросетей, но сбор реальных данных тормозится из-за наличия в них персональной информации. Обработка ПДн для целей обучения ИИ допускается только при наличии законных оснований (ст. 6 закона № 152-ФЗ), согласия субъекта (ст. 9 закона № 152-ФЗ) или после обезличивания данных. Без надежной анонимизации проекты часто остаются на стадии тестирования — без доступа к реальным данным.