Комиссия изучает вопросы, связанные с передачей данных чат-ботами рекламным трекерам

Европейская комиссия заявляет, что изучает риски для конфиденциальности, выявленные исследованиями, указывающими на передачу данных и соединения со службами отслеживания в некоторых чат-ботах на основе искусственного интеллекта. Томас Ренье подтвердил, что этот вопрос анализируется, однако Комиссия не объявляла о формальном расследовании, не указала компании, которых это касается, и до сих пор не установила нарушения законодательства ЕС.

Европейская комиссия изучает обеспокоенность по поводу того, как некоторые сервисы искусственного интеллекта обрабатывают пользовательские данные и устанавливают соединения с системами отслеживания, используемыми в рекламе и онлайн-аналитике. Томас Ренье, представитель Комиссии по технологическому суверенитету, обороне, космосу и дезинформации, подтвердил на брифинге 8 октября, что эти вопросы анализируются после того, как его спросили об исследованиях, указывающих на возможную передачу информации трекерам даже в некоторых ситуациях, когда пользователи отклоняют необязательные cookie-файлы.

Кратко

1.Комиссия подтверждает, что изучает обеспокоенность по поводу защиты данных и отслеживания, связанного с некоторыми чат-ботами, однако не объявляла о формальном расследовании.

2.Исследования IMDEA Networks выявили наличие механизмов отслеживания в сервисах разговорного искусственного интеллекта и возможную передачу третьим сторонам некоторой информации, связанной с разговорами.

3.Исследователи поставили вопросы о совместимости некоторых практик с Общим регламентом по защите данных и нормами ePrivacy, однако эти наблюдения не являются выводами регулирующего органа.

4.Комиссия указывает GDPR, Закон о цифровых услугах и Закон об искусственном интеллекте как части соответствующей правовой базы, при этом полномочия по обеспечению соблюдения разделены между национальными органами и уровнем ЕС.

5.Комиссия не уточнила, какие компании проверяются, будет ли открыто формальное производство и когда может последовать решение.

Вопросы, адресованные Комиссии, возникли на основе исследований технической инфраструктуры, используемой генеративными чат-ботами, и её связи с системами онлайн-аналитики и рекламы. В исследовании, представленном IMDEA Networks в мае 2026 года, анализировались такие сервисы, как ChatGPT, Claude, Grok и Perplexity AI, и были выявлены различные формы отслеживания со стороны сторонних компаний. Исследователи предупредили, что в некоторых конфигурациях информация, связанная с разговорами, например заголовки, адреса разговоров или другие метаданные, может поступать в сервисы отслеживания вместе с идентификаторами, которые могут использоваться для сопоставления активности пользователя.

Авторы описали выводы как предварительные. Они указали на три основные категории риска: передачу третьим сторонам информации, связанной с разговорами; возможность связать эту информацию с личностью пользователя с помощью постоянных идентификаторов; и различия между уровнем защиты, который пользователь мог бы считать обеспечиваемым настройками конфиденциальности, и фактическими техническими потоками данных. Исследование не является выводом органа по защите данных и само по себе не устанавливает, что проанализированные поставщики нарушили европейское законодательство.

На брифинге Комиссии вопрос касался прежде всего ситуации, когда пользователь отклоняет необязательные cookie-файлы, но сервис продолжает устанавливать соединения с системами, которые исследователи классифицируют как трекеры, связанные с рекламой. Журналист спросил, может ли такая ситуация создать проблемы с точки зрения Общего регламента по защите данных и Директивы ePrivacy и необходимы ли более строгие меры правоприменения.

Ренье ответил, что может подтвердить: службы Комиссии изучают эти вопросы. Использованная формулировка не означает открытия официального расследования и не указывает на поставщика, подозреваемого в нарушении законодательства. На брифинге Комиссия не представила собственных выводов относительно технических потоков, описанных исследователями, и не подтвердила, что выявленные практики являются нарушениями.

Юридические полномочия распределены между несколькими режимами. Когда речь идёт об обработке персональных данных, Общий регламент по защите данных остаётся центральной правовой базой, а его применение в основном входит в компетенцию национальных органов по защите данных. Европейский комитет по защите данных уже разъяснил, что разработка и использование моделей искусственного интеллекта не отменяют требований о наличии правового основания для обработки данных, прозрачности в отношении субъектов данных и законности используемых данных.

Директива ePrivacy отдельно регулирует доступ к информации и хранение информации на устройствах пользователей, в том числе с помощью технологий отслеживания. Однако вопрос о том, нарушает ли конкретное техническое соединение эти нормы, зависит от конкретного функционирования сервиса, характера доступной или хранимой информации, необходимости технологии и наличия согласия либо другого применимого основания. Исследование, послужившее причиной вопросов на брифинге, поднимает эту проблему, однако Комиссия не вынесла юридического заключения по отдельным случаям.

Ренье также указал на Закон о цифровых услугах и Закон об искусственном интеллекте как на инструменты, которые могут иметь значение в зависимости от анализируемого сервиса и практики. Закон о цифровых услугах содержит правила, касающиеся рекламы на онлайн-платформах, тогда как Закон об искусственном интеллекте вводит специальные обязанности для поставщиков моделей и систем искусственного интеллекта. Точная применимость должна устанавливаться для каждого сервиса и каждого вида деятельности.

В отношении моделей искусственного интеллекта общего назначения Комиссия через Управление по вопросам искусственного интеллекта обладает собственными полномочиями по надзору и обеспечению соблюдения обязанностей, предусмотренных Законом об искусственном интеллекте. Эти полномочия включают запрос информации и документации, оценку моделей в предусмотренных регламентом ситуациях и, в применимых случаях, введение мер или санкций. Ренье связал текущую обеспокоенность также с прозрачностью данных, использованных для обучения моделей, — сферой, в которой Управление по вопросам искусственного интеллекта может проверять соблюдение специальных обязанностей поставщиками моделей общего назначения.

Однако эта роль не передаёт Закону об искусственном интеллекте все вопросы конфиденциальности. Законность обработки персональных данных по-прежнему оценивается главным образом на основании GDPR и норм ePrivacy, а полномочия Комиссии, национальных органов по защите данных и других надзорных органов различаются в зависимости от применяемой нормы.

Комиссия уточнила, что независимые исследования систем искусственного интеллекта могут способствовать её надзорной деятельности. Однако 8 октября не было объявлено об открытии формального производства, опубликовано списка затронутых поставщиков или представлено расписание возможных мер. Следующий этап зависит от технической и юридической оценки выявленных практик и определения компетентного органа для каждого возможного нарушения.

https://2eu.brussels/ro/news/comisia-examineaza-preocuparile-privind-datele-trimise-de-chatboturi-catre-trackere-publicitare