Создание ИИ-репетитора или образовательного технологического продукта в Армении: данные о детях, школьные контракты и обучение моделей.

Для использования данных учащихся младше 16 лет в Армении системой искусственного интеллекта, работающей с обучающими программами, требуется законное основание, и если таким основанием является согласие, его должен дать родитель или другой законный представитель. Эти правила содержатся в Законе HO-49-N о защите персональных данных от 18 мая 2015 года, действующем с 1 июля 2015 года и в последний раз консолидированном с 15 августа 2026 года. В Армении нет специального закона о защите данных в сфере образовательных технологий или искусственного интеллекта, поэтому общий закон определяет, кто несет ответственность при внедрении системы в школе, можно ли использовать журналы чатов для обучения модели и могут ли разработчики в Ереване открывать доступ к записям, хранящимся за рубежом.

Общие сведения см. в наших руководствах по законодательству Армении о защите персональных данных иностранных компаний , а также о законных основаниях и требованиях к согласию . На этой странице рассматривается, что меняется, когда субъектами данных являются дети, а продуктом является ИИ-репетитор.

Кто несёт ответственность: школа, поставщик или разработчик?

В армянском законодательстве не используются слова «контроллер» и «обработчик», как в GDPR. В нем используются два собственных термина. Обработчик данных (статья 3(1)(5)) — это тот, кто организует или осуществляет обработку; в случае внедрения в школе это обычно сама школа. Уполномоченное лицо (статья 3(1)(16)) — это лицо, которому обработчик данных поручает по договору или в соответствии с законом обрабатывать данные от его имени; обычно здесь находится поставщик образовательных технологий, обслуживающий школу. В ваших договорах эти роли должны быть четко указаны, поскольку обозначение в стиле GDPR в англоязычном шаблоне не совсем соответствует армянским определениям.

В соответствии со статьей 14, школа остается ответственной за обработку данных в рамках своего задания. Поставщик может обрабатывать данные учащихся только в рамках этого задания. Если само задание нарушает закон, поставщик должен уведомить школу в письменной форме и отказаться от его выполнения. Те же правила применяются, когда заказчиком является государственная или муниципальная школа (статья 14(4)).

Роль определяется характером деятельности. Поставщик, использующий данные об учениках в собственных целях, например, для аналитики для других клиентов, рекламы или обучения общей модели, организует обработку данных самостоятельно и, вероятно, является самостоятельным обработчиком данных для этой деятельности, имея собственное законное основание для этого.

Место разработчика программного обеспечения

Обработка включает хранение, доступ и изменение, поэтому команда разработчиков, имеющая доступ к идентифицируемым данным учащихся, является частью цепочки независимо от занимаемой должности. Закон не содержит прямого положения о субподрядчиках, и не было найдено толкования Агентства относительно того, может ли поставщик привлекать разработчика без отдельного одобрения школы. Осторожный подход заключается в том, чтобы указать разработчика и имеющийся у него доступ в письменном договоре школы, потребовать письменного одобрения школы для любого дальнейшего поставщика и обязать разработчика соблюдать те же ограничения, что и поставщика.

Может ли школа передавать данные учеников коммерческому поставщику без согласия родителей?

В законодательстве об образовании не было найдено прямого основания для раскрытия школой данных учащихся коммерческому поставщику без согласия. Указанные документы об образовании, включая Закон об общем образовании HO-160-N и распоряжения Министерства по школьным записям, касаются школьных реестров и государственных информационных систем, и один из них гласит, что данные учащихся обрабатываются в соответствии с законом о защите персональных данных. Таким образом, применяются общие правила: обработка без согласия разрешена только в тех случаях, когда это прямо предусмотрено законом (статья 9(5)), а раскрытие третьей стороне без согласия — только в тех случаях, когда это предусмотрено законом и данные надлежащим образом защищены (статья 26(1)). Поставщик, действующий исключительно как уполномоченное лицо школы, находится в ином положении, чем третья сторона, использующая данные в своих целях, и в вашем договоре должно быть четко указано, кем именно вы являетесь.

Что должен содержать школьный договор

Статья 14(2) требует, чтобы передача прав осуществлялась в письменной форме и содержала следующие положения:

• правовые основания и условия обработки;
• его предназначение;
• список персональных данных, подлежащих обработке;
• Категории субъектов данных (ученики, родители, учителя);
• лица, которым могут быть переданы данные;
• технические и организационные меры защиты;
• любая другая необходимая информация.

Данное условие может быть включено в договор об оказании услуг или в приложение к нему, касающееся обработки данных. Помимо этого установленного законом минимума, учебные заведения и поставщики услуг обычно добавляют пункты, которые делают закон применимым на практике:

• Запрещенные виды использования. Аналитика, реклама и обучение моделей рассматривались отдельно, при этом обучение либо было исключено, либо рассматривалось в рамках отдельной темы.
• Права учащихся. Статья 20 предоставляет субъекту данных доступ к информации о своих данных, как правило, в течение пяти дней, и требует немедленного исправления неточных или незаконных данных или, если это невозможно, в течение трех рабочих дней. Поставщик услуг должен быть в состоянии помочь школе соблюсти эти сроки.
• Безопасность. Статья 19 требует применения мер шифрования, ограничения доступа и сохранения конфиденциальности, которые сохраняются и после прекращения исполнения служебных обязанностей.
• Нарушения. Обязанности по реагированию на инциденты описаны в статье 21(4) ниже, а также установлен крайний срок для уведомления школы поставщиком. Закон не устанавливает крайний срок для уведомления школы поставщиком, поэтому он должен быть указан в договоре.
• Сохранение и удаление, Доступ разработчиков, международные переводы, права и ответственность при проведении аудита.

Договор о закупке со школой не является согласием ученика. Статья 9(4)(2) считает согласием, данным только в том случае, если данные получены в рамках договора с субъектом данных, и ученик не является стороной соглашения школы с вами.

Согласие для детей младше 16 лет

Статья 9(9) предусматривает, что если субъект данных младше 16 лет, не обладает правоспособностью или имеет ограниченную дееспособность, согласие на обработку данных дается его законным представителем. Пороговое значение составляет 16 лет, поэтому учащиеся в возрасте 16 и 17 лет дают согласие самостоятельно. В законе говорится о законном представителе: он не требует подписи обоих родителей, не указывает, какой из родителей имеет приоритет в случае несогласия, и не назначает школу представителем. Школа может получить согласие родителей от вашего имени, но согласие принадлежит родителю.

В процессе адаптации новых сотрудников важны три момента:

• Форма (статья 9(7)). Согласие может быть выражено в письменной форме, в электронном виде и подтверждено электронной цифровой подписью, или, если оно дано устно, подтверждено действиями, которые достоверно это демонстрируют. Вопрос о том, соответствует ли неподписанный флажок этому стандарту, до сих пор не решен.
• Доказательство (статья 9(8)). Обработчик данных несет бремя доказывания факта получения согласия. Сохраните запись, версию показанного уведомления и время его предоставления.
• Уведомление (статья 10). Перед предоставлением согласия родителю необходимо сообщить о правовом основании и цели, о данных и операциях, выполняемых с ними, о том, кто может получать данные, кто их обрабатывает и где, как запросить исправление или удаление, каков срок действия согласия, а также как его отозвать и с какими последствиями.

Кассационный суд постановил, что согласие должно быть добровольным, конкретным, информированным и недвусмысленным и не может подразумеваться на основании простой ссылки на свод правил (дело ED/12041/02/19, 24 июня 2022 г.). В руководстве Агентства по защите данных детей добавляется, что согласие не является добровольным, если отказ от него влечет за собой негативные последствия, что является проблемой для любого продукта, который делает доступ к школьным заданиям обусловленным использованием данных ребенка в несвязанных целях.

Можно ли использовать разговоры учеников для обучения вашей модели?

Только при наличии законного основания, специально охватывающего обучение. Армянское законодательство не содержит общего разрешения, исключения или исключения для исследований, касающихся обучения моделей ИИ на персональных данных, и не предусматривает оснований для законных интересов, аналогичных GDPR. Статья 4(2) гласит, что данные, обрабатываемые для определенных целей, не могут использоваться для других целей без согласия субъекта данных, а статья 5(3) запрещает обработку, которая не является необходимой или несовместимой с целью. Предоставление репетиторских услуг ученику и разработка модели являются отдельными целями, поэтому согласие на первую цель не распространяется на вторую, и поставщик, работающий по заказу школы, не может извлекать из этого цель обучения (статья 14).

Обучение, о котором сообщается и на которое дается согласие с самого начала, может быть одной из первоначальных целей. Общая формулировка, например, «мы можем использовать ваши данные для улучшения наших услуг», вряд ли будет достаточно конкретной, учитывая позицию Агентства, согласно которой согласие без точной цели неприемлемо. Вопрос о том, подпадает ли персонализация одного и того же репетитора для одного и того же ребенка под цель обучения, и где начинается обучение по общей модели, зависит от конкретных обстоятельств и не был рассмотрен регулирующим органом.

Анонимизация

Статья 5(4) запрещает обработку персональных данных, если цель может быть достигнута с помощью обезличенных данных. Обезличивание означает невозможность определить, чьи это данные (статья 3(1)(9)), поэтому удаление имен из журнала чата, в котором ребенок описывает свою школу, семью или здоровье, не соответствует этому стандарту. В Армении пока нет стандарта, определяющего, какой уровень анонимизации достаточен для текстовых переписок.

Отзыв согласия

В соответствии со статьей 21(6), после получения уведомления об отзыве в письменной форме или с электронной подписью, обработчик данных должен прекратить обработку и уничтожить данные в течение десяти рабочих дней, если иное не предусмотрено законом или сторонами не достигнуто иное соглашение, и должен уведомить субъекта данных в течение трех рабочих дней после уничтожения. Вопрос о том, следует ли переобучать модель, уже обученную на данных, или удалять данные, не был решен ни одним армянским судом или Агентством, и ваш конвейер обучения должен быть построен таким образом, чтобы на этот вопрос можно было ответить в любом случае.

Деликатный контент

Дети рассказывают преподавателям разные вещи. Информация о здоровье, религии, этнической принадлежности и тому подобное относится к особым категориям и может обрабатываться только с согласия, если иное не предусмотрено законом (статья 12), а голосовые или лицевые характеристики могут быть биометрическими данными (статья 13). Вопрос о том, следует ли считать данные, полученные путем вывода, такие как выявленные трудности в обучении или оценка эмоционального состояния, данными особой категории, остается открытым.

Разработчики в Армении, данные об учениках за рубежом.

Статья 27 регулирует передачу персональных данных в другую страну и работает в несколько этапов:

1. Для передачи данных необходимо основание: согласие субъекта данных, или передача данных вытекает из обработки данных или необходима для ее целей (статья 27(1)).
2. Разрешение Агентства не требуется, если страна назначения обеспечивает достаточный уровень защиты, что считается таковым, если передача осуществляется в соответствии с международным договором или страна включена в список, который Агентство официально публикует (статья 27(2)).
3. В любую другую страну данные могут передаваться только с разрешения Агентства, в рамках договора, гарантии которого Агентство признало достаточными (статья 27(3)). Согласие субъекта данных не заменяет это разрешение.
4. Заявление подается в письменной форме до передачи, с указанием страны, получателя и его организационно-правовой формы, данных, целей и договора или проекта договора. Агентство должно одобрить или отклонить его в течение 30 дней (статья 27(4)).

Текущий список был установлен Решением № ԱՏՊՊ-001/24 Главы Агентства, принятым 8 июля 2024 года и действующим с 10 июля 2024 года; официальная юридическая база данных ARLIS показывает, что он действует без каких-либо последующих изменений, по состоянию на 27 октября 2026 года. В него входят 53 страны, включая все 27 государств-членов ЕС, Соединенное Королевство, Швейцарию, Японию, Республику Корея и Сингапур. В списке США указаны только «организации из Соединенных Штатов Америки», поэтому убедитесь, что конкретный получатель из США подпадает под этот список. Агентство должно пересматривать список не реже одного раза в год и публиковать любые изменения (статья 27(5)), поэтому проверьте его еще раз, прежде чем полагаться на него для новой передачи.

Повторяются две ситуации. Армянский продукт, отправляющий данные об учениках на облачные серверы или зарубежному поставщику моделей ИИ, осуществляет передачу данных и нуждается в списке, соглашении или разрешении. Другой вопрос возникает, когда армянская команда разработчиков открывает доступ к данным об иностранных учениках, хранящимся в иностранной материнской компании: армянская команда, вероятно, действует как уполномоченное лицо материнской компании, поэтому в Армении применяются правила письменного соглашения, предусмотренные статьей 14, в то время как передача данных материнской компанией в Армению регулируется иностранным законодательством о защите данных. Никаких руководящих указаний Агентства по удаленному доступу или транзитной маршрутизации найдено не было, поэтому перед принятием решения о применимости мер необходимо составить карту фактических потоков данных.

Уведомление агентства, безопасность и нарушения

В Армении отсутствует всеобщая регистрация обработчиков данных. Уведомление Агентства об обработке ваших данных является добровольным согласно статье 23(1) и становится обязательным, если Агентство этого требует (статья 23(2)). Исключение составляют биометрические данные или данные особых категорий: вы должны уведомить Агентство до начала их обработки (статья 23(3)). Агентство утвердило новую форму уведомления в июне 2026 года.

В случае утечки персональных данных из электронной системы, статья 21(4) требует от обработчика данных немедленно опубликовать объявление и одновременно сообщить об утечке в полицию и в Агентство. Нет 72-часового окна и нет порога риска, подобного тому, что известен по GDPR. Закон HO-447-N, действующий с 4 января 2026 года, отменил часть статьи 19 и перенес требования к технической безопасности информационных систем в правила правительства и ведомств, поэтому при разработке мер безопасности следует проверять действующие имплементационные акты.

В настоящее время рассматривается проект закона, предусматривающий создание независимой комиссии по защите данных, назначение сотрудников по защите данных и проведение оценок воздействия. Законопроект еще не принят.

Продажи в США и ЕС

Продукция армянского производства, используемая детьми за рубежом, также подпадает под действие правил каждого рынка, на который она продается. В Соединенных Штатах измененные Правила защиты конфиденциальности детей в Интернете были опубликованы 22 апреля 2025 года (90 FR 16918), вступили в силу 23 июня 2025 года, а общий срок их действия — 22 апреля 2026 года. В ЕС GDPR устанавливает собственный возрастной порог согласия детей на использование онлайн-сервисов, который может варьироваться в зависимости от страны-члена. Для соблюдения этих правил необходима консультация юриста на каждом целевом рынке; армянское законодательство не отменяет их, и соблюдение этих правил не удовлетворяет вышеуказанным армянским нормам.

Для более подробного сравнения двух режимов см. GDPR против армянских правил защиты данных . Если ваши инженеры также используют помощников по программированию на основе ИИ в проектах клиентов, наше руководство по инструментам ИИ, договорам с клиентами и данным охватывает сторону поставщика. Перед запуском сопоставьте каждый поток данных с четырьмя вопросами, указанными выше: кто является обработчиком данных, какова основа, куда направляются данные и предусмотрено ли обучение.

Часто задаваемые вопросы

Последнее обновление: 20 октября 2026 г.