OpenAI и Discord обвинили в сливе данных пользователей американским спецслужбам. Пора паниковать?

Что случилось: почему OpenAI и Discord обвинили в сливе данных пользователей

В феврале 2026 года вышло независимое исследование IT-энтузиастов, которые решили покопаться в исходном коде сервиса проверки личности Persona. Его используют, в частности, разработчик ChatGPT, компания OpenAI, а также популярный игровой мессенджер Discord.

Механизм простой: загружаете селфи, иногда — селфи с паспортом, как требуют некоторые сервисы, умные алгоритмы анализируют ваше лицо и делают вывод, соответствуете ли вы заявленному возрасту (или хотя бы просто старше или младше вы 18 лет). Все автоматизировано, данные обезличены и потом удаляются… или нет?

При этом об удалении однажды загруженных в нее данных речи не идет: Persona якобы хранит полные досье на пользователей: имя, фамилия, паспортные данные, адрес, пол, рост и прочую личную информацию. И, хотя и OpenAI, и Discord утверждают, что используют этот сервис только в рамках эксперимента, а данные хранятся не более 7 дней, исследователи нашли повод в этом усомниться.

Смутило их упоминание в коде сервиса американских и канадских ведомств и силовых структур: FinCen (борьба с финансовыми преступлениями), ICE (иммиграционная служба) и других. В исследовании намекнули, что это может означать передачу данных пользователей в широкие базы данных госорганов, а как они будут анализироваться и использоваться там — бог весть.

Вишенкой на торте стало нахождение среди инвесторов Persona Питера Тиля. Он также инвестировал в PayPal и Facebook, а еще основал сервис Palantir, профинансированный ЦРУ.

Чувствуете, вырисовывается целая теория заговора? По порядку:

• популярные IT-сервисы в рамках заботы о безопасности пользователей вводят возрастные ограничения и сервис для проверки возраста;
• подрядчик, который предоставляет этот сервис, говорит, что не хранит данные пользователей, но на самом деле хранит и теоретически (!) может сливать их в общие базы с теми, что используют госорганы и спецслужбы;
• в коде самого сервиса присутствует строчка «сравнивать с базой подозрительных лиц» — а это и преступники, и люди в розыске, и подозреваемые в терроризме/экстремизме, а может, и связанные с правительствами/спецслужбами чужих стран;
• что делается после такой идентификации — большой вопрос, но в теории по запросу правоохранительных органов OpenAI может слить и содержание всех чатов лица, которое система посчитала «подозрительным».

В зависимости от того, насколько часто пользователи пользуются сервисом, что обсуждают друг с другом или ИИ, какую информацию еще можно о них вытащить, подобные «сливы» могут привести к формированию «досье» на пользователей. А там уже лотерея, что покажется противозаконным властям и за что человеку могут предъявить на паспортном контроле, если он окажется в юрисдикции чужого государства.

Однако логическая цепочка — это еще не железобетонные доказательства. Стоит ли нервничать тем, кто уже загрузил селфи в эти сервисы и прошел идентификацию, чтобы играть во взрослые игры или разговаривать с чат-ботом на темы 18+?

Где здесь правда

Discord официально внедрила возрастную проверку для части пользователей в Великобритании в рамках эксперимента, заявив, что отправленные данные могут храниться на серверах до 7 дней.

OpenAI в январе 2026 года анонсировала внедрение модели «предсказанию возраста» и прямо указала Persona как «безопасный сервис проверки личности», чтобы подтвердить возраст, если ее система поведенческого анализа все-таки ошиблась.

И пусть эти данные хранятся там временно, сам Сэм Альтман в 2025 году прямо сказал, что по запросу правоохранительных органов и срок хранения может быть увеличен, и переписки с данными пользователей могут быть раскрыты.

Также не на уровне факта, но достаточно правдоподобным кажется то, что Persona сличает селфи пользователей со списком подозрительных лиц. Но тут есть важный нюанс: проверка по санкционным спискам и PEP (политически значимые лица) — стандартная функция сервисов идентификации и проверки личности (KYC/AML-сервисов), и Persona прямо продает такие отчеты как продукт.

Это объясняет, почему в документации или кодовой базе могли встречаться термины «watchlist», «sanctions», «PEP» и т. п. Все-таки Persona используется не только OpenAI и Discord, а базы там общие.

Также бездоказательными выглядят выводы авторов исследования о том, что собираемые данные используются для формирования некоего «социального рейтинга» наподобие того, что существует в Китае.

Эксперты не могут уверенно утверждать, что исследование «разоблачило» OpenAI и Discord. Но определенно заставило задуматься, кому и какие данные вы передаете.

Основной вопрос сегодня не в том, возможна ли инфраструктура цифрового контроля, а в том, насколько глубоко она уже встроена в повседневные сервисы, подчеркнул Сергеев. И в этом плане исследование других платформ и сервисов может преподнести еще немало сюрпризов насчет того, кто и как использует ваши данные.

Что в связи с этим делать пользователям

В целом, независимо от того, где здесь правда, где художественное преувеличение, а где так и не реализованный потенциал слива ваших данных кому бы то ни было на сторону, определенные меры предосторожности лишними не будут. Особенно — при общении с ИИ, которые и без того слишком глубоко проникают в нашу жизнь (и головы).

Одно из относительно новых правил инфогигиены, которое в 2026 году надо освоить, как азбуку, звучит так: не загружайте в диалоги с ИИ ничего, что вы бы не хотели раскрывать кому бы то ни было.

Логика такая:

• Все содержание диалогов с ChatGPT и любой другой иностранной языковой моделью хранится на иностранных же серверах, причем в незашифрованном виде. Это значит, что при необходимости модераторы сервиса могут подключиться и просмотреть содержание ваших диалогов, если автоматические алгоритмы дадут им сигнал.
• Уже были случаи, когда при попытке поделиться содержимым чатом с другом пользователи с удивлением обнаруживали их в глобальном поиске: OpenAI зачем-то внедрил в свой продукт функцию индексирования поисковиками. Это уже мало похоже на приватное пространство.
• ИИ-модели постоянно дообучаются на данных, которые получают от пользователей. Поэтому любой загруженный туда документ или информация попадают в его базу и при соответствующем запросе может «всплыть» в ответах другому пользователю. Если вы таким образом передали информацию под NDI (договор о неразглашении), это уже повод для иска в ваш адрес.
• Равно как передача персональных данных третьих лиц попадает под определение «обработка персональных данных», и, если вас на это никто не уполномочил, это нарушение закона. Для физических лиц штраф за такое может составить до 15 000 рублей, а для должностных и юридических лиц — десятки и сотни тысяч.

Эксперты посоветовали исходить из принципа: если данные можно собрать, их соберут, а если их можно сопоставить, их сопоставят. Поэтому немного лишней паранойи в наш цифровой век лишней не будет.

Но факт остается фактом: возрастная верификация через селфи и документы становится нормой у крупных платформ. А значит, растет и объем чувствительных данных, которые пользователи потенциально передают подрядчикам. Это уже достаточный повод для вопросов — даже без «социального рейтинга», следа спецслужб и других теорий заговора.