The post has been translated automatically. Original language: Russian
The product team decides to retrain the model based on the history of user requests in order to improve the recommendations or responses of the chatbot. From a technical point of view, the task is understandable. The legal issues begin, which in 2026 in Kazakhstan already have direct answers in the legislation, and ignorance of these norms can cost the company a fine, suspension of the product or a lawsuit.
What framework regulates the issue
Since 2026, three interrelated acts have been in force in Kazakhstan at once: the Digital Code, the Law on Artificial Intelligence dated November 17, 2025, and the updated The Law on Personal Data and their Protection. Together, they form a fairly detailed mode for companies that process user data using AI systems.
The key principle has not changed: the collection and processing of personal data is allowed only with the consent of the subject, and processing should be limited to pre-determined and legitimate purposes, excessive data collection is not allowed. If a startup plans to use correspondence, documents, or user behavioral data to train a model, this goal should be specified and agreed upon separately, and not hidden in the general wording of the user agreement.
What the AI Law added
The AI Law introduced the concept of automated processing of personal data and established additional requirements specifically for cases when decisions are made or prepared by an AI system without human intervention. Even with the user's consent, they still have the right to request a review of an automated decision with the participation of a specialist if it affects their essential interests. The company is obliged to explain to the user the processing procedure and its possible consequences, as well as explain the key factors that influenced the decision of the model, without disclosing the algorithm as such.
Separately, the law regulates biometric data and emotion recognition: automated determination of a person's emotions without their explicit consent is prohibited, and classification of people by biometrics for conclusions about race, views or other characteristics for the purpose of discrimination is prohibited in principle.
If a product creates synthetic content that mimics the appearance, voice, or behavior of a real person, distribution of such content is allowed only with machine-readable labeling and a warning that is understandable to humans.
Practical risks for a startup
- The wording of the agreement is too general. If the user only consented to the "processing of data for the provision of the service", the use of the same data to train a separate consent model may not be covered.
- There is no objection handling mechanism. The law requires that a user's objection to automated processing be considered within 3 business days, and many startups simply do not have such a process.
- Cross-border data transmission has not been verified. If the model is trained on the infrastructure of a foreign cloud provider, it is necessary to evaluate restrictions on data transfer to countries without an adequate level of protection.
- Mixing of anonymized and non-anonymized data. Depersonalization should be real and technically irreversible, and not a formal replacement of a name with an identifier that is easy to match with other data.
- Working with high-risk systems without documentation. If an AI system falls under the high-risk category, the law requires documentation and, in some cases, mandatory auditing.
Recommendations for a startup lawyer
- Separate the processing purposes in the user agreement and privacy policy: using the service and training the model should be two separate and explicitly described grounds.
- Implement a procedure for handling user objections to automated processing with a fixed response time.
- Classify the AI system used according to the degree of risk and document this assessment, even if no formal audit is required yet.
- Check contracts with cloud and AI providers for where user data is physically processed and stored.
- Establish a technical and legal procedure for depersonalizing data before using it in training, and not after a complaint or verification.
- If the product generates content that mimics real people, add labeling of synthetic content at the interface level, not just in the documentation.
Conclusion
Kazakhstan's regulation of AI and personal data is based on a risk -based principle, similar to the European model, but with its own control mechanisms. For a startup, this means that the basic hygiene of consent and documentation, postponed for later, quickly turns into a real legal and reputational risk as the product grows.
Компания открывает сервис генерации изображений, вводит запрос с именем известного персонажа, и через несколько секунд получает картинку, которая почти неотличима от кадра из фильма. Для пользователя это кажется забавной технической возможностью.
Для владельцев прав на эти образы это стало поводом для одного из самых громких судебных разбирательств в истории генеративного ИИ.
Суть дела
11 июня 2025 года несколько компаний, связанных с Disney и NBCUniversal, включая DreamWorks Animation, подали иск против Midjourney в федеральный суд Калифорнии. Дело зарегистрировано как Disney Enterprises и другие против Midjourney, дело номер 2:25-cv-05275, и получило известность как первый крупный судебный спор голливудских студий с компанией, разрабатывающей генеративный ИИ.
Истцы утверждают, что Midjourney обучала свою модель генерации изображений на защищённых авторским правом материалах студий без разрешения и без лицензии.
В иске компания названа "бездонной ямой плагиата", а сервис описан как инструмент, способный по запросу воспроизводить узнаваемых персонажей вроде Дарта Вейдера, Эльзы, Шрека и Железного человека.
Ключевые правовые аргументы
Иск построен на нескольких основаниях. Прежде всего это прямое нарушение авторских прав через воспроизведение и распространение изображений персонажей. Дополнительно истцы заявляют о косвенной ответственности Midjourney: даже если конкретное изображение генерирует пользователь, компания имеет право и возможность контролировать этот процесс, а значит несёт ответственность за то, что происходит на её платформе.
Отдельно подчёркивается, что компания была уведомлена о нарушениях заранее, но не предприняла разумных и доступных мер, чтобы очистить сервис от возможности воспроизводить защищённый контент, и продолжала выпускать новые версии продукта.
6 августа 2025 года Midjourney подала ответ на иск, отклонив обвинения и оспорив саму трактовку того, как работает технология. Компания сравнивает процесс обучения модели с тем, как человек учится, рассматривая множество изображений, а не с копированием конкретных произведений, и указывает, что ключевую роль в защите будет играть доктрина добросовестного использования.
Почему это дело важно за пределами Голливуда
До этого иска с генеративными AI компаниями судились в основном отдельные художники и авторы. Коллективные иски визуальных художников уже подавались против Midjourney и других компаний в 2023 году, но именно присоединение крупных студий с их ресурсами и юридическим весом впервые перевело этот спор в другую весовую категорию.
Юристы отмечают, что если студии выиграют, это может существенно изменить правила игры для всей индустрии генеративного ИИ, ограничив то, как компании могут собирать обучающие данные и разрабатывать свои модели.
Что это значит для бизнеса, использующего генеративный ИИ
Компании, которые встраивают AI генерацию изображений или видео в свои продукты, должны учитывать риск того, что модель поставщика может воспроизводить защищённый контент третьих лиц.
Уведомление о нарушении и отсутствие реакции на него может стать основанием для отдельного требования, даже если исходное нарушение совершил конечный пользователь.
Условия использования AI сервиса стоит проверять на предмет того, как распределяется ответственность между платформой и пользователем за сгенерированный контент.
Компаниям, которые сами создают AI продукты, стоит заранее продумать механизм фильтрации известных охраняемых персонажей и образов, а не дожидаться претензий правообладателей.
Дело Disney и Universal против Midjourney ещё далеко от завершения, но оно уже задаёт тон дискуссии о границах ответственности AI компаний за контент, который их модели способны воспроизвести. Для любого бизнеса, работающего с генеративным ИИ, это повод заранее оценить собственные риски, а не ждать, когда подобный иск коснётся напрямую.
Share
