Корпоративный ИИ / Управление данными

После банкротства 23andMe компании ждёт новая расплата за ответственность за данные

Когда 15 миллионов генетических профилей продали примерно по $20 за каждый в ходе банкротной ликвидации, обнажился структурный разрыв в том, как компании управляют риском данных третьих сторон — и экспозиция куда больше, чем признаёт большинство команд комплаенса.

15 апреля 2026  |  PATech Labs Editorial  |  8 мин чтения

В марте 2025 года 23andMe — когда-то оценённая в $6 млрд — подала на защиту от банкротства по Главе 11. То, что последовало, было не просто поучительной историей о высокомерии потребительского биотеха. Это была живая демонстрация юридического механизма, который команды корпоративного ИИ систематически недооценивали: исключение по банкротству в соглашениях о приватности. Regeneron Pharmaceuticals в итоге приобрела активы компании примерно за $256 млн. Эта сумма, поделённая на почти 15 миллионов клиентских профилей, даёт чуть меньше $17 на человека — данные генетического происхождения, маркеры предрасположенности к болезням, семейные связи, всё передано новому владельцу, на которого исходные клиенты никогда не давали согласия.

Механизмы, сделавшие эту передачу возможной, не уникальны для потребительской геномики. Они встроены в те же стандартные коммерческие соглашения о лицензировании данных, которые команды корпоративного ИИ подписывают каждый квартал, подключая обучающие датасеты, каналы поведенческой аналитики, API обогащения и источники рыночной разведки. Вопрос не в том, есть ли у вашей компании экспозиция. Вопрос в том, насколько велика — и картировали ли её ваши юристы и инженеры данных.

Юридический механизм, который корпоративные команды игнорируют

Глава 11 Кодекса о банкротстве США рассматривает данные клиентов как актив компании, если только нет явного юридического ограничения, говорящего об обратном. Большинство корпоративных соглашений об обработке данных такого ограничения не содержат. В них есть пункты о расторжении, минимальные стандарты безопасности и ограничения на вторичное использование — но ни один из них не подлежит принудительному исполнению перед конкурсным управляющим, действующим в интересах кредиторов.

Что делает кейс 23andMe особенно значимым для команд корпоративного ИИ — это не генетические данные. Это класс данных: высокоценная проприетарная информация, собранная под обещания приватности, которая превратилась в торгуемый актив, как только компания вошла в неплатёжеспособность. Тот же профиль риска применим к: поведенческим данным пользователей из сторонних аналитических приложений, сигналам намерений с маркетинговых платформ, идентификационным данным от брокеров идентичности и обогащённым профилям пользователей от справочных поставщиков данных.

В каждом из этих случаев, если поставщик банкротится, данные, которые вы лицензировали, — и данные ваших клиентов, которые этот поставщик обрабатывал от вашего имени, — могут быть переданы неизвестному покупателю, без уведомления ваших конечных пользователей и без ваших исходных договорных обязательств.

Что компаниям нужно сделать сейчас

Наиболее продвинутые команды управления данными начали вводить в контракты с поставщиками данных так называемые «пункты о событии банкротства». Эти пункты устанавливают, что данные клиентов и данные, производные от поведения пользователя, не могут быть переданы в рамках процедуры банкротства без явного согласия лицензиата — и что нарушение этого условия является основанием для немедленного расторжения соглашения.

Параллельно дальновидные команды инженерии данных строят то, что некоторые называют «каталогами линиджа третьих сторон»: внутренние реестры, отслеживающие не только какие данные они покупают, но и какие обещания приватности исходный поставщик дал своим конечным пользователям, какие регуляторные категории покрывают эти данные и какие права сохраняет компания в случае неплатёжеспособности поставщика.

Надвигающийся регуляторный сдвиг

FTC дала понять, что процедуры банкротства, затрагивающие данные потребителей, потребуют более пристального внимания начиная с 2025 года. Закон ЕС об ИИ, вступавший в силу поэтапно в течение 2025 года, включает положения о происхождении обучающих данных, которые могут обязать компании доказывать непрерывные цепочки согласия — даже через передачи активов. В Латинской Америке страны вроде Бразилии, где LGPD уже действует, и Мексики, где идёт пересмотр рамок защиты данных, движутся к похожим нормам.

Компании, которые задокументировали происхождение данных своих поставщиков и договорились о явных договорных защитах до наступления события банкротства, окажутся в принципиально ином регуляторном положении, чем те, кто этого не сделал. В кейсе 23andMe покупатель — Regeneron — взял на себя конкретные обязательства перед судом по банкротству о том, как будет использовать приобретённые данные. Не у всех покупателей в будущих процедурах будет такой же надзор.

Урок не в том, что компаниям следует перестать работать с внешними поставщиками данных. А в том, что due diligence по цепочке поставок данных должна заходить так же далеко, как финансовая due diligence. Когда вы знаете, что поставщик может обанкротиться — а в нынешней среде технологического финансирования это разумное допущение для любой компании данных на ранней стадии — вам нужно точно знать, что произойдёт с лицензированными вами данными, когда это случится.