Закон об искусственном интеллекте 2026 принят: что изменилось для бизнеса и кто отвечает за решения ИИ

Закон принят, но ответственность бизнеса не сводится к одному новому акту

26 июля 2026 года подписан и официально опубликован Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Он создаёт специальный правовой контур для больших фундаментальных моделей ИИ, суверенных и национальных моделей, но не является универсальным кодексом всех алгоритмических решений.

Основная часть закона вступает в силу 1 сентября 2026 года. Положения о случаях исключительного применения суверенных и национальных моделей, подтверждении их статуса, обязанностях разработчиков, маркировке аудио- и визуальных материалов и использовании результатов интеллектуальной деятельности начнут действовать 1 марта 2027 года. Текст опубликован на официальном интернет-портале правовой информации.

Новый закон не устанавливает единую таблицу ответственности, в которой заранее определено, кто всегда отвечает за ошибку: разработчик, поставщик, интегратор, владелец системы, работодатель или сотрудник. Статья 11 содержит отсылочную конструкцию: участники отношений отвечают в соответствии с законодательством Российской Федерации. Поэтому каждый инцидент потребует анализа действующих гражданских, трудовых, информационных, отраслевых и договорных норм.

Семь выводов для руководителя

Суверенные и национальные модели: что будет проверять заказчик

Закон вводит две специальные категории больших фундаментальных моделей. Их статус не возникает из рекламного заявления поставщика: потребуется подтверждение соответствия и учёт в порядке, который установит Правительство Российской Федерации.

Для суверенной модели разработчиком должно быть российское юридическое лицо. Разработка, определение и изменение характеристик на всех стадиях жизненного цикла осуществляются этим российским разработчиком. Закон требует полной технической и технологической воспроизводимости цикла разработки, включая обучение и матрицу исходных коэффициентов.

Подготовка ответов на запросы пользователей и хранение данных суверенной модели должны обеспечиваться в центрах обработки данных, расположенных на территории России и принадлежащих российским юридическим лицам. Модель должна пройти подтверждение соответствия российскому законодательству и традиционным российским духовно-нравственным ценностям.

Национальная модель также предполагает российского разработчика и российскую инфраструктуру подготовки ответов и хранения данных. При этом допускаются компоненты, созданные в России или за рубежом, включая иные большие фундаментальные модели, если они распространяются на условиях открытой лицензии. Существенные характеристики модели должны определяться и изменяться российским разработчиком.

Правительство сможет устанавливать случаи, в которых допускается применение исключительно суверенных или национальных моделей, и перечень исключений. В банковской сфере и иных сферах финансового рынка такие решения должны приниматься по согласованию с Банком России. Правительство также вправе устанавливать требования по предотвращению отраслевых рисков.

Это создаёт будущий риск технологической зависимости. Компания может встроить внешнюю модель в документооборот, накопить базу знаний и автоматизировать критический процесс, а затем столкнуться с обязательностью перехода на модель специальной российской категории. Поэтому переносимость данных, выгрузка журналов, миграция базы знаний и замена поставщика должны обсуждаться до внедрения.

Прямые обязанности разработчиков и значение технической документации

С 1 марта 2027 года разработчики суверенных и национальных больших фундаментальных моделей обязаны принимать меры безопасности, определять правила эксплуатации и вести техническую документацию с ключевыми параметрами и ограничениями модели.

При споре будет оцениваться не только итоговый ошибочный ответ. Значение получат известные ограничения, качество документации, уведомление заказчика, история обновлений, тестирование, соблюдение правил эксплуатации и способность восстановить фактическую версию модели.

Для заказчика возникает отдельная обязанность договорной осмотрительности. Если коммерческая презентация обещает применение модели в юридических, кадровых или финансовых процессах, а правила эксплуатации исключают такие сценарии, противоречие следует устранить до заключения договора.

Кто отвечает за ошибку искусственного интеллекта

Искусственный интеллект не является самостоятельным субъектом ответственности. Для определения ответственного лица необходимо установить роль участника, его фактический контроль, нарушенную обязанность, причинную связь и доказательства.

Принцип контроля не является отдельной нормой закона и не применяется механически. Значение имеют вид обязательства, предпринимательский статус, вина, если она юридически значима, причинная связь, предсказуемость последствий, специальные отраслевые требования и содержание договора.

Договор может определить, кто компенсирует убытки внутри цепочки поставки. Но соглашение между заказчиком и поставщиком не всегда изменяет ответственность перед субъектом персональных данных, клиентом, работником, потребителем или государственным органом.

Пять типовых сценариев

Можно ли передавать документы, персональные данные и коммерческую тайну в публичные модели

По умолчанию передавать рабочие документы во внешнюю общедоступную ИИ-модель без оценки правового режима, условий сервиса, архитектуры обработки и корпоративного разрешения рискованно.

Загрузка файла в интерфейс модели может означать предоставление информации внешнему лицу, поручение обработки, создание копии на сторонней инфраструктуре, трансграничную передачу, сохранение истории и использование сведений для обучения или проверки качества.

Перед использованием сервиса необходимо установить фактического получателя, цели обработки, место инфраструктуры, срок хранения, доступ персонала, субподрядчиков, возможность обучения на запросах, выгрузку, удаление и доказательства удаления.

Персональные данные

Компания должна определить цель и правовое основание обработки. Согласие не является универсальным решением и должно соответствовать установленным законом требованиям. Новая передача внешнему поставщику должна быть совместима с исходной целью либо иметь самостоятельное законное основание.

Важно установить роль поставщика. Если он действует только по документированному поручению компании, договор должен содержать предусмотренные законом условия. Если поставщик самостоятельно определяет цели, использует запросы для собственного обучения или объединяет данные с иными массивами, его фактическая роль может отличаться от формального наименования.

При сборе персональных данных российских граждан через интернет необходимо учитывать требования локализации. При передаче иностранному получателю — правила трансграничной передачи и уведомления Роскомнадзора. Для специальных категорий и биометрических данных требуется отдельная, более строгая оценка.

Коммерческая тайна и конфиденциальность

Важная информация не становится коммерческой тайной автоматически. Для режима необходимо определить перечень сведений, ограничить и учитывать доступ, урегулировать отношения с работниками и контрагентами и маркировать материальные носители в предусмотренном порядке.

Если компания не установила режим, её позиция при защите именно коммерческой тайны будет слабее. Но могут сохраняться договорная конфиденциальность, режим ноу-хау, профессиональная, банковская, налоговая, медицинская или адвокатская тайна.

Удаление фамилии и телефона не всегда обеспечивает обезличивание. Человек или компания могут определяться по должности, адресу, номеру договора, обстоятельствам спора, метаданным и совокупности иных признаков. Для рискованных сценариев предпочтительнее специально подготовленные выдержки, синтетические данные либо локальная система с контролируемой инфраструктурой.

Как оформить внутреннюю политику применения ИИ

Для большинства организаций отдельная политика пока не стала универсальной прямой обязанностью именно по № 243-ФЗ. Но без неё невозможно согласованно определить разрешённые системы, данные, полномочия, проверку результатов, журналирование и реагирование на инциденты.

Для финансового рынка Банк России рекомендует разработать отдельную политику или дополнить действующие документы по информационной безопасности, назначить ответственное руководство, определить контроль, обучение, доступ, минимизацию данных, аудит и реагирование.

Для других компаний политика служит доказательством управленческой осмотрительности. Она должна описывать фактическую систему, а не декларацию о «безопасном и этичном использовании» без связи с реальными продуктами, подрядчиками и полномочиями.

Политика не заменяет другие документы

Общая политика применения ИИ должна быть согласована с положением об обработке персональных данных, режимом коммерческой тайны, информационной безопасностью, трудовыми обязанностями, закупками, договорными шаблонами и техническими регламентами.

Нельзя пытаться одним документом решить все вопросы. Для отдельных систем могут потребоваться модель угроз, регламент эксплуатации, оценка воздействия, инструкция проверяющего, порядок журналирования и сценарий реагирования.

Теневое использование личных аккаунтов не устраняется только запретом. Компании нужны разрешённые альтернативы, обучение и разумные технические ограничения. Иначе фактическое использование сохранится, но станет менее прозрачным.

Что бизнесу сделать в ближайшие 90 дней

Подготовка к новому режиму начинается не с написания политики, а с установления фактической картины. Компания должна увидеть официальные и теневые системы, данные, автоматические действия и критические зависимости от поставщиков.

Минимальный результат девяноста дней

Вопросы о новом законе и корпоративном применении ИИ

Ответы отражают общий правовой контур на 26 июля 2026 года. Применимость конкретного требования зависит от типа модели, роли компании, категории данных, отрасли, архитектуры и условий договора.