243-ФЗ · правовая база
Федеральный закон от 26 июля 2026 года № 243-ФЗ “О поддержке развития технологий искусственного интеллекта в Российской Федерации” регулирует разработку, внедрение и применение больших фундаментальных моделей ИИ. Основная часть действует с 1 сентября 2026 года; отдельные положения вступают в силу 1 марта 2027 года. Применимость зависит от признаков модели и роли организации. Обязанности разработчиков суверенных и национальных БФМ, поставщиков доступа к моделям и владельцев крупных ресурсов различаются. Источник — статьи 1, 3, 8–10 и 13 закона; проверено 22 сентября 2026 года
Разбор первоначального опубликованного текста от 26.07.2026. Проверено 22.09.2026. Перед применением необходимо сверить действующую редакцию и относящиеся к проекту подзаконные акты.
Что устанавливает: Сфера: разработка, внедрение, применение БФМ; система актов; возможность специальных правил для перечисленных публичных целей
Зачем читать организации: Не переносить каждую норму на любую автоматизацию и не исключать остальные законы
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 1–2
Что устанавливает: Цели поддержки, технологической независимости, безопасности, развития экономики и международного сотрудничества
Зачем читать организации: Цели объясняют замысел; сами по себе не являются формой обязательной отчётности или лицензией
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 2–3
Что устанавливает: Пять определений: ИИ, БФМ, состав данных, обучение БФМ, разработчик БФМ
Зачем читать организации: Определить объект и роль; размер модели является только одним элементом определения
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 4–5
Что устанавливает: Принципы: благоприятные условия, независимость, права, автономия человека, риск-подход, ценности, поддержка, сотрудничество, безопасность
Зачем читать организации: Обосновать подход к рискам; не выдумывать из принципов конкретный обязательный бланк
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 6–8
Что устанавливает: Компетенция Президента, Правительства, уполномоченного органа, иных органов, госкорпораций и Банка России
Зачем читать организации: Найти орган и подзаконный акт, от которого зависит конкретная обязанность
Дата по ст. 13 / authority: В целом 01.09.2026; п. 3–5 ч. 2 — 01.03.2027; Норма закона, с. 8–12
Что устанавливает: Поддержка суверенных/национальных БФМ; критерии моделей, специальное определение российского юрлица, порядок учёта и статуса
Зачем читать организации: Проверить происхождение, контроль, инфраструктуру и официальное подтверждение статуса
Дата по ст. 13 / authority: Ч. 1 — 01.09.2026; ч. 2–5 — 01.03.2027; Норма закона, с. 12–15
Что устанавливает: Права разработчиков соответствующих моделей: поддержка, обучение с учётом ст. 10, профильные объединения, сотрудничество, страхование
Зачем читать организации: Не путать право на доступ к мерам поддержки с автоматическим получением субсидии
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 15–16; реализация зависит от соответствующих условий
Что устанавливает: Три группы обязанностей разработчиков суверенных/национальных БФМ: безопасность, правила эксплуатации, техническая документация
Зачем читать организации: Центральная карта документов и мер для правильного адресата нормы
Дата по ст. 13 / authority: 01.03.2027; Норма закона, с. 16–17
Что устанавливает: Возможность информационного предупреждения, договорное определение его формы/порядка, обязанность ресурсов с заданными признаками
Зачем читать организации: Разделить пользователя, поставщика модели и владельца платформы; не заменять норму лозунгом о всеобщей маркировке
Дата по ст. 13 / authority: 01.03.2027; Норма закона, с. 17–18
Что устанавливает: Уведомления пользователя о правах и использовании результатов; специальное правило обработки объектов авторского/смежного права для обучения
Зачем читать организации: Проверить пользовательское соглашение, интерфейс, датасеты и права
Дата по ст. 13 / authority: 01.03.2027; Норма закона, с. 18–19
Что устанавливает: Отсылка к ответственности по законодательству РФ
Зачем читать организации: Искать конкретный состав и основание ответственности; собственного тарифа штрафов здесь нет
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 20
Что устанавливает: Международное сотрудничество и возможные исключения для определённых направлений
Зачем читать организации: Проверять специальное регулирование конкретного проекта; не обещать свободу любого экспорта
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 20–21
Что устанавливает: Даты, ограниченное переходное исключение до 2032, возможность ЭПР
Зачем читать организации: Сопоставить дату, роль, модель, объект и отдельный режим
Дата по ст. 13 / authority: 01.09.2026; Норма закона, с. 21–22
Кому и при каком условии: Разработчик суверенной/национальной БФМ
Начало / локатор: 01.03.2027, ст. 8 п. 1, с. 16
Что сделать: Определить риски, доступы, безопасные изменения, мониторинг, реагирование; сопоставить с отраслевыми требованиями
Чем подтвердить: Утверждённые меры, владельцы, протоколы проверок, журнал устранения замечаний
Кому и при каком условии: Тот же адресат
Начало / локатор: 01.03.2027, ст. 8 п. 2, с. 16–17
Что сделать: Описать допустимые/недопустимые сценарии, процесс релиза, отката и остановки
Чем подтвердить: Версия регламента, подтверждение доведения, записи об изменении и остановке
Кому и при каком условии: Тот же адресат
Начало / локатор: 01.03.2027, ст. 8 п. 3, с. 17
Что сделать: Документировать модель и окружение; связать риски с проверками
Чем подтвердить: Версионированная документация, model card, результаты испытаний; AI BOM лишь один возможный компонент
Кому и при каком условии: Лицо применяет БФМ для создания такого материала; конкретные роли стороны описывают в сервисе/соглашении
Начало / локатор: 01.03.2027, ст. 9 ч. 1–2, с. 17
Что сделать: Предусмотреть предупреждение и договорные условия формата/порядка
Чем подтвердить: Текст соглашения, доступная функция, запись проверки пользовательского сценария
Кому и при каком условии: Владелец ресурса, соответствующего всем условиям ч. 3 ст. 9
Начало / локатор: 01.03.2027, ст. 9 ч. 3, с. 17–18
Что сделать: Проверить квалификацию ресурса; реализовать пользовательский механизм
Чем подтвердить: Методика аудитории, квалификационный memo, интерфейс/лог проверки функции
Кому и при каком условии: Лицо, предоставляющее возможность применения БФМ; оговорка об ином законодательном правиле
Начало / локатор: 01.03.2027, ст. 10 ч. 1 п. 1, с. 18
Что сделать: Согласовать сведения о правах с реальным договором и моделью использования
Чем подтвердить: Версия условий, показ уведомления, связка версии/даты; не выдумывать права пользователя или компании
Кому и при каком условии: Тот же адресат
Начало / локатор: 01.03.2027, ст. 10 ч. 1 п. 2, с. 19
Что сделать: Описать доступность, сохранение/экспорт, ограничения и фактический механизм сервиса
Чем подтвердить: Пользовательское уведомление и технический read-back заявленных функций
Кому и при каком условии: Претендующий на соответствующий статус разработчик
Начало / локатор: 01.03.2027, ст. 6 ч. 2–5, с. 12–15
Что сделать: Проверить все критерии и действующий порядок подтверждения/учёта
Чем подтвердить: Корпоративная структура, лицензии на компоненты, инфраструктура, статусный документ по действующему порядку
Кому и при каком условии: Обработка/краткосрочная запись для обучения суверенной/национальной БФМ в условиях ч. 2 ст. 10
Начало / локатор: 01.03.2027, ст. 10 ч. 2, с. 19
Что сделать: Юридически квалифицировать источник, операции и цель; отдельно проверить ПДн/тайну/договоры
Чем подтвердить: Provenance датасета, законность доступа, описание операций; Нужна оценка применимости
Кому и при каком условии: Адресаты конкретного акта Правительства; сама ст. 5 даёт полномочие
Начало / локатор: Полномочие с 01.03.2027, ст. 5 ч. 2 п. 3
Что сделать: Найти акт с конкретными случаями и исключениями
Чем подтвердить: Карточка акта, дата и сфера; без него запрет для отрасли Требует отдельной проверки
Кому и при каком условии: Адресаты требований Правительства, если они установлены
Начало / локатор: Полномочие с 01.03.2027, ст. 5 ч. 2 п. 4
Что сделать: Проверить требование и применимость к отрасли
Чем подтвердить: Точный акт/пункт/контроль; не подменять OWASP нормой Правительства
Кому и при каком условии: Только условия ст. 13 ч. 3 относительно случаев по ст. 5 ч. 2 п. 3
Начало / локатор: До 01.09.2032; с. 21
Что сделать: Зафиксировать факт создания/эксплуатации БФМ на контрольную дату и российскую обработку/хранение
Чем подтвердить: Архитектура, договоры ЦОД, версии/журналы; не использовать как отсрочку статей 8–10
Кому и при каком условии: Участник и сценарий соответствующей утверждённой программы
Начало / локатор: Ст. 13 ч. 4, с. 21–22
Что сделать: Найти программу, проверить персональный/предметный охват
Чем подтвердить: Текст программы и подтверждение охвата; общего исключения для всех пилотов нет
Статус: Проверено по источнику, официальная публикация
Практический смысл: Зафиксирован принятый текст; проектная редакция больше не является основной ссылкой
Статус: Проверено по источнику, основная часть вступила в силу
Практический смысл: Определения, принципы, значительная часть компетенции органов и другие неотложенные положения действуют
Статус: Дата этой проверки
Практический смысл: До марта можно определить роли/объекты и подготовить доказательства; это рекомендованный рабочий план, не отдельный законный дедлайн
Статус: Практическое пояснение, рекомендуемая подготовка
Практический смысл: Инвентаризация, квалификация, договорные уведомления, правила эксплуатации, документация и тестирование применимых функций
Статус: Проверено по источнику, принятый будущий этап
Практический смысл: Начинают действовать строго перечисленные нормы; нельзя свести этап только к статье 8 или только к маркировке
Статус: Требует отдельной проверки для будущих редакций и конкретных подзаконных случаев
Практический смысл: Следить за официальными актами; принятие/публикация/вступление могут различаться
Статус: Проверено по источнику, специальное исключение с условиями
Практический смысл: Относится к определённым случаям обязательного применения статусных моделей; не общий иммунитет
Что это и зачем знать: Совокупность технологических решений, имитирующих определённые познавательные функции и дающих сопоставимые/превосходящие человеческие результаты в конкретных задачах. Система включает инфраструктуру, программы и процессы
Статус / источник: Юридическое определение: Проверено по источнику, ст. 3 п. 1 243-ФЗ
Что это и зачем знать: Большая фундаментальная модель; специальная правовая категория с совокупностью признаков. Не синоним любого чат-бота
Статус / источник: Проверено по источнику, ст. 3 п. 2, тот же источник
Что это и зачем знать: Нижняя числовая граница одного признака БФМ. Не количество пользователей, документов, токенов или стоимость сервера
Статус / источник: Проверено по источнику по ст. 3 п. 2; пояснение единицы — Практическое пояснение
Что это и зачем знать: Структурированная/сгруппированная совокупность с машиночитаемым описанием для разработки/развития БФМ
Статус / источник: Проверено по источнику, ст. 3 п. 3
Что это и зачем знать: Подбор значений параметров модели и процесса обучения для формирования/улучшения функций
Статус / источник: Проверено по источнику, ст. 3 п. 4
Что это и зачем знать: ИП/юридическое лицо, выполняющее разработку, проектирование, обучение либо модификацию. Роль определяется действиями
Статус / источник: Проверено по источнику, ст. 3 п. 5
Что это и зачем знать: Категория с критериями контроля разработки, воспроизводимости, инфраструктуры и подтверждения соответствия
Статус / источник: Проверено по источнику, ст. 6 ч. 2; действует с 01.03.2027
Что это и зачем знать: Категория, допускающая указанные в норме открыто лицензированные компоненты и требующая российского контроля существенных характеристик, инфраструктуры и подтверждения
Статус / источник: Проверено по источнику, ст. 6 ч. 3; действует с 01.03.2027
Что это и зачем знать: Специальный критерий контроля; не только регистрация в РФ
Статус / источник: Проверено по источнику, ст. 6 ч. 4; действует с 01.03.2027
Что это и зачем знать: Практическое короткое обозначение адресата ст. 10 ч. 1; это не отдельное определение ст. 3
Статус / источник: Практическое пояснение, ст. 10 ч. 1
Что это и зачем знать: Обозначение применения ИИ в механизме ст. 9. Не равно маркировке интернет-рекламы
Статус / источник: Проверено по источнику, ст. 9; разграничение — Практическое пояснение
Что это и зачем знать: Связанные с критериями ст. 6 процедуры по правилам Правительства. Конкретные порядки нужно отдельно проверить
Статус / источник: Проверено по источнику о делегировании, ст. 6; Требует отдельной проверки о проверенном действующем порядке
Что это и зачем знать: Экспериментальный правовой режим: специальное регулирование в пределах утверждённой программы; пилот без программы не является ЭПР
Статус / источник: Норма и пояснение, ст. 13 ч. 4
Что это и зачем знать: Большая языковая модель для обработки/генерации языка. Техническое название само по себе не доказывает все признаки юридической БФМ
Статус / источник: Техническая методика, OWASP glossary + ст. 3
Что это и зачем знать: Модель вычисляет результат; система также содержит данные, приложения, инфраструктуру и доступы. Для проверки нужны обе границы
Статус / источник: Практическое пояснение, техническое объяснение; NIST
Что это и зачем знать: Числовые величины, определяющие вычисления модели. Число параметров следует подтверждать документацией именно используемой версии
Статус / источник: Практическое пояснение, ст. 3 п. 4 и техническое объяснение
Что это и зачем знать: Единица представления входа/выхода и объём одновременно обрабатываемого контекста. Токены не являются параметрами модели
Статус / источник: Техническая методика, OWASP glossary
Что это и зачем знать: Retrieval-Augmented Generation: ответ формируется с использованием найденных внешних материалов. Следует контролировать доступ к источникам и их достоверность
Статус / источник: Техническая методика, оригинальная работа Lewis и соавторов
Что это и зачем знать: Дополнительное обучение уже подготовленной модели на выбранных данных. Требует проверки прав/данных и влияния на роль разработчика
Статус / источник: Техническая методика, OWASP glossary; правовая квалификация — Практическое пояснение
Что это и зачем знать: Получение результата работающей моделью. Его инфраструктура и потоки данных могут отличаться от контура обучения
Статус / источник: Практическое пояснение, техническое пояснение для проверки ст. 6
Что это и зачем знать: Система, использующая модель и инструменты для выполнения задач и действий. Важны разрешения, ограничения и подтверждение опасных операций
Статус / источник: Техническая методика, OWASP glossary
Что это и зачем знать: Программный интерфейс взаимодействия. Использование API описывает способ доступа, а не юридическое освобождение
Статус / источник: Техническое пояснение Практическое пояснение; юридическая роль — ст. 10 ч. 1
Что это и зачем знать: Числовое представление данных для сопоставления/поиска. Перевод документа в вектор не доказывает его обезличивание или отсутствие конфиденциальности
Статус / источник: Техническая методика, OWASP glossary; оценка данных — Практическое пояснение
Что это и зачем знать: Опись состава ИИ: в инженерных форматах может описывать модель, данные и зависимости. На этой странице New-SST термин дополнительно используется для внутреннего реестра организационных ИИ-активов; эти два масштаба нужно явно различать
Статус / источник: Техническая методика, CycloneDX ML-BOM; расширение до реестра компании — редакционная методика
Что это и зачем знать: Машиночитаемый состав модели/данных/зависимостей, например в CycloneDX. Не удостоверяет законность всех компонентов самим фактом создания файла
Статус / источник: Техническая методика, CycloneDX
Что это и зачем знать: Опись программных компонентов и связей. Для ИИ полезна рядом с данными о модели и датасетах
Статус / источник: Техническая методика, CycloneDX overview
Что это и зачем знать: Краткое структурированное описание модели, назначения, результатов оценивания и ограничений. Полезно для документации; не автоматически вся документация по закону
Статус / источник: Техническая методика, CycloneDX model cards
Что это и зачем знать: Происхождение и история получения/изменения данных или компонента. Позволяет связать актив с источником, правами и версией
Статус / источник: Техническая методика, CycloneDX ML-BOM
Что это и зачем знать: Практическое обозначение использования ИИ вне согласованного учёта организации. Не отдельный состав правонарушения из 243-ФЗ
Статус / источник: Авторское техническое пояснение Практическое пояснение
Что это и зачем знать: Управление поведением модели через недоверенные инструкции во входных данных/источниках. Нужно проверять границу доверия между содержимым и командами
Статус / источник: Техническая методика, NIST AI 100-2e2025
Что это и зачем знать: Попытка обойти ограничения поведения модели. Успешное или неуспешное испытание не доказывает безопасность всей системы
Статус / источник: Техническая методика, NIST AI 100-2e2025
Что это и зачем знать: Злонамеренное изменение данных/контекста для влияния на поведение или результат
Статус / источник: Техническая методика, NIST
Что это и зачем знать: Согласованные adversarial испытания. Нужны точные границы, разрешение владельца системы и доказуемые результаты
Статус / источник: Техническая методика, OWASP glossary; лицензирование конкретных работ проверяется отдельно
Что это и зачем знать: Ограничения входов/выходов/инструментов и прав. Один фильтр не даёт гарантии отсутствия утечки
Статус / источник: Авторское техническое пояснение Практическое пояснение
Что это и зачем знать: Методический каталог рисков сообщества. Наличие такого тестирования само по себе не равно соблюдению российского закона
Статус / источник: Техническая методика, официальная версия 2026
Что это и зачем знать: Развёртывание в инфраструктуре организации. Не автоматический статус суверенной модели и не универсальное подтверждение локализации всех потоков
Статус / источник: Техническое пояснение Практическое пояснение, сопоставление со ст. 6
Что это и зачем знать: Центр обработки данных. В ст. 6 имеют значение одновременно территория и принадлежность ЦОД
Статус / источник: Проверено по источнику, ст. 6 ч. 2 п. 4 и ч. 3 п. 4
Что это и зачем знать: Персональные данные / информационная система их обработки. Для ИИ важно, какие лица определимы из входов, источников, журналов и результатов
Статус / источник: LAW 152-ФЗ, официальная копия Минтруда; её редакция до 24.06.2025, актуальная полнота Требует отдельной проверки
Что это и зачем знать: Государственная информационная система / критическая информационная инфраструктура. Это разные режимы, требующие проверки объекта и субъекта
Статус / источник: `ISSUE_SPOTTING`; отдельные источники ФСТЭК/187-ФЗ, актуальная применимость Требует отдельной проверки
Что это и зачем знать: Техническая защита конфиденциальной информации / средства защиты конфиденциальной информации. Для лицензирования важен конкретный вид деятельности
Статус / источник: Проверено по источнику, ст. 12 ч. 1 п. 4–5 99-ФЗ
Это Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации», официально опубликованный 26.07.2026 под номером 0001202607260003. Часть положений действует с 01.09.2026, перечисленные в статье 13 нормы — с 01.03.2027. Норма закона, ст. 13.
Вступают в силу пункты 3–5 части 2 статьи 5, части 2–5 статьи 6 и статьи 8–10: отдельные полномочия Правительства, критерии/статусы моделей, обязанности определённых разработчиков, механизм предупреждения об ИИ и положения об интеллектуальных правах. Норма закона, ст. 13 ч. 2.
Предмет закона связан с большими фундаментальными моделями. Для конкретной обязанности проверяются признаки БФМ и роль участника. Иная ИИ-система может подпадать под другие требования к данным, информации и безопасности. Норма и пояснение, ст. 1, 3.
Нет. Число параметров — один элемент определения БФМ. Кроме того, статья 8 адресована разработчикам суверенных и национальных БФМ; эти статусы имеют отдельные критерии. Норма и пояснение, ст. 3 п. 2, ст. 6, 8.
Автоматического исключения нет. Нужно установить вашу роль. Если сервис предоставляет пользователям возможность применения БФМ, важна часть 1 статьи 10 об уведомлениях по правам и использованию результатов. Норма и пояснение, ст. 10 ч. 1.
Статья 8 требует организационных и технических мер безопасности, правил эксплуатации с ограничениями/условиями, обновлением и выводом, а также технической документации о ключевых параметрах и ограничениях для оценки безопасности. Норма закона, ст. 8.
Одного сервера недостаточно. Статья 6 предусматривает требования к разработчику, контролю характеристик, компонентам, инфраструктуре и подтверждению соответствия; порядок учёта и статуса устанавливает Правительство. Норма и пояснение, ст. 6.
Универсальной обязанности каждого автора помечать каждый ИИ-материал статья 9 не устанавливает. Она регулирует возможность предупреждения и обязанности ресурсов с указанными признаками. Иные нормы и условия конкретной площадки проверяются отдельно. Норма и пояснение, ст. 9.
Часть 3 статьи 9 говорит о суточном доступе более 500 тысяч пользователей из России и содержит дополнительные признаки ресурса. Ровно 500 тысяч, число регистраций или месячная аудитория не заменяют этот критерий. Норма и пояснение, ст. 9 ч. 3.
Лицо, предоставляющее возможность применения БФМ, уведомляет о принадлежности прав и условиях доступа, использования и сохранения результатов при технической возможности, если законодательство не предусматривает иное. Норма закона, ст. 10 ч. 1.
Такой общий вывод неверен. Часть 2 статьи 10 описывает конкретные операции, цель обучения суверенной/национальной БФМ и условия доступа к объекту. Для датасета отдельно проверяются права, персональные данные, ограничения и договоры. Норма и пояснение, ст. 10 ч. 2; индивидуальный вывод требует юриста по ИС.
Статья 11 не содержит собственного перечня сумм и отсылает к законодательству РФ. Ответственность за конкретное нарушение определяется отдельной применимой нормой. Норма закона, ст. 11.
Нет общего максимума 15 млн для любой утечки. 420-ФЗ ввёл разные составы, включая биометрические данные и повторные нарушения; конкретную действующую норму КоАП нужно определить по обстоятельствам. Норма и пояснение, 420-ФЗ, ст. 1 п. 6.
Проверенный текст не устанавливает для каждой компании отдельную обязательную форму AI BOM. Реестр может помочь учёту активов и подготовке документации, но не заменяет требования закона. Норма и пояснение, ст. 8 и полный проверенный текст.
В этом материале — внутренний реестр моделей, сервисов, данных, владельцев и рисков. Инженерный ML-BOM может описывать состав отдельной модели и зависимости. Масштаб документа нужно указать при его создании. `TECHNICAL_GUIDANCE/INFERENCE`, CycloneDX.
Обычно RAG добавляет найденный контекст к запросу, а дообучение меняет параметры модели. В конкретной архитектуре процессы могут сочетаться, поэтому юридическую роль определяют по фактическим операциям. `TECHNICAL_GUIDANCE/INFERENCE`, оригинальная работа RAG, ст. 3 п. 4–5.
Нет: это технические материалы сообщества. Их можно использовать как часть методики тестирования, но нельзя объявлять проверку по OWASP сертификатом соблюдения 243-ФЗ. На дату исследования официальный проект публикует выпуск LLM Top 10 2026. Техническая методика, OWASP.
Нет. Часть 3 статьи 13 касается определённых случаев применения только статусных моделей и содержит условия по БФМ на 01.03.2027 и обработке/хранению данных в России. Она не откладывает все статьи закона. Норма и пояснение, ст. 13 ч. 3.
Решение зависит от реального состава работ и объекта защиты. Названия «аудит», «тестирование» или «консалтинг» недостаточно. Для лицензируемой деятельности проверяют действующую лицензию исполнителя и перечень работ. Норма и пояснение, 99-ФЗ, ст. 12.
Соберите модели и сервисы, роли организаций, данные и места обработки. Затем сопоставьте факты со статьями закона, проверьте подзаконные правила и подготовьте нужные документы, уведомления и меры. Это рекомендуемый порядок работы, а не установленная законом универсальная форма. Практическое пояснение из ст. 3, 6, 8–10, 13.
Для начала нужны описание системы, используемые модели, роли участников, данные и места их обработки. Состав, стоимость и срок работ определяются в согласованном предложении.
Описать проектУточняющие статьи проверяются отдельно; при расхождении с пересказом ориентируйтесь на официальный текст закона.
