ИИ-комплаенс компании в 2026 году — это два отдельных контура: готовность к закону об ИИ 243-ФЗ (общая часть действует с 01.09.2026, обязанности разработчиков и правила маркировки — с 01.03.2027; собственных штрафов закон не вводит) и защита от утечек персональных данных по 420-ФЗ (ответственность по применимой части ст. 13.11 КоАП зависит от данных, масштаба и повторности; 15 млн ₽ не являются общим максимумом).
Подготовка при готовой методике занимает 2–4 недели: инвентаризация, классификация данных, регламент LLM, комплект документов.
Комплаенс ИИ-проекта в России — это готовность к закону об ИИ 243-ФЗ (этапы: 01.09.2026 и 01.03.2027) плюс защита от утечек персональных данных по 420-ФЗ (ответственность по применимой части ст. 13.11 КоАП; 15 млн ₽ не являются общим максимумом). Разбираем простым языком: кого касается, какие требования, чем грозит игнорирование и как подготовиться за 2–4 недели.
Два сценария, в которых требования закона становятся вашими — напрямую или через заказчиков и процессы.
ИИ-сервисы, которые обрабатывают ПДн клиентов или сотрудников, попадают в зону этого закона. 420-ФЗ от 30.11.2024 — поправки в КоАП: крупные штрафы за утечки персональных данных (ответственность по применимой части ст. 13.11 КоАП зависит от данных, масштаба и повторности; 15 млн ₽ не являются общим максимумом). Проверьте процессы: где хранятся данные, кто имеет доступ, что происходит при инциденте и как вы документируете защиту.
Даже без собственного дата-центра требования доходят до вас через процессы: сотрудники работают с LLM-сервисами, ИИ встроен в продукт, крупный заказчик запрашивает документы. В этом сценарии нужны регламенты работы с ИИ, классификация данных и управление доступами. Проверьте, оформлены ли они — именно это спрашивают заказчики и проверяющие в первую очередь.
Коротко о нормативах, под которые мы готовим компании, — и что по каждому стоит проверить уже сейчас.
| Норматив | Суть для бизнеса |
|---|---|
| 420-ФЗ | Штрафы за утечки персональных данных — поправки в КоАП (ст. 13.11): размер зависит от применимой части ст. 13.11 КоАП, категории данных, масштаба и повторности; 15 млн ₽ не являются общим максимумом. Проверьте процессы работы с ПДн в ИИ-сервисах и закройте разрывы. |
| 243-ФЗ | Закон об ИИ от 26.07.2026: регулирует большие фундаментальные модели — суверенные и национальные (порог — от 1 млрд параметров). Общая часть действует с 01.09.2026, обязанности разработчиков и правила маркировки — с 01.03.2027; собственных штрафов закон не вводит. Проверьте применимость, если строите или дообучаете модели. |
| ПП РФ №127 | Определяет порядок в сфере объектов ИИ-инфраструктуры. От него зависит состав документов, которые стоит иметь к проверке, — проверьте, что ваш комплект актуален. |
| Требования НКЦКИ при ФСБ России | Для ряда систем предусмотрены взаимодействие и отчётность при компьютерных инцидентах. Проверьте, что в регламенте есть процедура: кого уведомлять, в какие сроки, кто за это отвечает. |
| Профили защиты ФСТЭК России | Ориентир по мерам защиты информации. Проверьте, что политики доступа и регламенты работы с данными соответствуют выбранному профилю защиты. |
Материал носит информационный характер, нормы не пересказываются дословно и не является юридической консультацией. Применимость конкретных требований к вашей ситуации определяем на аудите.
243-ФЗ от 26.07.2026: общая часть действует с 01.09.2026; обязанности для разработчиков и правила маркировки вступают в силу с 01.03.2027. Маркировка ИИ-контента для авторов — добровольная; закон собственных штрафов не вводит. Штрафы за утечки ПДн — нормы 420-ФЗ от 30.11.2024 (ст. 13.11 КоАП). Актуально на: 18.09.2026.
Требования никуда не денутся — вопрос лишь в том, встретите вы их спокойно или под давлением обстоятельств.
Крупный заказчик просит регламент работы с ИИ и документы по данным. Без них контракт или тендер откладывается — в пользу тех, у кого бумаги готовы.
Проверка с предписанием и сжатыми сроками обходится дороже спокойной подготовки. Утечка персональных данных по 152-ФЗ оборачивается ответственностью по применимой части ст. 13.11 КоАП; 15 млн ₽ не являются общим максимумом.
ИИ уже встроен в процессы, но никто не может ответить, какие данные он обрабатывает и куда передаёт. Оценить это до проверки или инцидента без регламента не получится. С чего начать — подсказывает тест зрелости защиты ИИ из 20 вопросов.
При готовой методике весь путь занимает 2–4 недели — точный срок фиксируем в КП до старта.
Находим все ИИ-сервисы в работе компании — от официальных подписок до личных аккаунтов сотрудников. Без полной карты дальше двигаться бессмысленно. Помогает AI BOM — реестр ИИ-активов: фиксируем каждую модель, сервис и интеграцию.
Размечаем, какие данные проходят через ИИ: клиентские, финансовые, персональные. Присваиваем уровни критичности и определяем, что нельзя передавать во внешние сервисы.
Фиксируем правила: какие сервисы разрешены и для каких задач, кто и к каким данным имеет доступ, как действовать при инциденте. Коротко и выполнимо.
Собираем комплект: готовность к 243-ФЗ (закон об ИИ), требования ПП РФ №127, НКЦКИ при ФСБ России и профили защиты ФСТЭК России, а по данным — защита от утечек по 152-ФЗ и 420-ФЗ: политики, процедуры, отчётные материалы.
Актуализируем документы при изменениях в компании и требованиях, поддерживаем при проверках и запросах заказчиков — регламент не устаревает.
Можно начать с быстрой «Ревизии» и дойти до полного цикла — каждый следующий пакет включает предыдущий.
Быстрый аудит — с чего начинают, чтобы увидеть полную картину.
Аудит плюс базовые правила работы с ИИ.
Полный цикл: готовность к 243-ФЗ и защита от утечек по 420-ФЗ.
Документы остаются актуальными, а вы — готовыми к проверкам.
Состав и стоимость каждого пакета фиксируются в КП и договоре.
Два разных закона. 243-ФЗ (от 26.07.2026) — закон об ИИ: общая часть действует с 01.09.2026, обязанности разработчиков и правила маркировки — с 01.03.2027; собственных штрафов не вводит. 420-ФЗ (от 30.11.2024) — поправки в КоАП о штрафах за утечки персональных данных (ответственность по применимой части ст. 13.11 КоАП зависит от данных, масштаба и повторности; 15 млн ₽ не являются общим максимумом); касается всех, кто обрабатывает ПДн. Применимость конкретных норм к вашей ситуации определяем на аудите.
Да, и именно в этом сценарии риски самые заметные: рабочие данные уходят во внешние сервисы, а правил работы с ними в компании нет. Регламент использования LLM и классификация данных закрывают основную часть вопросов заказчиков и проверяющих — независимо от того, чья модель используется.
Обычно 2–4 недели при готовой методике: «Ревизия» — быстрее, полный комплект с внедрением — дольше. Точный срок зависит от количества систем и данных и фиксируется в КП до старта работ.
Необходимость лицензии определяется фактическим составом работ и объектом защиты. Название «консалтинг» или «аудит» само по себе не освобождает от лицензирования. Действующую лицензию исполнителя и её перечень работ проверяют до начала соответствующих работ. Мы не проводим аттестацию и не выдаём сертификаты соответствия — итоговую оценку даёт регулятор.
До первого триггера — ничего. Дальше сценарии известны: запрос крупного заказчика без документов, проверка с предписанием, ответственность за утечку по применимой части ст. 13.11 КоАП; 15 млн ₽ не являются общим максимумом. Подготовка заранее стоит заметно дешевле, чем устранение последствий в сжатые сроки.
С малого: пройдите чек-лист готовности ИИ-проекта и самостоятельно увидите разрывы. Затем закажите «Ревизию» за 70 000 ₽ — получите карту сервисов и данных и поймёте, какие требования применимы и нужен ли следующий шаг.
Пришлите два-три предложения о ваших ИИ-сервисах и данных — ответим с оценкой подготовки, составом работ и стоимостью по вашему объёму.
