420-ФЗ регулирует объекты ИИ-инфраструктуры в России. Разбираем простым языком: кого касается, какие требования, чем грозит игнорирование и как подготовиться за 2–4 недели.
Два сценария, в которых требования закона становятся вашими — напрямую или через заказчиков и процессы.
Если компания создаёт или эксплуатирует объект ИИ-инфраструктуры — вычислительные мощности и инфраструктуру под задачи искусственного интеллекта стоимостью от 500 млн ₽ — закон вводит требования уже на этапе создания и продолжает действовать при эксплуатации. Проверьте, попадает ли ваш объект под критерии: порог считается по совокупности, и его иногда «проходят» незаметно, когда несколько проектов складываются в один объект.
Даже без собственного дата-центра требования доходят до вас через процессы: сотрудники работают с LLM-сервисами, ИИ встроен в продукт, крупный заказчик запрашивает документы. В этом сценарии нужны регламенты работы с ИИ, классификация данных и управление доступами. Проверьте, оформлены ли они — именно это спрашивают заказчики и проверяющие в первую очередь.
Коротко о нормативах, под которые мы готовим компании, — и что по каждому стоит проверить уже сейчас.
| Норматив | Суть для бизнеса |
|---|---|
| 420-ФЗ | Вводит требования к объектам ИИ-инфраструктуры — на этапах создания и эксплуатации. Проверьте, попадает ли ваш объект под закон, и какой комплект документов к нему нужен. |
| ПП РФ №127 | Определяет порядок в сфере объектов ИИ-инфраструктуры. От него зависит состав документов, которые стоит иметь к проверке, — проверьте, что ваш комплект актуален. |
| Требования НКЦКИ при ФСБ России | Для ряда систем предусмотрены взаимодействие и отчётность при компьютерных инцидентах. Проверьте, что в регламенте есть процедура: кого уведомлять, в какие сроки, кто за это отвечает. |
| Профили защиты ФСТЭК России | Ориентир по мерам защиты информации. Проверьте, что политики доступа и регламенты работы с данными соответствуют выбранному профилю защиты. |
Материал носит информационный характер, нормы не пересказываются дословно и не является юридической консультацией. Применимость конкретных требований к вашей ситуации определяем на аудите.
Требования никуда не денутся — вопрос лишь в том, встретите вы их спокойно или под давлением обстоятельств.
Крупный заказчик просит регламент работы с ИИ и документы по данным. Без них контракт или тендер откладывается — в пользу тех, у кого бумаги готовы.
Проверка с предписанием и сжатыми сроками обходится дороже спокойной подготовки. Утечка персональных данных по 152-ФЗ оборачивается штрафом по ст. 13.11 КоАП — до 15 млн ₽.
ИИ уже встроен в процессы, но никто не может ответить, какие данные он обрабатывает и куда передаёт. Оценить это до проверки или инцидента без регламента не получится.
При готовой методике весь путь занимает 2–4 недели — точный срок фиксируем в КП до старта.
Находим все ИИ-сервисы в работе компании — от официальных подписок до личных аккаунтов сотрудников. Без полной карты дальше двигаться бессмысленно.
Размечаем, какие данные проходят через ИИ: клиентские, финансовые, персональные. Присваиваем уровни критичности и определяем, что нельзя передавать во внешние сервисы.
Фиксируем правила: какие сервисы разрешены и для каких задач, кто и к каким данным имеет доступ, как действовать при инциденте. Коротко и выполнимо.
Собираем комплект под требования 420-ФЗ, ПП РФ №127, НКЦКИ при ФСБ России и профили защиты ФСТЭК России: политики, процедуры, отчётные материалы.
Актуализируем документы при изменениях в компании и требованиях, поддерживаем при проверках и запросах заказчиков — регламент не устаревает.
Можно начать с быстрой «Ревизии» и дойти до полного цикла — каждый следующий пакет включает предыдущий.
Быстрый аудит — с чего начинают, чтобы увидеть полную картину.
Аудит плюс базовые правила работы с ИИ.
Полный цикл подготовки к требованиям 420-ФЗ.
Документы остаются актуальными, а вы — готовыми к проверкам.
Состав и стоимость каждого пакета фиксируются в КП и договоре.
Напрямую — компании, создающие или эксплуатирующие объекты ИИ-инфраструктуры стоимостью от 500 млн ₽: закон вводит требования к их созданию и эксплуатации. Косвенно — всех, кто встроил ИИ в процессы: требования приходят через крупных заказчиков, регламенты, классификацию данных и доступы. Применимость конкретных норм к вашей ситуации определяем на аудите.
Да, и именно в этом сценарии риски самые заметные: рабочие данные уходят во внешние сервисы, а правил работы с ними в компании нет. Регламент использования LLM и классификация данных закрывают основную часть вопросов заказчиков и проверяющих — независимо от того, чья модель используется.
Обычно 2–4 недели при готовой методике: «Ревизия» — быстрее, полный комплект с внедрением — дольше. Точный срок зависит от количества систем и данных и фиксируется в КП до старта работ.
Нет. Наша услуга — консалтинг и подготовка документов: аудит, регламенты, политики, комплекты под требования регуляторов. Для такой работы лицензирование не требуется. Мы не проводим аттестацию и не выдаём сертификаты соответствия — итоговую оценку даёт регулятор.
До первого триггера — ничего. Дальше сценарии известны: запрос крупного заказчика без документов, проверка с предписанием, штраф за утечку персональных данных по ст. 13.11 КоАП — до 15 млн ₽. Подготовка заранее стоит заметно дешевле, чем устранение последствий в сжатые сроки.
С малого: пройдите чек-лист готовности к 420-ФЗ и самостоятельно увидите разрывы. Затем закажите «Ревизию» за 70 000 ₽ — получите карту сервисов и данных и поймёте, какие требования применимы и нужен ли следующий шаг.
Пришлите два-три предложения о ваших ИИ-сервисах и данных — ответим с оценкой подготовки, составом работ и стоимостью по вашему объёму.