Чек-лист готовности к 243-ФЗ: проверьте организацию до 1 марта 2027 года

Как пользоваться чек-листом

Пройдите блоки по порядку: результаты предыдущего становятся входом следующего. По каждому пункту фиксируйте статус «готово / в работе / не применимо» и дату. Если пункт «не применимо» — записывайте обоснование: при внутренней проверке или вопросах контрагентов обоснование ценнее галочки. Финал — протокол готовности с подписью ответственного.

Блок 1. Инвентаризация ИИ

• [ ] Составлен перечень всех ИИ-сервисов и ML-систем: собственные, вендорские, встроенные в корпоративное ПО.
• [ ] Выявлен теневой ИИ: опрос подразделений и анализ трафика к публичным нейросетям.
• [ ] Для каждой системы указаны: владелец, цель, класс обрабатываемых данных, контур развёртывания.
• [ ] Реестр оформлен как живой документ (основа — AI BOM); назначен ответственный за актуальность.
• [ ] Системы в составе ГИС помечены отдельно — на них распространяются требования приказов ФСТЭК и ФСБ.

Блок 2. Периметр закона

• [ ] Определено, есть ли собственные модели с параметрами от 1 млрд — порог больших фундаментальных моделей.
• [ ] Для дообученных моделей зафиксировано, чья база и кто несёт обязанности по 243-ФЗ (проверьте договор).
• [ ] Систематизированы сценарии с персональными данными: основание обработки по 152-ФЗ для каждого.
• [ ] Понятен статус организации: пользователь сервисов / оператор ИИ-системы / разработчик моделей.
• [ ] Направлен запрос вендорам ключевых ИИ-сервисов: как они готовятся к 01.03.2027.

Блок 3. Документы и роли

• [ ] Утверждён регламент использования ИИ сотрудниками: разрешённые сервисы, правила данных, порядок согласования.
• [ ] Политика в отношении маркировки публикуемого ИИ-контента принята (добровольная, но осознанная).
• [ ] Назначен ответственный за ИИ-комплаенс, определён канал сообщений об инцидентах.
• [ ] Порядок реакции на утечки через ИИ-сервисы включён в план реагирования (нормы 420-ФЗ о штрафах действуют с 30.05.2025).
• [ ] Внутренние шаблоны договоров дополнены оговорками о законодательстве об ИИ.

Блок 4. Договоры и закупки

• [ ] Договоры с поставщиками ИИ-сервисов содержат условие соответствия требованиям об ИИ на дату оказания услуги.
• [ ] Права на данные и модели в договорах с подрядчиками описаны явно: кто владеет результатом дообучения.
• [ ] Закупки ИИ-сервисов по 44-ФЗ сверены с национальным режимом постановления № 1875 и позициями КТРУ.
• [ ] Для облачных ИИ-сервисов проверена локализация обработки персональных данных (требования 152-ФЗ).
• [ ] NDA и политики конфиденциальности охватывают передачу материалов в модели третьих лиц.

Блок 5. Люди и мониторинг

• [ ] Руководители прошли короткий брифинг: что закон требует и чего не требует.
• [ ] Сотрудники знают правило обращения с чувствительными данными во внешних сервисах.
• [ ] Разработчики ознакомлены с практиками безопасного ИИ-кодинга.
• [ ] Настроен мониторинг подзаконных актов к 243-ФЗ (pravo.gov.ru, regulation.gov.ru) с назначенным исполнителем.
• [ ] Дата пересмотра чек-листа назначена: март 2027 и далее — ежеквартально.

Сводная таблица готовности

25 пунктов — ориентир для средней организации. Если первые два блока дали «только пользователь сервисов», смело отмечайте «не применимо» в пунктах про модели и сосредоточьтесь на блоках 3–5.

Что делать с пробелами

Каждый незакрытый пункт превращайте в задачу с датой и исполнителем — логика планирования описана в дорожной карте по 243-ФЗ. Для пунктов, зависящих от подзаконных актов (детальный порядок маркировки), создавайте задачи-«заглушки» с триггером на выход акта. И помните главные «не»: не нужен сертификат соответствия, не обязательна маркировка для авторов, не существует реестра моделей — разбор заблуждений в статье о мифах вокруг 243-ФЗ.

Хотите внешний аудит по чек-листу с заключением и планом доработок — оставьте заявку: НЬЮ-ССТ проверяет ИИ-контур организаций и готовит документы под ключ.

Практический вывод

Чек-лист работает, когда его проходят не глазами, а руками: по каждому пункту фиксируется статус, ответственный и следующее действие. Последовательность блоков отражает логику подготовки — сначала инвентаризация ИИ, затем определение периметра закона, затем документы и роли. Организация, закрывшая блоки в этом порядке, получает не разрозненные артефакты, а связанную систему: реестр опирается на инвентаризацию, регламенты — на периметр, ответственность — на роли. Повторный проход по чек-листу имеет смысл при существенных изменениях в законе или в парке используемых систем.