Когда компании полезен аудит ИИ
Аудит помогает понять, какие системы уже используются, куда передаются данные и какие требования относятся к конкретному процессу. Само наличие чат-бота не означает, что компания обязана покупать аудит или регистрировать каждый ИИ-сервис. Название «аудит по 243-ФЗ» описывает направление проверки, а не отдельную государственную сертификацию.
Начать стоит с задачи: запуск клиентского помощника, внедрение RAG, проверка внешних нейросетей сотрудников, закупка ИИ-продукта или ответ на конкретный запрос заказчика. От задачи зависит состав обследования. Если применимость нормы не установлена, это фиксируют как вопрос для проверки, а не как готовое нарушение.
Бесплатная самопроверка: семь вопросов
- Какие ИИ-сервисы, модели и интеграции используются в компании? Кто за них отвечает?
- Какие сведения сотрудники и клиенты вводят в запросы: открытые материалы, персональные данные, договоры, коммерческая тайна?
- Куда попадают запросы, вложения, ответы и журналы? Кто имеет к ним доступ?
- Используются ли данные для обучения, сколько они хранятся и как удаляются?
- Какие действия агент может выполнить сам: отправить письмо, изменить CRM, создать документ, провести операцию?
- Где требуется решение человека и как остановить ошибочное действие?
- Какие доказательства нужны заказчику: схема потоков данных, тесты, договорные условия, регламент или правовой анализ?
Список можно использовать самостоятельно без регистрации. Для первого обсуждения достаточно описания процесса и используемых систем. Не прикладывайте к обычной заявке пароли, ключи, клиентские базы и документы с персональными данными.
Что можно включить в обследование
| Блок | Проверяем | Результат |
|---|---|---|
| Инвентаризация | Сервисы, модели, владельцы процессов и интеграции | Внутренний перечень ИИ-систем; он не подменяет государственный учёт моделей |
| Данные и доступ | Передачу через интерфейс, API и логи; права пользователей; хранение и удаление | Схему потоков и перечень рисков с подтверждениями |
| Полномочия агентов | Разрешённые инструменты, подтверждение действий, остановку и восстановление | Матрицу действий и проверяемые ограничения |
| Качество | Ответы на согласованном наборе вопросов, ссылки на источники, отказы и передачу человеку | Протокол испытаний с наблюдаемыми ошибками |
| Документы | Условия поставщиков, распределение ответственности и применимость требований к данным | Перечень вопросов для правовой проверки и согласованные проекты документов |
| План изменений | Приоритеты, зависимости, стоимость и ответственных | Дорожную карту с разделением обязательных мер и рекомендаций |
Как связаны аудит и закон об ИИ
243-ФЗ от 26.07.2026 нужно применять по конкретной норме: учитывать роль участника, признаки модели, статус и дату действия положения. Он не заменяет требования к персональным данным, информации, интеллектуальным правам и договорные обязательства. Проверка этих вопросов не сводится к одной галочке «ИИ соответствует закону».
В частности, уведомление об обработке персональных данных и обсуждения об учёте моделей — разные предметы проверки. В смете не должно появляться универсальное «уведомление РКН об использовании ИИ» без установленного основания. Для конкретного юридического заключения нужны документы компании и профильный российский юрист.
Как проходит работа
- Согласование задачи. Определяем процесс, системы, доступные материалы, границы и ожидаемые результаты.
- Сбор подтверждений. Изучаем согласованные схемы, настройки и договорные сведения. Условия доступа и передачи материалов фиксируем заранее.
- Проверка. Сопоставляем наблюдаемое поведение с требованиями проекта и применимыми нормами; отдельно отмечаем непроверенное.
- Разбор результата. Показываем основания выводов и порядок исправлений. Состав внедрения или сопровождения согласуется отдельно.
Цены и состав предложения
Опубликованные ориентиры New-SST: ревизия ИИ-активов — от 70 000 ₽, полный аудит с дорожной картой — от 150 000 ₽. Итоговая стоимость зависит от числа систем, доступов, объёма документов и согласованных проверок. Объём, сроки, налоговые условия и исключения фиксируются в КП и договоре.
Попросите разделить обследование, юридическую экспертизу, исправления и дальнейшее сопровождение. Аудит не означает автоматическое выполнение всех доработок, выдачу государственной лицензии или гарантированное принятие отчёта регулятором, банком либо заказчиком.
Что выбрать после обследования
- Нужны ответы по базе знаний — разработка ИИ-ассистента.
- Нужен поиск по документам с источниками — RAG и LLM-интеграции.
- Нужны действия в рабочих системах — разработка ИИ-агента.
- Нужно сравнить форматы покупки — готовое решение или разработка под заказ.
Частые вопросы
Аудит обязателен для каждого чат-бота?
Такой универсальной обязанности сам 243-ФЗ не устанавливает. Обследование выбирают по задаче, рискам и требованиям конкретного проекта.
Нужно ли уведомление РКН об использовании любого ИИ?
Всеобщая обязанность уведомлять РКН о каждом ИИ-сервисе здесь не подтверждена. Обязанности оператора персональных данных рассматриваются отдельно по фактам обработки и применимым нормам.
Что входит в стоимость?
Согласованный объём инвентаризации, проверки данных и доступа, испытаний и отчёта. Разработку исправлений, юридическую экспертизу и сопровождение нужно отдельно обозначить в предложении.
Гарантирует ли аудит одобрение регулятора?
Нет. Отчёт фиксирует выполненные проверки и их результаты. Решение регулятора, банка или заказчика не может быть гарантировано техническим обследованием.