Что уже действует
243-ФЗ от 26.07.2026 (опубликован 27.07.2026) вводится поэтапно. С 01.09.2026 работает его общая часть: понятия, принципы, полномочия госорганов, статусы моделей и меры поддержки — обязанностей для бизнеса с этой даты нет. Собственных штрафов закон не вводит: ответственность отсылочная к действующим кодексам, и реальные финансовые риски связаны не с самим 243-ФЗ, а с утечками персональных данных, штрафы за которые достигают 15 млн ₽. Отсюда практический фокус подготовки заказчика: не выдумывать обязанности, а аккуратно держать границы — что уже требует закон, что вступит позже, что остаётся доброй практикой управления данными.
Что будет с 01.03.2027
Второй этап, с 01.03.2027, вводит обязанности разработчиков: правила маркировки сгенерированного контента, режим РИД для моделей и данных — часть 2 закона. Важно понимать периметр: закон ориентирован на разработчиков моделей от 1 млрд параметров — это крупные лаборатории, а не средний бизнес и не заказчики внедрений. Если вы внедряете готовую модель через подрядчика, обязанности разработчика лежат на том, кто модель создал. Задача заказчика — убедиться, что они действительно лежат там, где им место по закону, а не «по умолчанию» переехали на вас по невнимательности при подписании.
Что это значит для заказчика практически
- Договор с подрядчиком: пропишите, кто из сторон отвечает за маркировку контента, соответствие требованиям к разработчику и передачу данных для обучения; если подрядчик — разработчик, обязанности должны быть закреплены за ним.
- Учёт ИИ-активов: закон реестра не вводит, но без внутреннего учёта (какие модели, датасеты, агенты и где работают) компания не ответит на вопросы регулятора и не оценит собственные риски. Как вести такой реестр — в гайде как вести реестр ИИ-активов по 243-ФЗ.
- Переходный период до 2032: требования входят в силу постепенно, панические проекты «сделать 243-ФЗ за неделю» не нужны — нужна ровная подготовка.
- Сквозная гигиена 152-ФЗ: заказчик остаётся оператором персональных данных независимо от 243-ФЗ — согласия, локализация, поручения обработки действуют как раньше.
Частые крайности
Одна крайность — «закон ничего не требует, забудьте»: через полгода такие компании обнаруживают, что их подрядчик-разработчик не маркирует контент, а вопросы уже к обеим сторонам. Другая — «с 1 марта всё запрещают»: это тоже неверно, новых запретов на использование ИИ заказчиками закон не вводит. Рабочая позиция — между ними: календарь этапов на стене, договор с подрядчиком, реестр ИИ-активов. Санкции за нарушения и отсылочную ответственность мы разбираем в ответе что будет за нарушение 243-ФЗ; общую карту законов вокруг ИИ — в ответе какие законы регулируют ИИ в России.
Что делать уже сейчас: три шага
- Ревизия ИИ-активов — от 70 000 ₽ у НЬЮ-ССТ: инвентаризация моделей, датасетов и агентов, включая Shadow AI — сервисы, которые сотрудники используют без ведома ИТ.
- Правовой аудит договоров: приведение договоров с ИИ-подрядчиками в соответствие: маркировка, режим данных, распределение обязанностей разработчика.
- Дорожная карта к 01.03.2027: список систем, которых коснутся изменения, и план действий по каждой. Помощь с методологией — услуга ИИ-консалтинг; связь закона с обработкой персональных данных — в материале 152-ФЗ и ИИ.
Три вопроса текущему подрядчику
Если у вас уже работают ИИ-сервисы, задайте их поставщику до конца квартала. Первый: «Вы разработчик модели или интегратор чужой?» — от ответа зависит, чьи обязанности наступают с 01.03.2027. Второй: «Как маркируется сгенерированный контент в вашей системе и кто за это отвечает по договору?» — внятный ответ означает, что вопрос отслеживают. Третий: «Что вы измените в договоре и сервисе к 01.03.2027?» — добросовестный подрядчик уже имеет план; его отсутствие не катастрофа (времени достаточно), но это сигнал пересмотреть отношения на фоне рынка.
Календарь спокойного заказчика
- Октябрь–декабрь 2026: реестр ИИ-активов (ревизия от 70 000 ₽ или своими силами), включая Shadow AI; инвентаризация договоров с ИИ-подрядчиками.
- Январь–февраль 2027: правки договоров — распределение обязанностей разработчика, маркировка, режим данных; закрытые вопросы по персональным данным.
- С 01.03.2027: контроль исполнения подрядчиком новых обязанностей; новые контракты сразу включают требования второго этапа.
- Далее до 2032: отслеживание подзаконных актов и переходных норм — без авралов, по календарю.
Четыре пункта на шесть лет — так выглядит регулирование, если читать его по первоисточнику, а не по пугающим постам. Что именно изменится в ваши договорах — предмет короткой консультации, а не многомесячного проекта.
Связка с 152-ФЗ: кто за что отвечает
Законы не конкурируют, а закрывают разное. 243-ФЗ — про развитие и обязанности разработчиков ИИ; 152-ФЗ — про персональные данные, и он не отменялся и не смягчался. Если ваша ИИ-система трогает персональные данные, вы остаётесь оператором: согласия, локализация, поручения обработки, уведомления Роскомнадзора — всё по-прежнему на вас, независимо от этапов 243-ФЗ. Подрядчик при этом обработчик: он работает с данными по вашему поручению и в вашей инструкции. Практическое правило: каждое новое ИИ-решение проходит два вопроса — «есть ли там персональные данные?» (значит, 152-ФЗ) и «кто разработчик модели?» (значит, распределение обязанностей по 243-ФЗ с 01.03.2027). Два вопроса, один реестр, один договор — и правовая рамка собрана. Дешевле такой порядок навести сегодня, чем объяснять проверяющим его отсутствие завтра.
Итог
243-ФЗ в его текущей редакции требует от заказчика немного: не иметь обязанностей до 01.03.2027, после — держать обязанности разработчика там, где им место, то есть у подрядчика-разработчика, договором. Практический минимум для спокойствия: реестр ИИ-активов, приведённые договоры и понимание календаря до 2032 года. Это дешевле паники и дешевле штрафов за утечки, которые закон не отменял. Помните главное о статусе на сентябрь 2026: закон работает в мягкой вводной части, обязанности бизнеса — впереди, и у вас есть время подготовиться спокойно, по календарю, а не по заголовкам новостей. Когда сомневаетесь — сверяйтесь с первоисточником и краткими разборами: карта этапов, периметр «от 1 млрд параметров», переходный период до 2032 года — три факта, которые снимают большинство страхов.