Карта регулирования: четыре слоя
| Акт | Что регулирует | Кого касается |
|---|---|---|
| 152-ФЗ «О персональных данных» | обработку ПДн, в том числе при обучении и использовании моделей | всех, кто обрабатывает данные россиян |
| 243-ФЗ (закон о поддержке ИИ, 26.07.2026) | обязанности разработчиков моделей и владельцев платформ: этапы 01.09.2026 и 01.03.2027 | модели от 1 млрд параметров, платформы 500 тыс.+ пользователей |
| Нацрежим ПО (ПП № 1875, указ № 166) | запреты и ограничения на зарубежное ПО в закупках, реестр российского ПО | госзаказчиков и участников закупок |
| Приказы ФСТЭК (в т. ч. № 17, № 117) | аттестацию ГИС, процессную модель защиты ГИС с 01.03.2026 | владельцев ГИС и ИСПДн |
Отдельный пласт — ответственность за утечки: штрафы по 420-ФЗ достигают 3–20 млн ₽, повторная утечка — оборотные штрафы. Подробно — в разборе штрафы за утечки персональных данных.
Что важно знать про 243-ФЗ
Закон от 26 июля 2026 года о поддержке ИИ часто называют «российским аналогом зарубежных AI-актов», но его логика другая: не запреты, а обязанности для крупных игроков. Периметр — модели от 1 млрд параметров и платформы с 500 тысячами пользователей и больше; собственные штрафы в законе не установлены (ответственность отсылочная), реестра разработчиков нет, маркировка ИИ-контента — добровольная. Для большинства бизнес-задач закон задаёт ориентиры, а не прямые обязанности. Полный разбор — в материале что такое 243-ФЗ простыми словами.
Когда ИИ-система попадает под обязательные требования
- Обрабатывает персональные данные — действует 152-ФЗ: основание обработки, локализация, при определённых классах — аттестация ИСПДн.
- Является частью ГИС — требования к защите ГИС и аттестация, с 01.03.2026 процессная модель по приказу ФСТЭК № 117.
- Работает на значимом объекте КИИ — с 01.01.2028 запрет развёртывания новых зарубежных ПАК.
Ответ на частый вопрос «нужна ли аттестация ИИ-системе» — разбор условий; календарь всех дедлайнов — календарь ИБ и ИИ 2027–2028.
Что это значит для бизнеса на практике
Для обычной компании, внедряющей ИИ-ассистента, проверочный список короткий: есть ли в контуре персональные данные и на каком основании; где физически обрабатываются запросы (облако с договором или свой контур); логируются ли обращения. Для госструктур список длиннее — добавляется аттестация и нацрежим при закупках: проверить применимость реестра российского ПО поможет материал нацрежим ПО.
Быстрая самопроверка — бесплатный чек-лист ИИ-комплаенса; разбор применимости под конкретную систему — аудит от 90 000 ₽ с картой требований и планом закрытия пробелов.
Три мифа о регулировании ИИ
«Скоро всё запретят» — в российском подходе акцент другой: поддержка и обязанности для крупных игроков, а не тотальный запрет. Даже маркировка ИИ-контента в 243-ФЗ добровольная. Реальные ограничения касаются конкретных зон: персональных данных, госинформационных систем, значимых объектов КИИ.
«Мой чат-бот вне закона, потому что он ИИ» — нет: корпоративный ассистент подчиняется общим правилам обработки данных и, если он часть ГИС или работает с ПДн определённого класса, требованиям к защите таких систем. ИИ как класс технологий не запрещён и не лицензируется.
«Штрафов нет — значит, можно не заморачиваться» — опасная логика: ответственность наступает не «за ИИ», а за последствия — утечки персональных данных (3–20 млн ₽ по 420-ФЗ), нарушение требований к защите ГИС, репутационные потери. Правовая гигиена ИИ-проекта дешевле любого из этих исходов, и закладывается она на этапе архитектуры: где данные, кто доступ, что логируется.
Общий вывод сентября 2026: регулирование ИИ в России движется от общих рамок к конкретным обязанностям крупных участников, а для бизнес-внедрений действует простая формула — прозрачность данных, договорная чистота, готовность к проверке. Кто выстроил так свою ИИ-практику, тем любые новые нормы будут по плечу без паники и авралов.
Итог
Карта регулирования ИИ в России на сентябрь 2026: 152-ФЗ о данных, 243-ФЗ о поддержке ИИ с этапами 2026–2027 годов, нацрежим ПО в закупках, приказы ФСТЭК для ГИС и ИСПДн, оборотные штрафы за утечки по 420-ФЗ. Для бизнеса это не лабиринт, а чек-лист: где данные, на каком основании, в каком контуре, что логируется. Аудит от 90 000 ₽ превращает его в план; дальше — обычная инженерная дисциплина.