Содержание статьи

Если вы используете ChatGPT для генерации КП, нейросеть для скоринга клиентов или AI-бот для обработки заявок - вы уже работаете с искусственным интеллектом. Государство это заметило.

С 2024 года в России запущен «регуляторный полигон» для AI-технологий. В 2025-м Минцифры и Госдума ускорили разработку рамочного закона. К середине 2026 года бизнес получает первые реальные требования, а не просто декларации о намерениях. Что это значит для владельца компании с оборотом 50-500 млн рублей - разберём без воды.

Что уже принято, а что ещё в процессе

Базовый закон об ИИ в России - Федеральный закон №123-ФЗ «Об экспериментальных правовых режимах» (2020) с последующими поправками. В 2024-2025 годах Госдума приняла несколько поправок в смежные законы: о персональных данных (152-ФЗ), о защите прав потребителей, о занятости.

Что реально работает уже сейчас:

  • Если AI принимает решения, затрагивающие граждан (скоринг, увольнение, ценообразование) - компания несёт полную ответственность за эти решения, как если бы их принял человек.
  • Использование персональных данных для обучения моделей или принятия AI-решений требует явного согласия субъектов данных (требования Роскомнадзора, расширенные в 2025-м).
  • В сфере здравоохранения, финансов и трудовых отношений - повышенные требования к документированию AI-процессов.

Что ожидается до конца 2026 года: рамочный закон об ИИ, аналогичный европейскому AI Act, но со своими особенностями под российскую юрисдикцию. Минцифры опубликовало концепцию ещё в 2023-м; практические нормы дорабатываются.

Позиция Nexops здесь прямая: не ждите финального текста закона, чтобы начать готовиться. Требования к прозрачности, документированию и защите данных при использовании AI уже действуют через существующее законодательство.

Как классифицируются AI-системы и почему это важно

В рабочих материалах Минцифры и в предложениях рабочих групп прослеживается подход, схожий с EU AI Act: деление по уровню риска.

Высокий риск (наиболее жёсткое регулирование):

  • AI в найме и кадровых решениях (отбор резюме, оценка сотрудников, увольнения)
  • Кредитный скоринг и страховые оценки
  • Медицинские диагностические системы
  • Системы биометрической идентификации
  • Ценообразование на социально значимые товары

Средний риск (требования к раскрытию):

  • Чат-боты и голосовые ассистенты, взаимодействующие с клиентами
  • Системы персонализации контента
  • AI-генерация текстов, изображений от имени компании

Низкий риск (минимальные требования):

  • Инструменты для внутренней работы (суммаризация документов, автоматизация рутины)
  • AI-помощники без принятия решений о людях

Если ваш бизнес использует AI для скоринга контрагентов, автоматического отклонения заявок или формирования персональных предложений с ценами - это высокий риск по логике регулятора. Документирование процесса и возможность оспорить решение для клиента станут обязательными.

Четыре требования, которые нужно выполнить уже сейчас

1. Реестр AI-систем внутри компании

Составьте список: какие AI-инструменты используются, для каких задач, кто принимает решения на основе их вывода. Это занимает 2-4 часа на первичный аудит. Без этого списка вы не поймёте, где у вас риски.

Что фиксировать: название инструмента, поставщик, тип задачи (генерация / классификация / рекомендация / решение о человеке), данные на входе, кто в компании несёт ответственность за вывод.

2. Пересмотр согласий на обработку персональных данных

Если AI-система обрабатывает данные физических лиц (клиенты, сотрудники, кандидаты на вакансию) - в форме согласия должно быть явно указано, что данные используются для автоматизированной обработки и принятия решений. Типовые формы согласий 2020-2021 года этого не содержат.

Роскомнадзор уже выносил предписания компаниям за несоответствие этому требованию - со второй половины 2024 года количество проверок выросло.

3. Процедура обжалования автоматических решений

Если AI-система отказывает клиенту (в кредите, услуге, заявке), клиент должен иметь возможность потребовать пересмотра решения человеком. Нужен регламент: кто в компании получает такие запросы, за какой срок отвечает, что документирует.

Для малого бизнеса это может быть один человек и два абзаца в регламенте. Но они должны существовать.

4. Маркировка AI-сгенерированного контента

Практика пока формируется, но позиция Роскомнадзора однозначна: если компания публикует контент, полностью созданный AI, без редактуры и верификации - это зона риска. Особенно в рекламе, новостных публикациях, медицинских и юридических материалах.

Минимальный стандарт: прогон через редактора, фактчекинг, явное редакционное одобрение перед публикацией. Полностью автономный AI-блог без человека в цепочке - это уже вопрос к юристу.

Штрафы: что известно

По действующему КоАП, нарушения в сфере персональных данных при использовании AI стоят:

  • Обработка ПД без согласия: 60 000-100 000 рублей для юридических лиц (поправки 2023 года подняли планку; повторные нарушения - до 300 000 рублей).
  • Непредоставление информации Роскомнадзору: 20 000-30 000 рублей.
  • Утечка персональных данных с участием AI-систем: от 3 млн до 15 млн рублей (поправки, вступившие в силу в 2025-м).

Отдельные санкции за нарушение будущего закона об ИИ ещё не приняты. Но ждать их появления, продолжая работать без документации - стратегия с плохим соотношением риска и стоимости исправления.

Что не нужно делать прямо сейчас

Несколько вещей, которые звучат логично, но пока избыточны для бизнеса:

Нанимать AI Compliance Officer - полноценная штатная единица актуальна для компаний 500+ человек или при прямой работе в высокорискованных сферах (финансы, медицина). Для 30-человечной производственной компании достаточно назначить ответственного из существующей команды.

Переписывать все IT-системы под гипотетические требования. Регуляторика ещё не финализирована. Документируйте текущее состояние и готовьте процессы к изменениям - не тратьте бюджет на радикальную перестройку под несуществующие нормы.

Отказываться от AI-инструментов «на всякий случай». Конкуренты, которые продолжат использовать AI грамотно, получат операционное преимущество. Задача не отказ, а правильное применение с документированием.

Кейс: как производственная компания закрыла риски за одну неделю

Клиент Nexops - производитель строительных материалов, 80 сотрудников, Екатеринбург. Используют: AI-бот для первичных ответов клиентам, ChatGPT для генерации коммерческих предложений, систему автоматического скоринга дебиторской задолженности.

За 5 рабочих дней:

  • Составили реестр AI-систем (4 инструмента, 2 зоны риска - скоринг и бот)
  • Обновили форму согласия на ПД для новых клиентов и разослали уведомление существующим
  • Написали регламент для оператора: как обрабатывать запрос на пересмотр автоматического решения
  • Добавили в скрипты бота фразу «Для дополнительного разъяснения вы можете обратиться к менеджеру»

Юридических рисков по действующему законодательству - ноль. Стоимость: 3 дня опердира + 1 час юриста. Это иллюстративный пример, собирательный по нескольким похожим ситуациям.

Как следить за изменениями в законодательстве

Регуляторика в сфере AI обновляется быстрее, чем большинство других областей. Ключевые изменения редко приходят внезапно - у них есть период публичных слушаний и обсуждений, но отследить их без системы сложно.

Три достаточных источника: рассылка Минцифры (digital.gov.ru), новости Роскомнадзора (rkn.gov.ru) и профильные юридические Telegram-каналы. Раз в квартал : 30-минутный обзор изменений силами вашего юриста или юридического аутсорса. Этого хватит для бизнеса, который не работает в финансах или медицине.

Критические изменения, как правило, имеют переходный период 6-12 месяцев. Компания, которая сейчас выстроила базовую AI-governance, успеет адаптироваться без авральных перестроек.

Частые вопросы

Распространяется ли закон об ИИ на малый бизнес?

Действующие требования (через 152-ФЗ о персональных данных) распространяются на любую компанию, которая обрабатывает ПД с использованием автоматизированных систем. Размер компании не освобождает от ответственности. Будущий рамочный закон, по всей видимости, введёт пороговые значения для части требований, но базовая документация потребуется всем, кто применяет AI в работе с клиентами или сотрудниками.

Нужно ли регистрировать AI-системы в государственном реестре?

Пока - нет. В концепции Минцифры упоминается добровольный реестр AI-систем. Обязательная регистрация обсуждается только для высокорискованных систем в регулируемых отраслях (финансы, здравоохранение). Компаниям из других секторов достаточно вести внутренний реестр. Отслеживайте обновления Минцифры: требования могут ужесточиться для отдельных применений.

Можно ли использовать западные AI-сервисы (OpenAI, Google) с учётом санкций?

Юридически использование этих сервисов российскими компаниями находится в серой зоне. OpenAI официально заблокировал доступ для части российских IP, но не все компании столкнулись с ограничениями. Ключевой риск не в санкциях - в том, что данные ваших клиентов могут обрабатываться за рубежом, что нарушает требования о локализации ПД (149-ФЗ, ст. 18.1). Это конкретный и уже проверяемый риск, а не гипотетический.

Что делать, если мы уже используем AI, но не документировали этого?

Начните с аудита: что используется, какие данные обрабатывает, где принимаются решения о людях. После этого оцените риски по каждому инструменту и закройте пробелы в согласиях на ПД. Ретроактивная ответственность за прошлые периоды при отсутствии жалоб и проверок маловероятна, но стоит задокументировать дату начала соблюдения требований - это полезно при любой проверке.

Как долго займёт приведение в соответствие?

Для бизнеса, использующего стандартные AI-инструменты (боты, генераторы текстов, аналитика): 1-2 недели на документирование и обновление согласий. Если AI принимает решения о клиентах или сотрудниках - добавьте ещё 2-4 недели на регламенты и обучение команды. При наличии опердира или юриста, который знает тему, сроки можно сократить до нескольких рабочих дней.

Нужен ли отдельный юрист по AI?

Для большинства компаний - нет. Ваш текущий юрист (или юридическое сопровождение на аутсорсе) справится, если получит от вас реестр AI-систем и перечень обрабатываемых данных. Специализация «AI-право» в России пока формируется, и платить за неё полную ставку нецелесообразно при обороте до 500 млн рублей в год.

Как следить за изменениями в регулировании?

Три источника достаточны: рассылка Минцифры (digital.gov.ru), новости Роскомнадзора (rkn.gov.ru) и профильные каналы в Telegram. Критические изменения обычно имеют переходный период 6-12 месяцев - вы не пропустите. Добавьте квартальный 30-минутный обзор изменений в календарь и делегируйте его юристу или ответственному за AI-compliance.

Что будет, если не готовиться к регулированию, а подождать финального закона?

Два риска. Первый: действующие требования 152-ФЗ уже сейчас применяются к AI-практикам, и Роскомнадзор активизировал проверки с 2024 года. Второй: компании, которые выстроят процессы сейчас, потратят на адаптацию к новому закону в разы меньше, чем те, кто будет перестраиваться с нуля под давлением дедлайна. Базовая документация окупается несравнимо быстрее штрафа за утечку данных.

Влияет ли использование AI на трудовые отношения с сотрудниками?

Да, и это один из наименее проработанных вопросов. Если AI участвует в оценке KPI, распределении задач или кадровых решениях - по действующему ТК сотрудник вправе требовать объяснения этих решений. Поправки к закону о занятости 2025 года ввели требование уведомлять сотрудников об использовании автоматизированных систем в оценке их работы. Проверьте, включено ли это в трудовые договоры или локальные нормативные акты.

Чем отличается российский подход к регулированию AI от европейского?

EU AI Act - детальный документ с чёткими категориями, сроками и штрафами. Российский подход пока более рамочный: акцент на персональных данных, ответственности за решения и экспериментальных режимах. Принципиальное отличие: в России нет обязательной предварительной сертификации AI-систем, которую вводит EU для высокого риска. Ожидается, что российский закон возьмёт часть логики EU AI Act, но с адаптацией под национальную специфику и суверенный AI-стек.

Что дальше

Регулирование AI - не разовое событие, а процесс. Каждый год будут уточнения, новые требования, расширение зон риска. Компании, которые выстроят базовую AI-governance сейчас, будут адаптироваться к новым нормам за дни, а не месяцы.

Если вы хотите разобраться, как AI-автоматизация работает в вашем бизнесе безопасно и с реальным операционным эффектом, начните с диагностики на ai.nexops.ru.

Смежные материалы по теме:

Обновлено: 9 мая 2026