26 июля 2026 года президент подписал закон о поддержке технологий искусственного интеллекта в России, и с 1 сентября он действует. До этой даты у бизнеса были только добровольный Кодекс этики ИИ и разрозненные нормы 152-ФЗ про персональные данные. Теперь есть федеральный закон, который называет вещи своими именами: суверенные модели, национальные модели, доступ разработчиков к государственным данным, маркировка ИИ-контента.
Если вы уже читали наш общий обзор регулирования искусственного интеллекта в России, эта статья не повторяет его. Разница в деталях: что конкретно нужно сделать компании до 1 марта 2027 года, какие штрафы по персональным данным действуют уже сейчас и кого вообще касается новый закон о регулировании российского искусственного интеллекта. Общий обзор объясняет, что регулирование в принципе появилось: здесь разговор о другом, что проверить в собственных документах, в хранении данных клиентов и в договорах с подрядчиками, которые используют нейросети на аутсорсе.
Чек-лист ниже рассчитан не на разработчиков фундаментальных моделей, а на владельцев бизнеса, маркетологов и селлеров, которые используют нейросети в рекламе, автоматизации и работе с клиентами. Для них важны не формулировки закона, а конкретные даты и действия.
Что изменилось в регулировании российского искусственного интеллекта за год
До закона № 243-ФЗ разработчики нейросетей в России жили по добровольному Кодексу этики и общим нормам о персональных данных. Новый закон закрепил понятия, которых раньше не было в законодательстве: большая фундаментальная модель, суверенная модель, национальная модель. Это не просто терминология: от статуса модели зависит, может ли разработчик получить доступ к государственным данным для обучения и финансовую поддержку государства.
Закон вступил в силу 1 сентября 2026 года, но большинство содержательных требований начнут действовать только с 1 марта 2027 года: критерии отнесения моделей к суверенным и национальным, перечень секторов, где обязательны российские модели, порядок доступа к государственным данным. До этой даты закон работает как рамка, а не как набор конкретных обязанностей.
Для бизнеса, который не разрабатывает собственную нейросеть, а пользуется готовыми инструментами, прямых новых обязанностей закон пока не вводит. Более широкий срез того, как ИИ меняет работу бизнеса в России, есть в статье искусственный интеллект 2026 для бизнеса.
Суверенные и национальные модели: касается ли это вашего бизнеса
Разница между двумя статусами простая. Суверенная модель полностью разработана российской компанией, воспроизводима и размещается только в российских дата-центрах. Национальная модель тоже создана российской организацией, но может использовать зарубежные компоненты с открытыми лицензиями. Обе категории должны соответствовать российскому законодательству.
| Критерий | Суверенная модель | Национальная модель |
|---|---|---|
| Разработчик | Российская компания | Российская компания |
| Иностранные компоненты | Не допускаются | Допускаются с открытой лицензией |
| Размещение | Только российские дата-центры | Не регламентировано так жёстко |
| Доступ к господанным для обучения | Приоритетный | На общих условиях |
Если вы продаёте товары на маркетплейсе, настраиваете рекламу через GigaChat или YandexGPT, пользуетесь сторонними нейросетями для текстов, классификация моделей вас не касается напрямую. Она важна для разработчиков. Но после 1 марта 2027 года правительство может определить сектора, где использование именно российских моделей станет обязательным, и стоит заранее понимать статус инструментов, которые вы используете. Если ваш подрядчик по автоматизации работает через API зарубежной нейросети, уточните заранее, не ожидается ли в вашей отрасли переход на обязательные российские модели: так вы не столкнётесь с экстренной миграцией после 1 марта 2027 года.
Маркировка ИИ-контента: что обязательно, а что нет
Частое заблуждение: будто маркировать контент, созданный нейросетью, теперь обязаны все. Это не так. Закон вводит добровольную маркировку аудио- и видеоконтента, созданного большими фундаментальными моделями. Автор сам решает, ставить метку или нет.
Что из этого обязательно, и для кого именно:
- Сайты, сервисы и приложения с аудиторией от 500 тысяч пользователей из России в сутки должны дать пользователям техническую возможность промаркировать аудио- и видеоконтент.
- Формат и содержание метки не регламентированы: их определяет соглашение между автором и платформой.
- Текстовый контент, изображения и рассылки под эту норму не подпадают вообще.
- Штрафов за отсутствие маркировки закон не вводит: отдельный законопроект с санкциями отклонили ещё до принятия итоговой версии.
Основная норма вступит в силу 1 марта 2027 года. Для малого и среднего бизнеса без площадки такой аудитории требование не актуально. Но если вы делаете рекламные видео или аудио с использованием нейросетей, честная маркировка остаётся вопросом доверия аудитории, а не закона.
Персональные данные и ИИ: штрафы, которые уже действуют
В отличие от закона об ИИ, поправки в 152-ФЗ не ждут 2027 года. Они вступали в силу поэтапно в 2025 году и работают уже сейчас. Это главный пункт чек-листа для бизнеса, который подключает нейросети к базам клиентов, чат-ботам или CRM.
С 30 мая 2025 года закон № 420-ФЗ поднял штрафы за нарушения в сфере персональных данных. За утечку свыше 100 тысяч записей компании грозит штраф до 15 миллионов рублей, за повторное нарушение: от 1 до 3 процентов годовой выручки. С 1 июля 2025 года действует требование локализации: хранить и обрабатывать персональные данные россиян нужно на серверах внутри страны, а не в облаке зарубежного ИИ-сервиса. С 1 сентября 2025 года согласие на обработку персональных данных нельзя встроить в оферту или политику конфиденциальности: оно оформляется отдельным документом.
Эти нормы касаются любой компании, которая обрабатывает персональные данные клиентов, независимо от размера бизнеса и от того, своя у неё нейросеть или подключённая через подрядчика.
Отдельно с 11 декабря 2024 года по закону № 421-ФЗ в Уголовном кодексе появилась статья 272.1 про незаконный оборот персональных данных, полученных неправомерным путём. Если бизнес передаёт нейросети данные клиентов, полученные с нарушением, ответственность уже не только административная.
Подробнее о рисках обработки данных через зарубежные бесплатные модели мы разбирали в статье о DeepSeek и безопасности для бизнеса: логика штрафов там актуальна для любой нейросети, которая обрабатывает данные клиентов за пределами России.
Где бизнес чаще всего нарушает правила, не замечая этого
На практике ошибки повторяются от компании к компании:
- Данные клиентов из CRM или чат-бота уходят в зарубежный ИИ-сервис без проверки, где физически стоят его серверы.
- Согласие на обработку персональных данных до сих пор спрятано внутри публичной оферты, а не оформлено отдельным документом.
- Сотрудники используют личные аккаунты в нейросетях для работы с базой клиентов, и компания не знает, какие данные туда попадают.
- Рекламные видео с синтезированным голосом или лицом выходят без пометки, хотя речь идёт о созданном образе.
- Уведомление Роскомнадзора об утечке готовится постфактум, когда 24 часа на уведомление уже упущены.
- Подрядчик на аутсорсе подключает к проекту стороннюю нейросеть без согласования, и компания не знает, куда уходят данные её клиентов.
Каждый из этих пунктов проверяется за один внутренний аудит, но делают его обычно только после первой жалобы или проверки.
Добровольные стандарты: зачем бизнесу Кодекс этики ИИ без обязательного закона
Кодекс этики в сфере искусственного интеллекта существует с 2021 года и остаётся добровольным. К нему присоединились Сбер, Яндекс, МТС, ВТБ и десятки других компаний. 13 марта 2026 года участники Альянса в сфере ИИ подписали декларацию об ответственном отношении к генеративным нейросетям, которая развивает Кодекс применительно к текстам, изображениям и видео, созданным ИИ.
Банк России развивает собственный отраслевой Кодекс этики ИИ для финансового рынка: он рекомендует банкам информировать клиентов о применении ИИ и в ряде случаев давать возможность отказаться от взаимодействия с ним.
Для бизнеса за пределами крупных корпораций участие в таких кодексах не обязательно. Но это понятный сигнал доверия для клиентов и партнёров, особенно если ваш продукт построен на нейросетях: от маркетингового агентства до сервиса автоматизации продаж. Упоминание о соблюдении Кодекса этики на сайте или в договоре с клиентом работает как дополнительный аргумент при выборе подрядчика, особенно в сферах, где клиенты чувствительны к обработке своих данных.
Чек-лист: 7 шагов до 1 марта 2027 года
- Проверьте, на каких серверах хранятся данные клиентов, которые проходят через ИИ-инструменты, и приведите хранение в соответствие с требованием локализации.
- Вынесите согласие на обработку персональных данных в отдельный документ, если оно до сих пор спрятано в оферте или политике конфиденциальности.
- Настройте внутренний процесс уведомления Роскомнадзора об утечке данных в течение 24 часов, включая ответственного сотрудника и шаблон уведомления.
- Определите, относится ли ваш продукт к большим фундаментальным моделям: это касается разработчиков, а не пользователей готовых нейросетей.
- Если у вас площадка или сервис с аудиторией от 500 тысяч пользователей в сутки, подготовьте техническую возможность маркировки аудио- и видеоконтента заранее.
- Задокументируйте, какие сотрудники каким ИИ-инструментом пользуются и какие данные туда передают: это основа для любой проверки.
- Рассмотрите присоединение к отраслевому Кодексу этики ИИ, особенно если работаете в финансах, страховании или с чувствительными данными клиентов.
Частые вопросы
Обязательно ли маркировать контент, созданный нейросетью
Нет. Закон вводит добровольную маркировку, и она касается только аудио- и видеоконтента. Автор сам решает, ставить метку или нет. Обязанность есть только у владельцев крупных площадок с аудиторией от 500 тысяч пользователей в сутки: они должны дать пользователям техническую возможность маркировки, а не маркировать контент за них.
Какой штраф грозит за утечку персональных данных
С 30 мая 2025 года за утечку более 100 тысяч записей компании грозит штраф до 15 миллионов рублей. За утечку от 1 до 10 тысяч записей штраф для юридических лиц достигает 5 миллионов рублей. За повторное нарушение санкция считается не в фиксированной сумме, а в процентах от годовой выручки: от 1 до 3 процентов.
Нужно ли хранить данные клиентов на российских серверах, если используется зарубежная нейросеть
Да. С 1 июля 2025 года действует прямой запрет хранить и обрабатывать персональные данные россиян в базах, расположенных за пределами страны. Если нейросеть, которой вы пользуетесь, обрабатывает данные клиентов на зарубежных серверах, это нарушение независимо от того, платная модель или бесплатная.
Касается ли закон о суверенных моделях малого бизнеса
Напрямую нет. Классификация моделей на суверенные и национальные касается разработчиков фундаментальных моделей, а не компаний, которые используют готовые инструменты вроде GigaChat, YandexGPT или зарубежных нейросетей через API. Это может измениться после 1 марта 2027 года, когда правительство определит сектора с обязательным использованием российских моделей.
Грозит ли уголовная ответственность за работу с персональными данными через ИИ
Да, при определённых условиях. С 11 декабря 2024 года статья 272.1 Уголовного кодекса предусматривает ответственность за незаконный сбор, использование или передачу персональных данных, полученных неправомерным путём. Если бизнес передаёт нейросети данные клиентов с нарушением закона, риск выходит за рамки административных штрафов.
С чего начать
Начните с трёх шагов, которые не требуют юриста в штате. Во-первых, составьте список всех ИИ-инструментов, которые сотрудники используют в работе с данными клиентов, и проверьте, где физически хранятся эти данные. Во-вторых, посмотрите, оформлено ли согласие на обработку персональных данных отдельным документом, а не частью публичной оферты. В-третьих, если готовите рекламные видео или аудио с нейросетями, решите заранее, нужна ли вам маркировка для доверия аудитории, даже если закон её не требует.
Если разбираться в этом самостоятельно нет времени, аудит используемых нейросетей и настройку процессов обработки данных под актуальные требования 152-ФЗ берёт на себя команда автоматизации бизнес-процессов.
