Регулирование использования ИИ в России: что можно, что нельзя и какие правила нужно знать бизнесу и обычным пользователям

Есть ли в России закон об использовании ИИ

Да, но здесь есть важная деталь.

С 1 сентября 2026 года действует Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Это первый отдельный федеральный закон такого уровня, непосредственно посвящённый регулированию ИИ.

Однако воспринимать его как единый закон о применении ИИ вообще было бы ошибкой. Его предмет значительно уже: он регулирует разработку, внедрение и применение больших фундаментальных моделей искусственного интеллекта. Часть его положений начнёт действовать только с 1 марта 2027 года.

Поэтому правовое регулирование использования ИИ сегодня выглядит скорее как конструктор. В зависимости от ситуации одновременно могут применяться:

• специальное законодательство об ИИ;
• законодательство о персональных данных;
• нормы об интеллектуальной собственности;
• требования к информации и рекламе;
• отраслевые нормы;
• правила информационной безопасности;
• договоры между компанией и поставщиком ИИ;
• внутренние документы самой организации.

Иными словами, вопрос «можно ли использовать ИИ?» почти всегда нужно дополнять другим: что именно мы собираемся с его помощью делать?

Основание: Федеральный закон № 243-ФЗ; статья 13 о сроках вступления в силу.

Главный принцип: чем опаснее применение, тем больше контроля

Современное регулирование постепенно строится вокруг риск-ориентированного подхода.

Логика довольно понятна. Нейросеть, которая помогает придумать поздравление с днём рождения, и система, от решения которой зависит здоровье человека, создают совершенно разные риски.

Поэтому регулировать их одинаково было бы странно.

В новом российском законодательстве прямо закреплён принцип: требования должны учитывать вероятность и возможный масштаб вреда человеку, его имуществу и деловой репутации, юридическим лицам, государству, окружающей среде и другим защищаемым ценностям. Одновременно среди принципов закреплены защита прав человека, уважение его автономии и безопасность.

На практике из этого можно вывести простое правило:

чем серьёзнее последствия ошибки ИИ, тем меньше решений стоит отдавать ему без человеческого контроля.

Написать черновик письма и самостоятельно принять критически важное решение — совсем не одно и то же.

Что регулирование ИИ означает для обычного человека

Для пользователя всё намного проще, чем может показаться после чтения законов.

Сам по себе факт использования нейросети для большинства обычных бытовых задач не превращает человека в нарушителя.

Можно попросить ИИ придумать меню, объяснить сложную тему, отредактировать письмо, создать изображение, помочь с таблицей или составить план путешествия.

Проблемы обычно возникают не из-за самого инструмента, а из-за того, что человек делает с его помощью.

Например, нейросеть не отменяет существующие ограничения. Если с помощью ИИ нарушаются чужие права, незаконно используются персональные данные или создаётся иной противоправный материал, наличие нейросети в цепочке само по себе не снимает ответственность.

Это один из ключевых правовых принципов использования ИИ: новая технология не создаёт параллельную реальность, в которой перестают действовать обычные законы.

Персональные данные: самая практическая проблема

Представим обычную ситуацию.

Сотрудник получает договор клиента и просит публичную нейросеть:

«Проанализируй документ и найди риски».

Вместе с запросом он отправляет фамилию клиента, телефон, адрес, реквизиты и другую информацию.

С точки зрения сотрудника он просто экономит время. С точки зрения компании произошло действие с данными, которое требует оценки с учётом законодательства и условий используемого сервиса.

Именно поэтому один из самых важных вопросов перед использованием внешнего ИИ:

какие данные мы туда отправляем и что происходит с ними после отправки?

Для бизнеса особенно чувствительны:

• персональные данные клиентов и сотрудников;
• коммерческая тайна;
• финансовая информация;
• договоры;
• медицинская информация;
• внутренние базы;
• пароли, ключи и другая информация для доступа к системам.

Поэтому правило «не загружать конфиденциальные данные в неизвестные публичные нейросети» должно быть не рекомендацией из корпоративного чата, а частью нормальной политики безопасности.

Основание: Федеральный закон № 152-ФЗ о персональных данных.

Авторские права при использовании ИИ

Это одна из самых запутанных тем.

Нейросеть может за несколько секунд создать картинку, статью, музыку или программный код. Но кто является автором?

Российское законодательство исходит из того, что автором результата интеллектуальной деятельности признаётся гражданин, творческим трудом которого этот результат создан. Следовательно, сама нейросеть автором в юридическом смысле не становится.

Отсюда возникает более сложный вопрос: достаточно ли человеческого творческого вклада в конкретный результат, чтобы он получил соответствующую правовую охрану?

Универсального ответа для любого результата ИИ здесь нет. Простое нажатие кнопки и сложная многоэтапная работа человека с концепцией, исходными материалами, отбором, переработкой и редактурой — разные ситуации.

Есть и вторая сторона проблемы.

Если нейросеть сгенерировала изображение, текст или другой материал, это ещё не означает автоматически, что результат безопасно использовать в коммерческом проекте.

Поэтому авторские права при использовании ИИ стоит рассматривать сразу с двух сторон:

имеем ли мы права на получившийся результат и не нарушаем ли мы права кого-либо другого?

Для бизнеса это особенно важно при создании рекламы, дизайна, программного обеспечения, музыки и коммерческого контента.

Основание: Часть четвёртая ГК РФ, статьи 1228 и 1257.

Нужно ли маркировать контент, созданный ИИ

Эта тема вызывает особенно много путаницы.

В новом законодательстве действительно появилась отдельная статья о маркировке информационных материалов, созданных с применением больших фундаментальных моделей ИИ. Однако соответствующая статья вступает в силу с 1 марта 2027 года.

Причём конструкция закона не сводится к правилу «на любую картинку нейросети обязательно поставить надпись “создано ИИ”».

Для аудио- и визуальных материалов закон предусматривает возможность размещения информационного предупреждения о применении ИИ. Формат и порядок определяются соглашением пользователя с поставщиком модели. Для крупных интернет-площадок также предусмотрена обязанность обеспечить пользователям техническую возможность размещать такое предупреждение.

Поэтому утверждение, что с 2026 года любой ИИ-контент обязательно маркировать, было бы слишком широким.

При этом для отдельных сфер дополнительные требования могут устанавливаться другими нормами.

Основание: статья 9 о маркировке; дата вступления статьи 9 в силу.

Штраф за использование ИИ: можно ли получить его просто за нейросеть

Запрос «штраф за использование ИИ» звучит пугающе, но сама постановка вопроса не совсем корректна.

Универсального штрафа по принципу «использовал нейросеть — заплати» нет.

Новый закон устанавливает, что за нарушения требований законодательства участники соответствующих отношений несут ответственность по российскому законодательству. Он не превращает любое применение нейросети в самостоятельное административное нарушение.

Ответственность обычно связана с конкретным противоправным действием.

Например, проблема может заключаться не в том, что компания использовала ИИ, а в том, как она обрабатывала данные, какой контент распространяла, какие чужие права нарушила или какие обязательные требования не выполнила.

Поэтому бизнесу гораздо полезнее спрашивать не «оштрафуют ли нас за нейросеть?», а:

какие юридически значимые действия наша система совершает с помощью ИИ?

И уже после этого оценивать конкретные риски.

Возможна ли уголовная ответственность за использование ИИ

Здесь действует похожий принцип.

Само по себе использование искусственного интеллекта не образует некое универсальное преступление «за нейросеть».

Но ИИ может использоваться как инструмент при совершении действий, за которые ответственность уже предусмотрена законодательством.

Грубо говоря, появление нового инструмента не делает законным то, что было незаконным без него.

Поэтому запрос «уголовная ответственность за использование ИИ» правильнее понимать как вопрос об ответственности за конкретные действия, совершённые с применением искусственного интеллекта.

Ключевое значение имеет не наличие нейросети, а состав и обстоятельства конкретного нарушения.

Что изменилось для разработчиков ИИ

Здесь регулирование гораздо серьёзнее.

Новый закон вводит отдельные требования для разработчиков суверенных и национальных больших фундаментальных моделей.

С 1 марта 2027 года такие разработчики должны будут принимать организационные и технические меры безопасности, определять правила эксплуатации модели и вести техническую документацию с описанием её ключевых параметров и ограничений.

Также законодательство вводит понятия суверенной и национальной большой фундаментальной модели. Для получения соответствующего статуса устанавливаются требования к разработчику, инфраструктуре и другим характеристикам системы. Часть этих норм также начинает действовать с марта 2027 года.

То есть регулирование постепенно движется от общей идеи «ИИ нужно развивать безопасно» к вполне конкретным обязанностям определённых участников рынка.

Основание: статья 8 об обязанностях разработчиков.

А что должен сделать обычный бизнес

Вот здесь начинается самая интересная часть.

Компания может вообще не разрабатывать собственную нейросеть. Она просто покупает доступ к готовому сервису и даёт его сотрудникам.

Но юридические риски от этого не исчезают.

Представим отдел из 50 человек. Один сотрудник загружает в нейросеть договоры клиентов, второй генерирует изображения для рекламы, третий отправляет туда внутренний код, четвёртый использует ИИ для оценки кандидатов, а пятый подключает новый сервис самостоятельно.

Если компания никак это не регулирует, довольно быстро возникает так называемый теневой ИИ: сотрудники используют десятки инструментов, а организация даже не знает, какие данные туда уходят.

Поэтому компании нужен собственный регламент использования ИИ.

Что должно быть в политике использования ИИ

Необязательно писать документ на сто страниц юридическим языком.

Хорошая политика использования ИИ должна прежде всего отвечать сотруднику на практические вопросы:

• какие ИИ-сервисы разрешены в компании;
• какие данные разрешено и запрещено туда загружать;
• для каких задач можно применять ИИ;
• где обязательна проверка результата человеком;
• кто отвечает за итоговое решение;
• как работать с персональными и конфиденциальными данными;
• как проверять материалы на возможные нарушения интеллектуальных прав;
• какие действия ИИ может выполнять самостоятельно;
• куда сообщать об ошибке или инциденте.

То есть корпоративное положение об использовании ИИ должно работать примерно как правила информационной безопасности: сотрудник не обязан быть юристом, чтобы понимать границы допустимого.

Регламент, положение, политика, декларация и кодекс — это одно и то же?

Нет, хотя на практике названия действительно могут путаться.

Политика использования ИИ обычно задаёт общие принципы компании: зачем она применяет технологию, какие риски считает недопустимыми и какие правила распространяются на сотрудников.

Регламент использования ИИ более практичен. Он описывает конкретный порядок действий: кто получает доступ, что можно загружать, кто проверяет результат, как фиксируются инциденты.

Положение об использовании ИИ может объединять оба уровня и становиться основным внутренним документом организации.

Кодекс использования ИИ обычно концентрируется на принципах ответственного и этичного применения технологии.

Декларация об использовании ИИ чаще представляет собой публичное заявление организации о том, как и на каких принципах она применяет искусственный интеллект.

Название само по себе не главное. Гораздо важнее содержание документа и то, выполняются ли установленные правила на практике.

Зачем вообще нужны этические правила, если существуют законы

Потому что закон не способен описать каждую ситуацию.

Представим систему, которая формально не нарушает конкретный запрет, но регулярно принимает решения, необоснованно ухудшающие положение определённой категории людей.

Или чат-бота, который намеренно выдаёт себя за человека.

Или ИИ, которому дали слишком широкие полномочия и разрешили самостоятельно совершать действия без достаточного контроля.

Именно здесь появляются этические и правовые аспекты использования ИИ.

Этические принципы обычно строятся вокруг нескольких идей: безопасность человека, недискриминация, прозрачность, человеческий контроль, уважение автономии и понятное распределение ответственности.

Такие нормы могут не иметь той же юридической силы, что федеральный закон, но для компании они способны стать основой внутренних правил.

А если ИИ ошибся — кто отвечает?

Это один из центральных вопросов всей темы.

Допустим, нейросеть придумала несуществующий судебный прецедент, а сотрудник вставил его в документ.

Кто виноват — нейросеть?

На практике компания не может строить систему ответственности вокруг фразы «так решил алгоритм».

Если ИИ используется как рабочий инструмент, необходимо заранее определить, где его результат можно применять автоматически, а где обязательна проверка человеком.

Особенно это важно в процессах, затрагивающих:

• деньги;
• здоровье и безопасность;
• права человека;
• персональные данные;
• найм и увольнение;
• юридически значимые решения;
• репутацию;
• доступ к услугам.

Чем выше цена ошибки, тем важнее человеческий контроль.

Что такое экспериментальные правовые режимы

Есть ещё один интересный механизм — экспериментальные правовые режимы, или ЭПР.

Их смысл напоминает юридическую «песочницу».

Появляется новая технология, но действующие правила изначально создавались для мира, где такой технологии не существовало. Вместо немедленного изменения законодательства для всей страны можно разрешить ограниченный эксперимент со специальными условиями.

Российское законодательство об ЭПР регулирует такие эксперименты в различных направлениях цифровых и технологических инноваций. В программах режима могут определяться территория, срок, особые требования, оценка рисков, контроль и меры по минимизации возможного вреда.

Причём законодательство отдельно предусматривает разбор случаев, когда при использовании решения с ИИ в рамках такого режима был причинён вред человеку или имуществу.

Это позволяет проверять новые технологии не в юридическом вакууме, но и не требовать заранее создать идеальное регулирование для ещё не опробованного решения.

Основание: Федеральный закон № 258-ФЗ об экспериментальных правовых режимах.

Какие документы регулируют использование ИИ

Если попытаться собрать документы, регулирующие использование ИИ, в одну систему, получится несколько уровней.

На верхнем находится государственная стратегия. Национальная стратегия развития искусственного интеллекта определяет направление развития технологии до 2030 года; в 2024 году она была существенно актуализирована.

Далее идут федеральные законы и другие обязательные нормативные акты. Сюда относится новый закон о больших фундаментальных моделях, законодательство о персональных данных, интеллектуальной собственности, информации и экспериментальных правовых режимах.

Следующий уровень — технические и отраслевые требования.

Затем идёт так называемое мягкое регулирование: этические кодексы, рекомендации и добровольно принимаемые принципы.

И наконец, для бизнеса появляется ещё один уровень — собственные корпоративные документы, определяющие использование ИИ сотрудниками.

Поэтому регулирование использования ИИ нельзя представить одним документом. Это скорее несколько слоёв правил, которые накладываются друг на друга.

Что проверить компании перед внедрением ИИ

Перед подключением нового сервиса полезно не начинать с длинного юридического заключения, а ответить хотя бы на несколько практических вопросов.

Какие данные получит ИИ? Если среди них есть персональные, конфиденциальные или составляющие коммерческую тайну сведения, нужен отдельный анализ.

Где эти данные будут храниться и обрабатываться? Это особенно важно при использовании внешних и зарубежных сервисов.

Что ИИ будет делать? Одно дело — составлять черновик, другое — самостоятельно принимать решения или выполнять действия.

Кто проверяет результат? У процесса должен быть понятный ответственный человек.

Кому принадлежат созданные материалы? Особенно если речь идёт о коде, дизайне, рекламе и другом коммерческом контенте.

Можно ли объяснить решение системы? Чем сильнее оно влияет на человека, тем важнее этот вопрос.

Что произойдёт при ошибке? Хорошая система проектируется не только для нормальной работы, но и для ситуации, когда ИИ выдаст неправильный результат.

Если компания способна ответить на эти вопросы, большая часть будущего корпоративного регламента уже фактически сформирована.

Регулирование ИИ — это не запрет на ИИ

Иногда правовое регулирование искусственного интеллекта воспринимают исключительно как попытку ограничить технологию.

Но смысл регулирования шире.

С одной стороны, государству необходимо защищать людей, данные, имущество и другие значимые интересы. С другой — слишком жёсткие требования способны сделать разработку новых технологий практически невозможной.

Поэтому современная модель пытается совместить две цели: развивать ИИ и одновременно контролировать области, где цена ошибки особенно высока.

Именно поэтому появляются риск-ориентированный подход, экспериментальные режимы и разные требования для разных сценариев применения.

Что в итоге нужно знать обычному пользователю

Для большинства людей правила можно свести к довольно простой логике.

Использовать нейросети для повседневных законных задач можно. Но ИИ не отменяет правила, которые действуют без него.

Не стоит без необходимости загружать в публичные сервисы чужие персональные данные, рабочие документы и конфиденциальную информацию. Результаты нейросети нужно проверять, особенно если от них зависят деньги, здоровье или юридические решения. А коммерческое использование сгенерированного контента требует внимательного отношения к интеллектуальным правам.

То есть главный принцип довольно прост:

нейросеть — инструмент, а не юридическая индульгенция.

Что в итоге нужно знать бизнесу

Для компаний ситуация сложнее.

Просто купить корпоративную подписку на ИИ уже недостаточно. По мере того как нейросеть получает доступ к реальным данным и бизнес-процессам, появляются вопросы безопасности, персональных данных, интеллектуальных прав, ответственности и контроля.

Поэтому зрелое регулирование использования ИИ внутри компании обычно строится вокруг четырёх вещей:

данные → полномочия ИИ → человеческий контроль → ответственность.

А затем это закрепляется во внутренней политике, положении или регламенте использования ИИ.

Главная ошибка — ждать появления одного закона, который подробно объяснит бизнесу каждую возможную ситуацию. Такого универсального документа нет, а технология развивается быстрее, чем можно переписывать инструкции.

Правильнее исходить из другого принципа:

чем больше ИИ знает, чем больше решений принимает и чем серьёзнее последствия его ошибки, тем строже должен быть контроль.

И, пожалуй, именно эта формула лучше всего объясняет, куда сегодня движется правовое регулирование искусственного интеллекта.

Частые вопросы