Закон об ИИ: что меняется для бизнеса и как безопасно внедрять нейросети

14 октября 2026 г. · Автор: Мария Козлова, эксперт по оптимизации бизнес-процессов

С 1 сентября 2026 года действует первый российский закон об искусственном интеллекте — 243-ФЗ. Обычной компании он почти ничего не запрещает, а главные риски при работе с нейросетями по-прежнему связаны с персональными данными, коммерческой тайной и ошибками в отчётности. Разбираем, что проверить уже сейчас.

Главное за минуту

• Федеральный закон от 26.07.2026 № 243-ФЗ действует с 1 сентября 2026 года, ключевые нормы — с 1 марта 2027 года.
• Он касается только больших фундаментальных моделей — от 1 млрд параметров — и обязывает прежде всего их разработчиков.
• Общего запрета зарубежных нейросетей нет. В отдельных случаях правительство сможет требовать российские «суверенные» или «национальные» модели, но перечня таких случаев пока нет.
• Маркировка ИИ-контента по закону — право автора, а не обязанность.
• Реальные риски неосторожной работы с нейросетями — штрафы, трудовые споры и доначисления — связаны с персональными данными, коммерческой тайной и ошибками в отчётности.

Что регулирует закон и кого касается

Закон вводит понятие большой фундаментальной модели: это программа, которая решает много разных интеллектуальных задач на уровне человека, служит основой для другого софта и содержит не менее 1 млрд параметров. Сюда относятся крупные языковые модели, на которых работают популярные чат-боты. Узкие модели, которые решают одну задачу, например распознают документы или считают скоринг, под это определение не подпадают.

Из участников рынка закон определяет только разработчика модели — ИП или организацию, которые её создают, обучают или дорабатывают. В мартовском проекте Минцифры были ещё «оператор системы ИИ» и «пользователь сервиса» со своими обязанностями, а также обязательная маркировка. В принятый текст это не вошло.

Суверенные и национальные модели

У обеих категорий общие условия: разработчик — российская организация под контролем государства, региона, муниципалитета или граждан РФ без второго гражданства (больше 50% голосов). Ответы пользователям готовятся и данные хранятся в российских ЦОД российских компаний. Модель должна пройти подтверждение соответствия законодательству и «традиционным духовно-нравственным ценностям» — порядок установит правительство.

Разница в происхождении. Суверенную модель российская компания разрабатывает целиком сама и может полностью воспроизвести цикл разработки, включая обучение. Национальная может включать чужие компоненты, в том числе зарубежные модели с открытой лицензией, но существенные характеристики определяет российский разработчик.

Когда могут потребовать российскую модель

С 1 марта 2027 года правительство вправе установить случаи, в которых допускаются только суверенные или национальные модели, и исключения из них. Для банков и финансового рынка — по согласованию с Банком России. На информационные системы, где большие модели уже применяются на 1 марта 2027 года, ограничения не распространяются до 1 сентября 2032 года — но только если данные обрабатываются и хранятся в России.

Постановления пока нет. По перечню подзаконных актов к законопроекту его проект должны подготовить к 1 ноября 2026 года. Михаил Мишустин 6 октября на форуме «Цифровые решения» заявил, что речь о критической инфраструктуре и других чувствительных сферах, а остальные компании выбирают сами. В СМИ обсуждался проект с налогами, бюджетом, образованием, здравоохранением и госуслугами, но Минцифры назвало разговор о готовом перечне преждевременным.

Если вы работаете с государством, критической инфраструктурой, на финансовом рынке, в медицине или образовании и строите сервис на зарубежной модели через API, заложите план перехода. Льгота до 2032 года не действует, если данные обрабатываются за рубежом.

Маркировка ИИ-контента

С 1 марта 2027 года тот, кто создаёт с помощью большой модели аудио- или визуальные материалы, получает возможность поставить предупреждение о применении ИИ. Формат определяется соглашением с сервисом. Крупные площадки с рекламой и суточной аудиторией более 500 тыс. российских пользователей обязаны дать такую возможность на страницах пользователей.

Обязанности маркировать тексты, отчёты или посты закон не вводит. В августе 2026 года депутаты внесли законопроект № 1317978-8 об обязательной маркировке силами сервисов, дающих доступ к моделям. Это пока законопроект, он не принят.

Что это значит для обычной компании

Если сотрудники пишут письма и готовят черновики в нейросетях, 243-ФЗ ничего от вас сейчас не требует. Но штрафы дают другие, давно действующие законы.

Персональные данные в чат-ботах

Персональные данные — любые сведения о человеке, которого можно определить: ФИО и телефон клиента, паспорт, зарплата сотрудника, ИНН индивидуального предпринимателя. Когда такой текст уходит в сервис иностранной компании, это, как правило, трансграничная передача (ст. 12 152-ФЗ). До её начала нужно отдельно уведомить Роскомнадзор и заранее собрать у получателя сведения о мерах защиты. Если страны нет в перечне Роскомнадзора, передавать данные можно только после 10 рабочих дней на рассмотрение уведомления, и ведомство вправе передачу запретить. США в действующем перечне нет.

Есть и другие требования. Данные граждан РФ при сборе нужно записывать и хранить в базах в России (ч. 5 ст. 18). Поручить обработку другому лицу можно только по договору с условиями из ч. 3 ст. 6, а пользовательское соглашение публичного чат-бота его не заменяет. Поэтому в публичные зарубежные сервисы безопаснее отправлять только обезличенный текст, а задачи с персональными данными решать в российском сервисе с корпоративным договором.

ИП по ч. 1.1 и 8–18 отвечают как организации. Ещё одно правило: решение, которое влечёт юридические последствия для человека, нельзя принимать только по выводу алгоритма без письменного согласия этого человека (ст. 16 152-ФЗ). Например, отказ кандидату по итогам автоматического отбора.

Коммерческая тайна

Бабушкинский районный суд Москвы (решение от 26 мая 2026 года, дело № 02-1545/2026) признал законным увольнение директора по продажам. Среди нарушений — загрузка внутренних отчётов в DeepSeek, которую суд счёл разглашением коммерческой тайны. Это первая инстанция, решение могут обжаловать. В деле было важно, что режим тайны был оформлен заранее, а сотрудница ознакомлена с документами под подпись.

Режим коммерческой тайны действует, только если приняты меры из ст. 10 98-ФЗ: перечень сведений, порядок доступа и контроль за ним, учёт допущенных лиц, условия в трудовых и гражданско-правовых договорах, гриф на документах. Впишите в положение прямой запрет загружать такие сведения во внешние ИИ-сервисы.

Ошибки нейросети в отчётности: кто отвечает

Нейросеть ни за что не отвечает. Ведение учёта организует руководитель (ч. 1 ст. 7 402-ФЗ), а налоги и штрафы платит организация — неважно, кто подсказал цифру.

Пример. ИИ-ассистент посоветовал учесть в расходах 1 200 000 ₽ затрат, которые по НК базу не уменьшают. Налог на прибыль занижен на 1 200 000 × 25% = 300 000 ₽.

Если ошибка исказила бухучёт и занизила налог на 10% и более, директору или главбуху грозит ещё штраф 5–10 тыс. ₽ по ст. 15.11 КоАП, при повторе — до 20 тыс. ₽ или дисквалификация на 1–2 года.

Нашли ошибку раньше налоговой — пополните ЕНС на сумму налога и пеней и подайте уточнённую декларацию. Тогда штрафа не будет (п. 4 ст. 81 НК), если вы ещё не узнали, что инспекция обнаружила ошибку или назначила выездную проверку.

Чек-лист: как внедрять нейросети безопасно

1. Составьте реестр: какие ИИ-сервисы используют сотрудники, для каких задач, с личных или корпоративных аккаунтов, где сервис хранит данные.
2. Утвердите приказом политику использования ИИ: разрешённые сервисы, запрещённые данные, кто проверяет результат. Ознакомьте сотрудников под подпись.
3. Запретите загружать во внешние сервисы персональные данные клиентов и сотрудников, сведения из перечня коммерческой тайны, данные клиентов под NDA, пароли и доступы, неопубликованную отчётность.
4. Для задач с персональными данными выберите сервис с серверами в России и договором с условиями поручения обработки. Либо обезличивайте текст до отправки.
5. Обновите положение о коммерческой тайне и договоры с подрядчиками: прямо упомяните ИИ-сервисы.
6. Сверяйте ответы нейросети с первоисточниками: ставки, сроки, КБК и номера статей. Модели уверенно выдают устаревшие и несуществующие нормы.
7. Оставьте финальное решение по людям и цифрам в отчётности за сотрудником.
8. Если даёте клиентам генерацию на базе большой модели, к 1 марта 2027 года дополните пользовательское соглашение условиями о правах на результат.
9. Следите за постановлениями по 243-ФЗ, особенно если работаете с госзаказом, КИИ, финансовым рынком, медициной или образованием.

Чем поможем

Посмотрим, какие данные бухгалтерии и кадровой службы уходят во внешние сервисы, и подскажем, как выстроить проверку цифр, подготовленных с помощью нейросетей, до отправки отчётности. Если ошибка уже попала в декларацию, рассчитаем последствия и подготовим уточнённую декларацию. Если удобнее передать учёт целиком, возьмём его на аутсорсинг вместе с подготовкой отчётности.

Частые вопросы

Запрещено ли теперь пользоваться ChatGPT и другими зарубежными нейросетями?

Нет, 243-ФЗ их не запрещает. С 1 марта 2027 года правительство сможет требовать российские модели в отдельных случаях, но перечня пока нет. Ограничения на загрузку данных при этом действуют уже сейчас — по 152-ФЗ и 98-ФЗ.

Нужно ли маркировать тексты и картинки, сделанные нейросетью?

По закону — нет. С 1 марта 2027 года у автора аудио- и визуальных материалов появится возможность поставить пометку, а крупные площадки должны дать для этого инструмент. Законопроект об обязательной маркировке внесён в Госдуму, но не принят. Площадка или заказчик могут потребовать маркировку по договору.

Можно ли загрузить в нейросеть банковскую выписку для анализа?

В выписке обычно есть ФИО и ИНН физлиц и ИП — это персональные данные. Удалите их или используйте российский сервис с корпоративным договором. Даже без них обороты и список контрагентов могут входить в вашу коммерческую тайну.

Что делать, если сотрудник уже загрузил данные клиентов в чат-бот?

Зафиксируйте, что и куда ушло, и передайте ситуацию ответственному за персональные данные. Если это неправомерная передача, нарушившая права людей, закон требует сообщить в Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Опоздание с уведомлением — отдельный штраф для организации от 1 до 3 млн ₽.

Кто отвечает, если нейросеть ошиблась в декларации?

Организация и её должностные лица, как при любой другой ошибке. Ссылка на нейросеть не освобождает от недоимки, пеней и штрафа. Защита одна — проверка человеком до отправки и своевременная уточнённая декларация.

Нормативная база

• Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» — большие фундаментальные модели, их статусы, маркировка.
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — ст. 6, 12, 16, 18, 21.
• Федеральный закон от 26.07.2026 № 265-ФЗ — новые критерии перечня стран для трансграничной передачи.
• Приказ Роскомнадзора от 05.08.2022 № 128 — действующий перечень стран с адекватной защитой персональных данных.
• Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» — ст. 10.
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» — ст. 7.
• Налоговый кодекс РФ — ст. 81 (уточнённая декларация), ст. 122 (неуплата налога), ст. 284 (ставка налога на прибыль).
• КоАП РФ — ст. 13.11 (персональные данные), ст. 15.11 (грубое нарушение требований к бухучёту).
• Трудовой кодекс РФ — подп. «в» п. 6 ч. 1 ст. 81 (увольнение за разглашение охраняемой законом тайны).
• Законопроект № 1317978-8 об изменении ст. 9 243-ФЗ (обязательная маркировка), внесён в августе 2026 года, не принят.