В 2026 году регулирование ИИ в России перестаёт быть набором деклараций и становится набором операционных требований. Отдельного «закона об ИИ» пока нет, но обязанности уже распределены по 152-ФЗ, 149-ФЗ, закону о рекомендательных технологиях, подзаконным актам и отраслевым регламентам. Практический вывод простой: любой ИИ-сценарий, который касается данных клиентов или влияет на их решения, попадает в зону регуляторного внимания.

Что уже действует и не отменяется

Базовый контур — 152-ФЗ. Оборотные штрафы за повторные утечки персональных данных и кратный рост санкций за первую утечку сделали ИБ-периметр ИИ-проектов вопросом экономики, а не только комплаенса. Отдельно работает требование локализации баз данных на территории РФ и уведомительный порядок трансграничной передачи: вызов зарубежного LLM-API с передачей туда персональных данных — это трансграничная передача со всеми последствиями.

Второй контур — рекомендательные технологии. Если алгоритм ранжирует контент, товары или заявки для пользователя, оператор обязан раскрывать правила рекомендаций и попадает в реестр Роскомнадзора. Многие компании не считают свой «поиск по базе знаний» или «умную сортировку обращений» рекомендательной системой — и зря: критерий здесь функциональный, а не терминологический.

Третий — Кодекс этики ИИ и серия ГОСТов (например, ГОСТ Р 59276-2020). Формально это не закон, но ссылки на них всё чаще появляются в тендерах, требованиях банков и техзаданиях госзаказчиков. Для поставщика это фактически обязательный минимум, а для заказчика — способ отсечь незрелых подрядчиков.

Что добавляется в 2026-м

Ключевые новации обсуждаются в пакете инициатив Минцифры и профильных комитетов Госдумы: маркировка контента, созданного ИИ, обязательное информирование пользователя о взаимодействии с ботом, требования к тестированию и документированию моделей, ответственность за вред, причинённый автономными системами. Часть норм уже прошла стадию публичного обсуждения и может вступать в силу поэтапно, с переходными периодами для разработчиков.

Отдельный фактор — AI Act в ЕС. Его требования к генеративным моделям и высокорисковым системам применяются поэтапно, и российские компании, работающие с европейскими заказчиками или пользователями, попадают под них напрямую. Для экспортных проектов это уже не «завтра», а действующая рамка.

Практические шаги

1. Инвентаризация. Составьте реестр ИИ-сценариев: какие модели используются, какие данные в них попадают, где хранятся, кто имеет доступ. Без этой карты любой аудит превращается в гадание.

2. Разделение потоков. Персональные данные — только в контуре, соответствующем 152-ФЗ. Для внешних моделей — обезличивание либо приватная LLM, развёрнутая на вашей инфраструктуре.

3. Договоры с вендорами. Проверьте, обучается ли модель на ваших данных, где физически обрабатываются запросы, есть ли соглашение об обработке данных и обязательства по удалению.

4. Логирование и объяснимость. Для решений, влияющих на человека (кредит, отказ в услуге, оценка кандидата), нужны трассируемые логи и возможность объяснить вывод модели. Это главный аргумент в спорах с клиентом и регулятором.

5. Маркировка и дисклеймеры. Даже до вступления норм в силу стоит помечать сгенерированный контент и предупреждать пользователя, что он общается с ИИ. Переделывать интерфейсы в авральном режиме дороже.

6. Внутренний регламент. Политика использования ИИ, перечень запрещённых сценариев (например, загрузка клиентских данных в публичные чат-боты), обучение сотрудников.

Как мы можем помочь

Мы проектируем и внедряем ИИ-контуры, которые изначально соответствуют требованиям 152-ФЗ: приватные LLM на вашей инфраструктуре, RAG с разграничением прав доступа, логирование и аудит ответов модели, интеграции с 1С и CRM без вывода данных за периметр. Поможем провести инвентаризацию ИИ-сценариев, подготовить внутренний регламент и техническую документацию под требования регулятора. Обсудить проект