26 июля 2026 года подписан Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Для бизнеса в нём есть две даты, которые стоит обвести маркером: 1 марта 2027 года и 1 сентября 2032 года.
Что сказано в законе
Информационные системы на базе больших фундаментальных моделей ИИ, созданные или эксплуатируемые по состоянию на 1 марта 2027 года, в предусмотренных законом случаях смогут продолжить использование ранее внедрённых моделей до 1 сентября 2032 года. Условие — локализация обработки и хранения данных в Российской Федерации.
Переводим с юридического на человеческий: на то, чтобы привести ИИ-системы в порядок, у компаний есть почти шесть лет. Звучит как «успеем с запасом», но запас времени обладает замечательным свойством: таять как раз тогда, когда на нём рассчитываешь. А вот локализация данных — это не пожелание, а условие сделки.
Что это значит для бизнеса
Если в компании уже трудится ИИ-ассистент на зарубежной модели, точкой отсчёта станет именно 1 марта 2027 года: попадёт в переходное положение то, что на эту дату уже работает. То, что запустят позже, судя по формулировке, под льготу не подпадает. Поэтому разумно:
- провести инвентаризацию: какие модели и сервисы используются, где обрабатываются и хранятся данные (ответ «какое-то облако» в отчёт не положишь);
- зафиксировать, какие системы работают на 1 марта 2027 года;
- в новые проекты сразу закладывать российские или локально размещаемые модели.
Курс на отечественное ПО
Отдельно стратегическими документами предусмотрено, что к 2030 году государственные компании и организации с государственным участием свыше 50% должны использовать российское ПО на 95%. Пять процентов на иностранные решения — это не политика «по возможности», а скорее правка на полях. Для интеграторов и поставщиков это сигнал: спрос на импортонезависимые решения будет расти и в госсекторе, и у его подрядчиков.
Где ИИ уже регулируется
Закон пришёл не на пустое место. ФСТЭК России уже включила ИИ в банк данных угроз (БДУ) как самостоятельную угрозу, а Приказ № 117 содержит прямые требования к информационным системам с ИИ-компонентами: контроль промптов и выявление недостоверных ответов (по-простому, галлюцинаций). Как всё это контролировать на практике — в статье 2, в разделе про шлюз безопасности AiCC.
С чего начать
- Составьте реестр ИИ-сервисов, включая «теневые» — публичные чат-боты, которыми сотрудники пользуются без ведома ИБ. Сюрприз: их обычно больше, чем кажется.
- Определите, где физически хранятся и обрабатываются данные.
- Оцените, какие модели можно заменить на российские или развернуть в своём контуре.
- Заранее проверьте, какие из ваших систем подпадают под «предусмотренные законом случаи».