Закон об ИИ 243-ФЗ: что он на самом деле требует от бизнеса
Разбор ФЗ-243 «О поддержке развития технологий искусственного интеллекта»: кого касается, что требуют статьи 8-10, сроки и что делать компании.
Коротко
- Закон регулирует не искусственный интеллект вообще, а большие фундаментальные модели — программы не менее чем с 1 миллиардом параметров (п. 2 ст. 3). Кредитный скоринг, антифрод, распознавание изображений и сценарные чат-боты под него не подпадают.
- Основная часть действует с 1 сентября 2026 года, но статьи 8-10 — те самые, где написаны обязанности, — вступают в силу только с 1 марта 2027 года (ч. 2 ст. 13).
- Обязанности статьи 8 адресованы разработчикам суверенных и национальных моделей, а не компаниям, которые такие модели просто используют в своих продуктах.
- Для обычного бизнеса из закона следует одно практическое требование: если вы даёте клиентам доступ к большой фундаментальной модели, вы обязаны уведомить их о правах на результат генерации (ч. 1 ст. 10).
Кого касается
Разработчики больших фундаментальных моделей — индивидуальные предприниматели и юридические лица, которые разрабатывают, обучают или модифицируют модели от 1 миллиарда параметров (п. 5 ст. 3).
Компании, предоставляющие пользователям возможность применения таких моделей, — то есть любой продукт, внутри которого клиент обращается к нейросети (ч. 1 ст. 10).
Владельцы сайтов, страниц сайтов, информационных систем и программ, доступ к которым в течение суток составляет более 500 тысяч пользователей из России (ч. 3 ст. 9).
Разработчики, претендующие на статус суверенной или национальной модели и связанные с ним меры государственной поддержки (ст. 6, 7).
Что требует
Уведомить пользователя о правах на результат генерации
ч. 1 ст. 10Компании, предоставляющие возможность применения большой фундаментальной модели, обязаны сообщить пользователю, кому принадлежат права на полученные с её помощью результаты интеллектуальной деятельности, и на каких условиях обеспечивается доступ к ним, их использование и сохранение. Практически это правка в пользовательское соглашение, а не доработка продукта.
Дать пользователям инструмент маркировки
ч. 3 ст. 9Крупные площадки обязаны обеспечить пользователям, которые распространяют созданную нейросетью информацию на своих персональных страницах, возможность разместить информационное предупреждение. Порог — более 500 тысяч пользователей из России в сутки. Обязанность здесь именно предоставить инструмент, а не проставить маркировку за пользователя.
Согласовать формат предупреждения об ИИ
ч. 1-2 ст. 9Лицу, которое применяет большую фундаментальную модель для создания аудио- или визуального материала, обеспечивается возможность разместить информационное предупреждение о применении технологий ИИ. Формат, содержание и порядок размещения определяются соглашением между тем, кто применяет модель, и тем, кто предоставляет возможность её применения.
Принять меры безопасности модели
п. 1 ст. 8Разработчик суверенной или национальной большой фундаментальной модели обязан принимать организационные и технические меры по обеспечению её безопасности. Требование адресовано разработчикам таких моделей, а не компаниям, которые их применяют.
Определить правила эксплуатации модели
п. 2 ст. 8Разработчик обязан установить правила эксплуатации модели: ограничения, условия применения, порядок обновления и вывода из эксплуатации. Для внутреннего аудита это удобная точка входа — правила эксплуатации показывают, что именно вендор разрешает и запрещает делать с моделью.
Вести техническую документацию
п. 3 ст. 8Разработчик ведёт техническую документацию с описанием ключевых параметров и ограничений модели в объёме, необходимом для оценки безопасности её применения. Компании-пользователю стоит запросить этот документ у поставщика: без него нельзя обосновать собственную оценку рисков.
Сроки
- Закон подписан и официально опубликованПринят Государственной Думой 8 июля 2026 года, одобрен Советом Федерации 17 июля 2026 года
- Вступает в силу основная часть законаПредмет регулирования, цели, понятия, принципы и полномочия — ч. 1 ст. 13
- Вступают в силу статьи 8-10 и часть положений статей 5 и 6Обязанности разработчиков, маркировка и уведомление о правах на результат — ч. 2 ст. 13
- Истекает переходный период для существующих информационных системТребование применять исключительно суверенные и национальные модели до этой даты не распространяется на системы, созданные или эксплуатируемые на день вступления в силу п. 3 ч. 2 ст. 5, при условии обработки и хранения данных в России — ч. 3 ст. 13
Что грозит за нарушение
Специальных штрафов за нарушение 243-ФЗ закон не вводит. Статья 11 отсылает к общему законодательству: участники отношений несут ответственность в соответствии с законодательством Российской Федерации.
Реальные санкции возникают по смежным нормам. Чаще всего это статья 13.11 КоАП РФ за нарушения при обработке персональных данных и статья 272.1 УК РФ за незаконные сбор и передачу сведений о частной жизни.
Ответственность перед пользователем за вред, причинённый применением модели, наступает на общих гражданско-правовых основаниях. Тот факт, что ошибку допустила нейросеть, сам по себе от ответственности не освобождает.
Как проверить себя
Определите, есть ли в вашем контуре модели от 1 миллиарда параметров. Если вы пользуетесь чужими сервисами, а своих моделей не обучаете, разработчиком в смысле закона вы не являетесь.
Проверьте, даёте ли вы клиентам доступ к нейросети внутри своего продукта. Если да, часть 1 статьи 10 касается вас с 1 марта 2027 года.
Откройте пользовательское соглашение и найдите ответ на вопрос, кому принадлежат права на результат генерации. У большинства компаний такого пункта сейчас нет.
Посмотрите суточную аудиторию своих площадок с персональными страницами пользователей. Порог части 3 статьи 9 — более 500 тысяч пользователей из России.
Запросите у поставщика модели правила эксплуатации и техническую документацию по статье 8. Их отсутствие — сигнал, что оценку рисков вы обосновать не сможете.
Зафиксируйте, где физически обрабатываются запросы пользователей и где хранятся данные: этот вопрос всплывает и в 243-ФЗ, и в законодательстве о персональных данных.
Почему вокруг этого закона столько путаницы
Публикации о 243-ФЗ обычно строятся вокруг двух тезисов: «ввели обязательную маркировку ИИ-контента» и «теперь нейросети под контролем государства». Оба утверждения не выдерживают сверки с текстом.
Закон намеренно узкий. Его предмет — отношения в сфере разработки, внедрения и применения больших фундаментальных моделей (ч. 1 ст. 1). Всё, что меньше миллиарда параметров или решает одну узкую задачу, остаётся за рамками. Компьютерное зрение на производственной линии, модель оттока клиентов, антифрод, OCR — под 243-ФЗ не подпадают, и требования к ним нужно искать в других нормах.
Вторая причина путаницы — сроки. Закон вступает в силу 1 сентября 2026 года, и эта дата разошлась по заголовкам. Но статьи 8, 9 и 10 — единственные, где сформулированы обязанности, — начинают действовать 1 марта 2027 года. До этой даты закон работает как рамка: определения, цели, принципы и полномочия органов власти.
Как читать закон применительно к своей компании
Практически весь бизнес попадает в одну из трёх ролей, и от роли зависит объём требований:
Вы применяете чужую модель внутри компании. Обязанностей из 243-ФЗ у вас нет. Ваши риски описаны в законодательстве о персональных данных: оператором остаётесь вы, а не поставщик модели.
Вы даёте клиентам доступ к модели в своём продукте. С 1 марта 2027 года вас касается часть 1 статьи 10 — уведомление пользователя о правах на результат генерации и об условиях доступа к нему. Это работа юриста над пользовательским соглашением.
Вы разрабатываете или дообучаете большую фундаментальную модель. К вам применимы обязанности статьи 8, если модель претендует на статус суверенной или национальной, и, соответственно, на меры господдержки по статье 7.
Проверьте свою компанию бесплатно
Шесть вопросов о том, как в компании используется ИИ. Результат — сразу на экране: какие требования вас касаются и к каким датам.
Пройти экспресс-проверку →
