1 сентября: что в 243-ФЗ вступило в силу — и о чём спрашивают ИТ-директора

Вступила в силу рамочная часть закона: понятийный аппарат, принципы регулирования, разграничение полномочий Президента, Правительства и уполномоченного органа в сфере ИТ.

Понятийный аппарат — это определения искусственного интеллекта, большой фундаментальной модели и разработчика. Отсюда растёт всё остальное: порог в миллиард параметров, связка из трёх признаков БФМ, разграничение ролей между тем, кто модель создал, и тем, кто ею пользуется. Само по себе определение никого ни к чему не обязывает, но с 1 сентября спор «подпадаем или нет» ведётся уже по действующей норме. Как проверить свою конфигурацию — разбирали отдельно.

Принципы регулирования обычно пролистывают. Зря: подзаконные акты будут писаться под них, и спорные вопросы регулятор будет разрешать оттуда же. В сентябре это единственная часть закона, по которой можно предугадать, куда двинется правоприменение.

Ещё одна норма сентябрьского блока, про которую первым делом спрашивает юридическая служба, — ответственность за вред, причинённый при применении искусственного интеллекта. Она сведена к отсылке на общие правила гражданского законодательства. Распределения ответственности между разработчиком модели, оператором системы и конечным пользователем в законе нет — ни презумпций, ни критериев. Вопрос по-прежнему решается договором, и договорную работу с вендором откладывать до подзаконных актов незачем: специальных правил, которые её отменят, не появилось.

Отдельно про статьи о суверенном и национальном статусе. Есть техническая неясность в том, к какому блоку по срокам они отнесены. На практике вопрос ничего не решает: обязанности обладателей статуса установлены статьёй 8, а она включается 1 марта 2027 года вместе со статьями 9 и 10. До этой даты статус существует как определение, под которое ещё не написан порядок присвоения. Что он даёт и кому нужен — в материале про суверенную и национальную модель.

Строка про обучающие данные требует уточнения, потому что её пересказывают неверно чаще остальных. Статья 10 не легализовала машинную обработку охраняемого контента для всех подряд: исключение работает, когда анализ выполняется исключительно для обучения суверенной или национальной модели. Корпоративный RAG по собственному архиву и дообучение открытой модели под отраслевую терминологию под него не подпадают — подробный разбор нормы мы публиковали в августе.

Всё, что ниже, — наблюдение одного интегратора на небольшой выборке, а не картина рынка. Но вопросы повторяются почти дословно, и после 1 сентября поток таких обращений вырастет, так что разобрать их стоит заранее.

Первое, что бросается в глаза, — состав обратившихся. Это ИТ-директора предприятий пищевой промышленности, машиностроения, торговли и сервиса. Отрасли, которые в законе не поименованы, объектов КИИ в большинстве случаев не имеют и под предмет регулирования попадают разве что через базовую модель внутри своего контура. Ответственность за саму модель при этом лежит на её разработчике, а не на них.

Получается перевёрнутая картина: там, где закон адресован прямо, — в банках и энергетике, — реакция сдержанная, а тревога пришла в отрасли, до которых регулирование дотягивается в последнюю очередь. Обычно это признак того, что рынок объяснил закон раньше, чем его прочитали.

«У нас всё внутри периметра»

Эту фразу заказчик произносит сам, без вопроса с нашей стороны. Дважды она оказалась неверной — причём неожиданно для службы информационной безопасности.

Схема была одинаковой. Развёрнутая локально открытая модель в процессе работы обращалась к внешнему ресурсу за другой моделью: подтягивала компонент с Hugging Face. Формально инференс основной модели шёл внутри, фактически контур ходил наружу, и в модели угроз этого не было — архитектуру рисовали до того, как в пайплайн добавили второй компонент.

Проверяется это сетевыми средствами, а не опросом команды: политикой исходящего трафика с закрытым перечнем разрешённых адресов, разбором того, куда пайплайн обращается на старте и в рантайме, и переводом загрузки весов и зависимостей на внутреннее зеркало. Отдельно стоит посмотреть на компоненты, которые добавили в контур позже основной модели, — реранкеры, эмбеддеры, вспомогательные классификаторы. Именно они чаще всего тянут что-то из сети, потому что их ставили быстро и вне проектной документации.

Условие переходного периода — обработка и хранение данных в России, и касается оно не только исходных документов: логи промптов и ответов, векторные представления корпуса, кэш генераций — всё это производные данные. Схема, в которой хоть один компонент ходит за периметр, под отсрочку не попадает независимо от даты запуска.

«Мы успеем до марта?»

Здесь вопрос задан по существу, и ответ на него чаще отрицательный, чем ожидают. В большинстве разборов выясняется, что систему не успевали довести до акта ввода в промышленную эксплуатацию к отсечке.

Причина почти никогда не техническая. Разворачивается контур быстро; время съедают решение о целевой модели, согласование закупки и аттестационный блок. Отсчёт при этом надо строить назад от даты акта, а не вперёд от сегодняшнего дня.

Этапы в таблице выстроены встык, хотя документация обычно готовится параллельно с переносом — это даёт две-три недели запаса. Строка про закупку их съедает целиком: согласование закупки видеокарт живёт по собственному календарю, слабо связанному с проектным.

Отсюда два честных сценария. Первый: контур собирается на имеющихся мощностях, аттестация запускается в декабре, к отсечке система работает. Второй: закупка не успевает, и тогда осмысленнее спокойно планировать общий режим — он наступит не раньше, чем Правительство внесёт вашу отрасль в перечень, которого пока нет. Плохо здесь только третье: обнаружить развилку в январе.

«Купим серверы с GPU из реестра Минпромторга и LLM из реестра Минцифры»

Прежде чем разбирать сам запрос, стоит объяснить, откуда он взялся. В весенних редакциях законопроекта был реестр доверенных моделей, о нём много писали, и в памяти рынка он остался. В подписанный текст он не вошёл — как и сама категория доверенной модели. Историю этого исчезновения мы разбирали в материале о том, как проект стал законом. Место исчезнувшего реестра в разговоре заняли реестры существующие, хотя они про другое.

Реестры действительно существуют, и в ряде закупочных сценариев обращение к ним обязательно. Но эти требования происходят из регулирования закупок и импортозамещения и применяются в своих случаях независимо от закона об ИИ. Какие именно акты и редакции сработают в вашей закупке, должен определить закупочный юрист — универсального ответа тут нет.

В 243-ФЗ нет ни реестра моделей, ни реестра оборудования, ни отсылки к ним. Запись в реестре не делает систему «соответствующей закону об ИИ», потому что соответствовать пока нечему: обязанности статьи 8 адресованы разработчикам моделей со статусом и включаются в марте.

По-настоящему стоит проверить два других факта — лицензию на веса модели и юрисдикцию, в которой выполняется инференс. Именно от них зависит попадание системы в переходный период, и ни один реестр их не заменяет.

«Поставьте нам самую новую open-source модель»

Приходит чаще остальных и выглядит безобидно. Логика за ним стоит понятная: регулирование ужесточается, значит надо брать актуальное — актуальное ближе к требованиям.

Новая модель — это в первую очередь непроверенная модель. У релиза трёхнедельной давности нет накопленной статистики отказов, нет проверенной совместимости с версиями vLLM и драйверами, которые уже стоят в контуре, и нет ясности с лицензией: у части новых весов условия меняются между релизами, и то, что вчера допускало коммерческое использование, сегодня может его ограничивать. Для контура, который придётся аттестовывать, это плохой размен: аттестуется конкретная конфигурация, и смена базовой модели после подписания аттестата означает переоценку.

Что проверять вместо свежести: лицензию на веса и её редакцию на дату скачивания, наличие модели в сборках инференс-сервера, который уже стоит в контуре, поведение на вашем корпусе — а не на публичных бенчмарках, — и наличие предыдущей стабильной версии, к которой можно откатиться. Модель, вышедшая полгода назад и отработавшая у кого-то год в проде, для аттестуемого контура обычно лучший выбор, чем релиз этого месяца.

С 243-ФЗ этот запрос не связан вообще: закон не устанавливает требований к возрасту модели и не различает релизы по свежести.

Развёрнутый чек-лист подготовки — в отдельном материале. Здесь только то, что привязано к дате отсечки и не зависит от содержания будущих постановлений.

После третьего шага появляется решение, которое лучше принять в сентябре, чем в январе: выбрать один-два сценария, которые действительно должны попасть под отсрочку, и вести к акту ввода именно их.

Останавливать проекты до появления подзаконных актов. Логика понятная: правила ещё дописываются, строить под них рано. Но переходный период устроен так, что пауза до весны обходится дороже, чем движение с неполной информацией. Инвентаризация, локализация данных и аттестация от текста постановлений не зависят вообще.

Сертифицировать модель. Порядок присвоения статуса устанавливается подзаконным актом, которого нет. Реестра нет. Органа, который принимал бы заявки, нет.

Маркировать ответы ассистента. Обязанности маркировать созданный ИИ контент закон не устанавливает ни для кого — и до 1 марта 2027 года не работает даже норма о технической возможности разместить предупреждение. Она касается материалов в аудио- и визуальной форме и обязывает крупные площадки дать пользователю кнопку. Внутренняя пометка ответов модели полезна для аудита, но это ваше решение.

Экстренно снимать зарубежные модели с эксплуатации. Прямого запрета в законе нет. Есть право Правительства установить случаи, когда допускается применение исключительно суверенных или национальных моделей, и перечень исключений из них. Рубильник установлен, но не повёрнут: перечня не существует. Планировать снижение зависимости стоит — подходы к импортозамещению ИИ-инфраструктуры мы разбирали отдельно, — но это плановая работа, а не аварийная остановка.

Требовать от вендора справку о соответствии 243-ФЗ. Соответствовать пока нечему. Полезнее зафиксировать в договоре обязанность вендора уведомлять об изменении юрисдикции инференса, условий лицензии и площадки размещения, а также право заказчика на замену базовой модели без пересмотра всего контракта. Эти формулировки работают независимо от того, каким выйдет перечень.

Главный документ — постановление Правительства с перечнем случаев обязательного применения суверенных и национальных моделей. До его выхода отраслевая принадлежность вашей компании ничего не определяет.

Второй — порядок присвоения статуса. Пока его нет, разговор с вендором о том, что его модель «будет национальной», остаётся намерением.

Отдельно для финансового сектора. Банковская сфера прямо поименована в законе: случаи обязательного применения и требования по предотвращению рисков в ней определяются по согласованию с Центральным банком. Значит, следить нужно и за позицией регулятора. Что из этого следует для банковских ИИ-портфелей — в материале про финансовый рынок.

И общий фон: рамочным закон назвал Председатель Госдумы, сообщив, что подзаконные акты готовит Правительство, а к ключевым положениям парламент вернётся до конца года. Дорожная карта, которая ломается от одной поправки, спроектирована неправильно. Привязывайте план к инфраструктурным фактам — где выполняется инференс, где лежат данные, когда подписан акт. Они устойчивы к редактуре закона.

Выберите короткий список систем, которые должны попасть под отсрочку, и постройте обратный отсчёт от даты акта ввода в эксплуатацию. Если в этом отсчёте есть аттестация объекта информатизации и работы ещё не начаты, шесть месяцев уже на нижней границе реалистичного — и это стоит сказать руководству в сентябре, а не в феврале.

Четвёртого сентября разбираем то же самое подробнее и с расчётами на вебинаре «243-ФЗ: три даты, три горизонта».

Что реально изменилось с 1 сентября 2026 года?

Вступила в силу рамочная часть 243-ФЗ: понятийный аппарат, принципы регулирования, разграничение полномочий органов власти. Новых обязанностей у организаций из этих норм не возникает. Требования к моделям и обязанности разработчиков включаются 1 марта 2027 года.

Нужно ли срочно маркировать контент, созданный ИИ?

Нет. Обязанности маркировать созданный ИИ контент закон не устанавливает ни для кого. Статья 9 обязывает крупные площадки предоставить пользователю возможность разместить предупреждение, и вступает она в силу 1 марта 2027 года. Внутренних корпоративных систем требование не касается.

Обязательно ли покупать оборудование из реестра Минпромторга и модель из реестра Минцифры?

Из 243-ФЗ такого требования не следует: закон не создаёт ни реестра моделей, ни реестра оборудования и не ссылается на существующие. Требования закупать из реестров происходят из регулирования закупок и импортозамещения, применяются в своих случаях независимо от закона об ИИ, и их применимость к конкретной закупке определяет закупочный юрист.

Запрещены ли теперь зарубежные модели?

Прямого запрета нет. У Правительства есть право установить случаи, когда допускается применение исключительно суверенных или национальных моделей, но перечня таких случаев не существует, а сама норма включается 1 марта 2027 года. При этом схема с внешним API не отвечает условию обработки и хранения данных в России и под переходный период не попадает.

Что даёт попадание в переходный период?

Отсрочку до 1 сентября 2032 года. Условий два: система находится в промышленной эксплуатации на 1 марта 2027 года и данные обрабатываются и хранятся на территории России. Процедуры подтверждения закон не устанавливает, поэтому проверять будут по документам — акту ввода в эксплуатацию, приказу, протоколам приёмочных испытаний.

Мы развернули открытую модель локально. Данные точно не покидают периметр?

Проверять нужно фактический трафик, а не согласованную схему. Пайплайн может обращаться наружу за дополнительными компонентами — например, подтягивать модель или веса с внешнего хаба. Условие локализации касается и производных данных: логов промптов и ответов, векторных представлений корпуса, кэша генераций.