Федеральный закон 243-ФЗ об ИИ действует с 1 сентября 2026 года. Он регулирует большие фундаментальные модели от 1 млрд параметров и возлагает обязанности на их разработчиков, а не на пользователей.
Штрафа 500 тысяч за неотмаркированный ИИ-контент не существует. Рассылки с таким текстом пошли предпринимателям через неделю после подписания закона, и часть компаний оплачивает «помощь с оформлением», не открыв сам документ.
Разбираться приходится в двух законах сразу. 26 июля 2026 года подписали не один документ, а два: 243-ФЗ про искусственный интеллект, о котором написали все, и 265-ФЗ про персональные данные, о котором почти никто. Первый большинства компаний не касается вообще. Второй вступил в силу сразу и касается каждого, кто отправляет данные в зарубежный сервис. Дальше по пунктам: что регулируется, что маркируется, что грузить в нейросеть в сентябре 2026 года и что проверить у себя за один рабочий день.
Закон регулирует не искусственный интеллект вообще, а большие фундаментальные модели: программы не менее чем с 1 миллиардом параметров. Обязанности он возлагает на разработчиков таких моделей и на тех, кто предоставляет к ним доступ другим лицам. Компания, которая пользуется ChatGPT, GigaChat или YandexGPT, разработчиком от этого не становится.
В законе определены понятийный аппарат, общие принципы регулирования и полномочия Президента, Правительства, госорганов, госкорпораций и Банка России. Введены две категории моделей: суверенные и национальные. Для них установлены требования по локализации обработки данных на территории России с участием российских юридических лиц, и для их разработчиков предусмотрены меры поддержки.
Отдельно закреплено полномочие Правительства устанавливать случаи, когда допускается применение исключительно суверенных или национальных больших фундаментальных моделей. Сейчас такого перечня нет. Появится он или нет, зависит от подзаконных актов, и предсказывать тут нечего.
Для IT-директора вывод простой. Если компания не обучает собственную модель на миллиард параметров и не перепродаёт доступ к чужой, 243-ФЗ не меняет в её работе ничего.
Нет, обязанности маркировать свой контент закон не вводит. Он предусматривает предоставление пользователю возможности разместить информационное предупреждение о применении ИИ при создании материалов в аудио- и визуальной форме. Возможность поставить пометку остаётся правом автора.
Штрафов за отсутствие пометки закон не устанавливает. Статья 11 отсылает к ответственности в соответствии с законодательством России без конкретики, поправки в КоАП при этом не вносились.
Отдельный законопроект, который вводил обязательную маркировку и санкции для юридических лиц, существовал. Его внесли в ноябре 2025 года как поправки в 149-ФЗ, и 10 июня 2026 года Госдума его отклонила. Именно на нём построена половина писем про штрафы, которые сейчас приходят маркетологам.
Нормы о маркировке в 243-ФЗ вступают в силу 1 марта 2027 года, а не 1 сентября 2026-го. До этой даты обсуждать техническую реализацию пометок рано, а закладывать её в план работ на 2027 год уже пора.
Ещё одна вещь, которую путают постоянно. Маркировка ИИ и маркировка рекламы живут в разных законах. Пометка о применении нейросети не освобождает рекламодателя от обязанности маркировать платное размещение по закону «О рекламе», и наоборот.
Второй закон от 26 июля 2026 года правит статью 12 закона «О персональных данных» и вступил в силу со дня опубликования, без переходного периода. Он короткий, и поэтому его почти не заметили.
Раньше работала простая логика: страна входит в Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, значит, она обеспечивает адекватную защиту. Теперь в перечень таких государств включаются те, где само правовое регулирование и применяемые меры соответствуют положениям Конвенции. Формального членства больше не хватает, смотрят на фактическое состояние дел.
Для бизнеса это ровно тот пункт, который задевает работу с нейросетями. Отправка персональных данных в зарубежный сервис остаётся трансграничной передачей со всеми требованиями статьи 12, и ответственность за неё лежит на операторе, а не на владельце модели. Статья 2 этого же закона вступает в силу 1 сентября 2027 года, так что тема будет тянуться ещё год.
Оговорка, без которой картина неполная: правоприменительной практики по новой редакции пока нет. Как Роскомнадзор будет читать формулировку про соответствие мерам защиты, станет понятно по первым проверкам, а не по разъяснениям в блогах.
Пользоваться зарубежными моделями закон не запрещает. Вопрос в том, что именно уходит в запрос.
Обезличенные и публичные данные вопросов не вызывают: тексты с сайта, описания продуктов, черновики статей, обобщённая аналитика без привязки к конкретному человеку. Персональные данные клиентов и сотрудников в зарубежный сервис без выполнения требований статьи 12 отправлять нельзя, и формулировка «мы же просто спросили у бота» основанием не считается.
Отдельная зона – коммерческая тайна и чужой исходный код. Здесь ограничение приходит не из закона об ИИ, а из договора с заказчиком и режима NDA. Разработчик, который вставил в промт кусок клиентского репозитория, нарушает не 243-ФЗ, а соглашение о конфиденциальности, и цена вопроса определяется этим соглашением.
Практический ориентир: если данные нельзя было бы переслать этому же контрагенту обычным письмом, в нейросеть их грузить тоже не нужно.
План на сентябрь 2026 года укладывается в один рабочий день.
Место хранения данных перестало быть техническим выбором и стало юридическим. Видно это на продуктах, которые строятся вокруг нейросетей.
Один из проектов Fortech (fortech.dev), аккредитованной IT-компании из Ростова-на-Дону, – сервис для работы с нейросетями для частных пользователей и компаний. Продукт даёт готовые шаблоны запросов, групповой чат с несколькими точками зрения на вопрос и «менторов» с заранее настроенными промптами. Заказчик подключил внешнюю команду под экспериментальную функцию: backend-разработчик, frontend-разработчик и менеджер проекта, срок работы над функцией – один месяц. Фронтенд собрали на Next.js и TypeScript, бэкенд на Python, а хранение развели между Amazon S3 и Yandex Object Storage. В декабре 2024 года такое разделение выглядело инженерным решением. В сентябре 2026 года это уже вопрос о том, какие данные куда уезжают.
Похожим образом устроено большинство задач, где требуется внедрение ИИ в бизнес-процессы: архитектура хранения и маршруты данных обсуждаются раньше, чем выбирается модель. Обратный порядок обходится дороже, потому что переносить хранилище на работающем продукте всегда тяжелее, чем заложить его на старте.
Утверждать, что такая схема снимает все вопросы регулятора, было бы нечестно. Она снимает один конкретный вопрос: где лежат данные пользователей. Остальное решается документами, а не архитектурой.
Закон 243-ФЗ не создал для большинства компаний ни одной новой обязанности, а 265-ФЗ создал, и именно он остался незамеченным. Разница между этими двумя документами и есть главный результат июля 2026 года для бизнеса.
Начните с инвентаризации: список ИИ-сервисов, список данных, которые в них попадают, и один ответственный за этот список. Дальше разговор с юристом займёт час вместо недели.
Разработчиков больших фундаментальных моделей от 1 миллиарда параметров и тех, кто предоставляет доступ к таким моделям другим лицам. Компания, которая пользуется готовым сервисом вроде ChatGPT или GigaChat, разработчиком не считается и новых обязанностей по этому закону не получает.
Обязательной маркировки закон не вводит. Пользователю предоставляется возможность разместить информационное предупреждение, и это право, а не обязанность. Штрафов за отсутствие пометки закон не устанавливает, а отдельный законопроект об обязательной маркировке Госдума отклонила 10 июня 2026 года.
Отправка персональных данных в зарубежный сервис остаётся трансграничной передачей и подчиняется статье 12 закона «О персональных данных» в редакции 265-ФЗ от 26 июля 2026 года. Требования статьи выполняет оператор, то есть ваша компания, а не владелец модели.
Основная часть закона 243-ФЗ действует с 1 сентября 2026 года, нормы о маркировке – с 1 марта 2027 года. До марта 2027 года техническая реализация пометок обязательной не становится, но закладывать задачу в план на первый квартал 2027 года уже имеет смысл.
БизнесПрактическое руководство по автоматизации бизнеса с помощью AI. Сравнительная таблица решений, чек-лист из 15 этапов внедрения и разбор 7 критических ошибок.
Читать
БизнесУзнайте, как внедрить автономных ИИ-агентов. Разбираем микросервисную архитектуру, интеграцию с SAP/CRM и методологию масштабирования от экспертов Fortech.
Читать
