243-ФЗ с 1 марта 2027 года: что меняется для компаний, внедряющих корпоративный ИИ
1 марта 2027 года не заставит большинство компаний отказаться от привычных ИИ-сервисов или срочно переходить на российские модели. Но появится новая задача — понимать, какой ИИ используется в компании, какие данные он обрабатывает и кто отвечает за результат.
Главное за минуту
Менять модели не требуется
Общего требования заменить архитектуру или отказаться от используемых моделей в законе нет.
Зарубежные модели не запрещены
Ограничения возможны только для отдельных сфер применения, если их определит Правительство РФ.
Нужно понимать, где используется ИИ
Какие модели работают в компании, какие данные они обрабатывают и кто отвечает за результат.
Что закон НЕ требует
Кого это касается
Речь не о разработчиках моделей, а о компаниях, которые используют ИИ в своих процессах.
- Компании, где сотрудники уже используют ИИ-сервисы в рабочих задачах — согласованно или нет.
- Компании, встроившие модели в прикладные системы: поиск по документам, поддержка, подготовка договоров, закупки, HR.
- Компании, где результат работы ИИ влияет на управленческие или юридически значимые решения.
- Компании, работающие с персональными данными, коммерческой тайной или объектами КИИ.
Что действительно изменится для компании
Происхождение модели становится параметром архитектуры
Правительство РФ вправе определить сферы, где допускается применение только моделей отдельных категорий. Выбор модели перестаёт быть вопросом только качества ответов.
Что это означает на практике
- Нельзя выбирать модель только по качеству ответа и цене
- Нужно понимать, кто разработчик модели и где она размещена
- Нужно знать, где физически обрабатываются данные
- Нужно заранее предусмотреть смену модели без остановки процессов
Растёт роль оператора прикладной системы
Компания, которая эксплуатирует ИИ-систему для своих процессов, должна понимать, какая модель дала ответ, на каких данных и кто подтвердил результат.
Что это означает на практике
- Ответ ИИ должен быть привязан к модели и её версии
- Видно, какие данные попали в запрос
- Для значимых решений зафиксирован человек, который их подтвердил
- Журнал ведётся на уровне вашей системы, а не поставщика модели
Маркировка получает конкретику
Обязанности по маркировке материалов зависят от вида контента и способа распространения. Если заранее фиксировать, какая модель сформировала результат и где он используется, адаптация к новым требованиям займёт значительно меньше времени.
Что это означает на практике
- Понятно, какие материалы созданы с участием ИИ
- Сохраняется версия результата и место его публикации
- Маркировка добавляется настройкой, а не переписыванием контента
Договоры с поставщиками моделей выходят на первый план
Смена версии модели, место обработки данных, удаление данных после обработки, уведомления об изменениях — это условия договора, а не техническая настройка.
Что это означает на практике
- В договоре зафиксировано место обработки и хранения данных
- Указано, удаляются ли данные после обработки и используются ли для обучения
- Есть обязанность уведомлять об изменении условий и версий модели
- Понятны условия выхода и переноса сценариев к другому поставщику
Какие риски уже существуют сегодня
Последствия у компаний возникают не по 243-ФЗ, а по смежным законам — когда сотрудник отправляет во внешний сервис документы, которые туда попадать не должны. Именно эти сценарии и определяют, какие данные нельзя выпускать за пределы контролируемого контура.
Загрузили резюме кандидатов в ИИ
Средняя вероятностьГде требования проявляются уже сегодня
Для каждого рабочего сценария понятен риск, применимый закон и практическое действие.
AI Service Desk
ПодробнееРиск
В обращения сотрудников попадают персональные данные, вложения и внутренняя переписка.
Закон
152-ФЗ
Что делать
Маскировать персональные данные до отправки в модель, журналировать запросы.
AI-поиск по документам
ПодробнееРиск
В индекс попадают документы ограниченного доступа, доступные не всем сотрудникам.
Закон
98-ФЗ
Что делать
Наследовать права доступа исходных документов в поиске и в ответах.
Помощник юриста и генерация договоров
ПодробнееРиск
Во внешний сервис уходят условия сделок и данные контрагентов.
Закон
98-ФЗ, 152-ФЗ
Что делать
Вынести сценарий в контролируемый контур или зафиксировать условия обработки в договоре с поставщиком.
Закупки
ПодробнееРиск
Разбор ТЗ и подбор позиций влияет на юридически значимые решения.
Закон
44-ФЗ, 223-ФЗ
Что делать
Оставить окончательное решение за человеком и фиксировать основание.
HR и подбор персонала
ПодробнееРиск
Резюме и оценки кандидатов — прямая обработка персональных данных.
Закон
152-ФЗ
Что делать
Проверить основание обработки и запретить передачу резюме во внешние сервисы без согласия.
Контакт-центр и внешний контент
ПодробнееРиск
Материалы, созданные ИИ, видит внешняя аудитория.
Закон
243-ФЗ (маркировка)
Что делать
Фиксировать участие ИИ и версию результата уже сейчас.
Что стоит подготовить уже сейчас
Важно. Федеральный закон № 243-ФЗ не требует вести перечисленные реестры и политики. Это элементы корпоративного управления ИИ: они помогают выполнить смежное законодательство и не переделывать контур в спешке.
Реестр AI-сценариев
Зачем: Чтобы понимать, где уже используется ИИ, и оценивать влияние новых требований за часы, а не за месяцы.
Карта потоков данных
Зачем: Чтобы видеть, какие данные уходят во внешние сервисы, и вовремя закрыть недопустимые маршруты.
Политика использования ИИ
Зачем: Определяет, какие модели можно использовать, а какие нет, и снимает вопрос теневого применения ИИ.
Требования к поставщикам моделей
Зачем: Переводит ключевые гарантии из презентаций поставщика в текст договора.
AI Gateway и план смены модели
Зачем: Чтобы отраслевые ограничения или уход поставщика не останавливали бизнес-процессы.
Архитектура управляемого корпоративного ИИ
- 01
Пользователь
Сотрудник или прикладная система
- 02
AI Gateway
Единая точка входа, фильтрация и журналирование
- 03
Маршрутизация
Выбор модели по типу задачи и категории данных
- 04
Модели
Внешняя модель · российская модель · локальная модель в контуре
- 05
RAG
Поиск по документам и подстановка контекста
- 06
Корпоративные данные
Документы, базы знаний, системы компании
Управляемость достигается не заменой модели, а единой точкой, через которую проходят все запросы. Требования к защите информации, фильтрация, журналирование, RAG и сегментация разобраны отдельно.
FAQ
Вопросы и ответы
Что делать компании сегодня
Если вы уже используете ИИ в рабочих процессах:
- Провести инвентаризацию AI-сценариев: где и кем уже используется ИИ
- Определить, какие данные обрабатываются, и классифицировать их
- Разработать корпоративную политику использования ИИ
- Проверить договоры с поставщиками моделей
- Определить архитектуру AI Gateway и порядок смены модели