DEV Community: Digital

Три часа на всю атаку: ИИ-агенты взломали российскую компанию. Что выяснила Positive Technologies

Digital — Sun, 08 Nov 2026 15:00:01 +0000

Про нейросети на стороне хакеров говорят не первый год. Чаще всего речь о подсказках: модель сочиняет фишинговое письмо, разбирает найденную уязвимость, правит чужой код. Решения при этом принимает человек, он же и сидит за клавиатурой.

2 ноября Positive Technologies описала случай иного рода. Департамент реагирования на инциденты PT ESC IR разобрал успешную атаку на российскую компанию. По оценке специалистов, от начала и до конца её вели ИИ-агенты. Агент здесь программа на базе языковой модели: сама выбирает следующий шаг, отдаёт команды, смотрит, что вышло.

Коротко

Что случилось. Пролезли через ошибку в настройке внешнего сервиса, за три часа дошли до более чем десяти узлов на Linux и Windows, выкачали конфиденциальные данные из внутренних систем.
Почему решили, что это ИИ. Машинная скорость, десятки новых скриптов с интервалом в секунды, параллельный перебор вариантов и куча мелких ошибок, которые сразу же правились.
Чего мы не знаем. Ни названия компании, ни отрасли, ни модели. Неизвестно и то, был ли за агентами человек. Полную автономность PT прямо не подтверждает.
Почему это важно. Три часа меньше, чем многие компании тратят на реакцию по первому оповещению. Атака со скоростью машины заканчивается раньше, чем дежурный её заметит.

Что произошло

По данным PT ESC IR, первый доступ атакующие получили из-за ошибки в конфигурации внешнего сервиса. Специалисты особо подчеркнули: вручную человеку такую ошибку найти было бы трудно. Что за сервис и какая настройка оказалась неверной, компания не сообщает.

Дальше всё понеслось. На нескольких серверах почти одновременно возникали десятки новых скриптов. Ставились библиотеки и программные компоненты, рабочее окружение подгонялось под себя, способы доставки инструментов на машины перебирались разные. То, что не срабатывало, переделывали по ходу атаки, а не откладывали до подготовки новых.

В результате под контролем оказались больше десяти узлов корпоративной сети, серверы на Linux и Windows. Цель, судя по всему, одна: конфиденциальные данные из критически важных внутренних систем. От первого проникновения до утечки прошло около трёх часов.

Денис Гойденко, руководитель PT ESC IR, в разговоре с «Газетой.Ru» напомнил, что экспериментальные атаки с ИИ уже встречались, а злоумышленники давно берут его на отдельные этапы. Случай из практики PT ESC IR, по его словам, первый: успешная атака на инфраструктуру Linux и Windows, которую предположительно целиком провели ИИ-агенты. Указывают на это «скорость и характер действий».

Как отличить агента от человека

В журналах не пишут «здесь работала нейросеть». Заключение делают по почерку, и у агента он заметно отличается от человеческого.

Скорость. Между шагами человек думает: читает вывод команды, ищет нужный инструмент. У агента новые команды и скрипты сыпались с интервалом в секунды, причём на нескольких машинах сразу. Именно темп и масса действий за короткий срок первым делом привлекли внимание расследователей.

Промахи. В синтаксисе команд и в названиях компонентов атакующие ошибались постоянно. Но почти сразу после сбоя шла исправленная команда или другой вариант. Опытный оператор так не промахивается, а неопытный не правится так быстро. Для языковой модели это нормально: почти правильную команду она пишет уверенно, получает ошибку и тут же её чинит.

Перебор. Продвигаться по сети агент пробовал несколькими способами одновременно. Человек чаще всего держится одного пути и меняет его, только когда упёрся.

Шум. Опытный взломщик старается не наследить. Тут активность была подчёркнуто шумной: агенту важнее быстро добраться до цели, чем замести следы. Отдельные шаги, по словам PT, с человеческой точки зрения выглядели вообще нелогично.

Инструменты на ходу. У группировки обычно есть свой набор программ, по нему её и опознают. Здесь инструменты писали и переписывали во время самой атаки, так что привязать её к конкретной группе намного труднее.

Чего мы не знаем

Тут легко пересказать новость громче, чем она есть. В СМИ заголовки кричат «ИИ впервые взломал компанию», а сама PT высказывается осторожнее.

Участие ИИ-агентов остаётся выводом расследователей по совокупности следов, а не доказанным фактом: что операцию провели одни агенты, без человека у пульта, окончательно подтвердить пока не вышло. Первой в мире атакой автономного ИИ PT свой случай не называет, это первый такой эпизод в её собственной практике. И ни компании, ни отрасли, ни модели, на которой работали агенты, в отчёте нет.

Правильнее читать новость иначе: российские специалисты впервые столкнулись в живом инциденте с атакой, которая по всем признакам шла с машинной скоростью и в машинной манере.

Это не первый звонок

В ноябре 2025-го, годом ранее, Anthropic описала кампанию кибершпионажа, где задействовали её модель Claude. На долю ИИ, по подсчётам компании, пришлось 80–90 % работы: разведка, поиск уязвимостей, код для взлома, вывод данных. Человек вмешивался на переломных этапах и давал согласие на крупные шаги.

Октябрь 2026 года: по сообщению SecurityLab, облачная компания Wiz описала атаки, в которых агент сам искал точки входа, собирал учётные данные, ходил между облачными сервисами и переписывал свои скрипты, когда те падали. Команды шли друг за другом с паузами, слишком малыми для ручной работы.

При всём этом целиком автономная атака остаётся задачей непростой. На сентябрьских испытаниях Standoff 365 и CyberED учебную цепочку взлома целиком прошли 33 агента из 310, то есть примерно каждый десятый. Прочие застревали, шли не туда или ждали подсказки оператора. Но в реальной сети удача нужна не всем: хватит одного агента, который найдёт одну ошибку.

Растёт и общий фон. Согласно PT, за третий квартал 2026 года в трафике российских компаний стало на 65 % больше событий с очевидными признаками ИИ, если сравнивать со вторым кварталом. Доля попыток эксплуатации уязвимостей поднялась с 1,1 % до 5,6 %. Чаще прочего встречались SQL-инъекции, обход каталогов и внедрение команд в операционную систему.

Агент выигрывает не умом, а скоростью

Дело не в том, что машина соображает лучше специалиста. Здесь она, наоборот, промахивалась чаще. Решает темп.

Привычная схема обороны построена под человеческую неспешность. Мониторинг выдаёт алерт, сменный инженер добирается до него через полчаса, а то и утром, и ещё час уходит на разбор ситуации. Пока напротив сидит живой взломщик, которому нужны дни на разведку в сети, такой запас времени спасает. Агенту же хватает трёх часов, чтобы войти и вынести информацию, и запаса уже нет: оповещение всё ещё непрочитанное, данные утекли.

Гойденко формулирует это без обиняков: если атака разворачивается сама, без постоянного человека в цикле, привычного уровня автоматизации мало. Обороне нужны средства, которые с той же скоростью заметят подозрительную активность, разберут происходящее и помогут прервать атаку. PT такие средства как раз продаёт, и это обстоятельство честнее назвать вслух. Сам вывод слабее не становится.

Снимок: U.S. Department of Energy, вычислительный центр Fermilab. Общественное достояние, Wikimedia Commons.

Порядок можно навести даже на одном сервере

Собственный отдел кибербезопасности позволить себе может не каждая организация. Однако кое-что по силам сделать и на единственном сервере, и в компании из нескольких человек.

Проверьте всё, что торчит наружу. Входной точкой стала неверная настройка сервиса, доступного извне. Подобные промахи агент ищет быстрее и внимательнее живого специалиста. Чего обычно хватает для входа: админка без прикрытия, база или Redis с пустым паролем, открытый наружу API Docker, включённая отладка на боевом сайте, папка .git в корне. Просканируйте собственные адреса со стороны и закройте лишнее.
Сожмите окно реакции. Когда алерты разбирают раз в сутки, машина завершит дело раньше, чем до них дойдут руки. Хотя бы для критичных событий заведите автоответ: блокировка учётной записи, отключение узла от сети, остановка сервиса.
Ловите всплески активности. Темп выдаёт агента с головой. Признаки: десятки свежих процессов за минуту, незнакомые скрипты во временных каталогах, установка пакетов на боевой машине, где руками их никто не ставит. Простое условие «больше N команд за минуту с одной учётки» срабатывает надёжнее хитрых сигнатур.
Расставьте приманки. Машина читает конфиги подряд и тут же пускает находки в дело. Фальшивый ключ доступа или пароль в файле, который нигде не задействован, сыграет роль сигнализации: кто-то полез им пользоваться, значит в периметре чужой.
Разделите сеть на сегменты. Если за три часа затронуто больше десяти узлов, внутри почти ничто не мешало перескакивать с машины на машину. Чем меньше узлов видят друг друга без надобности, тем медленнее разворачивается атака и тем выше шанс её поймать.
Вынесите секреты из файлов. Секреты в .env, ключи, оставшиеся в истории команд, токены внутри скриптов машина находит за секунды. Держите их в менеджере секретов и меняйте на регулярной основе.
Храните журналы за пределами атакованных машин. Логи, лежащие на том же сервере, взломщик сотрёт. Уводите их на отдельный хост, и тогда расследовать будет по чему.

Быстрая самопроверка Linux-сервера обойдётся в несколько команд. Расследование они не подменят, зато покажут, не завелось ли на машине чего-то нового.

# Скрипты, изменённые за последние сутки (кроме домашних каталогов)
find / -xdev \( -path /proc -o -path /sys -o -path /home \) -prune -o \
  -type f \( -name '*.sh' -o -name '*.py' -o -name '*.pl' \) -mtime -1 -print 2>/dev/null

# Что лежит во временных каталогах, свежее сверху
ls -lat /tmp /var/tmp /dev/shm | head -n 30

# Пакеты, установленные через apt за последние дни
grep -h ' install ' /var/log/dpkg.log | tail -n 20

# Библиотеки Python, появившиеся за три дня
find / -xdev -type d -name '*.dist-info' -mtime -3 2>/dev/null | head -n 20

# Входы по SSH за сутки
journalctl -u ssh -u sshd --since '24 hours ago' | grep -E 'Accepted|Failed' | tail -n 30

Заметили в выводе то, чего сами не устанавливали и не запускали? Это повод копать глубже, а не стирать находку сразу. Для разбора она ещё пригодится.

На взлом уходят часы, а защита начинается со скучного

Пока это единственный описанный случай с PT, и описан он с оговорками. Только вектор виден отчётливо. Модели пишут и правят код быстрее людей, агенты тянут длинные цепочки шагов, а кривые настройки сервисов остались на месте. Сложите три слагаемых вместе, и на взлом уходят часы вместо недель.

Обнадёживает другое: агенту не требуются новые дыры. Он эксплуатирует те же незакрытые панели, те же пароли в файлах и ту же плоскую сеть, что и живой взломщик, только успевает быстрее. Значит и оборона держится на тех же скучных мерах, о которых твердят годами. Отличие одно: откладывать их теперь дороже.

Источники: сообщение Positive Technologies от 2 ноября 2026 года, пересказанное «Газетой.Ru», а также SecurityLab, Lenta.ru, Life.ru и TRT; комментарий Дениса Гойденко — «Газета.Ru» и CISOCLUB. Данные об испытаниях Standoff и отчёте Wiz взяты у SecurityLab. Сведения о кампании с Claude — отчёт Anthropic, ноябрь 2025 года. Команды проверки — мои, для систем на Debian и Ubuntu.

Текст подготовлен с использованием искусственного интеллекта.

Claude встраивает в ответы незаметный след: как он работает и что его убирает

Digital — Sat, 07 Nov 2026 18:31:29 +0000

Летом Anthropic внесла изменение, которого не видно ни в интерфейсе, ни в самом ответе. Тексты новых моделей Claude несут теперь метку. Ставят её иначе: ни подписи в конце, ни спрятанных символов. Метка складывается из того, какие слова выбирает модель. Скопируете ответ в документ, отправите его в чат, выложите в блог, и след поедет вместе с текстом.

На этой неделе у истории появилось продолжение. К 10 ноября раскатку маркировки закончат на Amazon Bedrock, а значит она доберётся и до компаний, которые берут Claude через облако. Дальше разберём, что это за метка, кому доступно её чтение и насколько ей можно верить.

Главное о метке за минуту

Что помечают. Весь текст моделей Claude, которые вышли после 2 августа 2026 года: в чате, в API, в Claude Code и в других продуктах. Более старые модели подключат к маркировке позже.
Механика. Слова выбираются не совсем наугад: подсказывает секретный ключ. Ни спрятанных символов, ни вставленных лишних слов в тексте нет.
География. Работает по всему миру, хотя толчком стал европейский закон об ИИ. Замкнуть маркировку на один регион Anthropic, по её собственным словам, пока не может.
Проверка. Детектор закрыт. Заявку могут подать регуляторы, журналисты, исследователи, школы и вузы. Обычному человеку проверить текст пока нечем.
Что стирает. Серьёзная правка, пересказ, перевод, подмешивание чужого текста. От короткого куска сигнала почти ничего не остаётся.
Оговорка. Метка означает, что текст через Claude прошёл. Что его написал Claude, она не утверждает. Отсутствие метки тоже ничего не доказывает.

Поводом стал европейский закон об ИИ

Причина юридическая. В ЕС есть закон об ИИ, и статья 50 в нём требует, чтобы контент, сделанный нейросетью, машина могла распознать. В августе начал действовать добровольный кодекс о прозрачности, где расписано, как этого добиваться. Под ним стоят подписи Anthropic, Google, Meta, Microsoft, OpenAI и ещё нескольких компаний.

О маркировке стало известно 10–11 августа. Сначала Anthropic выложила справку «Как Claude помечает созданный ИИ контент», спустя три дня — пост в блоге с разбором работы текстовой метки. Презентации с шумом не было, поэтому многие о метке до сих пор не слышали.

Метка рождается из выбора слов

Модель собирает текст по кусочкам. На каждом шаге перед ней список продолжений с вероятностями: скажем, «быстро» 30 %, «легко» 25 %, «без труда» 20 % и дальше по списку. Из них генератор случайных чисел берёт одно. Обычно этот выбор и правда случаен.

Водяной знак вмешивается в эту случайность. Вместо обычного генератора в дело идёт секретный ключ вместе с несколькими предыдущими словами: они подсказывают, каким вариантам отдать небольшое предпочтение. Смысл при этом сохраняется, выбор идёт из подходящих слов, зато на длинном тексте копится статистический перекос, которого случайность не даёт. Обладатель ключа его заметит, для остальных текст ничем не выделяется.

По словам Anthropic, в основе лежит подход SynthID-Text. Описала его Google DeepMind в 2024 году в журнале Nature и тогда же открыла код. Google прогнала метку через 20 млн ответов Gemini и не увидела, чтобы помеченные ответы получали от пользователей худшие оценки.

Anthropic утверждает то же: смысл, качество и читаемость от метки не страдают. Независимых проверок на Claude пока никто не проводил.

Устройство метки даёт два следствия.

Факты и код метятся слабее. Где верный ответ один, менять нечего: дату, формулу или имя функции синонимом не подменишь без ошибки. Anthropic сама признаёт, что в фактических кусках и в коде след бледнее.
Скрытых символов не появляется. Программа, вычищающая пробелы нулевой ширины и прочий невидимый мусор, метку не тронет: она внутри слов.

Текст метится везде, а файлы получают подпись

Метка живёт на уровне модели, так что появляется всюду, где работает поддерживаемая модель: в приложении Claude, в API, в Claude Code, в Cowork и в Claude Tag. Облака AWS, Google Cloud и Microsoft Foundry тоже отдают текст уже помеченным. На Bedrock раскатка закончится к 10 ноября.

Под меткой все модели, вышедшие начиная с 2 августа 2026 года. Более старым её добавят позже, точной даты Anthropic не называет. Оговорка тоже есть: у Sonnet 4.6 и Opus 4.6 метка порой не срабатывает, если в запросе через API изменить температуру или иные настройки выборки.

С файлами всё иначе. Картинки, видео и аудио из песочницы Claude для кода получают подписанные метаданные по стандарту C2PA. Внутри файла появляется запись: «создано или обработано Claude».

Форматов много: PNG, JPEG, GIF, WebP, SVG, MP4, MP3 и другие. А PDF, текстовые файлы и офисные документы подписи не получают совсем.

Метаданные C2PA устроены проще текстовой метки, и стереть их легче. Достаточно пересохранить картинку в другом формате, сжать заново или сделать скриншот: подписи не останется.

Проверить файл может кто угодно, текст проверяют избранные

Файлы проверит любой желающий: Claude Content Checker на claude.com читает метаданные C2PA прямо в браузере, сам файл никуда не отправляется. Текст этот инструмент не смотрит.

Детектор текстовой метки закрыт. Anthropic называет его частной предварительной версией и открывает доступ по заявке. Выдают его регуляторам, правоохранительным органам, фактчекерам и СМИ, независимым исследователям, учебным заведениям, общественным организациям в ЕС, а также компаниям, которые проверяют собственные тексты из Claude. Список обещают расширять «со временем».

Цифры Anthropic не раскрывает. Ни точность, с которой детектор находит метку, ни частота ложных срабатываний на человеческом тексте, ни минимальный объём слов для уверенного ответа не опубликованы. В справке есть только оговорка: если фрагмент очень короткий, сигнала для надёжной проверки не хватит.

Метку стирают правка, пересказ и перевод

По утверждению Anthropic, метка выдерживает копирование и вставку и «может сохраниться» после некоторой правки. Ненадёжной она делается, если текст:

сильно отредактировали;
пересказали своими словами;
перевели на другой язык;
смешали с другим текстом;
сократили до пары предложений.

Логика простая: перекос копится по всему тексту, так что каждая переписанная фраза его разбавляет. При переводе меняются сразу все слова, и от метки почти ничего не остаётся.

Как только о маркировке объявили, разработчики начали выкладывать инструменты для обхода. Wired 19 августа писал, что первые появились в течение нескольких часов после анонса, а один набрал тысячи звёзд на GitHub. Работают ли они на деле, независимо никто не проверял. Часть программ вычищает невидимые символы, которых, как мы выяснили, в тексте Claude нет. Остальные переставляют предложения, подставляют синонимы и прогоняют текст через перевод, то есть делают ровно то, что Anthropic сама назвала слабым местом.

Отсюда вывод: метка ловит тех, кто копирует ответ целиком и ничего не меняет. Кто захочет её убрать, тот уберёт. Метка рассчитана на массовый поток текста, а не на защиту от целенаправленного обхода.

Метка говорит об обработке, а не об авторстве

Это важнее всего, и Anthropic пишет прямо в справке: найденная метка значит, что контент, возможно, создан или обработан Claude, а сигнал этот не окончательный.

Обработан, а не написан. Допустим, статью вы написали сами и попросили Claude поправить запятые, перевести её или сократить. В исправленном тексте появятся помеченные куски, детектор их найдёт, а автор всё равно вы.

В обратную сторону это работает так же. Отсутствие метки не доказывает, что писал человек. Текст мог прийти от старой модели Claude, от другой нейросети без маркировки или от открытой модели, которую ничем не метят. Его могли отредактировать или перевести.

У истории есть предыстория. В 2024 году The Wall Street Journal писал, что OpenAI давно сделала похожую метку для ChatGPT, но включать её не стала. Одна из причин: опасались, что детектор несправедливо ударит по людям, для которых английский не родной и которые используют ChatGPT как редактора. Теперь закон подтолкнул к маркировке всех крупных разработчиков, а проблема осталась той же.

На практике метка значит меньше, чем кажется

Студентам и преподавателям. Учебные заведения входят в список тех, кому детектор доступен. Но найденная метка не доказывает списывание: точно так же помечается текст, который студент написал сам и отдал Claude на проверку. Преподавателю лучше видеть в ней повод поговорить, а не готовый приговор.

Копирайтерам и авторам блогов. Публикуете ответ Claude почти без правок, значит он помечен. Сегодня проверить это может узкий круг организаций, хотя доступ обещают расширять. Площадки и поисковики о том, что читают эту метку, пока не объявляли. Если ваша схема выглядит как «модель пишет, человек серьёзно переписывает», от метки останется немного, и это честно отражает то, как текст был сделан.

Разработчикам. Код помечается слабее обычного текста, потому что вариантов в нём меньше. Если ваш продукт отдаёт пользователям тексты из Claude, они помечены. Отдельно Anthropic советует самому разобраться, какие требования статьи 50 касаются именно вашего сервиса. Метка модели не снимает обязанностей с того, кто встроил её в свой продукт.

Тем, кто работает с картинками. Подпись C2PA проверить легко и бесплатно, но любое пересохранение её сбивает. Если подписи на картинке нет, о происхождении это ничего не говорит.

Коротко: что из этого следует

Невидимая метка Claude не детектор ИИ-текста в привычном смысле, а подпись производителя. Она надёжно находит неизменённый ответ модели и молчит о тексте, который прошёл через человека, перевод или другую нейросеть. Проверить текст пока может узкий круг организаций, цифр точности нет.

Для обычного пользователя меняется немногое. Берёте у Claude готовый текст и публикуете как есть, исходите из того, что он подписан. Используете модель как редактора, переводчика или собеседника для черновика, метка может найтись и в вашем собственном тексте. Помнить об этом стоит и тем, кто пишет, и тем, кто будет проверять.

Текст подготовлен с использованием искусственного интеллекта.

Закон об ИИ в России: что уже работает с 1 сентября 2026 года и какие нормы включатся в 2027-м

Digital — Sun, 18 Oct 2026 10:59:38 +0000

С 1 сентября 2026 года в России заработал первый закон об искусственном интеллекте, Федеральный закон от 26 июля 2026 года № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». За полтора месяца о нём появились сотни заметок, и заметная доля пересказывает не тот документ. Кто-то приписывает закону обязательную маркировку контента от нейросетей, а её там нет. Кто-то ждёт запрета ChatGPT, хотя в тексте о нём не сказано ни слова. Ещё цитируют 675 тысяч «преступлений с дипфейками» за 2025 год, хотя в пояснительной записке к законопроекту эта цифра охватывает все ИТ-преступления сразу.

Для этого разбора я прочёл документ целиком и сравнил две независимые публикации его текста: они совпали дословно. Проверил карточку законопроекта в базе Госдумы, мартовскую редакцию Минцифры и всё, что из неё исчезло по пути. Отдельно разобрал два законопроекта, которые внесли уже после подписания, и официальные отзывы правительства и Верховного суда к ним. По подзаконным актам опирался на материалы «Коммерсанта», «Ведомостей» и ComNews, потому что окончательных текстов постановлений в открытом доступе по-прежнему нет.

Всё, что ниже, верно на 17 октября 2026 года. Я не юрист, и этот разбор не заменяет консультацию. Зато любую мысль о законе вы можете сверить по номеру статьи.

Коротко

Документ рамочный и узкий. Закон берёт только фундаментальные модели: от миллиарда параметров, под множество разных задач, годные как основа для другого софта. Кредитный скоринг, антифрод, распознавание лиц и маленькие модели в этот круг не входят.
Смысловое ядро закона — два статуса. Суверенная модель полностью своя и размещается в дата-центрах России. Национальная тоже принадлежит российской компании, но вправе опираться на чужие компоненты по открытой лицензии. Статус приносит господдержку, открывает государственные данные и разрешает учиться на чужих произведениях, не спрашивая авторов.
Маркировка остаётся добровольной. С 1 марта 2027 года у крупных площадок появится обязанность дать пользователю возможность поставить на материале отметку о том, что его создал ИИ. Сам материал помечать при этом никто не обязан.
Штрафов в законе нет. Норма об ответственности просто отсылает к тому, что уже действует.
Основная часть конкретики заработает 1 марта 2027 года и появится в виде постановлений правительства. Проекты этих постановлений уже обсуждают: где разрешат применять только российские модели, по каким критериям дадут статус, обязан ли ИИ-помощник стоять на смартфоне по умолчанию.

До закона правила собирались по кускам

Отдельного закона об ИИ до сентября 2026 года не существовало, однако правила накапливались по частям. Без этого не объяснить, отчего 243-ФЗ вышел настолько компактным.

Национальная стратегия развития ИИ. Появилась указом президента в 2019 году, а в феврале 2024-го её обновили. Именно оттуда в закон пришло определение искусственного интеллекта.
Экспериментальные правовые режимы. Принятый в 2020 году № 258-ФЗ разрешает на время пилотных проектов отходить от общих правил. Тогда же отдельным законом стартовал эксперимент с ИИ в Москве.
Обезличенные персональные данные. С 1 сентября 2025 года такие данные разрешено обрабатывать в государственной информационной системе без согласия граждан, в том числе чтобы обучать модели.
Кодекс этики в сфере ИИ. Добровольный документ 2021 года, под ним стоят подписи крупных компаний отрасли.
Поручение президента от 1 апреля 2025 года № Пр-706. Пятый пункт предписал изучить, надо ли признавать использование ИИ отягчающим обстоятельством. Об этом ещё поговорим в разделе про ответственность.

Все эти документы вращались вокруг данных, экспериментов и этики. Сами модели как объект права в законодательстве отсутствовали вплоть до 243-ФЗ.

Первый вариант закона получился строже итогового

Первый вариант документа Минцифры выложило 18 марта 2026 года. Тогда он назывался «Об основах государственного регулирования сфер применения технологий искусственного интеллекта» и должен был заработать с 1 сентября 2027 года. Если сравнить с финальной версией, акцент в нём стоял на контроле.

В мартовском проекте предлагалось:

модели делились на три категории: суверенные, национальные и доверенные. Доверенные нужны были для государственных информационных систем и значимых объектов критической информационной инфраструктуры, их проверяли ФСБ и ФСТЭК, а затем вносили в реестр;
владелец ИИ-сервиса обязан был маркировать всё, что сервис создал;
платформы с суточной аудиторией больше 100 тысяч человек проверяли бы пометки. Нет пометки, автор получает предупреждение, а материал могут удалить;
у разработчика, оператора и владельца сервиса появлялся набор обязанностей: оценивать риски, не допускать необоснованной дискриминации, тестировать систему, останавливать её при киберугрозе;
на ИИ-сервисы с аудиторией больше 500 тысяч человек в сутки распространялись требования «закона Яровой» о хранении данных и передаче их силовым структурам;
отвечали все участники цепочки, соразмерно вине. Достаточно было знания или обязанности знать о возможном противоправном результате;
трансграничные ИИ-технологии можно было запрещать или ограничивать;
дата-центрам под ИИ обещали льготы: подключение к сетям без платы, электричество дешевле промышленных тарифов, долгосрочные договоры с предельной ценой.

В апреле слово взял Совет при президенте по кодификации и совершенствованию гражданского законодательства. Проект он разобрал критически: ряд положений идёт вразрез с Гражданским кодексом, а основы авторского права оказываются под угрозой.

Новую редакцию правительство показало 22 июня. Текст сжался до 13 страниц и 13 статей и получил то название, которое мы знаем. Из него выпали реестр и доверенные модели, обязательная маркировка, распределение ответственности, льготы дата-центрам и ограничения для моделей из-за рубежа. Вице-премьер Дмитрий Григоренко объяснял: «Речь не идет о запрете или ограничении доступа к иностранным нейросетям».

Дальше процесс пошёл быстро. Карточка законопроекта № 1271570-8 в базе Госдумы фиксирует сроки:

25 июня 2026 года документ внесло правительство;
7 июля первое чтение, на поправки отвели один день;
8 июля состоялись второе и третье чтения;
17 июля последовало одобрение Совета Федерации;
26 июля президент его подписал, публикация прошла в тот же день.

Между внесением и подписью прошёл месяц. К моменту второго чтения слово «использование» из предмета регулирования исчезло, остались «разработка, внедрение и применение». «Набор данных» превратился в «состав данных», «настройка» параметров в «подбор». Требование к суверенной модели про «матрицу исходных коэффициентов» тоже убрали, осталось обучение.

Норму о площадках с кнопкой маркировки переписали, и адресат теперь другой. Пометки проверяют владельцы программ, сайтов и информационных систем, чья суточная аудитория больше 500 тысяч человек, а не владельцы соцсетей. Поправку депутата Михаила Шеремета, которая упрощала малому и среднему бизнесу получение статуса национальной модели, отклонили.

«Справедливая Россия» при голосовании в третьем чтении воздержалась. Вячеслав Володин, председатель Думы, назвал документ рамочным: подзаконные акты пишет правительство, а к основным положениям Дума пообещала вернуться до конца года.

Под закон попадают только большие модели

Статья 1 очерчивает предмет узко. В поле зрения закона попадают только отношения, которые складываются вокруг больших фундаментальных моделей ИИ. Всё остальное он обходит стороной.

Само определение стоит в пункте 2 статьи 3. Большая фундаментальная модель — это программа для ЭВМ, которая одновременно:

решает интеллектуальные задачи не хуже человека или лучше;
обучена на составах данных и умеет по целям, заданным человеком, находить закономерности, выдавать сведения, принимать решения и строить прогнозы;
служит основой, на которой создают и дорабатывают другое программное обеспечение;
насчитывает не менее 1 миллиарда параметров;
используется в большом количестве самых разных задач.

Соответствовать нужно всем признакам сразу. Модель на 7 миллиардов параметров, натренированная только читать автомобильные номера, под определение не подойдёт: она решает одну задачу. Универсальная модель на 500 миллионов параметров не дотягивает по размеру.

Вне закона остаются сценарные чат-боты, классификаторы, антифрод, кредитный скоринг и компьютерное зрение. АНО «Цифровая экономика» насчитывала в стране несколько десятков таких моделей.

Разработчик по закону — это индивидуальный предприниматель либо юрлицо, которые такую модель проектируют, обучают или модифицируют. Обратите внимание на слово «модификация». Если компания дообучает открытую модель с 8 миллиардами параметров под собственные нужды, определение делает её разработчиком. Хотя обязанности включаются только с получением статуса.

Определение искусственного интеллекта из пункта 1 статьи 3 взято из Национальной стратегии и чуть расширено. Это «комплекс технологических решений, позволяющий имитировать когнитивные функции человека». На конкретных задачах такой комплекс выдаёт результат не хуже человеческого, а порой и лучше.

В скобках уточняется: система умеет сама улучшать свои функции, работать точнее на новых данных и находить ответ без прописанного заранее алгоритма. Сам комплекс собирает воедино программы, инфраструктуру, процессы и сервисы, которые обрабатывают данные.

Часть 3 статьи 1 выносит за общий режим несколько сфер:

оборону и безопасность;
оперативно-разыскную деятельность;
охрану порядка и безопасность дорожного движения;
противодействие отмыванию денег и финансированию терроризма;
предотвращение чрезвычайных ситуаций;
дипломатию и государственное управление.

Особенности для них вправе задать другие федеральные законы и акты президента.

Девять принципов, и три из них определяют характер закона

В статье 4 названы девять принципов. Большинство звучит предсказуемо: развитию обещают благоприятные условия, права и свободы человека обеспечиваются, его автономия и свобода воли уважаются, безопасность поддерживается, международное сотрудничество ведётся, российским разработчикам достаётся поддержка.

Но лицо закона определяют три из них.

Технологическая независимость. Смысл в том, чтобы модели создавались «при сохранении национального контроля над критическими и сквозными технологиями на основе собственных линий разработки технологий». Задача двойная: вывозить продукцию за рубеж и вытеснять с внутреннего рынка то, что сделано на «устаревших и (или) иностранных технологиях».

Риск-ориентированный подход. Строгость требований к модели зависит от вероятности и масштаба вреда, будь то жизнь и здоровье, деловая репутация, имущество, технологическая независимость государства или окружающая среда. Ту же логику использует европейский AI Act. Разница в том, что классов риска и списка запрещённых применений российский закон не вводит: кабмин получает лишь право устанавливать требования по отраслям.

Традиционные российские духовно-нравственные ценности. Перечень в законе приведён целиком: жизнь, достоинство, права и свободы человека, патриотизм, гражданственность, служение Отечеству и ответственность за его судьбу, высокие нравственные идеалы, крепкая семья, созидательный труд, приоритет духовного над материальным, гуманизм, милосердие, справедливость, коллективизм, взаимопомощь и взаимоуважение, историческая память и преемственность поколений, единство народов России.

Сам по себе этот принцип никого ни к чему не обязывает. Зато в статье 6 он становится условием статуса, и это, пожалуй, самая практичная норма закона.

Полномочия поделены между президентом, правительством и Минцифры

Статья 5 раздаёт полномочия. Национальную стратегию развития ИИ утверждает президент. Правительство координирует работу ведомств, задаёт меры поддержки, решает, когда применение российских моделей обязательно, и может вводить отраслевые требования по рискам. Для банков и финансового рынка оба решения принимаются по согласованию с Банком России.

Минцифры как уполномоченный орган в сфере информационных технологий анализирует, как развиваются большие модели, предлагает поправки в регулирование, помогает госорганам и муниципалитетам осваивать их на местах и готовит меры стимулирования. Контролировать по этому закону ему нечем: ни проверок, ни реестра, ни штрафов.

Большие модели в ведущих отраслях, социальной сфере и управлении запускают госорганы, органы местного самоуправления, госкорпорации и Центробанк, каждый в пределах своей компетенции. Под это подогнаны и цели из статьи 2: быстрое развёртывание, государственная поддержка исследований, технологическая независимость, эффективное управление, конкурентоспособность «на мировом уровне», продвижение российских технологий за рубежом. Защита пользователей в списке тоже есть, но общей формулой о безопасности личности, общества и государства.

Закон вводит два статуса, и расходятся они в двух пунктах

Требования к обоим во многом совпадают.

К суверенной модели предъявляют пять требований:

разрабатывает её российское юридическое лицо;
это же юрлицо задаёт и меняет характеристики модели на всех стадиях жизненного цикла;
разработчик отвечает за полную техническую и технологическую воспроизводимость цикла разработки, вместе с обучением;
ответы на запросы готовятся, а данные лежат в дата-центрах в России, которые принадлежат российским юрлицам;
соответствие законодательству России и традиционным ценностям подтверждено по порядку, который установит правительство.

У национальной модели тоже российский владелец, тоже отечественные дата-центры и такое же подтверждение соответствия закону и ценностям. Расходятся второй и третий пункты. Определять и менять самостоятельно компания обязана только существенные характеристики, а их перечень даст правительство: структуру, программное обеспечение, настраиваемые параметры. В разработке допустимы компоненты откуда угодно, включая чужие большие модели, если те распространяются по открытой лицензии.

Если коротко: суверенную модель обучают с нуля, и она полностью воспроизводима силами одной компании. Национальная может опираться на чужой открытый фундамент, лишь бы структура, код и параметры оставались под контролем российского разработчика.

Под российским юрлицом закон понимает компанию, которую контролирует государство, регион, муниципалитет или гражданин России без второго гражданства, в одиночку или сообща. Контроль значит право прямо или косвенно распоряжаться больше чем 50 % голосов. Компания с иностранным мажоритарием статус не получит, если международный договор не говорит иного, даже когда регистрация в Москве, а серверы стоят в Подмосковье.

Особый случай, пятый пункт в обоих списках. Соответствие «традиционным российским духовно-нравственным ценностям» превращается в условие статуса. А вот как его проверять, кто этим занят и по каким критериям, в законе не сказано: порядок определит правительство.

Учёт и присвоение статусов тоже отданы правительству. Действующих статусов сейчас ноль, и появиться они не могут: части 2–5 статьи 6 с самими определениями начнут работать только 1 марта 2027 года.

Список претендентов не опубликован, но имена уже называют

Официального перечня не существует. Со ссылкой на участников рабочей группы «Коммерсантъ» 8 сентября сообщал: определению суверенной модели сегодня отвечает одна GigaChat Сбера. Национальную модель издание проиллюстрировало Alice AI «Яндекса».

Критерии национальной модели из готовящегося проекта постановления та же газета описала 7 августа. Исключительные права разработчика должны распространяться:

на обучаемые параметры и архитектуру, вместе с конфигурационными файлами и топологией сети;
на исходный код, на котором модель обучают и эксплуатируют;
на то, как настроено контекстное окно.

Всё прочее допустимо брать у иностранных поставщиков, из открытых источников или у других компаний. Тимофей Воронин, руководитель проектов по аналитике ИИ, посчитал, что при таких условиях за бортом останется около 90 % российских ИИ-стартапов и компаний. Продукты большинства из них стоят на открытом коде, так что претендовать на статус по силам лишь крупным экосистемам. Владимир Нелюб, директор по науке и ИИ «Группы Астра», видит в статусе инструмент доступа к государственным данным и крупным госконтрактам, а не обязательное условие работы на рынке. Малым языковым моделям, как говорят в АНО «Цифровая экономика», статусы не предусмотрены вовсе.

Разговор о статусах упирается и в цену. Сервис AIANA, на данные которого ссылается «Коммерсантъ», считает тысячу токенов GigaChat Max в 0,65 рубля, YandexGPT Pro 5.1 в 0,8 рубля, открытые модели примерно в 0,2–0,3 рубля. Сергей Кобелев из «Яков и партнёры» в той же публикации обратил внимание, что деньги уходят не столько на токены, сколько на внедрение, человеческую проверку результата и доработки.

Статус открывает доступ к деньгам, данным и международной работе

В статье 7 перечислено, на что может рассчитывать разработчик суверенной или национальной модели:

государственные меры поддержки;
обучение модели на произведениях других авторов по правилам статьи 10;
членство в отраслевых организациях, участие в написании этических правил и в подготовке предложений для государственной политики в сфере ИИ;
международные проекты, исследования вместе с партнёрами и экспорт технологий;
страхование имущественных интересов и ответственности за ущерб от применения модели.

Ни одной конкретной меры поддержки в законе нет. Что именно дадут, решает правительство, а его полномочия в статье 5 прописаны широко: поддержка финансовая, имущественная, гарантийная, информационная.

Дороже денег другой ресурс: данные. Порядок доступа к ним для обучения суверенных и национальных моделей правительство установит по согласованию с ФСБ. Речь о составах данных, которые есть в федеральных информационных системах, а также в системах федеральных унитарных предприятий и в учреждениях. У регионов появилось такое же право применительно к своим системам и подконтрольным организациям. Григоренко 24 сентября назвал одним из главных вопросов подзаконных актов доступ к данным, в том числе государственным.

В статье 12 сказано ещё, что ограничивать международное сотрудничество российских граждан и компаний в сфере больших моделей нельзя. Исключение — отдельные значимые направления, список которых определит правительство.

Со сроками у статьи 7 вышла странность. Сила у неё с 1 сентября 2026 года, а определения суверенной и национальной модели появятся лишь 1 марта 2027-го. Выходит, полгода права разработчиков со статусом существуют, а самих разработчиков со статусом нет.

Закон даёт три обязанности, но только обладателям статуса

Статья 8 укладывается в несколько строк. Обязанностей у разработчика суверенной или национальной модели три:

принимать организационные и технические меры, чтобы модель была безопасной;
прописать правила эксплуатации: ограничения, условия применения, обновления и порядок вывода из эксплуатации;
вести техническую документацию, описывая ключевые параметры и ограничения в объёме, достаточном для оценки безопасности применения.

Работают они с 1 марта 2027 года и только у тех, кто получил статус. Разработчик без статуса, российский или иностранный, по этому закону не должен ничего. Логика закона прямая: требования здесь служат условием участия в господдержке, а не общим правилом рынка.

Пометку об ИИ автор ставит сам, а площадка обязана дать кнопку

Больше всего путаницы вызвала статья 9. Разбирать её удобнее по частям.

Часть 1. Тот, кто делает аудио- или визуальный материал с помощью большой модели, может разместить информационное предупреждение о том, что применены технологии искусственного интеллекта. Это право, а не обязанность. Про тексты здесь ничего нет.

Часть 2. Как предупреждение выглядит, что в нём написано и в каком порядке его размещают, определяет соглашение между пользователем модели и тем, кто открывает к ней доступ. Обычно это пользовательское соглашение сервиса.

Часть 3. Вот здесь появляется единственная обязанность. Владелец сайта или его страницы, информационной системы либо программы должен дать людям возможность ставить предупреждение о применении больших моделей, если ресурс одновременно:

рассчитан на распространение информации через персональные страницы, которые создают пользователи;
работает на русском, на государственных языках республик или на других языках народов России;
может показывать потребителям в России рекламу;
собирает больше 500 тысяч посетителей из России в сутки.

Те же признаки (персональные страницы, реклама и порог в 500 тысяч пользователей в сутки) с 2021 года служат Роскомнадзору основанием вести реестр соцсетей по статье 10.6 закона об информации. Туда входят ВКонтакте, Одноклассники, YouTube, Telegram и другие. Прямой отсылки к этому реестру в законе нет, поэтому точный круг площадок покажет практика.

Между частями есть расхождение. Часть 1 говорит об аудио и визуальных материалах. Часть 3 формулирует шире: речь об информации, которую создали большие фундаментальные модели ИИ. Буквально выходит, что площадка должна разрешить пометить и текстовый пост. Как проверяющие прочитают эту норму, выяснится не раньше марта.

Ответственности за отсутствие кнопки в законе нет: новой статьи в КоАП не появляется. Статья 9 начнёт действовать 1 марта 2027 года.

Обязательную маркировку Дума уже один раз отклонила

Законопроект № 1069302-8 депутатов Дмитрия Гусева, Алексея Журавлёва и Михаила Делягина предлагал помечать сгенерированное видео надписью «Сделано ИИ». 24 апреля профильный комитет дал рекомендацию отклонить его, и 10 июня 2026 года Дума так и сделала. Антон Горелкин объяснял тогда, что меру трудно реализовать: авторы не решили, когда именно появляется метка и на кого ложится ответственность за ошибку.

Практические вопросы никуда не делись. Кто ставит метку, если ролик сделал один человек, а выложил другой? Переживёт ли она перезагрузку файла на другую площадку? Кто её проверяет? Алексей Шпильман из «Т-Технологий» назвал главной проблемой живучесть метки, а не её создание. Видимую надпись легко обрезать, невидимый водяной знак снимет другая модель.

Во второй попытке метку хотят переложить на сервис

17 августа 2026 года в уже принятый закон внесли поправку депутаты КПРФ Нина Останина, Сергей Обухов, Алексей Корниенко и Михаил Матвеев. Статью 9 они предлагают изложить целиком в новой редакции.

Действовать поправка должна с 1 марта 2027 года, вместе с исходной статьёй. Метку будет ставить сервис, открывающий доступ к модели, а не автор и не площадка. Ограничений по аудио и видео проект не содержит, так что формально помечать пришлось бы и текст. Право пользователя на предупреждение и обязанности площадок из новой редакции исчезают. Ответственности за нарушение проект не вводит.

В пояснительной записке авторы ссылаются на зарубежный опыт. Китай с 1 сентября 2025 года требует маркировку двух уровней: видимую и скрытую в метаданных. С 20 февраля 2026 года Индия требует от платформ видимой метки на сгенерированных материалах и сохранения источника в метаданных. Европейский AI Act требует машиночитаемой маркировки.

12 октября новый комитет по цифровому развитию и искусственному интеллекту получил законопроект от Совета Думы. Отзывы принимают до 11 ноября, рассмотрение стоит в примерной программе на ноябрь.

Авторское право: модель можно учить без разрешения

Обе части статьи 10 начнут действовать с 1 марта 2027 года.

Первая адресована каждому сервису, включая тех, кто получил особый статус. Компания, открывающая доступ к большой модели, обязана предупредить пользователя, если законодательство не говорит иного. Предупредить надо о двух вещах. Первая: у кого права на то, что выдала модель. Вторая: по каким правилам человек получает результат, распоряжается им и хранит его, когда техника это позволяет.

На практике это пункт в пользовательском соглашении. Формально норма задевает и зарубежные сервисы, доступные в России, вот только как её применять к ним, в законе не сказано.

Вторая выводит обучение из-под авторского права. Нарушением не считается обращение к сведениям из произведений: машинное извлечение, сопоставление, разбивка по классам, поиск закономерностей, трендов и связей, а также недолгая запись в память компьютера. Условий два. Цель — исключительно обучение суверенной или национальной модели. Кроме того, разработчик либо получил экземпляр произведения законно, либо произведение открыто для всех и разбирать его можно без технических ограничений.

Получается, техническая защита остаётся единственным способом запретить обучение: пейволл, логин или что-то похожее. Письменного отказа на сайте для этого мало. Считать ли техническим средством запись в robots.txt или машиночитаемую оговорку в духе европейского режима анализа текстов и данных, закон не уточняет. Вознаграждения тоже не положено.

Действует льгота только в отношении суверенных и национальных моделей. Прочим разработчикам достаются общие правила Гражданского кодекса, где подобного изъятия нет.

Спор с Гражданским кодексом

Пункт 5 статьи 1229 ГК говорит, что ограничения исключительных прав вводит сам кодекс. Норму об обучении прописали отдельным законом, и на это расхождение указала Лидия Михеева, заместитель председателя Совета по кодификации.

До второго чтения правообладатели добивались, чтобы обучение стало платным или требовало согласия. В финальной редакции ничего такого нет. Дальше события шли так:

по сведениям «Ведомостей», в последних числах июля президент распорядился готовить поправки, которые уладят отношения правообладателей и разработчиков нейросетей;
Совет по кодификации собрал рабочую группу по правкам в четвёртую часть ГК, к концу сентября от неё ждали предложений. Сопредседатель совета Павел Крашенинников: «Нужен баланс, мы попробуем его выстроить»;
5 августа появилась отдельная правительственная рабочая группа, которая займётся ИИ и авторским правом в медиа и творческих сферах;
называли варианты: прямое лицензирование, коллективное управление правами, отчисления по модели «налога на болванки». В авторском праве такой налог равен 1 % от цены техники и носителей. Такую параллель провёл зампред ВЭБ.РФ Игорь Дроздов.

К 17 октября открытого текста поправок я так и не нашёл. Дмитрий Шатунов, депутат нового думского комитета по ИИ, отнёс авторское право к вопросам, которые в законе ещё будут дорабатывать.

Ответственность: новых штрафов не появится

Норма 11 укладывается в одну фразу: тех, кто нарушил закон или подзаконные акты, ждёт ответственность по законодательству Российской Федерации. Новых составов в КоАП или УК из этого не возникает.

От этого применение ИИ не делается безнаказанным. Сфальсифицированный голос в схеме мошенничества остаётся мошенничеством, смонтированное видео в клевете — клеветой, а утечка персональных данных через чат-бота подпадает под статьи о персональных данных. Своего закон сюда ничего не добавляет.

Поддельное видео как отягчающее обстоятельство

14 июля 2026 года законопроект № 1288702-8 внесли двое сенаторов и депутаты от ЛДПР, которых возглавил Леонид Слуцкий. Он добавляет в часть 1 статьи 63 УК пункт «х»:

совершение преступления с использованием видеозаписи, аудиозаписи, изображения (в том числе электронного) или иных аудиовизуальных материалов, созданных с применением технологий искусственного интеллекта или иных технических средств обработки информации, если такие материалы воспроизводят или имитируют высказывания или действия лица, фактически им не совершенные, либо демонстрируют человека, личность которого сгенерирована технологиями.

Предполагалось, что поправка заработает с 1 сентября 2026 года. Дата миновала, а профильный комитет по государственному строительству и законодательству вердикта по документу так и не вынес.

К документу приложили два официальных отзыва, и ни один не в пользу проекта. Верховный суд отозвался 19 марта 2026 года, подпись поставил заместитель председателя Н. В. Тимошин. По тому же поручению № Пр-706 суд разобрал практику и расспросил судей. Выводы:

суды назвали считанные дела, в которых преступление шло с помощью технологий, относимых к ИИ;
такой признак лучше встроить в конкретные статьи как квалифицирующий или составообразующий, скажем в мошенничество, а не держать общим отягчающим обстоятельством;
текст не разводит использование правомерное и неправомерное и «может повлечь необоснованное расширение уголовно-правовой репрессии».

Отзыв правительства датирован 14 апреля 2026 года и краток. Похожие инициативы уже получали отзывы 22 июля 2024 года и 22 августа 2025 года; замечания из них не устарели, «позиция Правительства Российской Федерации не изменилась».

Что цифры говорят на самом деле

В пересказах законопроекта кочует цифра 675,4 тысячи преступлений, будто бы совершённых с помощью дипфейков в 2025 году. В пояснительной записке написано другое. По данным МВД, речь обо всех преступлениях, где использовались информационно-телекоммуникационные технологии либо компьютерная информация, это 38,1 % от зарегистрированных. Мошенничество дало 348 тысяч из них, незаконный оборот наркотиков 138,7 тысячи, кражи 81 тысячу.

О самих дипфейках записка приводит иные числа. АНО «Диалог Регионы» насчитало за девять месяцев 2025 года 342 уникальных дипфейка в рунете, тогда как за весь 2024 год их было 84. Копий вышло порядка 55 тысяч, а в сумме они собрали больше 122,5 миллиона просмотров. По подсчётам VisionLabs, о которых «Известия» писали 16 октября, за 2025 год вышло 627 дипфейков, а к сентябрю 2026-го около 900.

Методики у всех разные, но рост видно по каждой. Счёт всё равно идёт на сотни уникальных подделок, а не на сотни тысяч преступлений.

Один запрет уже вступил в силу

Одно ограничение по ИИ работает уже сейчас, и место ему нашли не в 243-ФЗ. 2 мая 2026 года подписали закон, принятый Думой 21 апреля по законопроекту № 1155581-8. В агитации запрещены изображения и голоса реальных людей, если их создали информационные технологии, а также образы людей вымышленных и умерших. Исключения сделали для самого кандидата и партии, которая его выдвинула, и для совершеннолетних граждан с письменным согласием по форме ЦИК.

С 1 марта 2027 года заработают пять новых механизмов

Статья 13 сдвигает на 1 марта 2027 года целый блок решений. Пять вещей переезжают на новую дату:

правительство решает, в каких случаях допустимы только суверенные или национальные модели;
оно же вводит отраслевые требования, которые должны предотвратить риски;
прописывается порядок доступа к государственным данным для обучения;
появляются определения суверенной и национальной модели, российского юрлица и правила присвоения статусов;
фиксируются обязанности разработчиков, маркировка и нормы об авторском праве.

Такой срок взят не с потолка. По закону об обязательных требованиях № 247-ФЗ подобные нормы обычно вступают в силу 1 марта или 1 сентября, причём не раньше 90 дней после публикации. Значит, постановления должны выйти примерно до начала декабря. Опоздают, и следующее окно откроется только 1 сентября 2027 года.

В восьми сферах оставят только российские модели

Главное постановление назовёт случаи, когда допускаются исключительно суверенные или национальные модели. Для банков и финансового рынка этот список согласуют с Банком России.

«Коммерсантъ» 8 сентября писал, что в рабочей версии перечня восемь направлений:

критическая информационная инфраструктура;
стратегическое планирование;
нацпроекты и госпрограммы;
работа госорганов над нормативными актами;
сферы налогов, таможни и бюджета;
образование;
здравоохранение;
государственные услуги.

Раньше обсуждали ещё безопасность, выборы и государственное управление. Спорнее всего правило рабочей версии: суверенную модель компания обязана взять, если она дороже сопоставимой национальной не более чем в полтора раза. Источник издания утверждал, что идея пришла от Сбера, владельца единственной модели, которая сейчас подходит под суверенную. В Сбере это опровергают и называют перечень сводом идей всех участников рабочей группы.

Участники обсуждения разошлись в оценках:

Минцифры обсуждение подтвердило, но считать перечень сформированным пока рано;
«Яндекс» за конкуренцию и за право отраслей самим выбирать технологические решения;
MWS AI предупредила, что для части задач в критических отраслях подходящих по качеству и экономике моделей может не найтись;
Антон Сипачёв из Just AI заметил, что на прикладных задачах компактные модели вроде GigaChat Lightning или YandexGPT Lite дают похожее качество дешевле, а главным выгодоприобретателем правила назвал одну компанию.

Старые системы до 2032 года не тронут

Третья часть статьи 13 защищает уже работающие системы. Ограничение на иностранные модели до 1 сентября 2032 года не касается информационных систем, которые создали или ввели в эксплуатацию к моменту вступления нормы в силу, то есть к 1 марта 2027 года. Условие одно: обработка и хранение данных должны идти в России.

Что это значит на практике. Система из будущей сферы, которая ходит к иностранной модели по API, гоняет данные за рубеж, и переходный период на неё не действует. А если модель стоит на собственных серверах в России, владелец выигрывает ещё пять с половиной лет.

Четвёртая часть той же статьи задаёт особенности применения статей 3 и 6 в экспериментальных правовых режимах. Делать это можно по согласованию с Минцифры. Пилотному проекту программа режима может смягчить требования к статусу или само определение большой модели.

Помощника хотят закрепить на каждом смартфоне

Отдельный проект постановления Минцифры переписывает правила обязательной предустановки программ, речь о постановлении № 1867. Вместо категории «голосовой помощник» предлагают ввести «системный помощник». Это софт на базе ИИ, который через голос, текст и картинки работает с устройством, операционной системой и приложениями. Предустанавливать придётся ту программу, чья модель получила национальный или суверенный статус.

Как писал «Коммерсантъ», помощнику готовили запрет на удаление, какой сейчас есть только у магазина приложений, и «все специальные разрешения»: обновление в фоне, фоновые службы push-уведомлений, активация голосом. Речь прежде всего об «Алисе AI»: её недельная аудитория в сентябре, как сообщил «Яндекс», дошла до 41 миллиона человек.

В «Яндексе» настаивают, что неудаляемости в тексте проекта нет, зато есть пункт о возможности отключить помощника. Там же требуют равных условий для российских и иностранных сервисов. Минцифры настаивает на добровольности: пользователь сам решает, включать помощника или нет.

РАТЭК просит приостановить проект до оценки регулирующего воздействия и дать ему вступить в силу не раньше чем через пять месяцев. Ассоциация считает, что сквозной доступ к системе противоречит праву пользователя этот доступ запретить. Обновление в фоне без разрешения на закрытых сертифицированных ОС технически невыполнимо. Проект на доработке.

Правительство обещает акты, но текстов пока нет

В аппарате вице-премьера в августе обещали выпустить подзаконные акты «уже осенью». 24 сентября Григоренко заявил: «Мы сейчас готовим подзаконные акты в развитии закона, который принят» и «сейчас о втором пакете мер речи, конечно, не идет». По его словам, закон станут вводить несколько лет, проблемы решать по мере практики, а цель звучит так: «не отрегулировать ради регулирования».

Готовых текстов постановлений к 17 октября я не нашёл. Споры идут в восьми рабочих группах комиссии правительства по развитию ИИ и на площадке АНО «Цифровая экономика».

В Думе появился отдельный комитет по ИИ

Дума девятого созыва, избранная в сентябре, обзавелась комитетом по цифровому развитию и искусственному интеллекту: кресло председателя занял Александр Сидякин, первым замом стал Антон Немкин, оба из «Единой России». Помимо ИИ, в ведении комитета маркетплейсы, беспилотники и креативная экономика. Сам закон об ИИ шёл через комитет по информационной политике. Свежие законопроекты об ИИ попадают уже в новый комитет, и первым туда отправили поправку КПРФ о маркировке.

Самые важные пробелы закона

Понять короткий закон легче от обратного: смотреть, чего в нём не оказалось. Рядом с мартовской версией это особенно заметно.

Реестра моделей. Порядок учёта и присвоения статусов правительство установит, а обязательной регистрации больших моделей в тексте нет.
Классов риска и запрещённых практик. Риск-ориентированный подход записан как принцип, механизма под него не приложили.
Обязанностей для моделей без статуса. По этому закону от иностранного сервиса и российской модели без статуса требований почти нет. Исключение одно: пользователя надо уведомить о правах на результат.
Распределения ответственности между разработчиком, оператором и пользователем, которое было в мартовском проекте.
Ответа на вопрос, кому принадлежит авторство сгенерированного. Закон обязывает лишь уведомить пользователя о том, у кого права. Сам вопрос отдан Гражданскому кодексу, а по статье 1228 автором считается гражданин, создавший результат своим творческим трудом. А картинка, которую модель целиком нарисовала по короткому запросу, в эту формулу укладывается плохо.
Правил для отдельных отраслей. Требования к медицине, образованию и финансам появятся лишь в том случае, если правительство решит их ввести.
Запрета иностранных моделей. Ограничения возможны только в сферах, которые определит правительство, и только начиная с 1 марта 2027 года.

Рядом с ЕС и Китаем логика видна отчётливо

Российский закон устроен не так, как европейский и китайский. На контрасте его логика читается лучше.

Европейский союз. AI Act раскладывает ИИ-системы по уровням риска: практики под запретом, высокий риск, ограниченный, минимальный. Статья 50 вводит обязанности прозрачности, в том числе машиночитаемую маркировку синтетики, с 2 августа 2026 года. Штраф тут доходит до 15 миллионов евро либо 3 % мирового оборота. Сроки для систем высокого риска сдвигает пакет поправок Digital Omnibus, теперь это конец 2027 года.

Китай. С 1 сентября 2025 года в Китае действует система идентификации сгенерированных материалов. Маркировка двухуровневая: одну видит человек, вторая спрятана в метаданных файла. Охвачены текст, изображения, аудио и видео. Платформы обязаны метки проверять, а удалять и подделывать их нельзя.

Индия и Южная Корея. Индия обязывает платформы с 20 февраля 2026 года ставить видимую метку на сгенерированный аудиовизуальный контент, который имитирует реальных людей, и записывать источник в метаданные, причём убрать эту запись нельзя. В Южной Корее маркировка сгенерированного контента работает с января 2026 года.

Россия. Регулируют не применение моделей, а сами модели, причём деление идёт по размеру и происхождению, а не по риску. Маркировка по-прежнему дело добровольное, санкций за неё не предусмотрено. Статусы, господдержка, доступ к данным и будущие требования к госсектору использовать отечественные модели: вот из чего закон состоит. Перед нами скорее документ о промышленной политике, чем о защите пользователя.

На практике многое зависит от вашей роли

Если вы пользуетесь нейросетями. Пока ничего не меняется. Запрета на иностранные модели нет, помечать сгенерированное закон не обязывает. С 1 марта 2027 года сервисы обязаны прямо написать, у кого права на результат, а крупным соцсетям придётся дать людям способ отмечать посты, сделанные с помощью ИИ.

Если вы ведёте блог или канал. Пока поправку КПРФ не приняли, помечать сгенерированные картинки и ролики по закону не нужно. Правила самих площадок нередко строже: читайте их отдельно. А в предвыборной агитации сгенерированные лица и голоса запрещены уже сейчас.

Если ваша компания внедряет ИИ. Когда вы не в госсекторе, не в критической инфраструктуре, не в образовании и не в здравоохранении, закон вас почти не затрагивает. Работаете в этих сферах или на госзаказе: следите за постановлением о случаях обязательного применения. Если система к 1 марта 2027 года уже стоит на развёрнутой в стране модели, она получает защиту до сентября 2032 года. Системам на иностранном API такой защиты не будет.

Если вы разрабатываете модели. Узкоспециализированные модели и модели меньше миллиарда параметров под действие закона не подпадают. Если вы дообучаете открытую модель, формально вы становитесь разработчиком, но обязанности возникают лишь со статусом. Статус национальной модели доступен, если архитектура, параметры и код ваши, а чужие компоненты идут по открытой лицензии. В обмен идут господдержка, доступ к государственным данным и право учиться на чужих произведениях, не спрашивая согласия авторов.

Если вы правообладатель. С 1 марта 2027 года разработчики со статусом смогут обучать модели на ваших открытых текстах, картинках и музыке. Единственная защита тут: технические средства. Поправки в Гражданский кодекс на подходе, но самого текста пока не существует.

Что стоит успеть до 1 марта 2027 года

Владельцу крупной площадки с персональными страницами: заложить в продукт возможность пометить публикацию как созданную с помощью ИИ. Причём не одни картинки с видео: часть 3 статьи 9 говорит об информации в целом.
Сервису, который даёт доступ к большой модели, в том числе через чужой API: прописать в пользовательском соглашении, кому принадлежат права на результат, как его можно применять и сохранять. По буквальному смыслу части 1 статьи 10 это касается каждого, кто даёт возможность применить модель.
Компании в госсекторе, критической инфраструктуре, образовании или здравоохранении: перечислить системы, где работают большие модели, и понять, где обрабатываются данные. Именно от этого зависит, будет ли система подпадать под переходный период, который длится до 2032 года.
Разработчику модели, который рассчитывает на статус: проверить, как оформлена собственность и пройден ли порог в 50 %, есть ли права на параметры, архитектуру и код, какие лицензии у чужих компонентов и стоит ли инференс в российских дата-центрах.
Всем остальным: следить за regulation.gov.ru. Постановления, которым работать с 1 марта, по общему правилу появятся там до декабря.

Первоисточники, к которым стоит обратиться

Текст закона. Федеральный закон от 26.07.2026 № 243-ФЗ; официальный портал правовой информации pravo.gov.ru; Собрание законодательства РФ, 2026, № 30, ст. 4089.
Карточка законопроекта № 1271570-8 в системе sozd.duma.gov.ru: там даты, тексты всех чтений и таблицы поправок.
Законопроекты № 1317978-8 о маркировке и № 1288702-8 о дипфейках лежат там же вместе с пояснительными записками и официальными отзывами.
Проекты постановлений выкладывают на regulation.gov.ru. Финальных редакций на момент публикации там не было.

Закон об ИИ в России стал первым, и получился он коротким и осторожным. До марта 2027 года запретов в нём почти нет, обязанностей тоже, а самый острый вопрос, где разрешат только отечественные модели, передан правительству. Настоящее регулирование начнётся не с текста закона, а с постановлений, которые должны выйти до декабря. И читать их придётся внимательнее, чем сам закон.

Полная версия: http://bigpanda.mirtesen.ru/blog/43510463046/Zakon-ob-II-v-Rossii-chto-deystvUyet-s-1-sentyabrya-2026-goda-i-

Текст подготовлен с использованием искусственного интеллекта.