243-ФЗ до 1 марта 2027 года ни к чему не обязывает бизнес. Потом обязанности получат те, кто дает клиентам доступ к большой модели. Для иностранных моделей уже действует 152-ФЗ.
Главное
- Сегодня обязанностей нет. Ст. 8-10 и полномочие Правительства ограничить модели вступают в силу 1 марта 2027 года (ст. 13 243-ФЗ). Так показала наша сверка всех 13 статей официального текста на 21.10.2026.
- Если AI встроен в клиентский продукт, главная обязанность – ст. 10 ч. 1. Компания уведомляет пользователя, кому принадлежат права на результат и на каких условиях к нему дается доступ, использование и сохранение (ст. 10). Норма касается только большой фундаментальной модели.
- 243-ФЗ не запрещает иностранные модели, но 152-ФЗ действует уже сейчас. Персональные данные в промпте к иностранному сервису – трансграничная передача, Роскомнадзор уведомляют до ее начала (ст. 12 152-ФЗ). В перечне из 88 государств, опубликованном 19.10.2026, США нет (приказ РКН № 253).
- Переходный период до 1 сентября 2032 года работает только при обработке и хранении данных в России (ст. 13 ч. 3). Формулировка нормы допускает споры.
- Наш замер на 21.10.2026. Мы проверили 48 утверждений из 21 материала выдачи, полностью верны 8. Ошибка или норма, которой нет в законе, есть в 13 материалах из 21.
Содержание
- Что 243-ФЗ требует от бизнеса сегодня
- Иностранные модели 243-ФЗ не запрещает, риск сегодня в 152-ФЗ
- Какая роль у вашей компании по закону об ИИ
- Таблица обязанностей по 243-ФЗ и 152-ФЗ
- Какие постановления ждать к 243-ФЗ
- Где выдача пересказывает закон неверно
- Что сделать сейчас и к 1 марта 2027 года
- Частые вопросы
Что 243-ФЗ требует от бизнеса сегодня
На 21.10.2026 не действует ни одна норма 243-ФЗ, которая обязывала бы коммерческую компанию. С 1 сентября 2026 года работают определения, принципы, полномочия органов и меры поддержки (ст. 13 ч. 1). Статьи 8-10 и полномочие Правительства ограничить модели (п. 3-5 ч. 2 ст. 5) вступают в силу 1 марта 2027 года (ст. 13 ч. 2).
Метод нашей сверки: официальный PDF закона с publication.pravo.gov.ru мы посимвольно сверили по всем 13 статьям с КонсультантПлюс, проверили опубликованные акты Правительства и смежные нормы 152-ФЗ и КоАП. Дата – 21.10.2026.
Сроки по ст. 13 243-ФЗ: с 1 сентября 2026 года действуют определения и полномочия. С 1 марта 2027 года вступают ст. 8-10 и полномочие по перечню случаев. 1 сентября 2032 года заканчивается переходный период для действующих систем. Сверка AppCraft на 21.10.2026.
Закон регулирует только большие фундаментальные модели (ст. 1 ч. 1 и ст. 3 п. 2). Модель попадает под закон, если у нее одновременно есть пять признаков:
- решает интеллектуальные задачи на уровне человека или выше;
- обучена на составах данных;
- служит основой для создания и доработки разных видов программ;
- содержит не менее 1 млрд параметров (ст. 3 п. 2);
- применяется для большого количества различных задач.
Лицензия в определении не упомянута, поэтому открытая модель такого размера подпадает под закон так же, как закрытая. Скоринг, антифрод и узкие классификаторы, по нашей оценке, не попадают. Последний признак оценочный: о модели, дообученной под одну узкую задачу, возможен спор.
Иностранные модели 243-ФЗ не запрещает, риск сегодня в 152-ФЗ
Прямого запрета на ChatGPT, Qwen или DeepSeek в 243-ФЗ нет. Механизм ограничения один: с 1 марта 2027 года Правительство сможет установить случаи, где допустимы только суверенные и (или) национальные модели, и исключения из них. Для финансового рынка – по согласованию с ЦБ (ст. 5 ч. 2 п. 3).
Иностранная модель такой статус не получит: разработчиком должно быть российское юрлицо, где больше 50% голосов контролирует государство, регион, муниципалитет или гражданин РФ без второго гражданства (ст. 6 ч. 2-4). Иностранные компоненты под открытой лицензией в национальной модели допустимы (ст. 6 ч. 3 п. 3), но статус получает российский разработчик своей модели, а не компания, развернувшая чужие веса. Порядок присвоения статуса на 21.10.2026 не опубликован.
Переходный период до 2032 года
До 1 сентября 2032 года перечень случаев не распространяется на системы с моделями, «созданные и (или) эксплуатируемые» на 1 марта 2027 года, при условии «обработки и хранения данных на территории Российской Федерации» (ст. 13 ч. 3). Неясно, относится ли «созданные» к моделям или к системам, сохранится ли льгота при смене версии модели и какие именно данные должны оставаться в России.
Если читать норму буквально, иностранный API с обработкой за рубежом условие не выполняет. Реестр систем с датами ввода права на льготу не дает, но без него компания не сможет даже оценить, есть ли оно.
Персональные данные в промпте
ФИО, телефон или переписка клиента в запросе к иностранному сервису – это трансграничная передача (152-ФЗ ст. 3 п. 11, ст. 12). Обязанности несет оператор, то есть компания, которая отправила данные, а не разработчик модели. До первой передачи она получает от получателя сведения о мерах защиты и условиях прекращения обработки (ч. 5) и подает в Роскомнадзор отдельное уведомление (ч. 3).
С 26 июля 2026 года 265-ФЗ отменил автоматическое признание «адекватными» стран – участниц Конвенции Совета Европы. Режим зависит только от перечня Роскомнадзора. Новый перечень утвержден приказом № 253, опубликованным 19.10.2026: 88 государств, КНР есть, США нет. Срок вступления приказа в силу в тексте не указан, поэтому юристу стоит проверить, какой перечень применять на дату передачи.
В страну из перечня данные можно передавать сразу после уведомления. В страну вне перечня – только после срока рассмотрения: 10 рабочих дней, срок приостанавливается на время ответа на запрос Роскомнадзора (ст. 12 ч. 9-11 152-ФЗ). Страну определяют фактический получатель и место обработки, а не происхождение модели.
Порядок трансграничной передачи по ст. 12 152-ФЗ в редакции 265-ФЗ и приказу РКН № 253: в перечне 88 государств, КНР в нем есть, США нет, приказ опубликован 19.10.2026. Сверка AppCraft на 21.10.2026.
Отдельно действует локализация: первичные базы персональных данных граждан должны находиться в России (ст. 18 ч. 5 152-ФЗ). За нарушение юрлицу грозит штраф от 1 до 6 млн рублей, за повторное – от 6 до 18 млн рублей (ч. 8-9 ст. 13.11 КоАП). Отдельного состава за передачу без уведомления в КоАП нет, квалификацию покажет практика.
Блокировки
Второй риск не юридический. В начале октября 2026 года многие российские команды столкнулись с массовыми блокировками аккаунтов зарубежных AI-сервисов. Это затронуло в том числе и AppCraft. По подсчету автора Хабра, в 20 тематических чатах в обычный день о блокировке аккаунта писал один человек, а 1 октября – 38.
Зависимость от одного зарубежного поставщика модели – риск для непрерывности работы. Его снижает архитектура, в которой модель можно заменить без переделки систем. Так устроен корпоративный AI-шлюз: компания сама задает, какие запросы остаются на ее серверах, какие идут в российские модели, а какие, обезличенные, во внешние. Статуса национальной модели шлюз не дает и уведомление Роскомнадзора не заменяет.
Какая роль у вашей компании по закону об ИИ
Роль зависит от того, что компания делает с моделью. Отдельной системы ролей закон не задает, ниже наша рабочая схема из терминов ст. 3, 9 и 10:
- пользователь модели — тот, кому дали доступ (ст. 10 ч. 1);
- лицо, предоставляющее возможность применения, – тот, кто дает доступ; определения в законе нет;
- лицо, применяющее модель, – тот, кто создает с ее помощью аудио- или визуальный материал (ст. 9 ч. 1);
- разработчик — ИП или юрлицо, которое разрабатывает, обучает или модифицирует модель (ст. 3 п. 5);
- владелец площадки с персональными страницами, рекламой и суточной аудиторией более 500 тыс. пользователей из России (ст. 9 ч. 3); типичная компания – не он.
«Оператора системы ИИ», «владельца сервиса» и «провайдера» в законе нет. «Оператор» – термин 152-ФЗ. Если смешать два закона, компания начнет готовиться к требованиям, которых не существует.
Квиз показывает нормы, даты и документы для вашей ситуации, а в спорных случаях объясняет, в чем неопределенность.
Роли и обязанности по 243-ФЗ и 152-ФЗ в трех сценариях: сотрудники в чат-ботах, AI в продукте, своя модель. Сверка AppCraft на 21.10.2026.
Сотрудники пользуются внешними чат-ботами
Прямых обязанностей по 243-ФЗ здесь нет. Компания – пользователь, а уведомлять о правах на результат должен сервис (ст. 10 ч. 1). Для этого сценария важнее 152-ФЗ.
Серая зона – внутренний портал поверх API или модель, развернутая для сотрудников. Формально компания тогда «предоставляет возможность применения»: условия о третьих лицах в норме нет. Комментаторы считают иначе, но это толкование. Мы советуем добавить пункт о правах на результаты в локальный акт об использовании AI: это недорого и закрывает вопрос при любом исходе спора. Как перевести такие запросы в управляемый канал, мы разбирали в статье о том, что теневой ИИ лечится маршрутом для запросов, а не запретом.
AI в продукте для клиентов
С 1 марта 2027 года компания уведомляет пользователей, кому принадлежат права на результат и на каких условиях к нему дается доступ, использование и сохранение (ст. 10 ч. 1). Обязанность не зависит от размера аудитории и от того, своя модель или чужая.
Закон не решил, возникают ли права на сгенерированный результат и у кого, поэтому уведомление перескажет договор, а авторство не установит. Рабочая группа Павла Крашенинникова считает, что ст. 10 может создать сложности для защиты авторских прав, и ищет подход до ее вступления в силу (Гарант, 14.10.2026). Юристу стоит проверить, совпадает ли то, что продукт обещает клиенту о правах и хранении, с условиями поставщика модели.
Если продукт генерирует изображения, видео или голос, применяется ст. 9 ч. 1-2: пользователю «обеспечивается возможность» поставить предупреждение, формат определяет соглашение. По нашему толкованию, сервису нужен пункт в соглашении и функция в интерфейсе. Обязанности маркировать закон не вводит ни для кого.
Своя модель на своих серверах
Компания, развернувшая модель без изменения весов, разработчиком не становится: ст. 3 п. 5 требует разработки или модификации. Если к модели обращаются клиенты, действует ст. 10 ч. 1.
Закон определяет обучение как «процесс подбора числовых значений (параметров)» (ст. 3 п. 4), но не говорит, что такое модификация. По нашему толкованию, полное дообучение и LoRA делают компанию разработчиком, а RAG, системные промпты и агентная обвязка – нет. Без статуса обязанностей по ст. 8 нет, но нет и исключения из авторского права по ст. 10 ч. 2: обучение на чужих текстах оценивают по Гражданскому кодексу.
Таблица обязанностей по 243-ФЗ и 152-ФЗ
Собственных санкций у 243-ФЗ нет (ст. 11). В официальных PDF законов о КоАП № 249-ФЗ и № 250-ФЗ, подписанных в один день с 243-ФЗ, нет ни одной нормы об искусственном интеллекте.
Источники: 243-ФЗ, 152-ФЗ, ст. 13.11 КоАП, сверка AppCraft на 21.10.2026. Колонка «Чем подтвердить» – наша рекомендация: форму подтверждения закон не устанавливает.
| Норма | Тип | Кому | Что сделать | С какой даты | Чем подтвердить | Санкция |
|---|---|---|---|---|---|---|
| 152-ФЗ ст. 12 ч. 3-5 | Действует | Оператор, отправляющий персональные данные иностранному получателю | До первой передачи получить описание мер защиты и условий прекращения обработки, уведомить РКН | Действует | Письмо или договор получателя, копия уведомления, список «данные – получатель – страна» | Отдельного состава нет |
| 152-ФЗ ст. 18 ч. 5 | Действует | Оператор, собирающий данные граждан РФ | Держать первичные базы в России | Действует | Схема хранения | Ч. 8 ст. 13.11: 1-6 млн рублей, повторно – 6-18 млн |
| 243-ФЗ ст. 10 ч. 1 | Прямая обязанность | Кто дает пользователям доступ к модели в своем продукте | Уведомить о правах на результат и об условиях доступа, использования и сохранения | 01.03.2027 | Раздел оферты, сверенный с условиями поставщика; уведомление в интерфейсе; запись об акцепте | Специальной нет |
| 243-ФЗ ст. 9 ч. 1-2 | Прямая, адресат по толкованию | Сервис генерации аудио и визуального контента | Описать формат предупреждения в соглашении, дать функцию | 01.03.2027 | Пункт соглашения, функция в интерфейсе | Специальной нет |
| 243-ФЗ ст. 9 ч. 3 | Прямая | Владелец крупной площадки | Дать пользователям возможность пометить публикацию; проверять пометки не нужно | 01.03.2027 | Функция публикации, замер суточной аудитории | Специальной нет |
| 243-ФЗ ст. 8 | Прямая, только при статусе | Разработчик суверенной или национальной модели | Меры безопасности, правила эксплуатации, техническая документация | 01.03.2027, не раньше статуса | Утвержденные правила, документация | Специальной нет |
| 243-ФЗ ст. 5 ч. 2 п. 3, ст. 13 ч. 3 | Полномочие Правительства | Компании, чьи системы попадут в перечень случаев | Сейчас ничего; после акта – модели со статусом, если нет льготы | Полномочие – с 01.03.2027, льгота – до 01.09.2032 | Дата ввода, модель и версия, место обработки и хранения данных. Это не гарантия льготы | Зависит от акта |
| 243-ФЗ ст. 3 п. 5 | Квалификация | Кто меняет параметры модели | Обязанности нет, компания становится разработчиком | С 01.09.2026 | Реестр моделей: база, что изменено, на каких данных | – |
Какие постановления ждать к 243-ФЗ
Обычной компании важно одно постановление – о перечне случаев, где допустимы только суверенные и (или) национальные модели. На 21.10.2026 через API портала publication.pravo.gov.ru мы не нашли ни его, ни других актов Правительства к закону. Перечень к законопроекту № 1271570-8 называет пять постановлений со сроком подготовки 1 ноября 2026 года, исполнитель – Минцифры (пакет законопроекта, с. 31-32; РАПСИ 07.07.2026):
- случаи «только суверенные и (или) национальные модели» и исключения из них;
- доступ к данным федеральных информационных систем для обучения моделей со статусом;
- подтверждение соответствия моделей законодательству и традиционным ценностям;
- существенные характеристики национальной модели;
- учет моделей и присвоение статуса.
Замглавы Минцифры Иван Лебедев 6 октября 2026 года говорил о шести постановлениях (Гарант), но шестой акт не назвал (ТАСС через Mail).
Коммерсант 08.09.2026 пересказал проект перечня случаев: КИИ, образование, здравоохранение, госуслуги, налоговая, таможенная и бюджетная сферы. Минцифры ответило, что «говорить о сформированном перечне сфер обязательного применения преждевременно». Пока акта нет, пометьте в реестре системы из этих сфер.
Где выдача пересказывает закон неверно
Пересказы чаще всего теряют условие нормы: из 48 проверенных утверждений полностью верны только 8. Еще 37 из 48, то есть 77%, неверны, упрощены с потерей условия или описывают нормы, которых в законе нет. Хотя бы одна такая ошибка есть в 13 материалах из 21 (эталон – текст закона). Наша гипотеза: часть ошибок пришла из мартовского проекта Минцифры, который правительственная комиссия сократила с 21 до 13 статей и переименовала.
Метод. Материалы по запросам «243 фз», «закон об ии что обязан бизнес» и «фз 243 от 26.07 2026» плюс Коммерсант, iilaw.ru, новости Гаранта, ТАСС и РАПСИ; утверждения об обязанностях, ролях, сроках, санкциях и иностранных моделях сверены с текстом закона 21.10.2026. Ограничения: Яндекс отдавал капчу, выдачу собрал другой поисковый инструмент; цифры описывают нашу подборку, а не всю выдачу.
Замер AppCraft на 21.10.2026, 48 утверждений из 21 материала: верно – 8, упрощено – 15, неверно – 17, нормы нет в законе – 5, спорное толкование – 3. Эталон – официальный текст 243-ФЗ.
Пять расхождений, которые сильнее всего мешают бизнесу:
- Нормы проекта выдают за закон. Хабр 23.03.2026 под заголовком «Новый закон об ИИ в России» описывает маркировку всего контента, реестр доверенных моделей и вступление в силу 1 сентября 2027 года. Коммерсант 15.10.2026 цитирует эксперта об «операторе системы ИИ».
- Исключение из авторского права приписывают всем моделям (Клерк 14.07.2026), хотя оно только для суверенных и национальных.
- «Open-source под закон не подпадает» (Клерк). Критерий – признаки модели, а не лицензия.
- Обязанности по ст. 8 распространяют на всех разработчиков (Cloud.ru 29.09.2026), хотя они только для моделей со статусом.
- Сроки: «требования к бизнесу с 1 сентября 2026 года» и льгота до 2032 года без условия о данных в России. У Коммерсанта обратная ошибка: закон «вступит в силу только в следующем году», хотя он действует с 1 сентября 2026 года.
Точнее других пишут RB.ru 12.10.2026, iilaw.ru 02.10.2026 и Sostav 06.10.2026. Отдельные тезисы переходят из материала в материал почти дословно, например из ppt.ru в Контур. Повтор не делает тезис проверенным: сверять стоит с текстом закона.
Что сделать сейчас и к 1 марта 2027 года
Требования 152-ФЗ действуют уже сейчас: уведомление подают до начала передачи (ст. 12 ч. 3 152-ФЗ). Обязанности 243-ФЗ вступают в силу 1 марта 2027 года (ст. 13 ч. 2).
| Когда | Шаг | Владелец | Результат |
|---|---|---|---|
| Сейчас | Выяснить, какие персональные данные попадают в промпты, в какие сервисы уходят и где обрабатываются | Ответственный за персональные данные | Список «данные – получатель – страна» |
| Сейчас | По каждому иностранному получателю запросить меры защиты, подать уведомление в РКН, проверить страну по действующему перечню | Ответственный за персональные данные и юрист | Письма получателей, уведомления |
| Сейчас | Проверить, что первичные базы персональных данных находятся в России | Директор по ИБ | Схема хранения |
| Сейчас | Подготовить план на случай блокировки основного поставщика модели: вторая модель или российский контур | Директор по ИТ и финансовый директор | Документ: что переключаем, за сколько дней, во сколько обойдется |
| До 01.03.2027 | Составить реестр систем: модель и версия, число параметров, пользователи, где обрабатываются данные, дата ввода | Директор по ИТ вместе с ИБ | Основа для роли и оценки льготы |
| До 01.03.2027 | Определить роль компании по каждой системе | Юрист | Таблица «система – роль – норма – дата» |
| До 01.03.2027 | Написать раздел оферты о правах и хранении результатов и сверить с поставщиком; для внутреннего портала – пункт в локальном акте | Юрист и владелец продукта | Новая редакция документов |
| До 01.03.2027 | Определить формат предупреждения, если продукт генерирует аудио или визуал | Владелец продукта | Пункт соглашения и функция |
| После публикации актов | Сверить перечень случаев с реестром систем | Юрист | Обновленная таблица обязанностей |
Первый документ стоит получить на этой неделе: список сервисов, куда уходят персональные данные клиентов. Сегодня он нужен по 152-ФЗ, в марте 2027 года понадобится и по 243-ФЗ.
Частые вопросы
Закон действует с 1 сентября 2026 года, но пока работают только определения, принципы, полномочия органов и меры поддержки. Обязанности бизнеса по ст. 8-10 и полномочие Правительства ограничить модели вступают в силу 1 марта 2027 года (ст. 13). На 21.10.2026 у коммерческой компании нет прямых обязанностей по этому закону.
По 243-ФЗ – нет. С 1 марта 2027 года у того, кто создает с помощью большой модели аудио- или визуальный материал, должна быть возможность поставить предупреждение. Крупные площадки с суточной аудиторией более 500 тыс. пользователей из России обязаны дать такую возможность (ст. 9). Обязательную маркировку предлагает законопроект КПРФ № 1317978-8 (ComNews), но он не принят.
243-ФЗ иностранные модели не запрещает, а перечень случаев «только суверенные и национальные модели» пока не опубликован. Если в запросы попадают персональные данные, действует 152-ФЗ. До первой передачи нужно уведомить Роскомнадзор, а для стран вне перечня дождаться окончания срока рассмотрения уведомления. США в перечне, опубликованном 19.10.2026, нет (приказ РКН № 253).
Собственных штрафов закон не вводит: ст. 11 отсылает к общему законодательству. В законах о КоАП № 249-ФЗ и № 250-ФЗ, принятых в тот же день, составов про AI нет. Действующие штрафы связаны с персональными данными: например, за нарушение локализации баз юрлицу грозит от 1 до 6 млн рублей по ст. 13.11 КоАП.
По нашему толкованию – да. Разработчиком закон называет того, кто модифицирует модель, а дообучение меняет ее параметры (ст. 3 п. 4-5). Прямого определения модификации в законе нет. Без статуса суверенной или национальной модели обязанностей по ст. 8 не будет. Исключение из авторского права для обучения тоже не будет действовать.
Источники
- publication.pravo.gov.ru — ст. 13 243-ФЗ
- consultant.ru — ст. 10
- consultant.ru — ст. 12 152-ФЗ
- publication.pravo.gov.ru — приказ РКН № 253
- consultant.ru — КонсультантПлюс
- pd.rkn.gov.ru — отдельное уведомление
- publication.pravo.gov.ru — 265-ФЗ
- consultant.ru — ч. 8-9 ст. 13.11 КоАП
- habr.com — Хабра
- garant.ru — Гарант, 14.10.2026
- publication.pravo.gov.ru — № 249-ФЗ
- publication.pravo.gov.ru — № 250-ФЗ
- storage.consultant.ru — пакет законопроекта, с. 31-32
- rapsinews.ru — РАПСИ 07.07.2026
- garant.ru — Гарант
- news.mail.ru — ТАСС через Mail
- kommersant.ru — Коммерсант 08.09.2026
- vc.ru — сократила с 21 до 13 статей
- habr.com — Хабр 23.03.2026
- kommersant.ru — Коммерсант 15.10.2026
- klerk.ru — Клерк 14.07.2026
- cloud.ru — Cloud.ru 29.09.2026
- rb.ru — RB.ru 12.10.2026
- iilaw.ru — iilaw.ru 02.10.2026
- sostav.ru — Sostav 06.10.2026
- ppt.ru — ppt.ru
- talk.kontur-f.ru — Контур
- comnews.ru — ComNews
