С 2025 года в России действует обязательная сертификация систем искусственного интеллекта для решений с высоким уровнем риска, а также ведение официального реестра таких ИИ-систем . Это означает, что для многих компаний использование и разработка интеллектуальных алгоритмов перестали быть зоной правового вакуума и перешли в плоскость строгого государственного контроля. Игнорирование новых требований грозит бизнесу не только штрафами, но и полным запретом на использование критически важных для операционной деятельности технологий.
Кто обязан встать на учет, как проходит эта процедура и какие последствия ждут российский рынок инноваций?
Правовые основы: почему реестр ИИ появился именно сейчас
Вопреки ожиданиям, единого федерального закона, всесторонне регулирующего сферу искусственного интеллекта, в 2026 году нет — его принятие отложено, так как технология стремительно развивается, а баланс между стимулированием инноваций и контролем найти сложно . Однако это не означает вседозволенности.
Государство формирует регулирование через:
- Отраслевые нормы: Внедрение специальных требований в законы о связи, персональных данных, критической информационной инфраструктуре (КИИ) и финансовом рынке.
- Подзаконные акты и стандарты: Постановления Правительства, приказы министерств и ГОСТы, такие как ГОСТ Р 71657-2024, задающие стандарты управления данными в ИИ-проектах .
- Экспериментальные правовые режимы («регуляторные песочницы»): На 2026 год действует 15 таких режимов в сферах от беспилотного транспорта до телемедицины, позволяющих тестировать ИИ в особых условиях .
Главным инструментом контроля становится обязательный реестр ИИ-систем, выполняющий три ключевые задачи: учет, классификацию по уровню риска и обеспечение проверяемости. Он является логичным продолжением курса на технологический суверенитет, подобно уже существующим реестрам российского ПО и цифровых платформ .
Какие системы искусственного интеллекта попадут в реестр
Регистрации подлежат не все алгоритмы, а системы, признанные высокорисковыми. Критерии отнесения к этой категории включают сферу применения, масштаб воздействия и характер обрабатываемых данных.
1. Системы, работающие с критической инфраструктурой и безопасностью
- ИИ в энергетике, транспорте, телекоммуникациях и ЖКХ, от сбоев которых зависит жизнь и здоровье людей.
- Алгоритмы, применяемые для обороны, государственной безопасности и правоохранительной деятельности.
- Программно-аппаратные комплексы для генеративного ИИ, попадающие в реестр российского ПО. Для них с декабря 2025 года действуют исключительно жесткие требования, например, наличие собственного ЦОДа мощностью не менее 10 МВт, что создает высокий барьер для входа .
2. Системы, принимающие решения о гражданах
- В финансах: Автоматизированный скоринг для выдачи кредитов, оценки страховых рисков, одобрения ипотеки. Регулятор потребует прозрачности и недискриминации алгоритмов .
- В здравоохранении: ИИ для диагностики по снимкам, подбора терапии, прогнозирования заболеваний. Здесь на первый план выйдут требования к клинической валидации и мерам ответственности за возможные ошибки .
- В госуправлении: Алгоритмы, влияющие на назначение выплат, принятие решений о закупках, распределение бюджетных средств. Государство и само активно внедряет ИИ, например, Счетная палата в 2026 году начинает использовать его для риск-ориентированного аудита .
3. Системы, обрабатывающие биометрические и персональные данные в массовых масштабах
- Системы распознавания лиц в публичных пространствах.
- Алгоритмы поведенческого анализа и таргетированной рекламы, работающие с большими данными.
- Любые решения, подпадающие под строгие требования Федерального закона №152-ФЗ «О персональных данных» и профильного Федерального закона №233-ФЗ об ИИ .
Процедура регистрации: пошаговая инструкция для бизнеса
Чтобы легализовать свою высокорисковую ИИ-систему, компании необходимо пройти многоэтапный процесс, требующий серьезной подготовительной работы.
- Проведение внутреннего аудита и классификации. Необходимо определить, под какую категорию риска (критически высокий, высокий, средний, низкий) подпадает используемый или разрабатываемый ИИ. Это требует анализа его функций, сферы применения и потенциального ущерба от сбоев.
- Подготовка технической и разрешительной документации. Для подачи заявки в уполномоченный орган (предположительно, Роскомнадзор или Минцифры) потребуется пакет документов, включающий:
- Подробное техническое описание архитектуры системы.
- Отчет об оценке соответствия требованиям безопасности и защиты данных.
- Заключение об этической экспертизе, исключающей дискриминационные алгоритмы.
- Документацию, объясняющую логику принятия решений ИИ (принципы Explainable AI — XAI) .
- Прохождение процедуры сертификации. Для систем критически высокого и высокого риска предусмотрена обязательная сертификация в аккредитованных центрах. Она включает тестирование на устойчивость, кибербезопасность и проверку на «предвзятость» .
- Включение в реестр и постоянное соблюдение требований. После успешной сертификации система вносится в государственный реестр. Но это не разовое действие — оператор обязан обеспечивать постоянное соответствие, своевременно информировать регулятор об изменениях в системе и проходить периодические проверки.
Последствия: три сценария для российского бизнеса и рынка
Внедрение реестра и сопутствующих требований запустит процесс серьезной перестройки рынка, последствия которой будут неоднозначными.
1. Для крупных компаний и государственных корпораций: дополнительные издержки и усиление контроля. Крупным игрокам придется нести значительные расходы на сертификацию, доработку систем и содержание штата compliance-специалистов. Однако они получат конкурентное преимущество в виде легальности и доверия, особенно при работе с госзаказом. Требование о наличии собственных мощных ЦОДов для генеративного ИИ может привести к олигополии, где на рынке останутся 2-3 доминирующих игрока .
2. Для малого и среднего технологического бизнеса: высокие барьеры и риск вытеснения. Для стартапов и небольших разработчиков расходы на соответствие новым нормам могут стать неподъемными. Ужесточение требований для реестра российского ПО для генеративного ИИ — яркий пример того, как регулирование может ограничить доступ малых компаний к льготам и рынку . Им придется либо искать партнерство с крупными игроками, либо уходить в ниши с низким уровнем регулируемых рисков.
3. Для рынка в целом: рост доверия и цифровая изоляция. С одной стороны, регулирование повысит надежность и прозрачность ключевых ИИ-систем, что важно для потребителей и инвесторов. С другой, оно создает «цифровой суверенитет» — контролируемую экосистему, все более отделенную от глобальных трендов и правил. Как отмечают эксперты, это шаг к управляемой цифровой среде, где приоритетом является контроль и безопасность с точки зрения национальных интересов .