Закон № 243-ФЗ об ИИ делит бизнес на три роли: что проверить заранее

Закон № 243-ФЗ вводит в российское регулирование ИИ логику ролей: обязанности компании зависят от того, что именно она делает с нейросетью. RB.RU вместе с экспертами выделяет три базовых сценария. Первый: компания разрабатывает собственную модель. Второй: она предоставляет клиентам доступ к готовой модели. Третий: сотрудники просто используют нейросети в повседневной работе. Конкретные статьи, сроки и санкции в опубликованном анонсе не приводятся, поэтому ниже разобрана структура вопроса и порядок проверки, а не пересказ норм.

Три роли, три набора требований

Разделение по ролям знакомо всем, кто работал с регулированием персональных данных или информационной безопасности. Закон не оценивает «ИИ вообще». Он спрашивает, кто стоит в цепочке: создатель технологии, посредник или конечный пользователь. От ответа зависит объём обязанностей.

• Разработчик модели. Обучает или дообучает систему, определяет её архитектуру, данные и ограничения. Обычно именно на нём лежит самая тяжёлая нагрузка: документация, источники данных, оценка рисков.
• Поставщик доступа. Встраивает чужую или свою модель в продукт и продаёт доступ клиентам: чат-бот поддержки, API, ассистент в приложении. Он отвечает перед клиентом за то, как сервис работает.
• Пользователь. Применяет нейросети внутри компании для текстов, аналитики, кода, обработки обращений. Требований к нему, как правило, меньше, но они не нулевые.

Границы между ролями размыты. Компания, которая дообучила открытую модель на своих данных и вывела её в клиентский сервис, может оказаться сразу в двух категориях.

Тип модели тоже имеет значение

Эксперты RB.RU подчёркивают второй фактор: помимо роли учитывается используемая модель. На практике это означает, что вопрос «какую нейросеть вы применяете» перестаёт быть техническим. Собственная разработка, российская коммерческая модель, зарубежный сервис и открытая модель с локальным развёртыванием дают разную картину по происхождению данных, контролю над обработкой и ответственности.

Для юристов это задача на классификацию. Для разработчиков вопрос о том, какие артефакты придётся хранить и показывать: описание данных, версии моделей, журналы работы. Для бизнеса вопрос о договорах: кто отвечает, если модель выдала ошибочный результат.

Чего пока не хватает

Из анонса неясно, какие именно обязанности закон закрепляет за каждой ролью, как будет устроена ответственность и когда нормы начнут действовать. Эти детали определят реальную стоимость комплаенса. Полагаться на пересказы не стоит: нужен сам текст закона и подзаконные акты, если они предусмотрены.

Что проверить заранее

Начать можно с внутренней инвентаризации, она не требует знания всех деталей закона.

1. Составить реестр ИИ-инструментов. Какие нейросети используются, в каких отделах, на чьих аккаунтах. Теневое использование сотрудниками обычно оказывается шире, чем ожидает руководство. 2. Определить роль по каждому сценарию. Разработка, предоставление доступа или внутреннее применение. Для разных продуктов роль может отличаться. 3. Выяснить происхождение моделей. Свои, лицензированные, открытые, зарубежные сервисы. Зафиксировать условия лицензий и условия обработки данных. 4. Пересмотреть договоры с клиентами и подрядчиками. Есть ли в них раздел об ИИ, распределена ли ответственность за результаты работы модели. 5. Назначить ответственного. Один человек или небольшая группа из юриста, ИТ и безопасности, которая будет следить за подзаконными актами и разъяснениями. 6. Начать вести документацию. Версии моделей, наборы данных, промпты и политики использования проще собирать сейчас, чем восстанавливать задним числом.

Компаниям, которые только строят ИИ-продукты, выгодно заложить эти практики в процесс разработки с самого начала. Тем, кто пользуется нейросетями как офисным инструментом, достаточно внутренней политики и понятных правил для сотрудников. Точные требования станут ясны после изучения текста 243-ФЗ, но порядок в собственных ИИ-процессах пригодится при любом варианте.