Что даёт и чего не даёт закон 243-ФЗ о поддержке технологий ИИ для работы с персональными данными, и зачем нужны экспериментальные правовые режимы?

Закон регулирует большие фундаментальные модели ИИ (ст. 1) — программы, обученные на наборах данных, применимые для множества задач и содержащие не менее 1 млрд параметров (ст. 3). Правительство с 01.03.2027 вправе устанавливать случаи обязательного применения суверенных или национальных моделей, требования к рискам в отраслях (для банков — по согласованию с ЦБ) и порядок доступа к данным федеральных систем для их обучения (п. 3–5 ч. 2 ст. 5). Суверенная модель — модель российского юрлица с воспроизводимым циклом разработки, хранением данных и подготовкой ответов в российских ЦОД и подтверждением соответствия законодательству и традиционным ценностям; национальная — дополнительно с открытыми лицензиями (ч. 2, 3 ст. 6). Их разработчики обязаны принимать меры безопасности, определять правила эксплуатации и вести техническую документацию (ст. 8). Пользователь вправе маркировать созданные моделью аудио и видео (ст. 9). Обучение таких моделей на объектах авторских прав при правомерном доступе нарушением не считается (ч. 2 ст. 10). Ответственность — по общему законодательству (ст. 11). Общий срок — 01.09.2026, отдельные нормы — 01.03.2027; до 01.09.2032 обязательность суверенных моделей не касается ранее созданных систем с данными в России (ст. 13). Термина «персональные данные» в тексте закона (по прочитанным правовым базам) нет; «реестра систем ИИ» тоже — есть учёт суверенных и национальных моделей (ч. 5 ст. 6).

Экспериментальные правовые режимы. Ч. 4 ст. 13 243-ФЗ допускает в ЭПР по 258-ФЗ особенности применения ст. 3 и 6. Для персональных данных значимы нормы 152-ФЗ: обезличенные данные о здоровье обрабатываются в случаях ч. 2.1 ст. 10 — в режиме ст. 13.1, в московском эксперименте и в ЭПР (Q46); обработка обезличенных данных на условиях этих законов — отдельное основание (п. 9.1 ч. 1 ст. 6). В июне 2026 года принят закон о поправках в 258-ФЗ (законопроект № 1158700-8; Госдума — 10.06.2026, Совет Федерации — 17.06.2026; по ppt.ru подписан как ФЗ от 26.06.2026 № 211-ФЗ): по сообщениям Интерфакса, отменено требование о наличии нормативного барьера, ЭПР можно запускать там, где регулирования ещё нет (в первую очередь ИИ), срок увеличен с трёх до пяти лет. Московский 123-ФЗ с 01.09.2025 дополнен ст. 6.1 и 6.2 (233-ФЗ): передача изображения лица и записи голоса в региональную систему для формирования региональных составов обезличенных данных и их последующая обработка допускаются без согласия субъекта (ч. 4 ст. 6.1), оператор уведомляет субъекта не позднее чем за 30 дней с правом возразить. Эксперимент установлен на пять лет с 01.07.2020; его статус нужно проверить.

Практические шаги: не ссылаться на 243-ФЗ как на основание обработки; оценить риск обязательных суверенных моделей в своей отрасли; для доступа к государственным данным или отступления от 152-ФЗ — ЭПР по 258-ФЗ с согласованием Минцифры.