#152фз — посты и обсуждения

За последние годы требования к обработке персональных данных стали значительно жестче. 

Однако новый проект приказа ФСТЭК показывает еще одну важную тенденцию — государство постепенно уходит от проверки «бумаг» к оценке того, насколько система защиты действительно работает.

Сегодня уже недостаточно один раз подготовить комплект документов, приобрести средства защиты и считать вопрос закрытым.

Новая модель предполагает постоянную работу:

• регулярный анализ угроз;

• актуализацию мер защиты;

• документирование изменений;

• контроль эффективности применяемых решений;

• своевременное реагирование на новые риски.

Для руководителей компаний это означает, что информационная безопасность становится частью корпоративного управления, а не исключительно задачей IT-подразделения.

Особенно внимательно на изменения стоит посмотреть:

✔ IT-компаниям;

✔ медицинским организациям;

✔ финансовому сектору;

✔ маркетплейсам и онлайн-сервисам;

✔ работодателям;

✔ любым организациям, работающим с персональными данными.

В юридической практике все чаще причиной серьезных проблем становится не сама кибератака, а отсутствие выстроенной системы защиты и подтверждения соблюдения требований законодательства.

Поэтому подготовку лучше начинать до вступления новых требований в силу.

В новой статье подробно разобрал:

• что меняется;

• кого затронут изменения;

• какие риски появляются у бизнеса;

• какие действия стоит предпринять уже сейчас.

📖 Полная аналитика:

https://advolaw.ru/analytics/post/novyj-prikaz-fstek-po-personalnym-dannym-2026

#ФСТЭК #ПерсональныеДанные #152ФЗ #ИнформационнаяБезопасность #Комплаенс #ADVOLAW

Главный вывод, который бизнес чаще всего упускает: закон не освобождает компанию от ответственности за то, как она выбрала систему, какие данные передала и кто проверил результат.

Кого закон касается напрямую

Специальный предмет № 243-ФЗ — большие фундаментальные модели: программы с не менее чем одним миллиардом параметров, способные решать широкий спектр интеллектуальных задач.

Чат-бот на корпоративном сайте или скоринговая система под этот критерий, как правило, не подпадают. Но они остаются объектами общего регулирования — персональных данных, договорного права, трудового законодательства.

Закон вводит две специальные категории: суверенная модель (российский разработчик, российская инфраструктура, полная воспроизводимость цикла обучения) и национальная модель (допускаются компоненты на открытых лицензиях).

Для ряда сфер Правительство сможет установить обязательность использования именно таких моделей. Банковский сектор — по согласованию с ЦБ.

Пять рисков, которые закон не снял

Ответственность не переходит к модели. ИИ не является субъектом права. Отвечает тот, кто выбрал систему, передал данные, настроил процесс и допустил результат к исполнению — разработчик, поставщик, интегратор, компания-пользователь или сотрудник.

Договор с поставщиком не защищает перед третьими лицами. Соглашение может перераспределить убытки внутри цепочки, но не освобождает компанию перед клиентом, субъектом персональных данных или регулятором.

Публичная модель — не внутреннее хранилище.

Загрузка рабочего документа означает передачу данных внешнему лицу, возможное обучение на запросах и потенциальное нарушение режима коммерческой тайны или персональных данных.

Формальный контроль человека не считается реальным.

Сотрудник должен видеть исходные данные, понимать ограничения системы, иметь квалификацию и реальное право отклонить результат.

Нажатие кнопки «подтвердить» без возможности возразить — не контроль.

Отсутствие документов после инцидента — самостоятельный риск. После ошибки нужно восстановить: какая модель работала, какие данные получила, что выдала, кто и как проверил, на каком основании решение было исполнено. Если этого нет — доказать надлежащее поведение не получится.

Что сделать в ближайшие 90 дней

Первые 30 дней — инвентаризация. Выявить все ИИ-системы: купленные, бесплатные, встроенные в офисные продукты, личные аккаунты сотрудников.

До завершения проверки ограничить передачу клиентских документов и персональных данных в публичные модели.

Дни 31–60 — закрытие критических пробелов.

Проверить договоры с поставщиками на наличие условий об обучении на данных, локализации, субподрядчиках и правах на результат. Установить обязательную проверку человеком для процессов с юридическими или финансовыми последствиями.

Дни 61–90 — система управления.

Утвердить реестр систем, политику применения ИИ, матрицу ответственности и требования к журналированию. Для потенциально регулируемых моделей запросить у поставщика план соответствия № 243-ФЗ.

Наибольший риск — не у создателя базовой модели. Он у компании, которая выбрала сервис, передала данные и допустила результат к исполнению, не выстроив систему контроля и документирования.

Подробный разбор — правовая конструкция закона, ответственность по ролям, договорный контур, требования к данным, маркировка и план на 90 дней — в полной статье ADVOLAW:

#ИскусственныйИнтеллект #ИИ #AI #Закон #Право #Бизнес #Предпринимательство #КорпоративноеПраво #Комплаенс #УправлениеРисками #ЦифровоеПраво #IT #Технологии #ПерсональныеДанные #152ФЗ #Юрист #Адвокат #ADVOLAW