Приказ ФСТЭК выделяет защиту данных при ИИ: что готовить до 1 сентября

ФСТЭК разместила на regulation.gov.ru проект приказа о защите персональных данных. Он заменяет приказ №21, по которому защиту строили больше десяти лет, и вступает в силу 1 сентября 2026 года.

Что изменилось

Меры адаптируются под уровень защищённости системы — их четыре. Отдельными направлениями прописаны виртуализация, контейнеры, IoT, облачные вычисления, почта, веб-сервисы и API. Впервые отдельным направлением выделена защита информации при использовании искусственного интеллекта и при взаимодействии с подрядчиками. Добавлен показатель зрелости мер. Оценку эффективности проводят не реже раза в три года. И после каждого инцидента — у оператора или обработчика.

Что это значит

Регулятор смотрит на весь жизненный цикл данных: сбор, обработку, передачу, использование в аналитике и алгоритмах. Сценарий, где персональные данные уходят в сторонний сервис через API, теперь попадает в периметр требований.

Пилот на больших языковых моделях до осени требует подготовки. Регламент передачи данных подрядчикам и в ИИ-сервисы описывают заранее. Заодно назначают ответственного за это направление. Дешевле сделать это на этапе выбора решения, чем переделывать контур после запуска.

Чего пока не известно

Номер приказа, итоговая редакция после общественного обсуждения и применимость требований к облачным ИИ-сервисам за пределами России. Объём затрат в документе не оценивается. Прикинуть его можно на своём контуре — например, через оценку бюджета.