Комплаенс с ИИ: мониторинг закона и проверка документов

Комплаенс начинается с вопроса, что изменилось. ИИ каждый день читает официальные публикации нормативных актов и проекты, отбирает те, что касаются отрасли и процессов компании, и пишет короткую справку: что изменилось, с какой даты, какие внутренние документы это затрагивает.

Пример 2026 года. Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» вступил в силу 1 сентября 2026 года. Данные суверенных и национальных моделей по нему обрабатываются в России, а случаи обязательного применения таких моделей определяет Правительство.

Для комплаенса из этого следуют две задачи. Первая: выяснить, какими ИИ-сервисами уже пользуются сотрудники и где обрабатываются их запросы. Вторая: следить за актами Правительства, которые назовут случаи обязательного применения.

Что бизнесу делать с законом об ИИ, разобрано в статье блога, а общая картина в обзоре правового регулирования ИИ для юристов.

Источник для справки только официальный: портал правовой информации и сайты ведомств. Пересказ в новостях ИИ использует как сигнал, но в справку ставит ссылку на текст самого акта и его редакцию.

Справку ИИ читает специалист по комплаенсу. Он решает, касается ли изменение компании, и назначает ответственного за правку документа.

Внутренние политики устаревают тихо: закон меняется, а положение о персональных данных годами остается в старой редакции. ИИ сравнивает каждую политику с действующими нормами и отмечает расхождения с номером статьи.

Типичная проверка по 152-ФЗ включает четыре вопроса:

1. Описан ли порядок трансграничной передачи. С 1 марта 2023 года до передачи персональных данных за рубеж оператор подает уведомление в Роскомнадзор (ч. 3 ст. 12 152-ФЗ).

2. Где записываются и хранятся данные граждан РФ. По ч. 5 ст. 18 152-ФЗ сбор и хранение ведутся в базах на территории России.

3. Какие внешние сервисы, включая ИИ-сервисы, получают данные сотрудников и клиентов, и есть ли с ними договор об обработке по поручению.

4. Кто отвечает за инцидент и как о нем сообщают внутри компании.

Цена расхождения измерима: штраф для юрлица по ч. 8 ст. 13.11 КоАП РФ достигает 6 млн руб. ИИ готовит таблицу «пункт политики, норма, расхождение, предлагаемая правка», а новую редакцию утверждает юрист.

Для сотрудников нужен отдельный документ, политика использования ИИ: какими сервисами можно пользоваться и что в них нельзя отправлять.

Запретное условие это пункт, который компания по своим правилам не подписывает. Например, неограниченная ответственность, передача данных подрядчику без договора поручения, хранение данных за рубежом, односторонний отказ контрагента без компенсации.

Список таких условий ведет юридический отдел, ИИ применяет его к каждому договору. Проверка идет и по входящим проектам, и по архиву действующих договоров.

По архиву результат выглядит как реестр: номер договора, пункт, правило, которое он нарушает, и дата, когда договор можно изменить или расторгнуть.

Отдельная строка для подрядчиков, которые получают персональные данные. С 30 мая 2025 года по 420-ФЗ за повторную утечку юрлицо платит от 1 до 3% выручки, но не меньше 20 млн и не больше 500 млн руб. (ч. 15 ст. 13.11 КоАП)

Поэтому в договоре с подрядчиком явно стоят место обработки, меры защиты и порядок уведомления об инциденте. Если этих условий нет, ИИ ставит договор в начало списка на перезаключение.

ИИ не правит договор сам. Он помечает пункт, предлагает формулировку из утвержденных шаблонов компании и передает ее юристу, который ведет договор.

Руководству нужен не перечень статей, а реестр рисков: что нарушено, во что это может обойтись, кто исправляет и к какой дате. ИИ собирает его из результатов трех проверок выше.

Пример строк реестра:

1. Политика обработки персональных данных не описывает трансграничную передачу. Риск: штраф до 6 млн руб. по ч. 8 ст. 13.11 КоАП РФ. Ответственный: юридический отдел.

2. В договорах с подрядчиками, которые получают персональные данные, нет условия об уведомлении об утечке. Риск: оборотный штраф по 420-ФЗ при повторной утечке.

3. Сотрудники пользуются зарубежным ИИ-сервисом, и место обработки данных не оценено. Риск: нарушение ч. 5 ст. 18 152-ФЗ. Ответственные: ИТ и комплаенс.

4. По 243-ФЗ компания ждет актов Правительства о случаях обязательного применения суверенных и национальных моделей. Действие: перечень систем, которых это может коснуться.

Реестр обновляется при каждом изменении закона и каждом новом договоре, а специалист по комплаенсу утверждает его перед отправкой руководству. Решения о мерах принимают люди, ИИ готовит основу.

Как ИИ встраивается в работу юридического отдела целиком, от договоров до претензий, разобрано на отдельной странице.