ФСТЭК впервые за 13 лет обновила требования к защите ПД — ИИ и API теперь под контролем
28 июля 2026 ФСТЭК опубликовала проект нового приказа о защите персональных данных в ИСПДн, заменяющего документ 2013 года. Впервые в 13-летней истории требования охватывают облачные среды, API и использование ИИ. Вводится риск-ориентированная модель с «уровнем зрелости». Вступление в силу — 1 сентября 2026 года.
28 июля 2026 года ФСТЭК России опубликовала на портале regulation.gov.ru проект нового приказа о защите персональных данных в информационных системах. Это первое фундаментальное обновление требований за 13 лет — прежний документ был принят в 2013 году.
Ключевые изменения нового приказа:
| Параметр | Старые требования (2013) | Новые требования (2026) |
|---|---|---|
| Модель защиты | Жёсткий перечень мер | Риск-ориентированная |
| Облачные среды | Не регулировались | Включены |
| API-интерфейсы | Не регулировались | Включены |
| Искусственный интеллект | Не упоминался | Обязательные требования |
| ГосСОПКА | Не требовалась | Передача данных об атаках |
| «Уровень зрелости» | Отсутствует | Введён как KPI |
Трёхуровневая схема защиты: Вместо единого жёсткого перечня мер операторы выбирают меры исходя из:
- 1.Базового уровня — обязательного для всех
- 2.Компенсирующих мер — если невозможно выполнить базовые технически
- 3.Дополнительного уровня — для систем с высоким риском
Что это означает для AI-систем:
Впервые ФСТЭК прямо указывает: если в ИСПДн используется ИИ — нужны специальные меры защиты персональных данных при работе нейросетей.
- Логирование всех AI-запросов с ПД обязательно
- Оценка рисков передачи ПД в AI-модели (особенно облачные)
- Защита prompt-injection-атак на AI в контексте ПД
- Управление жизненным циклом AI-систем, обрабатывающих ПД
Практическая рекомендация DPO:
| Действие | Срок |
|---|---|
| Аудит AI-систем, работающих с ПД | До 15 августа 2026 |
| Оценка разрывов с новым приказом | До 1 сентября 2026 |
| Планирование корректирующих мер | Q4 2026 |
| Внедрение новых мер защиты | Q1 2027 |
Это краткое изложение. Полный текст статьи доступен на сайте источника:
Читать полностью на ComNews / КоммерсантъЕщё по теме госрегулирование
Сбер, Яндекс, VK и другие просят Минцифры: разрешить обучать ИИ на обезличенных данных без согласия граждан
Минцифры становится регулятором в сфере ИИ: готов проект постановления о полномочиях министерства
ФСТЭК обновляет требования ИБ для AI-систем: что меняется при использовании нейросетей в КИИ
Решения AXIOMA AI по теме статьи
Хотите узнать, как это применимо к вашему бизнесу?
Рассчитаем ROI от AI за 60 минут. Покажем конкретные метрики для вашей отрасли.