Закон РК об искусственном интеллекте: что важно учреждению, которое внедряет ИИ
Содержание
С 18 января 2026 года в Казахстане действует Закон «Об искусственном интеллекте». Для научных институтов, государственных учреждений и компаний, которые внедряют ИИ-ассистентов и аналитику, это не абстрактная новость: закон задаёт требования к защите данных и ответственности за работу ИИ-систем.
Эта статья не юридическая консультация. Она помогает понять, какие вопросы обсудить с юристом и подрядчиком до запуска ИИ-проекта.
Основные положения, важные для внедрения
Защита данных и конфиденциальность
Закон требует обеспечивать защиту данных, предотвращать несанкционированный доступ и соблюдать законодательство о персональных данных при работе ИИ-систем.
Виды систем ИИ
Закон различает открытые, закрытые и локальные системы ИИ. От вида системы зависят подходы к её использованию и защите. Для учреждений с чувствительными данными это аргумент в пользу закрытых и локальных решений.
Персональные данные
Законодательство о персональных данных требует хранить их в базе на территории Казахстана. Передача и обработка требуют законного основания или согласия субъекта. Это напрямую касается ИИ-систем, которые обрабатывают обращения граждан, медицинские, кадровые или студенческие данные.
Высокорисковые системы
Для ИИ-систем в критических сферах установлены повышенные требования к информационной безопасности, сопоставимые с требованиями к государственным системам, а владельцы обязаны контролировать функционирование и управлять рисками.
Вопросы до запуска ИИ-проекта
- Какие данные будет обрабатывать система и есть ли среди них персональные?
- Где физически находятся серверы обработки?
- Передаются ли данные зарубежным провайдерам ИИ?
- Относится ли система к высокорисковым?
- Как пользователи узнают, что работают с ИИ?
- Кто принимает решения на основе результатов ИИ?
- Ведётся ли журнал работы системы?
- Как удаляются данные по запросу?
Что это значит для разных организаций
- НИИ и университеты: интеллектуальная собственность и персональные данные студентов и сотрудников.
- Государственные учреждения: служебная информация, обращения граждан, требования ИБ.
- Медицинские организации: медицинские данные, предпочтителен закрытый или локальный контур.
- Компании: персональные данные клиентов в чат-ботах и CRM.
Частые вопросы
Можно ли использовать зарубежные ИИ-сервисы?
Для обезличенных и публичных данных обычно да. Для персональных и конфиденциальных данных нужно оценивать риски и требования к локализации вместе с юристом.
Нужно ли сообщать пользователям, что с ними работает ИИ?
Это хорошая практика и вопрос, который стоит проверить с юристом с учётом требований закона.
Что делать с уже работающими системами?
Провести инвентаризацию: какие данные обрабатываются, где и на каком основании.
