Регламент использования ИИ в организации: как составить и что учесть в 2026 году (+ 2 шаблона)

Сотрудники уже пользуются нейросетями — с регламентом или без него. Разница в том, кто отвечает за последствия: компания, которая заранее описала правила, или компания, которая узнала о них из письма Роскомнадзора или определения суда. Разбираем, что должно быть в регламенте использования ИИ, как его утвердить и чем отличается политика для юридической фирмы. В конце — два готовых шаблона: универсальный и для юристов.

Коротко: что такое регламент использования ИИ и зачем он нужен

Регламент (политика, положение) использования искусственного интеллекта — это локальный нормативный акт, который устанавливает, какими ИИ-инструментами могут пользоваться сотрудники, какие данные в них можно загружать, как проверять результат и кто отвечает за ошибки.

Документ решает четыре задачи:

1. Защищает информацию. Публичные чат-боты по умолчанию могут использовать введённые данные для обучения моделей и хранят их на серверах за пределами России. Один вставленный в промпт договор — это уже передача коммерческой тайны и, часто, персональных данных третьему лицу.
2. Снижает риск «галлюцинаций». Нейросеть уверенно придумывает несуществующие нормы, судебные акты и цифры. Регламент закрепляет обязательную проверку по первоисточнику.
3. Распределяет ответственность. Без документа ответственность за инцидент размыта; с документом понятно, кто нарушил правило и какие последствия наступают.
4. Показывает добросовестность. При проверке Роскомнадзора, споре с клиентом или трудовом конфликте наличие регламента и подписи сотрудника об ознакомлении — весомый аргумент в пользу компании.

Если у вас нет регламента, у вас всё равно есть политика использования ИИ. Просто она называется «каждый делает что хочет».

Что изменилось в 2026 году: закон об ИИ и другие нормы

Федеральный закон № 243-ФЗ: что он регулирует, а что — нет

26 июля 2026 года подписан Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Он вступил в силу 1 сентября 2026 года, часть положений (в том числе о маркировке контента) начнёт действовать с 1 марта 2027 года.

Важно понимать границы закона. Он:

• вводит легальные определения «искусственного интеллекта» и «большой фундаментальной модели» (от одного миллиарда параметров);
• делит модели на суверенные и национальные и устанавливает требования к их разработчикам, включая обработку запросов и хранение данных в российских ЦОД;
• обязывает крупные платформы (от 500 000 пользователей в сутки) дать возможность помечать аудио- и видеоконтент, созданный с помощью ИИ;
• обязывает провайдеров ИИ-сервисов информировать пользователей о правах на сгенерированный результат.

Чего в законе нет: он не устанавливает, как компания-пользователь должна организовать работу сотрудников с нейросетями, не вводит обязательный внутренний регламент и не снимает с организации ответственность за то, что её сотрудники загрузили в чат-бот. Иными словами, закон регулирует разработчиков, а правила для пользователей организация устанавливает сама. Вот почему внутренний регламент — сейчас главный инструмент управления ИИ-рисками.

Нормы, которые действовали и раньше — и продолжают действовать

Регламент опирается не только на 243-ФЗ. Проверьте, что ваш документ соотносится со следующими актами:

Реальные риски: чем заканчивается работа без правил

Кейс 1. Штраф за выдуманную судебную практику. В деле № А27-7831/2025 Арбитражный суд Западно-Сибирского округа (постановление от 14.05.2026) оштрафовал компанию на 50 000 руб. по ч. 5 ст. 119 АПК РФ: в кассационной жалобе были ссылки на судебные акты, которых не существует, и на акты, которые говорят о другом. Суд отдельно отметил: ссылка на сбой нейросети не освобождает сторону от ответственности за поданный документ. Подробный разбор — в нашей статье «ИИ в юридической практике: помощник, который не отвечает за свои слова».

Кейс 2. Утечка данных через промпт. Типичная ситуация: сотрудник вставляет в публичный чат-бот таблицу с ФИО и телефонами клиентов, чтобы «быстро сделать сводку». С точки зрения 152-ФЗ это передача ПДн третьему лицу без правового основания и, скорее всего, трансграничная передача. Компания-оператор отвечает независимо от того, знало ли о действиях сотрудника руководство.

Кейс 3. Потеря режима коммерческой тайны. Если в споре с бывшим сотрудником или контрагентом выяснится, что документы под грифом КТ свободно загружались в ИИ-сервисы и это никак не регулировалось, суд может признать, что режим коммерческой тайны фактически не соблюдался — и защита по 98-ФЗ рассыпается.

Кейс 4. «Тень ИИ». Сотрудники пользуются десятком разных сервисов с личных аккаунтов. Компания не знает, где хранятся её данные, не может отозвать доступ при увольнении и не может доказать, что принимала меры.

Регламент, политика или положение: что выбрать и как утвердить

Название не имеет юридического значения — важен статус документа. На практике:

• Политика — короткий документ верхнего уровня: принципы и запреты. Удобен для компаний, где ИИ используют эпизодически.
• Регламент — подробный порядок действий: какие инструменты, какие данные, как проверять, как согласовывать. Подходит, если ИИ встроен в рабочие процессы.
• Положение — привычный для кадровиков формат, часто выбирают, чтобы документ проще «лёг» в систему ЛНА.

Чтобы документ работал, а не лежал в папке:

1. Утвердите его приказом руководителя с датой вступления в силу.
2. Если в компании есть профсоюз — учтите мнение представительного органа (ст. 372 ТК РФ), поскольку документ затрагивает трудовые обязанности.
3. Ознакомьте работников под подпись (ст. 22 ТК РФ), а новых сотрудников — при приёме до подписания трудового договора (ст. 68 ТК РФ).
4. Включите ссылку на регламент в трудовые договоры/должностные инструкции или в обязательство о неразглашении.
5. Для подрядчиков и фрилансеров — добавьте аналогичные условия в договоры ГПХ: на них ТК РФ не распространяется, а данные они получают те же.

Структура регламента использования ИИ: 10 обязательных разделов

Ниже — состав, на котором построены оба наших шаблона. Для каждого раздела указано, что именно должно быть написано и какие ошибки встречаются чаще всего.

1. Общие положения и термины

Определите, что вы понимаете под «ИИ-инструментом» (генеративные модели, чат-боты, ассистенты в офисных пакетах, встроенные функции CRM, инструменты транскрибации), «результатом ИИ», «конфиденциальной информацией», «ответственным за ИИ». Рекомендуем взять определение ИИ из 243-ФЗ, чтобы терминология совпадала с законом.

Ошибка: регулировать только «ChatGPT и аналоги» и забыть про ИИ-функции в почте, мессенджерах, «Яндекс Браузере», Zoom и облачных переводчиках.

2. Область применения

Кто обязан соблюдать документ: работники, совместители, стажёры, подрядчики по договорам ГПХ, аутсорсинговые команды. Какие ситуации охвачены: работа с корпоративных и личных устройств, использование ИИ для рабочих задач с личных аккаунтов.

3. Реестр разрешённых инструментов

Ведите приложение к регламенту — таблицу: сервис, категория допуска (разрешён / разрешён с ограничениями / запрещён), кто администрирует, где хранятся данные, участвуют ли данные в обучении модели, срок пересмотра. Реестр должен обновляться без переутверждения всего регламента — предусмотрите, что его меняет ответственный за ИИ своим решением.

Критерии допуска инструмента:

• корпоративный тариф с договором и отключённым обучением на данных клиента;
• хранение и обработка данных в РФ (для ПДн — обязательное требование локализации по ст. 18 152-ФЗ);
• возможность централизованно управлять доступами и отзывать их;
• журналирование запросов (для чувствительных процессов).

4. Классификация данных: правило светофора

Самый практичный раздел. Разделите информацию на три категории:

• Зелёная — публичная и общеизвестная информация, обезличенные данные, черновики без деталей. Можно использовать в любом разрешённом инструменте.
• Жёлтая — служебная информация, внутренние документы без ПДн и КТ. Можно использовать только в корпоративных инструментах из реестра.
• Красная — персональные данные, коммерческая тайна, данные под NDA, учётные данные, исходный код ключевых систем, банковская, врачебная, адвокатская тайна. Запрещено загружать в любые внешние ИИ-инструменты; допускаются только локальные модели или сервисы с отдельным решением ответственного за ИИ.

Обязательно опишите обезличивание: как превратить красные данные в зелёные (заменить ФИО на «Клиент А», удалить реквизиты, суммы, даты), чтобы у сотрудника был законный способ решить задачу, а не только запрет.

5. Правила работы с результатом ИИ

• Проверка по первоисточнику. Любая норма, судебный акт, цифра, цитата, факт — проверяются по официальному источнику до использования. Для судебной практики — по картотеке арбитражных дел, ГАС «Правосудие», базам с прямыми ссылками на тексты актов.
• Принцип «человек принимает решение». ИИ готовит проект; окончательное решение и подпись — за сотрудником.
• Маркировка внутри компании. Черновик, подготовленный ИИ, помечается до проверки (например, комментарием в документе), чтобы коллега не принял его за проверенный материал.
• Запрет на использование ИИ там, где это прямо не допускается: кадровые решения, оценка сотрудников, автоматическое принятие решений в отношении клиентов (ст. 16 152-ФЗ), подготовка финансовой отчётности без проверки.

6. Персональные данные и конфиденциальность

Раздел связывает регламент с политикой обработки ПДн и положением о коммерческой тайне. Ключевые правила: запрет загрузки ПДн в сервисы вне реестра; для сервисов из реестра — наличие поручения на обработку (ст. 6 152-ФЗ) и, при необходимости, уведомления РКН о трансграничной передаче; запрет хранить историю чатов с чувствительными данными; удаление истории по завершении задачи там, где сервис это позволяет.

7. Интеллектуальная собственность

• Не выдавать сгенерированный ИИ материал за авторское произведение сотрудника или компании без существенной переработки.
• Проверять, что результат не воспроизводит чужие охраняемые объекты (тексты, изображения, код под ограничительными лицензиями).
• Учитывать условия пользовательского соглашения сервиса: кому принадлежат права на результат.
• В клиентских проектах — раскрывать использование ИИ, если это предусмотрено договором или клиент этого требует.

8. Роли и ответственность

Минимальный набор ролей:

• Ответственный за ИИ (владелец регламента) — ведёт реестр инструментов, согласовывает исключения, разбирает инциденты.
• Служба ИБ / ИТ — техническая настройка, доступы, мониторинг.
• Ответственный за ПДн (ст. 22.1 152-ФЗ) — согласует сервисы, где обрабатываются ПДн.
• Руководители подразделений — контроль соблюдения в своих командах.
• Работники — соблюдение правил, проверка результатов, сообщение об инцидентах.

9. Обучение, контроль и инциденты

Обучение при приёме и не реже раза в год; периодическая проверка соблюдения (опрос, анализ логов корпоративных инструментов); понятный порядок сообщения об инциденте — кому, в какой срок (рекомендуем «немедленно, но не позднее 24 часов»), что считать инцидентом (загрузка красных данных, обнаруженная ошибка ИИ в направленном клиенту документе, компрометация аккаунта). Напомните о сроках уведомления РКН об утечке ПДн: 24 часа на первичное уведомление и 72 часа на результаты внутреннего расследования.

10. Ответственность и порядок изменения

Отсылка к ст. 192 ТК РФ (замечание, выговор, увольнение), к материальной ответственности (гл. 39 ТК РФ), к условиям договоров ГПХ. Порядок пересмотра: не реже раза в год и при изменении законодательства — в 2026–2027 годах это особенно актуально: подзаконные акты к 243-ФЗ ещё принимаются.

Особенности регламента для юридических компаний

Юридическая фирма работает с самой чувствительной категорией информации и несёт профессиональную ответственность перед доверителем. Поэтому универсального шаблона недостаточно — нужны дополнительные блоки.

Адвокатская тайна и профессиональная конфиденциальность

Для адвокатов ст. 8 63-ФЗ и КПЭА устанавливают абсолютный режим тайны. Передача материалов доверителя в публичный ИИ-сервис — это раскрытие информации третьему лицу. Вице-президент ФПА Сергей Зубков в декабре 2025 года прямо назвал главным риском передачу чувствительной информации «серверам, которые неизвестно где находятся», и указал, что использование ИИ при работе с материалами доверителя необходимо с ним согласовывать (источник). Для юристов без статуса адвоката действуют аналогичные обязательства по договору и NDA — и репутационные риски те же.

Что закрепить в регламенте:

• запрет на загрузку материалов дела, переписки с доверителем и любых идентифицирующих сведений во внешние ИИ-сервисы, кроме инструментов из реестра с договорной конфиденциальностью и хранением данных в РФ;
• обязательное обезличивание фабулы перед формулированием запроса;
• информирование доверителя об использовании ИИ — в соглашении об оказании юридической помощи или отдельным уведомлением; при возражении доверителя — работа без ИИ.

Условие об использовании ИИ для соглашения с доверителем:

«Исполнитель вправе использовать при оказании юридической помощи программные средства на основе технологий искусственного интеллекта для подбора и анализа судебной практики, подготовки проектов документов и редактирования текстов. Материалы Доверителя обрабатываются только в средствах, по которым обеспечены обязательства конфиденциальности, исключено обучение моделей на данных и данные хранятся на территории Российской Федерации, либо в обезличенном виде. Результаты проверяются юристом Исполнителя, который несёт полную ответственность за содержание документов и консультаций. Использование таких средств не уменьшает объём обязанностей Исполнителя. Доверитель вправе в любое время письменно запретить использование средств искусственного интеллекта при работе с его материалами».

Проверка судебной практики — не рекомендация, а обязанность

После дела № А27-7831/2025 ссылка на «сбой нейросети» больше не работает. Регламент юрфирмы должен содержать жёсткое правило: ни одна ссылка на судебный акт, норму или разъяснение не попадает в процессуальный документ без проверки по первоисточнику, а проверяющий фиксирует факт проверки (например, отметкой в чек-листе документа).

Отдельно стоит определить, какие инструменты допустимы для подбора практики. Универсальные чат-боты генерируют ответ по вероятности, а не по базе судебных актов, поэтому они годятся для мозгового штурма, но не для поиска ссылок. Для этой задачи нужны инструменты, которые работают на массиве реальных судебных актов и возвращают прямые ссылки на тексты — как это делает sudpractica.ai (см. «ИИ со ссылкой на реальную практику»). В шаблоне для юрфирм мы вынесли это в отдельный пункт реестра: «инструменты подбора судебной практики».

Другие специфические разделы

• Конфликт интересов. Общий корпоративный ИИ-инструмент «видит» материалы всех дел; убедитесь, что доступы разграничены по проектам и не нарушают границы друг друга.
• Процессуальные документы. Правило о том, что ИИ не используется для генерации итоговой позиции без юриста, и что документ, направленный в суд, всегда подписан конкретным лицом, которое отвечает за содержание.
• Раскрытие суду и оппонентам. Обязанность раскрывать использование ИИ в российском процессе уже есть (п. 42 Постановления Пленума ВС РФ от 21.05.2026 № 15), но относится это именно к сведениям о фактах (доказательствам), поэтому необходимо сообщить суду об использовании ИИ, например, для расшифровок аудио, анализа видео, переводов, расчётов, сгенерированных изображений и т.д.
• Сроки хранения. Синхронизируйте удаление чатов с политикой хранения досье клиента.
• Ставки и биллинг. Если фирма выставляет счета по часам, определите, как учитывается время, сэкономленное ИИ, чтобы избежать претензий клиентов.

Типичные ошибки при составлении регламента

1. Полный запрет. Сотрудники продолжат пользоваться ИИ с телефона, но компания потеряет контроль и возможность обучить людей. Работает только связка «запрет + разрешённая альтернатива».
2. Регламент без реестра инструментов. «Разрешены только безопасные сервисы» — не правило, а пожелание. Нужен список.
3. Нет процедуры обезличивания. Сотрудник, у которого нет законного пути, найдёт незаконный.
4. Документ не утверждён и никто не расписался. Без приказа и ознакомления регламент не является ЛНА и не даёт оснований для дисциплинарного взыскания.
5. Забыли про подрядчиков. Аутсорсинговый бухгалтер или фриланс-копирайтер получают те же данные, но не связаны ТК РФ.
6. Не назначен ответственный. Регламент устаревает за полгода, если за него никто не отвечает.

Как внедрить регламент за 5 шагов

1. Инвентаризация (1–2 недели). Опросите подразделения: какие ИИ-сервисы уже используются, для каких задач, с какими данными. Результат — карта «теневого ИИ».
2. Классификация данных и выбор инструментов (1–2 недели). Определите красные категории данных, подберите корпоративные тарифы или локальные решения для жёлтых и красных задач, заключите договоры с провайдерами.
3. Подготовка документа (1 неделя). Возьмите шаблон, адаптируйте разделы, увяжите с политикой ПДн и положением о КТ, согласуйте с ИБ и юристами.
4. Утверждение и ознакомление (1 неделя). Приказ, учёт мнения профсоюза при наличии, подписи, дополнения в договоры ГПХ.
5. Обучение и контроль (постоянно). Короткое обучение с примерами промптов «как можно» и «как нельзя», назначение ответственного, первый пересмотр реестра через 3 месяца.

Скачать шаблоны регламента использования ИИ

Мы подготовили два документа (образцы регламентов). В квадратных скобках — поля для заполнения; в примечаниях — пояснения, что адаптировать под свою компанию.

• Шаблон 1. Регламент использования ИИ в организации (универсальный, .docx) — подходит любой компании: торговля, производство, услуги, ИТ. Содержит 10 разделов, реестр инструментов, классификацию данных, форму сообщения об инциденте и лист ознакомления.
• Шаблон 2. Регламент использования ИИ в юридической компании (.docx) — расширенная версия для юрфирм, адвокатских образований и юридических департаментов: разделы об адвокатской тайне, информировании доверителя, проверке судебной практики, конфликте интересов и процессуальных документах.

Образец — отправная точка, а не готовый ЛНА: перед утверждением шаблоны нужно адаптировать под ваши процессы и согласовать с ответственным за ПДн и ИБ.