ПП РК №832 и Закон об ИИ: чек-лист требований к ИИ-системе для заказчика

Когда госорган, квазигосударственная компания или финансовая организация закупает ИИ-систему, в техническом задании обычно есть строка «соответствие требованиям законодательства РК». Что именно за ней стоит, часто не знают ни заказчик, ни поставщик. Этот чек-лист — попытка разложить требования на проверяемые пункты. Он основан на нашей практике подготовки матриц соответствия для корпоративных внедрений.

Два акта, которые применяются вместе

Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (утверждены постановлением Правительства РК №832) регулируют объект информатизации как таковой: где он размещён, как организован доступ, как ведутся журналы, как защищены данные. Закон «Об искусственном интеллекте» (№230-VIII) добавляет слой, специфичный для ИИ: классификацию рисков, обязанности владельца и пользователя, информирование людей о взаимодействии с ИИ, запрет отдельных функций.

Первый акт отвечает на вопрос «безопасна ли система», второй — «ответственно ли она применяет ИИ». Проверять нужно оба.

Блок 1. Организация защиты (ЕТ, организационные требования)

• Определён класс объекта информатизации. От класса зависит обязательность многофакторной аутентификации и уровень криптографической защиты — поэтому класс должен присвоить заказчик до внедрения, а не после.
• Есть документированная политика ИБ, роли и ответственные за систему.
• Журналы событий хранятся локально не менее установленного срока и защищены от изменения.
• Применяются средства криптографической защиты. Если заказчик требует сертифицированные СКЗИ по СТ РК 1073, это нужно зафиксировать в ТЗ: стандартные AES-256 и TLS без сертификации могут не пройти приёмку.

Блок 2. Прикладное ПО (ЕТ, требования к программному обеспечению)

• Идентификация и аутентификация пользователей через корпоративный каталог; парольная политика; блокировка после неудачных попыток; таймауты сессий.
• Разграничение доступа по ролям с принципом минимальных привилегий.
• Регистрация действий пользователей и администраторов в журнале с возможностью экспорта.
• Передача исходного кода или эскроу при приёмке — условие, которое часто упускают в договоре, а затем вспоминают при приёмке.

Блок 3. Информационная система (ЕТ, требования к ИС)

• Размещение в ЦОДе заказчика или на инфраструктуре, соответствующей требованиям к размещению.
• Резервное копирование и восстановление с определёнными RTO и RPO.
• Испытания информационной безопасности перед вводом в эксплуатацию, если они применимы к классу объекта.
• Отсутствие неконтролируемых внешних соединений: для ИИ-системы это означает, что модель не обращается к внешним API.

Блок 4. Закон об ИИ: что добавляется

• Классификация системы по уровню риска и уровню автономности, оформленная документально (паспорт системы ИИ).
• Информирование пользователей о том, что они взаимодействуют с системой ИИ, и пользовательское соглашение до начала использования.
• Возможность вмешательства человека: для решений с правовыми последствиями — обязательное участие человека; для диалоговых систем — передача оператору.
• Отсутствие запрещённых функций (манипуляция, скрытая оценка людей по защищённым признакам и т. п.).
• Маркировка результатов, созданных ИИ, в предусмотренных случаях.
• Периодический пересмотр паспорта рисков и сохранение сведений об обучении модели.

Как использовать чек-лист

1. Присвойте класс объекта информатизации и решите вопрос с СКЗИ до объявления закупки — эти два решения определяют половину требований.
2. Включите каждый пункт чек-листа в ТЗ как проверяемое требование с ожидаемым доказательством (документ, демонстрация, протокол испытаний).
3. Запросите у поставщика матрицу соответствия по обоим актам с указанием статуса каждого требования: выполнено, выполняется, не применимо с обоснованием.
4. Проведите приёмку с участием службы ИБ и юридического департамента, а не только функционального заказчика.

Мы прилагаем матрицы соответствия ЕТ №832 и Закону об ИИ к каждому корпоративному внедрению. Если вы готовите ТЗ на ИИ-систему, можем показать, как выглядит такая матрица на реальном проекте.

Статья носит информационный характер и не является юридической консультацией. Перед применением сверяйтесь с действующей редакцией каждого акта.