Приказ ФСТЭК России № 117 — обязательные требования к защите информации в госсистемах, в которых отдельно прописано использование искусственного интеллекта. Они действуют с 1 марта 2026 года для государственных и муниципальных информационных систем, систем госорганов, ГУП и госучреждений. Главное для ИИ: информацию ограниченного доступа нельзя передавать разработчику модели, а запросы и ответы нейросети нужно ограничивать шаблонами или допустимыми тематиками и проверять на недостоверность.
Материал подготовлен AIrassvet 23 октября 2026 года для ИТ-директоров, специалистов по защите информации в госорганизациях и подрядчиков, которые внедряют ИИ в государственные системы. Ответы опираются на текст приказа № 117 в редакции приказа ФСТЭК № 137 от 8 мая 2026 года, действующей с 1 сентября 2026 года, и на Национальную стратегию развития искусственного интеллекта. Это не юридическая консультация: применение требований к конкретной системе согласуйте со специалистами по защите информации и аттестующей организацией.
Содержание
- Кратко
- Что входит и не входит в эту статью
- Вопросы о сфере действия
- Вопросы о требованиях к ИИ
- Вопросы о проекте и подрядчике
- Требования к ИИ в приказе № 117: сводная таблица
- Первоисточники и метод проверки
Кратко
- Кого касается: государственные и муниципальные информационные системы, системы госорганов, ГУП и госучреждений. Коммерческие компании — если получают из ГИС информацию ограниченного доступа или работают подрядчиками оператора.
- Главный запрет: информацию ограниченного доступа нельзя передавать лицу, которое разработало модель ИИ, в том числе «для улучшения модели» (пункт 60).
- Контроль диалога: запросы и ответы ограничивают шаблонами или списком допустимых тематик, а для недостоверных ответов задают статистические критерии и порядок реакции (пункт 61).
- В состав системы включают только доверенные технологии ИИ или их компоненты.
- С 1 марта 2027 года подрядчик сам оценивает уровень зрелости защиты информации до получения доступа к системам оператора.
- Готовятся поправки: проект ФСТЭК об отдельном сегменте для ИИ-систем и защите от ИИ-агентов пока не вступил в силу.
Что входит и не входит в эту статью
Мы разбираем положения приказа № 117 о сфере действия, об искусственном интеллекте (подпункт «т» пункта 34, пункты 49, 60 и 61) и о подрядчиках. Мы не рассматриваем полный перечень базовых мер защиты, сертификацию средств защиты, криптографию и требования к значимым объектам критической информационной инфраструктуры — про оборудование для ИИ на объектах КИИ мы писали в разборе инициативы о зарубежных GPU.
Термины. *ГИС* — государственная информационная система. *Оператор (обладатель информации)* — организация, которая эксплуатирует систему и отвечает за её защиту. *Информация ограниченного доступа* — сведения, доступ к которым ограничен законом: служебная информация, персональные данные и другие. *Набор данных, модель ИИ, параметры модели* — термины Национальной стратегии развития ИИ. *Kзи и Узи* — показатели защищённости и уровня зрелости защиты информации.
Вопросы о сфере действия
Что такое приказ ФСТЭК № 117 и когда он вступил в силу?
Это требования ФСТЭК России к защите информации в государственных информационных системах и иных системах госорганов, ГУП и госучреждений. Приказ подписан 11 апреля 2025 года, зарегистрирован Минюстом 16 июня 2025 года под № 82619 и вступил в силу 1 марта 2026 года. Он заменил приказ № 17 от 2013 года, а аттестаты, выданные до 1 марта 2026 года, остаются действительными.
Что изменил приказ ФСТЭК № 137?
Приказ № 137 от 8 мая 2026 года уточнил требования, но пункты об искусственном интеллекте не изменил. Большая часть поправок действует с 1 сентября 2026 года: например, показатель уровня зрелости теперь обозначается Узи, а наряду со строгой допускается усиленная многофакторная аутентификация. Новая редакция пункта 32 о том, кто и как часто оценивает зрелость защиты, вступит в силу 1 марта 2027 года.
Касается ли приказ коммерческих компаний?
Напрямую — нет, но косвенно может коснуться. Требования распространяются на ГИС, системы госорганов, ГУП и госучреждений, а также на муниципальные системы, если законом не установлено иное (пункты 1 и 3). Коммерческой компании они важны в двух случаях: её система получает из ГИС информацию ограниченного доступа (пункт 2) или она работает подрядчиком оператора и получает доступ к его системам (пункт 16).
Как приказ № 117 связан с 152-ФЗ и требованиями к КИИ?
Он применяется вместе с ними, а не вместо них. Если система обрабатывает персональные данные, действуют и требования постановления Правительства № 1119, и приказ № 117 (пункт 5). Если система — значимый объект критической информационной инфраструктуры, защиту обеспечивают по актам, принятым на основании 187-ФЗ, и по этим требованиям (пункт 6). Для криптографических средств добавляются требования ФСБ России.
Вопросы о требованиях к ИИ
Что в приказе № 117 сказано про искусственный интеллект?
ИИ упомянут в трёх местах. Подпункт «т» пункта 34 делает защиту информации при использовании ИИ отдельным обязательным мероприятием оператора. Пункт 49 разрешает применять доверенные технологии ИИ для анализа событий безопасности при мониторинге. Пункты 60 и 61 содержат собственно требования: что защищать, как ограничивать запросы и ответы, как реагировать на недостоверные ответы и какие технологии ИИ включать в систему.
Что нужно защищать в ИИ-системе по пункту 60?
Четыре объекта: наборы данных, модели ИИ, их параметры, а также процессы и сервисы обработки данных и поиска решений. Защита должна исключать через них несанкционированный доступ и воздействие на систему, несанкционированное распространение и изменение информации, использование системы не по назначению. Термины взяты из Национальной стратегии развития ИИ: параметры модели — числовые значения, которые определяют её работу, у нейросети это прежде всего веса.
Можно ли отправлять данные из ГИС в облачную нейросеть?
Информацию ограниченного доступа — нельзя, если она попадает к разработчику модели. Пункт 60 прямо запрещает передавать такую информацию лицу, которое разработало модель ИИ, в том числе для улучшения её работы. Из этого следует, что облачный API разработчика модели подходит только для общедоступных данных. Для служебной информации, персональных данных и других сведений ограниченного доступа нужна модель, развёрнутая в защищённом контуре оператора.
Можно ли использовать открытую модель на своих серверах?
Можно: приказ не называет разрешённых или запрещённых моделей. Модель на серверах оператора снимает вопрос о передаче данных разработчику, но остальные требования сохраняются: защита весов и данных, контроль запросов и ответов, мониторинг. Последний абзац пункта 61 требует включать в систему доверенные технологии ИИ или их компоненты. Отдельно проверьте лицензию модели — об этом наш FAQ о лицензиях открытых LLM.
Что такое доверенные технологии ИИ?
Это термин из подпункта «ц» пункта 5 Национальной стратегии развития ИИ в редакции указа № 124 от 15 февраля 2024 года. Так называют технологии, которые отвечают стандартам безопасности, разработаны с учётом принципов объективности, недискриминации и этичности и исключают вред человеку, обществу и государству. Порядка подтверждения такого статуса в тексте приказа № 117 нет, поэтому критерии стоит заранее согласовать с аттестующей организацией.
Что значат «шаблоны запросов и ответов» в пункте 61?
Это режим, в котором пользователь не пишет нейросети произвольный текст, а заполняет заранее заданную форму, и ответ тоже приходит в установленном формате. Оператор должен определить такие шаблоны и контролировать соответствие им и запросов, и ответов (подпункт «а»). Пример — отнесение обращения гражданина к одной из категорий фиксированного списка или извлечение реквизитов документа в заданные поля.
Как выполнить требование о допустимых тематиках для свободного чата?
Нужно заранее перечислить темы, на которые ассистент вправе отвечать, и проверять каждый запрос и каждый ответ на соответствие этому списку и установленным форматам (подпункт «б»). На практике это делают отдельным классификатором или правилами на входе и выходе модели: запрос вне тематики отклоняется, ответ вне формата не показывается. Как устроены такие фильтры, мы разбирали в статье про LLM-файрвол.
Что такое статистические критерии недостоверных ответов?
Это заранее заданные измеримые признаки, по которым система отмечает подозрительные ответы, чтобы собирать и анализировать их (подпункт «в»). Готовых критериев приказ не даёт. Например, можно считать долю ответов без ссылки на источник из базы знаний, расхождения с эталонными ответами на контрольном наборе вопросов или долю ответов, отмеченных пользователями как ошибочные. Способы такой оценки описаны в статье о точности RAG.
Как реагировать на недостоверные ответы ИИ?
Ограничить то, что система решает или делает на основе таких ответов (подпункт «г»). Например, ответ, который не прошёл проверку по критериям, не передаётся автоматически в учётную систему, а уходит сотруднику, а для отдельных функций ИИ используется только как подсказка. Такие ограничения стоит описать во внутреннем регламенте по защите информации вместе с порогами срабатывания и ответственными.
Что значит «исключить нерегламентированное влияние ИИ на параметры модели»?
Модель не должна менять свои параметры и работу системы вне установленного порядка. Если ассистент дообучается на диалогах пользователей или агент может менять собственные настройки, такие изменения должны проходить по регламенту: с решением ответственного лица, проверкой и фиксацией версии. Самый простой путь — использовать неизменяемую версию модели и обновлять её как обычное программное обеспечение, с тестированием перед вводом.
Можно ли использовать ИИ для мониторинга информационной безопасности?
Да. Пункт 49 прямо допускает доверенные технологии ИИ для анализа зафиксированных событий безопасности и выявления признаков реализации актуальных угроз. Сам мониторинг при этом проводится по разделам 4 и 5 ГОСТ Р 59547-2021, а отчёт о его результатах готовит подразделение по защите информации. ИИ здесь — инструмент анализа журналов, а не замена ответственных специалистов.
Вопросы о проекте и подрядчике
Будут ли меняться требования к ИИ в приказе № 117?
Скорее всего, да: ФСТЭК готовит поправки. По данным ppt.ru, в августе 2026 года на regulation.gov.ru опубликован проект изменений с планируемым вступлением в силу 1 марта 2027 года. Он предлагает отдельный сегмент для ИИ-систем с многофакторной аутентификацией, фильтрацию входных запросов и выходных данных, квоты на объём входных данных и защиту от воздействия ИИ-агентов. В действующей редакции на 23 октября 2026 года этих норм нет.
Нужна ли модель угроз для системы с ИИ?
Актуальные угрозы нужно определять всегда, а модель угроз — в случаях, установленных постановлением Правительства № 676 для ГИС (пункт 36). Для негосударственных систем решение о модели угроз принимает руководитель оператора. Негативные последствия оператор определяет по банку данных угроз ФСТЭК (пункт 11). Для ИИ-системы в перечень стоит включить угрозы наборам данных, моделям и сервисам, перечисленным в пункте 60.
Что изменится для подрядчиков с 1 марта 2027 года?
Показатель уровня зрелости Узи будет оценивать сама подрядная организация — до получения доступа к системам или информации оператора и далее не реже одного раза в два года. Так пункт 32 изложен в приказе № 137. Уже сейчас пункт 16 требует, чтобы подрядчики знали политику защиты информации, а их обязанности были закреплены в документах, на основании которых им предоставляют доступ.
Что записать в техническое задание и договор на ИИ-проект для госзаказчика?
Требования пунктов 60 и 61 в виде проверяемых условий приёмки. Минимальный набор: где размещается модель и что данные не передаются её разработчику; режим работы — шаблоны или допустимые тематики; критерии недостоверных ответов и порядок реакции; запрет неконтролируемого изменения модели; журналирование; обязанности подрядчика по политике защиты информации. Остальные пункты собраны в чек-листе договора на внедрение ИИ.
Требования к ИИ в приказе № 117: сводная таблица
Таблица составлена по тексту приказа в редакции от 8 мая 2026 года, проверенному 23 октября 2026 года. Колонка «Как выполнить» — наши примеры, а не формулировки приказа.
| Пункт | Что требуется | Как выполнить на практике |
|---|---|---|
| 34 «т» | Защита информации при использовании ИИ — обязательное мероприятие | Включить ИИ-компоненты в документы по защите информации |
| 49 | Доверенный ИИ допускается для анализа событий безопасности | Использовать как инструмент анализа журналов, отчёт готовят специалисты |
| 60 | Защитить наборы данных, модели, параметры, процессы и сервисы | Ограничить доступ к весам и данным, вести журнал изменений |
| 60 | Не передавать разработчику модели информацию ограниченного доступа | Разместить модель в контуре оператора или работать только с открытыми данными |
| 61 «а» | Шаблоны запросов и ответов и контроль соответствия | Формы ввода и проверка структуры ответа |
| 61 «б» | Допустимые тематики и форматы для свободного диалога | Классификатор тем на входе и выходе модели |
| 61 «в» | Статистические критерии недостоверных ответов | Метрики на контрольном наборе и сбор отмеченных ответов |
| 61 «г» | Реакция на недостоверные ответы | Ограничить автоматические действия, передавать ответ сотруднику |
| 61 | Исключить нерегламентированное влияние ИИ на модель и систему | Неизменяемая версия модели, обновление по регламенту |
| 61 | Только доверенные технологии ИИ в составе системы | Согласовать критерии с аттестующей организацией |
Первоисточники и метод проверки
Мы скачали тексты документов 23 октября 2026 года и сверили каждый ответ с первоисточником:
- Приказ ФСТЭК России № 117 в действующей редакции от 8 мая 2026 года — Контур.Норматив.
- Приказ ФСТЭК России № 137 от 8 мая 2026 года о внесении изменений — Контур.Норматив.
- Приказ ФСТЭК России № 117 в первоначальной редакции — ГАРАНТ.
- Проект изменений в приказ № 117 об ИИ на regulation.gov.ru и пересказ проекта на ppt.ru — текст проекта на портале загружается скриптом, поэтому его содержание мы приводим по ppt.ru.
- Указ Президента № 490 о развитии ИИ — сайт Президента России, и указ № 124 от 15 февраля 2024 года с новыми определениями.
Сайт ФСТЭК России 23 октября 2026 года был недоступен с нашего адреса, поэтому текст приказа сверен по двум правовым базам. Ограничения: мы не изучали методические документы ФСТЭК по расчёту Kзи и Узи и не оценивали конкретные системы — для этого нужны специалисты по защите информации и аттестующая организация.
Как AIrassvet помогает внедрить ИИ в защищённом контуре
Требования приказа № 117 проще заложить в архитектуру до начала разработки, чем добавлять после. На сайте AIrassvet указаны направления, которые закрывают эту задачу:
- внедрение LLM с развёртыванием на серверах заказчика, чтобы информация ограниченного доступа не уходила разработчику модели;
- RAG-системы на базе знаний организации, где ответы опираются на проверяемые документы внутри контура;
- аудит процесса, тестирование и запуск: контрольный набор вопросов для критериев недостоверных ответов и проверка ограничений по тематикам до ввода в эксплуатацию.
Первый шаг — выбрать один процесс, в котором нужен ИИ, и зафиксировать текущий результат, источники данных, ограничения по их обработке и критерий приёмки.
Итог: ИИ в госсистеме начинается с контура и правил диалога
Приказ № 117 не запрещает искусственный интеллект в государственных системах, но задаёт для него рамку. Информация ограниченного доступа остаётся у оператора, диалог с нейросетью ограничен шаблонами или тематиками, недостоверные ответы измеряются и не управляют системой автоматически, а модель не меняется без регламента.
Начните с реестра ИИ-компонентов: модель, версия, место размещения, данные, режим взаимодействия, критерии недостоверных ответов и ответственный. Затем перенесите эти условия в техническое задание и договор с подрядчиком — с учётом того, что с 1 марта 2027 года подрядчик сам оценивает уровень зрелости защиты.
