ИИ в бизнесе: кто несет ответственность за ошибки нейросети

Бизнес все чаще передает искусственному интеллекту не вспомогательные, а вполне практические задачи: проверку клиентов, обработку обращений, подбор сотрудников, скоринг, подготовку договоров, анализ документов и принятие решений о том, кому предоставить услугу, скидку или доступ к продукту.

Юридическая проблема появляется в момент ошибки. Алгоритм отклонил клиента, неправильно оценил документы, раскрыл персональные данные или сгенерировал незаконный контент - кто отвечает: разработчик нейросети, сотрудник, который ее использовал, или сама компания?

Российское регулирование строится вокруг достаточно понятного принципа: сам искусственный интеллект субъектом ответственности не становится. За последствия его использования отвечает человек или организация, на которых соответствующая обязанность возложена законом или договором. Такой подход прямо закреплен и в Национальной стратегии развития искусственного интеллекта.

Автор: адвокат, кандидат юридических наук, адвокат года 2026 (RBG, Торгово-промышленная палата России) Андрей Мильский. Более 10 лет представляю бизнес в арбитражных судах, сопровождаю договорные, корпоративные и технологические споры, в том числе связанные с использованием цифровых решений и интеллектуальной собственности.

Ответ зависит прежде всего от того, кто использовал алгоритм и какое решение было принято на его основе.

Если компания внедрила ИИ в собственный бизнес-процесс и на основании его рекомендации отказала клиенту, рассчитала цену или направила юридически значимое сообщение, сослаться на «ошибку нейросети» как на самостоятельное основание освобождения от ответственности обычно не получится.

Алгоритм в такой ситуации фактически выступает инструментом компании.

Как стратегия защиты - слабый вариант.

Если юридически значимое решение принимает организация, она и должна объяснить его клиенту, работнику, контрагенту или государственному органу. То, что сотрудник нажал кнопку и получил рекомендацию алгоритма, не превращает AI в отдельного участника правоотношений.

Для суда важнее будет другое: кто установил правила работы системы, кто решил использовать ее результат и была ли предусмотрена проверка человеком.

Поэтому чем серьезнее последствия решения, тем опаснее полностью исключать человека из процесса.

Особенно осторожно нужно работать там, где алгоритм использует персональные данные человека.

Статья 16 Закона о персональных данных запрещает по общему правилу принимать на основании исключительно автоматизированной обработки персональных данных решения, которые порождают юридические последствия для человека или иным образом затрагивают его права и законные интересы. Исключения возможны, в частности, при наличии письменного согласия либо если соответствующая возможность установлена законом.

Кроме того, оператор должен объяснить человеку порядок принятия такого решения, его возможные последствия и предоставить возможность возразить.

Для бизнеса это означает, что формула «алгоритм так решил» в чувствительных процессах может создать отдельный риск по персональным данным.

Риск выше там, где решение непосредственно влияет на права человека или деньги.

Например, при автоматическом скоринге, кадровом отборе, определении индивидуальных условий обслуживания или блокировке доступа к услуге стоит заранее проверить, не является ли решение исключительно автоматизированным и какие данные использует система.

Практически процессы можно разделить так:

Использование сторонней нейросети не означает автоматического переноса ответственности на ее разработчика.

Перед своим клиентом компания может продолжать отвечать сама. А уже затем отдельно разбираться с поставщиком AI-сервиса: нарушил ли он договор, гарантировал ли определенную точность, кто несет риски ошибок и установлено ли ограничение ответственности.

Поэтому бизнесу важно читать не только описание продукта, но и договор.

Если сервис используется в критически важном процессе, в нем стоит определить хотя бы качество работы системы, порядок уведомления о сбоях, ответственность за дефекты, безопасность данных и возможность проведения аудита.

Может, если для этого есть обычные основания гражданско-правовой ответственности.

Например, разработчик обязался внедрить систему с определенными характеристиками, а из-за дефекта компания понесла подтвержденные убытки. Тогда спор будет строиться вокруг договора, качества программного решения, причин нарушения и связи между ошибкой и ущербом.

Но фраза «нейросеть дала неправильный ответ» еще не означает автоматически, что разработчик обязан компенсировать все последствия.

Нужно установить, соответствовал ли результат согласованным требованиям и правильно ли сама компания использовала систему.

Для внешнего контрагента проблема обычно все равно остается проблемой компании.

Представим, что сотрудник загрузил в публичный AI-сервис конфиденциальный договор или клиентскую базу. Внутренне компания может предъявлять претензии к работнику, но перед клиентом это не обязательно снимает ответственность организации за нарушение режима конфиденциальности или обработки данных.

Поэтому политика использования AI уже становится обычным элементом корпоративного комплаенса.

В ней стоит определить, какие сервисы разрешены, какие данные нельзя загружать и для каких решений обязательно участие человека.

Прежде чем загрузить в AI-сервис резюме сотрудников, клиентские обращения, медицинские данные или базы контрагентов, нужно понять, какие персональные данные передаются и на каком основании.

Компания остается оператором персональных данных и должна соблюдать требования законодательства независимо от того, обрабатывает информацию собственная программа или внешний AI-сервис.

Особенно опасна ситуация, когда сотрудники начинают использовать публичные нейросети самостоятельно, а юридическая служба даже не знает, какие документы туда загружаются.

Если бизнес публикует результат от своего имени, именно бизнес первым столкнется с претензией.

Например, нейросеть создала рекламный баннер, в котором использован чужой товарный знак или объект авторского права. Аргумент «это придумал AI» сам по себе не устраняет нарушение.

Поэтому коммерчески значимый AI-контент желательно проверять так же, как материалы дизайнера или рекламного агентства.

Особенно если речь идет о логотипах, персонажах, фотографиях известных людей или очевидно узнаваемых произведениях.

Теоретически риск может возникнуть, если решение руководителя о внедрении системы привело компании к убыткам и при этом его действия соответствуют основаниям ответственности руководителя.

Но сам неудачный AI-проект еще не означает личной ответственности директора. Нужно оценивать добросовестность и разумность его действий, объем доступной информации и принятые меры контроля.

То есть обычный предпринимательский риск и очевидно безответственное внедрение системы - не одно и то же.

В 2026 году регулирование постепенно становится более предметным. Федеральный закон № 243-ФЗ от 26.07.2026 регулирует поддержку развития технологий ИИ, включая отдельные обязанности разработчиков больших фундаментальных моделей, вопросы маркировки, использования результатов интеллектуальной деятельности и ответственности.

Отдельные правила уже действуют в рамках экспериментальных правовых режимов. Закон № 258-ФЗ, например, предусматривает специальный механизм рассмотрения случаев причинения вреда при использовании AI-решений в таких режимах.

При этом обсуждается и более общее регулирование ответственности разработчиков, операторов, владельцев и пользователей ИИ. Проект Минцифры предполагает дифференциацию ответственности в зависимости от роли конкретного участника и его вины, однако пока речь идет именно о проектируемом регулировании, а не об универсальном действующем правиле для любого бизнеса.

Чем существеннее роль AI в бизнес-процессе, тем подробнее должен быть договор.

Формулировка «исполнитель предоставляет доступ к AI-системе» для серьезного корпоративного внедрения уже слишком общая.

Главный принцип - компания должна иметь возможность объяснить, как было принято конкретное решение.

Если через полгода в суде невозможно установить, какая версия модели использовалась, какие данные она получила, что именно рекомендовала и кто подтвердил результат, защищать такое решение будет сложно.

Поэтому для важных процессов желательно сохранять логи, версии документов, результаты проверки человеком и сведения об использованных данных.

Это не просто техническая задача IT-службы. Это будущая доказательственная база.

Пока бизнес воспринимал нейросети как эксперимент, юридические риски были относительно ограниченными. Но когда алгоритм начинает решать, кому отказать, сколько заплатить, кого нанять или какой документ направить контрагенту, AI становится частью обычного корпоративного риска.

Переложить ответственность на сам алгоритм не получится. Поэтому юридическая задача бизнеса - заранее определить, какие решения разрешено принимать автоматически, где требуется человек и кто отвечает за данные, результат и последствия ошибки.

Чем больше полномочий компания передает искусственному интеллекту, тем важнее становится возможность восстановить и объяснить процесс принятия решения.