К2Тех: Data-инфраструктура только 20% компаний КИИ полностью готова к требованиям закона об ИИ

По оценке К2Тех, не более 20% субъектов КИИ обладают достаточной зрелостью data-инфраструктуры, управления и работы с данными для выполнения требований нового закона в сфере ИИ. Более чем половине (55%) нужна доработка существующих систем и подходов, а 25% потребуется их значительная трансформация. Исследование проводилось К2Тех методом анализа более 80 проведенных предпроектных обследований и аудитов, а также опроса 150 респондентов из компаний–субъектов КИИ.

8 июля 2026 года Государственная Дума приняла законопроект «О поддержке развития технологий искусственного интеллекта в РФ». Он вводит понятия суверенных и национальных моделей ИИ и определяет требования для больших фундаментальных моделей, которые должны применяться в государственных информационных системах и на значимых объектах КИИ. Для них обязательно соответствие требованиям безопасности и качества, а также обработка и хранение данных в России. Нормы закона обязывают компании четко знать, какие модели и сервисы используются в корпоративном контуре, на каких данных они работают, к каким системам имеют доступ, и кто несет ответственность за результаты их применения.

Исследование К2Тех показывает, что одним из главных препятствий на пути к соответствию новым требованиям становится качество данных. Только у 20,3% респондентов массивы полностью готовы и размечены, то есть адаптированы для обучения алгоритмов. В 42,6% компаний данные требуют очистки или консолидации, а четверть участников (25%) назвали низкое качество данных основным барьером для реализации ИИ-проектов.

Проблема не ограничивается очисткой и разметкой массивов. Более четверти организаций до сих пор работают без стратегии управления данными, что затрудняет формирование единого и проверяемого основания для ИИ-инициатив. Эксперты К2Тех отмечают, что без корпоративной модели данных возникают три системных барьера. Во-первых, данные, на которых обучена модель, со временем устаревают. Во-вторых, происхождение выдаваемых результатов невозможно подтвердить. В-третьих, семантический разрыв между терминами, использующимися в обиходе и названиями в источниках данных усложняют понимание ответов ИИ-модели. В результате более 50% проектов с использованием ИИ закрываются именно из-за проблем с качеством данных и невозможности отследить их происхождение.

Ещё один системный риск – организационная структура ответственности за ИИ. В 40% компаний она либо децентрализована между бизнес-юнитами, либо вообще ни за кем не закреплена. При этом закон возлагает четкие обязанности на разработчиков, операторов и владельцев сервисов, включая тестирование, учет инцидентов и обеспечение безопасной эксплуатации. Отсутствие единого центра компетенций создает препятствия для исполнения этих требований. Например, в группах без назначенного ответственного за ИИ массовое и нерегулируемое использование публичных нейросетей (ChatGPT и аналоги) встречается в два раза чаще, чем в компаниях с выделенным директором по данным или искусственному интеллекту. В целом 15,5% респондентов сообщили о массовом использовании внешних AI-сервисов без централизованного контроля. Это создает риск передачи корпоративной информации через промпты, загружаемые документы, базы знаний и интеграции с внешними системами.

Гоша Шатиров, директор по искусственному интеллекту и инновациям К2Тех, отметил: «Новый закон нельзя сводить только к вопросу, какую модель установить в корпоративном контуре. Для компаний КИИ основная задача — обеспечить управляемость всего жизненного цикла ИИ. По мере увеличения глубины проникновения ИИ в деятельность компании эта задача становится критичной. Агент, в отличие от чат-бота, способен совершать действия в информационных системах компании. Поэтому регуляторная готовность — это не отдельный проект по работе с массивами данных и не закупка отечественной LLM. Это AI Governance: единая архитектура, управление данными, безопасность, аудит, экономика инициатив и закрепленная ответственность. Компании, которые начнут выстраивать этот контур только после выхода всех подзаконных требований, могут обнаружить, что основная проблема находится не в самой модели, а в хаосе вокруг неё».

Принятие закона обязывает компании КИИ пересмотреть подходы к управлению данными, инвестициям в соответствующие технологии и организационной структуре. Только комплексная работа по повышению зрелости data-инфраструктуры и выстраиванию четкой системы ответственности позволит минимизировать регуляторные риски и эффективно использовать потенциал искусственного интеллекта в рамках новых правовых норм.