Исследование. Не является юридической консультацией.
В 2026 году сложилась ситуация, когда компания может не иметь ни одного договора с провайдером ИИ, но уже нести ответственность за то, как её сотрудники обращаются с чужими данными в публичных нейросетях. Это называют «теневым ИИ». Разбираясь в судебной практике и законодательных новеллах этого года, можно увидеть, где именно проходит граница между рабочим инструментом и реальным правовым риском — и почему эта граница часто оказывается не там, где её ожидают.
Почему «теневой ИИ» стал предметом разбора
Когда в открытых обзорах встречается цифра, что объём данных, отправленных сотрудниками российских компаний в публичные нейросервисы, за год вырос примерно в 30 раз, а официально ИИ-инструменты в юридических функциях применяют 40–50% компаний, — это не просто статистика для презентации. Разрыв между формальным «внедрением» и фактическим использованием создаёт правовое поле, в котором компания может оказаться ответчиком, даже не подозревая об этом.
Урок № 1: «Джоконда с вином» и граница творческого вклада
Самое показательное дело 2026 года началось с иска дизайнера Артёма Позднякова к предпринимателю, который использовал изображения «Джоконда с вином» и «Статуя Свободы с вином» на одежде и термостаканах.
Первая инстанция — Пресненский районный суд г. Москвы (дело № 02-4220/2025, резолютивная часть — 13.11.2025, мотивированное решение — 19.03.2026) — отказала в иске. Суд указал: «дача команд для искусственного интеллекта представляет собой простые механические действия, носит исключительно технический характер… Его вклад ограничивается уточнением команд, что не считается творчеством».
Апелляция — Московский городской суд 24 августа 2026 года — решение отменила, признала авторство Позднякова и взыскала с предпринимателя 50 000 рублей компенсации. В ходе заседания представитель дизайнера отметил, что изображения создавались в графическом редакторе, а работы участвовали в конкурсах и публиковались в специализированных изданиях.
Здесь важно уточнение, которое часто теряется в пересказах. В деле был спор о том, как именно создавались изображения. Истец настаивал, что переработал исходные изображения в Photoshop, однако суд первой инстанции исходил из того, что объекты созданы с применением генеративного ИИ, и именно поэтому счёл вклад истца техническим. Апелляция пересмотрела не «факт наличия нейросети», а оценку творческого вклада: работы публиковались, участвовали в конкурсах, то есть человеческое участие выходило за рамки «промпта и кнопки».
Правовая рамка задана п. 80 Постановления Пленума Верховного Суда РФ от 23.04.2019 № 10: объектом авторского права является результат, созданный творческим трудом; результаты, созданные с помощью технических средств в отсутствие творческого характера деятельности человека, объектами авторского права не являются. При этом, как подчёркивает Пленум, «творческий характер создания произведения не зависит от того, создано произведение автором собственноручно или с использованием технических средств». Действует и презумпция: пока не доказано иное, результаты интеллектуальной деятельности предполагаются созданными творческим трудом.
Урок № 2: закон об ИИ принят, но специального режима для данных не создал
26 июля 2026 года подписан Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» (принят Госдумой 08.07.2026, одобрен Советом Федерации 17.07.2026). Закон регулирует отношения в сфере разработки, внедрения и применения больших фундаментальных моделей ИИ и вводит категории суверенной и национальной моделей.
Однако при анализе текста обнаруживается существенный пробел: закон не устанавливает специальных требований к обработке персональных данных и защите авторских прав при обучении моделей. Это не означает, что закон «разрешает» нарушать 152-ФЗ или главу 4 ГК РФ. Это означает, что в соответствующей части продолжают действовать общие нормы: 152-ФЗ — для персональных данных, глава 4 ГК РФ — для авторских прав. Мягкость регулирования не является индульгенцией; она означает, что риски смещаются из плоскости «запрещено/разрешено» в плоскость договорной и комплаенс-дисциплины.
Урок № 3: персональные данные и коммерческая тайна в публичных нейросетях
Отдельный сюжет — персональные данные. Статья 12 152-ФЗ регулирует трансграничную передачу персональных данных и требует соблюдения установленных процедур. Загрузка в публичную нейросеть документа, содержащего персональные данные, может квалифицироваться как такая передача. Ответственность при этом остаётся на организации, загрузившей данные.
Статья 13.11 КоАП РФ устанавливает административную ответственность за нарушения в области персональных данных. За масштабные утечки предусмотрены миллионные штрафы для организаций, вплоть до оборотных. В марте 2026 года появились первые судебные решения по новым составам этой статьи — например, решение Арбитражного суда г. Москвы по делу № А40-351064/2025.
Судебная практика подтверждает жёсткость подхода и в трудовых спорах. Бабушкинский районный суд г. Москвы признал законным увольнение директора по продажам за разглашение коммерческой тайны путём выгрузки внутренних отчётов в DeepSeek (дело № 02-1545/2026, мотивированное решение — 13.07.2026). Суд установил, что сотрудница систематически нарушала режим конфиденциальности, в том числе загружала охраняемые сведения из внутреннего ресурса в публичную нейросеть, что создало угрозу перехвата данных.
| Нарушение | Норма | Последствие для компании |
|---|---|---|
| Обработка ПДн без правового основания | ч. 1 ст. 13.11 КоАП РФ | Административный штраф |
| Масштабная утечка ПДн | ст. 13.11 КоАП РФ | Штраф для организаций — миллионы рублей, вплоть до оборотных |
| Трансграничная передача ПДн без соблюдения процедур | ст. 12 152-ФЗ | Риск ответственности по ст. 13.11 КоАП РФ |
| Разглашение коммерческой тайны через публичную нейросеть | ТК РФ (дисциплинарная ответственность) | Увольнение признано законным (дело № 02-1545/2026) |
Что это значит для бизнеса
Из разбора дел и норм 2026 года следуют три наблюдения.
Первое. Ответственность за «теневой ИИ» уже наступила — не в виде абстрактных предупреждений, а в виде конкретных судебных актов: от отмены решения по «Джоконде с вином» до поддержки увольнения за DeepSeek. Компания, которая не видит, какие данные уходят в публичные сервисы, находится в зоне риска независимо от наличия или отсутствия «официальной» ИИ-стратегии.
Второе. Мягкость закона № 243-ФЗ компенсируется жёсткостью смежного регулирования — прежде всего 152-ФЗ и ст. 13.11 КоАП РФ. Там, где специальный закон об ИИ не даёт ответа, действуют общие нормы о персональных данных и коммерческой тайне.
Третье. Ключевой практический вопрос — не «запретить или разрешить ИИ», а «где проходит граница между технической обработкой и творческим вкладом» и «кто отвечает за данные, ушедшие во внешний сервис». Ответы на эти вопросы лежат в плоскости документирования процессов и договорной работы.
Если описанная ситуация узнаваема, это не повод для паники, а повод для аудита. Большинство рисков 2026 года управляемы, если успеть их увидеть — и если смотреть на них через призму конкретных судебных решений и норм, а не общих рассуждений об «этике ИИ».
Источники
- Гражданский кодекс РФ, часть четвёртая — ст. 1259 (объекты авторских прав), ст. 1274 (свободное использование произведения в информационных целях).
- Постановление Пленума Верховного Суда РФ от 23.04.2019 № 10 «О применении части четвертой Гражданского кодекса Российской Федерации», п. 80.
- Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации».
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 12.
- Кодекс РФ об административных правонарушениях, ст. 13.11.
- Решение Пресненского районного суда г. Москвы по делу № 02-4220/2025 (резолютивная часть — 13.11.2025, мотивированное решение — 19.03.2026).
- Апелляционное определение Московского городского суда от 24.08.2026 по делу № 02-4220/2025.
- Решение Бабушкинского районного суда г. Москвы от 13.07.2026 по делу № 02-1545/2026.
- Решение Арбитражного суда г. Москвы от 05.03.2026 по делу № А40-351064/2025.