Первый закон об искусственном интеллекте в Центральной Азии
Закон Республики Казахстан «Об искусственном интеллекте» (№ 230-VIII ЗРК) был подписан Главой государства 17 ноября 2025 года и вступил в силу в начале 2026 года (с последними изменениями от 25 августа 2026 года, внесенными Законом РК № 326-VIII) [1] [3]. Это первый комплексный законодательный акт в сфере искусственного интеллекта не только в Казахстане, но и во всем регионе Центральной Азии.
До принятия Закона № 230-VIII применение алгоритмов машинного обучения регулировалось общими нормами законодательства об информатизации [5] и базовым Законом РК «О персональных данных и их защите» № 94-V [2], а также стратегическими ориентирами Концепции развития ИИ на 2024–2029 годы [4]. Новый закон установил прямое правовое поле: определил статус систем ИИ, классификацию рисков, правила маркировки сгенерированного контента, права пользователей на общение с живым человеком и ответственность бизнеса за действия внедренных алгоритмов.
Для предпринимателей и технических руководителей в Казахстане это означает переход от «серой зоны» к прозрачным правилам игры. Если ваш бизнес использует чат-бота в WhatsApp, голосового робота на телефонной линии или интеллектуального ассистента в CRM, ваша деятельность подпадает под действие норм Закона № 230-VIII ЗРК.
Понятийный аппарат: кто есть кто по Закону № 230-VIII
Статья 1 Закона РК «Об искусственном интеллекте» четко разграничивает роли участников процесса разработки и коммерческой эксплуатации алгоритмов:
- Система искусственного интеллекта (СИИ) — комплекс программных и программно-аппаратных средств, использующий алгоритмы машинного обучения, нейросетевые модели и методы обработки данных для выполнения задач с автономностью разной степени.
- Собственник системы ИИ — физическое или юридическое лицо, обладающее правами собственности на программный код, веса модели или архитектуру платформы (как правило, компания-разработчик или поставщик платформы).
- Владелец системы ИИ — субъект, осуществляющий владение и (или) пользование системой ИИ на законных основаниях (договор подписки, лицензия, SaaS-доступ). Когда клиника, СТО или онлайн-магазин подключает ИИ-агента для обработки клиентских заявок, перед законом именно бизнес выступает владельцем системы ИИ.
- Пользователь системы ИИ — физическое или юридическое лицо, взаимодействующее с алгоритмом (клиент компании, пациент, покупатель или внутренний сотрудник).
- Синтетический контент — текстовые сообщения, звуковые записи, фото- или видеоматериалы, полностью сгенерированные либо видоизмененные алгоритмами генеративного ИИ.
Разделение на «собственника» и «владельца» принципиально: бизнес не может переложить юридическую ответственность на зарубежную LLM или стороннего разработчика, если клиентские права были нарушены в ходе коммерческого диалога.
Риск-ориентированный подход и классификация систем
Закон Казахстана следует риск-ориентированной модели регулирования. Требования к системе зависят от потенциального ущерба, который ее ошибка может нанести правам, здоровью или имуществу граждан:
1. Системы минимального и умеренного риска
Сюда относятся сервисные ассистенты коммерческих компаний:
- Чат-боты первичной консультации в WhatsApp, Telegram и социальных сетях;
- Голосовые помощники для подтверждения визитов и записи на прием;
- CRM-агенты для классификации сделок, напоминаний менеджерам и подготовки черновиков ответов;
- Рекомендательные виджеты интернет-магазинов.
Для таких систем закон требует соблюдения прозрачности, обязательного информирования клиентов, наличия пользовательского соглашения и возможности переключения на оператора.
2. Системы высокого риска (критические системы)
К этой категории отнесены решения, решения которых напрямую влияют на безопасность и базовые права:
- Автоматизированный скоринг платежеспособности в банках и МФО;
- Системы скрининга кандидатов при найме на работу;
- Медицинские алгоритмы интерпретации симптомов и предварительной диагностики;
- Биометрическая аутентификация в местах массового скопления людей;
- Управление критической информационной инфраструктурой.
Для критических систем установлены строгие требования: обязательное тестирование обучающих датасетов на отсутствие дискриминации, повышенная киберзащита, аудит алгоритмов и внесение в национальный реестр систем ИИ.
3. Запрещенные практики (ст. 17 п. 3)
Закон прямо запрещает создание и применение систем ИИ для ряда деструктивных сценариев:
- Запрет детекции эмоций: подпункт 6 пункта 3 статьи 17 запрещает «определение эмоций физического лица без его согласия», если иное прямо не предусмотрено законами РК. Если контакт-центр использует ИИ для оценки раздражения или тональности голоса абонента, на это требуется предварительное явное согласие клиента.
- Запрет манипуляций: недопустимо использование скрытых психоэмоциональных триггеров и алгоритмов, принуждающих человека к совершению невыгодных для него действий в обход осознанного выбора.
- Запрет социального скоринга: запрещена классификация граждан по социальному положению, убеждениям или повседневному поведению для последующего ограничения их прав.
Обязательная маркировка и прозрачность (ст. 21)
Главный практический фокус Закона № 230-VIII — защита права человека знать, с кем он ведет диалог.
В соответствии с пунктом 1 статьи 21 Закона:
«Пользователи должны быть проинформированы о том, что товары, работы и услуги произведены или оказываются с использованием систем искусственного интеллекта».
Что это означает для настройки бизнес-коммуникаций:
- Первое сообщение в чате: при входящем обращении в WhatsApp или Telegram первое приветственное сообщение обязано содержать указание на цифрового ассистента. Формулировка может быть естественной и дружелюбной: «Здравствуйте! Я цифровой помощник компании [Название]. Помогу выбрать удобное время визита или отвечу на частые вопросы».
- Входящие и исходящие телефонные звонки: в начале разговора голосовой агент обязан представиться как цифровой ассистент. Скрывать факт использования синтеза речи запрещено.
- Маркировка синтетических материалов: сгенерированные изображения, голосовые сообщения или тексты должны содержать метаданные или явное визуальное/текстовое обозначение о генерации искусственным интеллектом.
Принцип Human-in-the-Loop и права граждан
Закон Республики Казахстан закрепляет принцип человекоцентричности: алгоритм создан помогать человеку, а не замещать его волеизъявление.
Право на отказ от ИИ (ст. 16 п. 1 пп. 6)
Каждый клиент имеет законное право отказаться от взаимодействия с системой искусственного интеллекта. Если собеседник пишет в чате «позовите человека», «хочу поговорить с живым менеджером» или заявляет об этом голосом на телефонной линии, платформа обязана мгновенно и без лишних споров перевести диалог на дежурного сотрудника. Навязывание повторного диалога с ботом при явном требовании человека является нарушением прав пользователя.
Запрет чисто автоматических решений (ст. 21 п. 4)
Закон запрещает принятие системами ИИ юридически значимых решений, в результате которых у граждан возникают, изменяются или прекращаются права и законные интересы, без участия человека (данная норма гармонизирована со статьей 19-1 Закона о персональных данных № 94-V).
Практическое разделение ролей:
- ИИ-агент: собирает анамнез, предлагает свободные слоты в календаре, формирует черновик сделки в CRM, напоминает о времени приёма.
- Человек (врач, юрист, кредитный офицер, руководитель): подтверждает диагноз, подписывает договор, утверждает скидку, одобряет выплату или отказ.
Обязанности бизнеса как владельца системы ИИ
Компании, внедряющие системы ИИ, обязаны соблюдать регламентные требования статей 15 и 18 Закона № 230-VIII:
- Пользовательское соглашение до старта (ст. 15 п. 2 пп. 5): бизнес обязан предоставить клиенту возможность ознакомиться с правилами взаимодействия и политикой сервиса до начала использования системы. В чате это реализуется ссылкой в приветственном блоке.
- Ежегодное управление рисками (ст. 18 п. 1): владельцы систем ИИ обязаны выявлять и документировать риски безопасности (сбои, галлюцинации, уязвимости системного промпта), актуализируя регламенты не реже одного раза в год.
- Локальные контуры для защищенных данных (ст. 17 п. 4): сведения ограниченного доступа (персональные данные, коммерческая и служебная тайна, врачебная тайна) разрешено обрабатывать только в локальных или изолированных контурах с подтвержденным уровнем информационной безопасности.
Взаимодействие с Законом о персональных данных № 94-V
Закон об искусственном интеллекте действует в неразрывной связке с Законом РК «О персональных данных и их защите» № 94-V (в редакции от 25.08.2026, обновленной Законом № 326-VIII).
Ключевые точки пересечения двух законов:
- Локализация хранения (ст. 12 п. 2 Закона № 94-V): с 25 августа 2026 года накопление и хранение персональных данных граждан РК должно осуществляться «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан». Базы данных CRM, телефонные записи и архивы переписок обязаны физически размещаться в дата-центрах на территории Казахстана.
- Использование зарубежных генеративных моделей: отправка клиентского обращения в зарубежный облачный API (например, модель OpenAI или Anthropic) рассматривается юристами как трансграничная передача персональных данных (ст. 16 Закона № 94-V). Чтобы оставаться в легальном поле, бизнес применяет два решения:
- Маскирование и анонимизация: из запроса к языковой модели исключаются персональные идентификаторы (ИИН, фамилия, точный домашний адрес, номера счетов). Модель получает только контекст запроса для генерации ответа.
- Явное согласие: в текст пользовательского соглашения включается пункт о возможности трансграничной обработки данных при обращении к ИИ-сервисам (ст. 8 п. 4 пп. 5).
- Неизменяемый аудиторский след (ст. 22 Закона № 94-V): каждое действие ИИ-ассистента, факт переключения на человека и исходные формулировки клиента логируются с точной временной меткой. При возникновении претензий этот лог служит официальным доказательством добросовестности компании.
Чек-лист: как компании Казахстана работать по Закону № 230-VIII
Перед запуском или аудитом действующего ИИ-ассистента проверьте систему по шести ключевым критериям:
- Прозрачность приветствия: первое сообщение бота или первые слова голосового ассистента содержат прямое информирование о том, что на связи цифровой помощник.
- Маршрутизация на сотрудника: в системе настроен сценарий эскалации на дежурного менеджера по фразам «человек», «оператор» или при негативной тональности диалога.
- Серверный контур в РК: база данных клиентов, CRM и медиафайлы хранятся на серверной инфраструктуре, физически расположенной в Казахстане.
- Ограничение прав агента: ассистент отвечает на типовые вопросы и создает черновики, но не имеет полномочий принимать финальные юридические или финансовые решения.
- Отключение детекции эмоций: функция распознавания эмоций отключена, либо на нее получено прямое отдельное согласие абонента.
- Пользовательское соглашение: ссылка на регламент сервиса и политику обработки персональных данных доступна клиенту до начала активного диалога.
Подробный постатейный аудит для клиник, банков и сервисных компаний собран в нашем практическом материале: Чек-лист по персональным данным и ИИ в РК.
Инфраструктура Aitomaton спроектирована с учетом Закона РК «Об искусственном интеллекте» № 230-VIII и требований к локализации данных № 94-V: серверный контур в Казахстане, защищенный аудит диалогов и гарантированная передача диалога сотруднику. Узнать больше о корпоративной безопасности