Нейросети и государственная тайна: что запрещено, что возможно и что будет

Загрузить секретный документ в ChatGPT, GigaChat, YandexGPT, DeepSeek, Claude, бота в мессенджере, Notion или любой другой онлайн-сервис — или пересказать такому сервису секретные сведения своими словами — это разглашение государственной тайны. Сведения уходят на серверы оператора, где их читают люди и алгоритмы, хранят годами и используют для обучения модели, а подключение систем с гостайной к интернету прямо запрещено Указом Президента № 351. Локальная языковая модель внутри закрытого контура, внедрённая в установленном порядке, нарушением не будет — но такой практики в секретном делопроизводстве нет: программы для первого отдела, в основном на платформе 1С, работают без нейросетей, а языковой модели, сертифицированной для гостайны, по нашим сведениям, не существует. Ниже — что запрещено и чем грозит, как оператор сервиса видит ваши запросы (на примере московского конструкторского бюро из отчёта Anthropic), сколько стоит своя модель на десять рабочих мест, на каких принципах её придётся строить, как это уже сделали за рубежом и вытеснит ли она людей.

Коротко: что можно и что нельзя

Почему онлайн-нейросеть под запретом: закрытый контур

Сведения, составляющие государственную тайну, обрабатываются только внутри закрытого контура: на рабочих местах и в сетях, аттестованных для работы с гостайной, с сертифицированными средствами защиты (ст. 28 закона «О государственной тайне»), в режимных помещениях и с учётом каждого носителя. Выхода в интернет у такого контура нет — и это прямая норма, а не ведомственная перестраховка.

Указ Президента РФ от 17.03.2008 № 351 устанавливает:

• подключение информационных систем, сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации с гостайной, к сетям, которые позволяют передавать информацию через государственную границу, в том числе к интернету, не допускается (п. 1 «а»);
• если такое подключение всё же необходимо, оно производится только через специально предназначенные для этого средства защиты, в том числе шифровальные (п. 1 «б»);
• та же норма закрывает информацию государственных органов со служебной тайной.

Любая онлайн-нейросеть живёт по ту сторону этой границы. Какая именно модель, насколько «отечественный» сервис и какой у него договор о конфиденциальности — для состава ст. 283 значения не имеет: онлайн — значит вне контура; вне контура — значит сведения стали достоянием других лиц.

Что происходит со сведениями, которые ушли в чат

Сотрудник вставил секретные сведения в окно чата и нажал «отправить». Дальше с ними происходит то, что написано в условиях использования сервиса, — и это стоит прочитать до того, как объяснять, что «модель никому не расскажет».

• Их читают. Политика конфиденциальности OpenAI (редакция от 06.02.2026) прямо говорит, что компания отслеживает содержимое, которое пользователи передают на её платформах, и может использовать его для улучшения сервисов — в том числе для обучения моделей. Anthropic пишет, что запросы, помеченные её системами безопасности, компания хранит отдельно и при необходимости заново связывает с пользователем, чтобы применить свои правила.
• Их хранят годами. У Anthropic с 28.09.2025 переписка пользователя, разрешившего обучение, хранится пять лет; без разрешения — 30 дней, а помеченные запросы и ответы — до двух лет. OpenAI хранит данные столько, сколько требует закон или судебный запрос.
• Их не удаляют по просьбе. В мае 2025 года суд в США по иску The New York Times обязал OpenAI сохранять все журналы ответов ChatGPT, которые иначе были бы удалены, — включая «удалённые» пользователями чаты; в ноябре 2025 года компанию обязали передать истцу 20 миллионов обезличенных журналов. Кнопка «удалить чат» удаляет его из вашего интерфейса, не из мира.
• Их отдают властям. Обе компании пишут, что передают данные государственным органам по законным запросам, а OpenAI — ещё и когда сама сочтёт, что нарушены её правила или закон. Властям своих стран, не нашей.
• Их усваивает модель. Сведения, попавшие в обучающую выборку, становятся частью параметров модели и могут всплыть в ответе другому пользователю на похожий запрос: извлечение обучающих данных из больших языковых моделей исследователи демонстрируют с 2021 года. Anthropic прямо предупреждает: данные, уже использованные для обучения, из обученных моделей не удаляются.
• Их копия вне учёта. Первый отдел не знает о носителе, которого не оформлял: копии в логах, в истории чата, в обучающей выборке и у подрядчиков по инфраструктуре не учтены нигде — и собрать их обратно невозможно.

Этого достаточно, чтобы любой из сценариев — файл целиком, пересказ, фотография экрана, «только параметры» — закончился одним и тем же: секретные сведения стали достоянием других лиц.

Это разглашение: коротко по закону и как это выглядит на практике

Разглашение государственной тайны (ст. 283 УК РФ) — когда сведения, доверенные человеку или ставшие известными ему по службе, работе или учёбе, стали достоянием других лиц. При любом из описанных выше сценариев это происходит неизбежно: сведения оказываются у оператора сервиса и у всех, кто имеет доступ к его серверам. Довод «ввёл и сразу удалил» или «модель никому не рассказывает» состав не снимает — закон говорит о том, что сведения стали достоянием других лиц, а не о том, прочитал ли их конкретный человек. На практике — однозначно разглашение, без вариантов.

Кто отвечает и чем.

• Субъект — тот, кому сведения доверены: любой работник с допуском, от инженера до директора. Ответственность личная: отвечает человек, который нажал «отправить», а не организация.
• Что грозит работнику — в разборе статей 283, 283.1, 283.2 и 284 УК: по ч. 1 ст. 283 — арест либо лишение свободы до четырёх лет с запретом занимать должности или без него; по ч. 2, при тяжких последствиях, — от трёх до семи лет. Отдельно — прекращение допуска, увольнение по основанию «утрата допуска» и предостережение органа безопасности.
• Что грозит организации: разглашение — нарушение условий лицензии; орган, выдавший лицензию, вправе приостановить её действие (на устранение — до шести месяцев) или аннулировать, сам, без суда; на практике — приостановление вплоть до аннулирования. Заказчик закрытых работ приостанавливает заказ и обращается в орган безопасности с просьбой провести проверку. Как проходит проверка режима — на странице о режиме секретности в организации.

Как это выглядит на практике. Не «загрузил секретный файл», а скромнее:

• исполнитель вытащил фрагмент технического задания по секретному контракту и попросил нейросеть переформулировать;
• взял проект договора по закрытому заказу и попросил написать сопроводительное письмо;
• выгрузил таблицу с ценообразованием и попросил выделить позиции и пересчитать.

Файла с грифом в чате нет — секретные сведения есть. Государственную тайну составляют сведения, а гриф — только реквизит носителя: пересказ, выписка, «только цифры» и фотография экрана — те же сведения, ушедшие из контура.

Оператор видит всё: московское конструкторское бюро в отчёте Anthropic

В сентябре 2026 года Anthropic — разработчик Claude — опубликовала очередной отчёт о злоупотреблениях своими моделями. Среди кейсов — операция, которую компания обозначила GTG-27006.

Что было, по описанию в отчёте:

• «самоназванный менеджер по закупкам московского конструкторского бюро» использовал Claude, чтобы искать посредников в материковом Китае и Гонконге для закупки европейской продукции двойного назначения — по оценке компании, для российских государственных заказчиков и оборонной промышленности;
• составлял с помощью модели шаблоны запросов цен на английском, китайском и русском языках, в которых конечный получатель намеренно скрывался, а доставка запрашивалась в Россию;
• в отчёте перечислены позиции: трёхосевые феррозондовые магнитометры немецкого производства, заявленные как «гражданские биомедицинские»; несколько тысяч пластин для космических солнечных батарей через китайского поставщика; кислородные системы для авиационного экипажа; средства шифрования и ИТ-системы с государственной площадки оборонных закупок; строительство госпиталя для воинской части Росгвардии.

Что сделала компания. В отчёте это сказано общей формулой: в каждом случае активность пресекли, защитные механизмы усилили, сведения передали властям и партнёрам по отрасли, «где это уместно». Сама процедура описана там же, в разделе об информационных операциях:

• как только компания идентифицирует операцию, она блокирует причастные аккаунты и атрибутирует активность стоящей за ней организации;
• VPN и иностранный номер телефона не помогают: пользователи сами называют в переписке свои организации, должности и города, а в загруженных документах стоят фирменные колонтитулы (написано про иранские аккаунты, механика общая).

Что из этого следует для первого отдела. Что именно ушло в переписку с нейросетью в случае московского бюро, по открытому отчёту не установить. Закупочная документация по оборонному заказу — это как минимум информация ограниченного распространения, а при нестандартных поставках в ней могут оказаться и секретные сведения. Но вывод не в этом. Оператор сервиса читает содержание запросов, восстанавливает по ним организацию и должность автора, хранит переписку и передаёт её властям своей страны — и публично это описывает. Загрузка секретных сведений в такой сервис — не «утечка с некоторым риском», а передача сведений иностранной компании с документированной процедурой их дальнейшего использования.

Это не единичная история. В том же отчёте — четыре аккаунта, через которые готовили материалы для российских государственных СМИ. В 2026 году Anthropic несколько раз массово блокировала аккаунты пользователей из России: в мае — по сообщениям СМИ, сотни аккаунтов без объяснения причин; в октябре — за работу через VPN, с формулировкой о «подозрительных сигналах». Блокировка здесь — меньшая из проблем: вместе с аккаунтом пользователь теряет доступ к переписке, а оператор — нет.

ДСП, коммерческая тайна и персональные данные — тоже нельзя

Документы с пометкой «для служебного пользования» — не гостайна, но информация ограниченного распространения.

• Порядок обращения с ней задаёт Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти, уполномоченном органе управления использованием атомной энергии и уполномоченном органе по космической деятельности (постановление Правительства от 03.11.1994 № 1233, последняя редакция — постановление от 04.03.2026 № 226, в том числе об электронных документах ДСП) и ведомственные инструкции.
• Для государственных органов та же запретная норма Указа № 351 действует и в отношении служебной тайны.
• Отправить ДСП в онлайн-нейросеть «для стилистики» — нарушение порядка обращения со служебной информацией с дисциплинарными последствиями, а при разглашении — ст. 13.14 КоАП: штраф для граждан 5 000–10 000 рублей, для должностных лиц — 40 000–50 000 рублей или дисквалификация до трёх лет, для организаций — 100 000–200 000 рублей.

Коммерческая тайна заказчика, которую подрядчик получил по договору, защищается Федеральным законом № 98-ФЗ и условиями договора: загрузка в чужой сервис — нарушение режима коммерческой тайны и основание для иска. Персональные данные работников и контрагентов — Федеральный закон № 152-ФЗ: передача их оператору нейросети без законного основания — нарушение, а если сервис зарубежный — ещё и трансграничная передача, о намерении которой оператор обязан заранее уведомить Роскомнадзор (ст. 12 закона в редакции, действующей с 26.07.2026). Чем ДСП, коммерческая тайна и гостайна отличаются друг от друга — в статье о секретке, гостайне и ДСП.

Здесь случаев уже не единицы, а статистика.

• Москва, 2026 год. Инженерная компания уволила директора по продажам за разглашение коммерческой тайны: она пересылала служебные документы на личную почту и загружала их в DeepSeek. Суд отказал ей в иске об изменении формулировки увольнения и выплате 5 миллионов рублей — по материалам дела, с которыми ознакомилось РИА Новости (июль 2026). Суд оценивал совокупность нарушений: не сам факт обращения к нейросети, а вынос конфиденциальных документов за пределы согласованных ресурсов. Запрет грузить коммерческую тайну во внешние сервисы в компании был прописан заранее — поэтому дело и выиграли.
• Россия, 2025 год, цифры. По данным ГК «Солар» (февраль 2026, анализ трафика 150 компаний из госсектора, финансов, промышленности и ИТ), объём данных, которые сотрудники российских организаций отправили в публичные нейросети, за 2025 год вырос более чем в 30 раз; около 60 % организаций не имеют формализованных политик работы с ИИ. Утекают презентации и стратегические материалы, аналитика и таблицы, фрагменты кода, внутренняя переписка и техническая документация.
• Samsung, 2023 год. Инженеры полупроводникового подразделения вставили в ChatGPT фрагменты исходного кода и запись внутреннего совещания — исправить ошибки и составить протокол. Компания ограничила генеративные сервисы на рабочих устройствах.
• CISA, январь 2026 года. Исполняющий обязанности директора американского Агентства по кибербезопасности и защите инфраструктуры загрузил в публичный ChatGPT служебные документы с пометкой «для служебного пользования». Загрузку зафиксировали системы сетевой защиты ведомства, провели оценку ущерба; доступ к публичному сервису руководитель запросил сам, обойдя внутренний чат-бот.

Общее у этих историй одно: утечку в нейросеть устраивают не злоумышленники и не новички, а занятые люди, которым нужно «быстро набросать документ», — включая руководителей, которые сами отвечают за безопасность.

Закон об ИИ и требования ФСТЭК: что изменилось в 2026 году

В 2026 году у нейросетей в России появилось собственное регулирование. На режим гостайны оно не влияет, но показывает, куда движутся требования.

Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» вступил в силу 01.09.2026 (часть положений — с 01.03.2027). Он рамочный:

• вводит понятия больших фундаментальных моделей, суверенных и национальных моделей, меры поддержки разработчиков и право маркировать созданные нейросетью материалы;
• суверенные и национальные модели обязаны обрабатывать и хранить данные в центрах обработки данных на территории России, принадлежащих российским юрлицам; Правительство вправе определить случаи, когда допускается применение только таких моделей;
• об обсуждаемом проекте постановления с перечнем таких сфер писали в сентябре 2026 года: стратегическое планирование и госпрограммы, нормативные акты, налоги, таможня, бюджет, критическая информационная инфраструктура, образование, здравоохранение, Госуслуги.

Государственной тайны ни закон, ни обсуждаемый перечень не касаются: закон прямо оставляет особенности для обороны страны и безопасности государства отдельным федеральным законам и актам Президента (ч. 3 ст. 1), а среди принципов регулирования называет безопасность — предотвращение угроз обороне и безопасности государства (ст. 4). «Суверенная модель» — не синоним «можно грузить секретное».

Приказ ФСТЭК России от 11.04.2025 № 117 (требования о защите информации в государственных информационных системах и иных системах госорганов, ГУП и госучреждений; действует с 01.03.2026) впервые ввёл меры защиты при использовании искусственного интеллекта:

• не допускается передача разработчику модели информации ограниченного доступа, содержащейся в системе, в том числе для улучшения модели (п. 60);
• запросы к ИИ-сервисам и ответы ограничиваются шаблонами или допустимыми тематиками и контролируются; для недостоверных ответов разрабатываются критерии, а область решений на их основе ограничивается (п. 61);
• в состав систем включаются только доверенные технологии искусственного интеллекта (п. 61).

Для гостайны этот приказ не действует: его п. 4 прямо отсылает к отдельным требованиям по технической защите информации, содержащей сведения, составляющие гостайну, — а те закрыты. Гостайна в приказе не упоминается вовсе. Распространённая фраза «приказ ФСТЭК № 117 запретил облачный ИИ для гостайны» неверна: для гостайны базовый запрет — Указ № 351, и действовал он задолго до нейросетей.

В августе 2026 года ФСТЭК вынесла на обсуждение проект изменений в приказ № 117: модели искусственного интеллекта выносятся в отдельный изолированный сегмент системы с многофакторной аутентификацией для привилегированного доступа, для моделей, работающих с информацией ограниченного доступа, — фильтрация запросов и ответов и ограничение числа обращений, отдельные меры против ИИ-агентов. Это требования для открытых государственных систем. Требования для систем с гостайной мягче не будут.

Как первый отдел предотвращает утечку в нейросеть

Нейросети не добавили первому отделу новых задач — они добавили новый канал для старой ошибки «вынес сведения из контура». Защита та же, что от фотографии на телефон или копии на флешку, с одним уточнением в инструктажах.

• Физический контур. Закрытые работы — только на аттестованных рабочих местах без выхода в сеть, в режимном помещении. Секретный документ в электронном виде не существует за пределами этого контура, и переписать его на внешний носитель без учёта нельзя. Что должно быть в режимном помещении — в статье о требованиях к помещению РСП.
• Учёт носителей. Каждый носитель секретных сведений — на учёте в первом отделе: выдан, возвращён, уничтожен. «Поработать дома» с закрытым документом невозможно по определению — ему негде оказаться дома. Как устроен учёт — в статье о секретном делопроизводстве.
• Личная техника. Телефоны, ноутбуки и прочая техника в режимном помещении запрещены; на проверках это одно из частых типовых нарушений — наряду с ошибками в оформлении документов, антивирусом, сроками специальной проверки техники и обучения.
• Инструктаж при допуске и ежегодно. Прецедентов, чтобы работник первого отдела загрузил секретные сведения в чат-бот и это всплыло на проверке, в нашей практике пока не было — сегодня эта тема живёт в основном в коммерции: «не грузите коммерческую тайну в нейросети». Но фразу «в том числе в сервисы искусственного интеллекта, чат-боты и голосовые помощники» в инструктаж о запрете выноса сведений мы начали включать: люди не считают чат-бот посторонним лицом, пока им не сказали.
• Открытое рабочее место — открытые задачи. Нейросетями на открытых компьютерах пользоваться можно и нужно: письма, шаблоны договоров без закрытых данных, открытые методики. Граница проходит не по программе, а по сведениям: закрытое — только в контуре.

Как секретное делопроизводство автоматизируют сегодня

Электронное секретное делопроизводство существует и разрешено: по заявлениям разработчиков, закрытые требования допускают ведение учёта и подготовку документов в электронном виде на аттестованной технике. Массовым оно не стало — большинство первых отделов по-прежнему ведут журналы на бумаге, и живого внедрения у клиентов мы не видели: до первых отделов коммерческих организаций такие продукты доходят тяжело. Но на рынке есть несколько решений, и почти все они построены на платформе «1С:Предприятие»; первые выпущены в 2021–2022 годах. По открытым описаниям и презентациям эти программы берут на себя:

• режимно-допускную работу: номенклатура должностей, карточки допуска, автоматическое формирование заключений, решений и разрешений на работника, справок о допуске (форма 6) и предписаний при командировании, учётные карточки (форма 8), учёт работников контрагентов, командированных на предприятие, учёт приёма иностранных граждан;
• выезды за границу: заявления, извещения о выезде, журнал учёта;
• учёт осведомлённости: карточки осведомлённости, фактическая осведомлённость по документам и совещаниям, совещания с отметками участников;
• секретное делопроизводство: журналы учёта входящих, подготовленных и отпечатанных документов, выдача и возврат, перепечатка листов, отправка экземпляров на другой участок, учёт носителей, номенклатура дел, подшивка и уничтожение;
• служебное: загрузка организационной структуры и списка работников из кадровой системы, миграция данных из предыдущих версий, панель администратора безопасности, выгрузка списков для анализа.

Подробности функций в открытом доступе не публикуются: продают такие решения только организациям с лицензией ФСБ на работы с гостайной, демонстрацию проводят лицам с действующим допуском — описание всех операций раскрывало бы порядок обращения со сведениями.

На чём это работает.

• Конфигурации запускаются на защищённой версии платформы — программном комплексе «1С:Предприятие 8s» со встроенными средствами защиты от несанкционированного доступа (идентификация и аутентификация, управление доступом, регистрация событий, контроль целостности), который сертифицировался ФСТЭК России для систем, обрабатывающих гостайну; по данным поставщиков, решения применяются для сведений до степени «совершенно секретно».
• Операционная система — Astra Linux Special Edition в исполнении с максимальным уровнем защищённости, с мандатным управлением доступом (метки секретности на файлах и процессах).
• Рабочее место собирают под заказ, проводят специальные проверки и специальные исследования техники и аттестуют. Часть открытой работы — кадровые списки, структура — у некоторых поставщиков ведётся на обычных рабочих местах с переносом в закрытый контур на учтённом носителе.

Остальной контур. Кроме программы учёта, рабочее место секретного делопроизводства — это сертифицированные средства защиты от несанкционированного доступа и доверенной загрузки, антивирус, при необходимости средства защиты от утечки по техническим каналам, а для сети между рабочими местами — аттестованная локальная сеть без выхода наружу. Каждый компонент — из реестра сертифицированных средств, каждое изменение состава — по согласованию.

Нейросетей в этих продуктах нет. Ни в одном открытом описании решений для первого отдела искусственный интеллект не упоминается. Это не отставание разработчиков, а следствие того, как устроены сертификация и аттестация, — об этом следующий раздел.

Что нужно, чтобы нейросеть встала в контур, и сколько это стоит

Технически подключить локальную языковую модель к учётной системе несложно: для обычной 1С публикуются примеры подключения моделей, развёрнутых на собственном сервере, без интернета. Для системы с гостайной это не вопрос программирования. Барьеров шесть, и снимаются они не одним приказом.

1. Состав программ на аттестованном рабочем месте фиксирован. Аттестат выдаётся на конкретную конфигурацию техники и программ. Новая программа — изменение условий, при которых проводилась аттестация: её нужно согласовать, а нередко — переаттестовать рабочее место. «Поставить нейросеть на компьютер в первом отделе» без этой процедуры — нарушение, даже если интернета там нет.
2. Модель — программа, которую нужно проверить. Для систем с гостайной программы проверяют на отсутствие недекларированных возможностей. У языковой модели «логика» записана не в коде, а в миллиардах параметров; классическая проверка «а не делает ли программа лишнего» к ней применяется плохо. Схемы сертификации языковых моделей для систем с гостайной нам неизвестно; для открытых государственных систем регулятор только начал формулировать требования.
3. Разработчик с лицензиями. Создавать, дорабатывать и внедрять модель и её обвязку в контуре с гостайной может только организация с лицензией ФСБ на работы, связанные с использованием сведений, составляющих гостайну, — а средства защиты в составе решения разрабатывают и производят лицензиаты ФСТЭК. О таких разработчиках языковых моделей нам на сегодня неизвестно.
4. Железо — тоже техника в режимном помещении. Модели работают на серверах с графическими ускорителями. Такой сервер проходит специальные проверки и специальные исследования, как любой системный блок в первом отделе, — прецедентов с импортными ускорителями мы не знаем — и стоит заметно дороже обычного рабочего места.
5. Модель, обученная на секретном, сама становится секретной. Если модель дообучить на закрытых документах организации, сведения оказываются в её параметрах. Такой файл — носитель сведений, составляющих гостайну: его учитывают, хранят и уничтожают как любой другой носитель, и вынести «обученную модель» из контура нельзя. Поэтому рабочая схема — песочница: модель не дообучается на том, что ей показали, а всё показанное и выданное уничтожается по правилам учёта.
6. Ответ модели — тоже документ. Всё, что модель выдала по закрытым данным, — секретные сведения: черновик создаётся на учтённом носителе, получает гриф по содержанию и проходит тот же учёт, что документ, напечатанный человеком. Если модель ошиблась в реквизите или пропустила отметку — нарушение записывают на исполнителя, который подписал документ, а не на программу.

Сколько это стоит. Возьмём первый отдел на десять рабочих мест.

• Модели на 30–70 миллиардов параметров — уровень «помощник по документам», не больше — на десяток одновременных пользователей нужна одна-две профессиональные видеокарты с 96 ГБ памяти.
• По открытым прайсам российских поставщиков на октябрь 2026 года рабочая станция с одной такой картой стоит около 8 миллионов рублей, с двумя — около 15. Это только железо.
• Дальше — специальная проверка и специальные исследования этого сервера, аттестация, сертифицированные средства защиты, разработчик с лицензиями, обучение людей и сопровождение (инженер, который умеет и в модели, и в режим, — отдельная редкость).
• Итог — заметно больше десяти миллионов рублей за помощника, который пишет сопроводительные письма и проверяет реквизиты. Уполномоченный по ведению секретного делопроизводства и пара работников с допуском обходятся дешевле — и, в отличие от модели, несут ответственность.

Что потом с техникой. Видеопамять энергозависима: после выключения модель в ней не остаётся. Но веса модели, индексы, журналы запросов и ответов лежат на дисках — это машинные носители, которые учитываются в первом отделе как любые другие, из контура не выносятся и при списании уничтожаются по акту. Сам сервер остаётся в контуре, как любой секретный компьютер: продать его после «эксперимента» или отдать в открытую сеть нельзя.

Чем модель не станет.

• Базой знаний секретных документов организации. В одном первом отделе лежат документы, к которым у разных работников разный доступ; какой фрагмент какого документа модель вправе показать конкретному пользователю — задача, которую сегодня никто не умеет решать так, чтобы это прошло аттестацию. «Флешки со всей гостайной», которую можно выдать одному человеку, не существует — не появится и её нейросетевой аналог.
• Инструментом засекречивания. Перечня сведений, подлежащих засекречиванию, у модели не будет: присваивать грифы автоматически она не сможет — это решение человека по ведомственному перечню.

На каких принципах должна стоять нейросеть для секретного делопроизводства

Требований регулятора к языковым моделям в системах с гостайной нет. Но на чём такая система будет стоять обязательно, уже видно из действующих норм — мы свели это к шести принципам.

1. Правовая оболочка. Ничего без нормы. Закон о гостайне строит отнесение сведений к гостайне и засекречивание на законности, обоснованности и своевременности (ст. 6); закон об ИИ ставит безопасность — предотвращение угроз обороне и безопасности государства — в число принципов регулирования (ст. 4) и отдаёт особенности для обороны и безопасности отдельным актам (ч. 3 ст. 1). Нейросеть для секретного делопроизводства появится после требований регулятора, не до.
2. Замкнутый контур. Модель живёт только на аттестованной технике без выхода наружу — Указ № 351. Разработчик модели не получает ни запросов, ни ответов, ни «телеметрии»: для открытых государственных систем это уже прямая норма приказа ФСТЭК № 117 (п. 60), для гостайны она подразумевается самим контуром.
3. Суверенность. Модель, её разработчик и площадка — российские и проверенные. Национальная стратегия развития ИИ (Указ Президента № 490) называет технологический суверенитет принципом развития ИИ (п. 19 «г»), определяет доверенные технологии как отвечающие стандартам безопасности и исключающие ущерб интересам общества и государства (п. 5 «ц») и требует обязательно внедрять именно их там, где возможен ущерб безопасности страны (п. 24 «е»); закон об ИИ закрепляет за суверенными моделями российского разработчика и хранение данных в российских центрах обработки (ст. 6 243-ФЗ). Для гостайны это означает ещё и проверку модели как программы — по процедуре, которой пока нет.
4. Разграничение доступа. Модель отвечает пользователю только в пределах его допуска и осведомлённости — как работник первого отдела выдаёт документ только тому, кому он положен (организация доступа к сведениям возложена на руководителя и подразделение по защите гостайны — ст. 25 закона). Пока это не реализуемо технически, модель не хранит массива секретных документов.
5. Песочница и уничтожение. Показанные модели сведения не идут в обучение; всё, что модель получила и выдала, — на учтённых носителях, с грифом по содержанию и уничтожением по акту; дообученная на секретном модель — сама носитель и живёт по правилам носителя.
6. Персональная ответственность. Субъект ст. 283 — человек; допуск, подпись и ответственность — у работника. Модель помогает оформить, человек подписывает и отвечает. Ни одного решения по гостайне — кому дать доступ, какой гриф поставить, что и кому передать — модель не принимает.

Та же Стратегия прямо исключает оборонно-промышленный комплекс и государственное управление из принципа открытости технологий ИИ (п. 19 «з»): всё, что будет делаться для гостайны, будет делаться закрыто.

Как это сделали за рубежом: закрытые сети и нейросети в них

Путь «сначала ведомства — потом требования — потом подрядчики» за рубежом уже пройден, и по открытым источникам его видно по шагам. Для российского читателя это не образец, а подтверждение логики: нейросеть в секретный контур заводят так же, как любую другую программу, — через контур, а не в обход него.

Как устроен контур. У государственных органов США информация с грифом обрабатывается в отдельных сетях, физически изолированных от интернета: SIPRNet — для сведений уровня Secret, JWICS — для Top Secret. Облачные площадки под эти уровни строятся как изолированные регионы с аккредитацией по стандартам разведывательного сообщества, доступ к ним — у ведомств и их подрядчиков с допуском. Принцип тот же, что у нас: данные не покидают контур, модель ставится внутрь контура.

Как нейросети вообще оказались в обороне — короткая история.

• 2017. Минобороны США запускает проект Maven — распознавание объектов на видео с беспилотников алгоритмами машинного обучения; это первый крупный военный ИИ-проект, о котором говорят публично. В 2018 году сотрудники Google протестуют против участия компании, и Google из проекта выходит — спор «кто и на каких условиях работает на оборону» начался именно тогда.
• 2018. В Минобороны создан Объединённый центр искусственного интеллекта (JAIC) — единое ведомственное окно для ИИ-проектов; в 2022 году его сменило Управление цифровых технологий и ИИ (CDAO).
• 2020. Минобороны принимает пять этических принципов ИИ; разведывательное сообщество — свои принципы этики ИИ (соблюдение закона и добросовестность, прозрачность и подотчётность, объективность, человек в центре, защищённость и устойчивость, опора на науку). С этого момента у любого военного ИИ-проекта есть рамка, по которой его оценивают.
• 2021. НАТО принимает стратегию по ИИ с шестью принципами ответственного использования; в 2024 году стратегия обновлена.
• 2023. После появления ChatGPT Минобороны создаёт рабочую группу по генеративному ИИ (Task Force Lima, август), а Агентство национальной безопасности — Центр безопасности ИИ (сентябрь): задача — понять, где языковые модели применимы и как их защищать, до того как их начнут применять.
• 2024–2026. Модели заходят в закрытые контуры — по шагам, которые ниже.

Как туда попали языковые модели — по датам.

• Май 2024. Microsoft сообщила, что развернула GPT-4 в «изолированном, отключённом от сети» облаке Azure Government Top Secret — для тестирования Министерством обороны, без аккредитации на боевое применение.
• Январь 2025. Та же модель (GPT-4o) авторизована для работы в Azure Government Top Secret по стандартам разведывательного сообщества (директива ICD 503) — для «самых секретных задач» ведомств и Минобороны.
• Июнь 2025. Anthropic выпустила отдельную линейку моделей Claude Gov для заказчиков в сфере национальной безопасности — модели, которые работают только в закрытых средах.
• Июль 2025. Управление цифровых технологий и ИИ Минобороны США заключило контракты с Anthropic, Google, OpenAI и xAI с потолком 200 миллионов долларов каждый — на разработку «агентных» решений для ведомства.
• Декабрь 2025. Пентагон запустил платформу GenAI.mil на базе Gemini for Government — для трёх миллионов сотрудников, военнослужащих и подрядчиков. Уровень — несекретная служебная информация (CUI, Impact Level 5); перевод моделей на более высокие уровни секретности заявлен как следующий шаг.
• Февраль 2026. Anthropic в публичном заявлении назвала себя первой компанией, развернувшей свои модели «в закрытых сетях правительства США», и первой, предоставившей специальные модели заказчикам в сфере национальной безопасности, — и в том же заявлении отказалась снять два ограничения на применение своих моделей (массовая слежка внутри страны и полностью автономное оружие) даже под угрозой отстранения от государственных систем. Ведомство решает, как вести операции; разработчик — где границы применения его модели.

На каких принципах. Минобороны США в феврале 2020 года приняло пять принципов для искусственного интеллекта:

• ответственность — персонал «проявляет должный уровень суждения и осмотрительности» и отвечает за разработку, внедрение и применение;
• беспристрастность — осознанные шаги по снижению непреднамеренной предвзятости;
• прослеживаемость — прозрачные и проверяемые методики, источники данных и документация;
• надёжность — чётко определённые задачи, испытания безопасности и эффективности;
• управляемость — способность обнаружить нежелательные последствия и «отключить или деактивировать развёрнутую систему».

НАТО в октябре 2021 года приняло шесть принципов ответственного использования ИИ в обороне — они почти дословно повторяют американские, с двумя добавлениями:

• законность — применение ИИ в рамках национального и международного права, включая гуманитарное право;
• ответственность и подотчётность — за применение ИИ всегда отвечает человек, и цепочка ответственности прослеживается;
• объяснимость и прослеживаемость — понятно, как система пришла к результату, и это можно проверить;
• надёжность — испытания и сертификация на всём жизненном цикле;
• управляемость — система делает то, для чего создана, и её можно остановить;
• снижение предвзятости — осознанные шаги против искажений в данных и алгоритмах.

Директива Минобороны США об автономии в системах вооружений требует соответствующего уровня человеческого суждения при применении силы — и это то же самое, что наш принцип персональной ответственности: решение принимает человек, а не модель.

Что требуют от защиты. Агентство национальной безопасности США вместе с CISA, ФБР и партнёрами из Австралии, Канады, Новой Зеландии и Великобритании в апреле 2024 года выпустило руководство по безопасному развёртыванию систем ИИ, разработанных сторонними организациями, — об изоляции среды, контроле доступа и защите самой модели. Корпорация RAND в мае 2024 года в докладе о защите весов моделей сформулировала то, к чему первый отдел пришёл бы сам: держать все копии весов на ограниченном числе контролируемых и мониторируемых систем, сократить круг людей с доступом, защищаться от инсайдеров и строить эшелонированную защиту — то есть относиться к весам модели как к носителю ценных сведений.

Что из этого — зарубежная логика, которую стоит знать.

1. Аккредитуют контур, а не модель: модель допускается в среду определённого уровня секретности, и среда отвечает за то, что сведения из неё не уходят.
2. Персонал с допуском: с моделью в закрытой сети работают только допущенные люди, подрядчики — через ведомственные площадки.
3. Человек принимает решения: «управляемость» и «должный уровень суждения» — в принципах и Минобороны США, и НАТО.
4. Прослеживаемость: кто, что и на каких данных — документируется и проверяется.
5. Веса модели — защищаемый актив: ограниченное число копий, ограниченный круг доступа, защита от инсайдеров.
6. Порядок: сначала изолированные тесты в ведомстве (2024), затем аккредитация (2025), затем массовая платформа на несекретном уровне (2025) и перенос на секретные уровни — шаг за шагом, от открытого к закрытому.

Что будет дальше

Реалистичная последовательность, в которой нейросети придут к работе с секретными сведениями в России, выглядит так.

Первыми будут не первые отделы, а ведомства, связанные в том числе с кибербезопасностью. Подразделения органов безопасности, которые занимаются защитой информации, и аналогичные структуры протестируют модели в своих закрытых контурах — у них есть и задачи, и техника, и право решать, что считать безопасным.

Потом — регулирование. По итогам появятся первичные требования к языковым моделям в системах с гостайной: закрытые, как и остальные требования по технической защите такой информации. Сегодня их нет: приказ ФСТЭК № 117 гостайны не касается, закон об ИИ № 243-ФЗ — тоже, Стратегия ИИ оставляет оборонку за скобками открытости.

Затем — распорядители сведений. Крупные ведомства и их учреждения, где есть массив рутины — договорная работа по закрытым контрактам, регламенты, приказы, — получат модели в своих контурах под свои требования. Лицензиат-подрядчик будет пользоваться ими на условиях заказчика, как сегодня пользуется его закрытой связью.

И только после этого — коммерческие организации. Когда появятся нормальная практика, адекватное регулирование и разработчик с нужными лицензиями, решения для первого отдела начнут получать «ИИ-модули» — сначала функции без генерации текста по закрытым данным: проверка заполнения форм, подсказки по открытым нормативным актам, поиск по учётным данным. Коммерческому первому отделу на десяток работников они будут нужны последними: ему человек дешевле.

Вытеснят ли нейросети людей в работе с гостайной

Нет. И дело не только в технологии — в экономике и в конструкции закона.

Для большинства организаций — экономически бессмысленно. Основная масса работы с гостайной в коммерческом секторе — небольшие первые отделы или обслуживание в РСП партнёра. Установка языковой модели в такой контур при любом раскладе обходится дороже, чем уполномоченный по ведению секретного делопроизводства и пара работников с допуском, которые будут оформлять документы бесконечно. Плюс квалификация: людей нужно учить работать с моделью — снова деньги и время.

Для крупных распорядителей сведений — незаменимый помощник. Там, где ведут договорную работу по секретным контрактам, готовят закрытые приказы и регламенты, выверяют и структурируют документы, пишут сопроводительные письма и технические задания, — модель в закрытом контуре возьмёт на себя рутину:

• проверка анкеты по всем критериям с указанием, где реквизит неверный;
• автоматическая расстановка реквизитов и проверка оформления;
• черновики типовых документов по форме, сопроводительные письма, выверка и структурирование регламентов и приказов;
• со временем — помощь проектировщикам и расчётчикам в закрытых контурах, когда локальные модели станут достаточно сильными.

То, что уже частично делают учётные программы без всякого ИИ, модель сделает лучше.

Чего не будет.

• Нейросеть не станет агентом и не будет вести агентную работу: самостоятельно разрабатывать документы, принимать решения и действовать.
• Она не примет ни одного решения, связанного с гостайной: кому дать доступ, какой гриф, что передать и кому.
• Она не станет хранилищем секретных документов организации — ни универсального носителя, ни разграничения доступа внутри модели сегодня не существует.
• Она не будет засекречивать документы: перечня сведений, подлежащих засекречиванию, у неё не будет.

Вся система защиты гостайны построена на персональной ответственности: допуск оформляется человеку, подпись ставит человек, субъект ст. 283 — человек. У модели нет ни допуска, ни формы, ни подписи — ей нечего прекратить и некого наказать. За каждым её действием в контуре будет стоять допущенный работник, который за него отвечает, — и это не временная мера, а конструкция закона.

Штат первого отдела — начальник, уполномоченный, специалист по защите информации — нейросети не сократят: три человека к подаче заявления на лицензию — требование к условиям лицензирования, а не к объёму рутины (кто нужен в первом отделе и сколько платить).

Наш прогноз: нейросеть станет инструментом секретного делопроизводства — через годы, в закрытых ведомственных контурах, под ответственностью тех же людей. Вытеснить людей она не сможет; сделать их ошибки дороже — уже смогла.

Чем поможем

• Инструктаж и инструкции. Включим в инструктаж при допуске и в инструкцию о порядке работы со сведениями запрет на использование онлайн-нейросетей, чат-ботов и голосовых помощников — с формулировками, которые понимают инженеры, а не только первый отдел.
• Разбор инцидента. Если сведения уже ушли в чат-бот — что фиксировать, кого уведомлять, как вести себя при проверке органа безопасности и чем это грозит лицензии; консультируем на любом этапе, при уголовном деле — с партнёрами-адвокатами, знающими специфику ст. 283–284 УК.
• Локальная модель у крупного лицензиата. Если у вас большой объём секретного делопроизводства и есть идея внедрить локальную языковую модель в закрытом контуре — свяжитесь с нами: обсудим, с чего начинать, какие согласования и аттестации потребуются, во что это обойдётся и что реально получить на выходе при сегодняшних требованиях. Телефон: 8 (962) 924-00-00.

Вопросы и ответы

Можно ли загрузить секретный документ в нейросеть?

Нет. Отправка секретных сведений в онлайн-сервис — разглашение государственной тайны (ст. 283 УК), а подключение систем с гостайной к интернету запрещено Указом № 351. Локальная модель в закрытом аттестованном контуре, внедрённая в установленном порядке, нарушением не будет — но такой практики нет.

Что будет, если работник загрузил секретный документ в ChatGPT?

Для работника — уголовное дело по ст. 283 УК, прекращение допуска и увольнение; для организации — проверка органа безопасности, приостановление лицензии вплоть до аннулирования и приостановление заказа заказчиком. Вернуть сведения из сервиса невозможно.

Считается ли разглашением пересказ секретных сведений нейросети своими словами?

Да. Государственную тайну составляют сведения, а не документ с грифом: пересказ, выписка, «только цифры» — те же сведения, ушедшие из контура.

Видит ли оператор сервиса, что именно я загрузил?

Да. Операторы публично описывают, что отслеживают содержимое, хранят его, связывают помеченные запросы с пользователем, атрибутируют активность организации и передают данные властям своих стран. Случай московского конструкторского бюро в отчёте Anthropic за сентябрь 2026 года — пример такого разбора.

Можно ли использовать отечественную нейросеть для секретных документов, раз данные остаются в России?

Нет. Для разглашения неважно, где стоит сервер: сведения стали доступны оператору сервиса. Закон об ИИ № 243-ФЗ, который ввёл суверенные и национальные модели, режим гостайны не затрагивает.

Можно ли использовать нейросеть для документов ДСП?

Онлайн — нет: это информация ограниченного распространения, за разглашение — ст. 13.14 КоАП, за нарушение порядка обращения — служебные последствия. В закрытом контуре организации — по её инструкциям; для государственных систем — с учётом мер приказа ФСТЭК № 117.

Какие программы используют для секретного делопроизводства?

Специализированные учётные системы, в основном на защищённой версии платформы «1С:Предприятие» и Astra Linux Special Edition, плюс сертифицированные средства защиты на аттестованном рабочем месте. Нейросетей в таких программах нет.

Сколько стоит своя нейросеть для первого отдела?

Сервер с одной-двумя профессиональными видеокартами — 8–15 миллионов рублей по открытым прайсам; плюс специальные проверки и исследования, аттестация, средства защиты, разработчик с лицензиями и сопровождение. Для первого отдела на десять человек дороже, чем люди, которых она должна «заменить».

Разрешены ли локальные нейросети в первом отделе?

Да, если модель развёрнута на аттестованной технике без выхода в сеть, проверена и разрешена в установленном порядке, состав программ согласован, а работа с моделью описана в инструкциях. Самостоятельно установленная «локальная» модель — нарушение.

Как нейросети допускают в закрытые сети за рубежом?

Через контур: модель ставят внутрь изолированной среды с аккредитацией под уровень секретности, работают с ней допущенные сотрудники, решения принимает человек, веса модели защищают как ценный актив. В США от изолированных тестов (2024) до массовой платформы на несекретном уровне (2025) прошло полтора года; на секретные уровни модели переносят шаг за шагом.

Заменит ли искусственный интеллект первый отдел?

Нет. Допуск, подпись и ответственность по ст. 283 — у человека; модель может взять на себя рутину оформления и поиска, но не решения и не ответственность. Штат первого отдела к заявлению на лицензию — по-прежнему три человека.

Первоисточники: Закон РФ от 21.07.1993 № 5485-1 «О государственной тайне» (ст. 2, 6, 17, 25, 28) — официальный текст на pravo.gov.ru; Указ Президента РФ от 17.03.2008 № 351; Указ Президента РФ от 10.10.2019 № 490 (Национальная стратегия развития искусственного интеллекта, пп. 5, 19, 24); Уголовный кодекс РФ (ст. 283); Кодекс РФ об административных правонарушениях (ст. 13.14); постановление Правительства РФ от 03.11.1994 № 1233 (в ред. от 04.03.2026 № 226); Федеральный закон от 29.07.2004 № 98-ФЗ; Федеральный закон от 27.07.2006 № 152-ФЗ (ст. 12); Федеральный закон от 26.07.2026 № 243-ФЗ (ст. 1, 4, 6); приказ ФСТЭК России от 11.04.2025 № 117 (пп. 4, 60, 61); постановление Правительства РФ от 15.04.1995 № 333 (п. 12). Случаи и условия сервисов — по открытым публикациям операторов (отчёт Anthropic от 10.09.2026, условия использования и политики конфиденциальности Anthropic и OpenAI) и российских СМИ (РИА Новости, 27.07.2026; ГК «Солар», февраль 2026).