Как Великобритания регулирует ИИ без закона об ИИ

Выбор модели регулирования

Британская система опирается на белую книгу (white paper) 2023 года и на ответ правительства о подходе, благоприятствующем инновациям: горизонтального закона нет, вместо него действует набор межотраслевых принципов, не закрепленных в законе (безопасность, прозрачность, справедливость, подотчетность, возможность оспаривания), которые действующие регуляторы применяют в пределах своей компетенции. Ставка сделана на институты: ICO, FCA, CMA (Управление по конкуренции и рынкам), Ofcom (Управление по связи) и другие регуляторы знают свои отрасли лучше, чем их знал бы новый орган по ИИ, а проблемы координации решаются через Digital Regulation Cooperation Forum (DRCF, форум сотрудничества цифровых регуляторов), с помощью которого регуляторы ведут совместные сервисы для разработчиков инноваций в сфере ИИ. Сменявшие друг друга правительства сохранили эту модель, но усилили управление ею: в январе 2026 года министры официально попросили ICO опубликовать план содействия безопасным инновациям на основе ИИ, и ICO ответило в мае 2026 года, причем теперь от регуляторов ожидают публикации таких планов и ежегодной отчетности по ним. Общее направление — усиление координации и подотчетности регуляторов; закон, адресованный компаниям, пока не последовал.

Кто регулирует ваш ИИ в Великобритании

Для большинства компаний действующий британский свод правил — это UK GDPR (британский Общий регламент по защите данных) и Закон о защите данных (Data Protection Act 2018, DPA), а разъяснения ICO об ИИ и защите данных переводят их на язык ИИ: правовое основание для обучения и применения, справедливость и предвзятость, прозрачность перед физическими лицами, права в связи с автоматизированным принятием решений (ADM) и документация, подтверждающая подотчетность. Правила, которые объясняются в этих разъяснениях, изменились: с 5 февраля 2026 г. ст. 80 закона Data (Use and Access) Act 2025 (DUAA) заменила ст. 22 UK GDPR статьями с 22A по 22D, поэтому значимое решение, принятое исключительно автоматизированными средствами, теперь может опираться на любое правовое основание, включая законные интересы, при условии что обеспечены гарантии ст. 22C (информирование, возможность представить свою позицию, вмешательство человека, способ оспорить решение); решения, основанные на данных особых категорий, по-прежнему допускаются только при явно выраженном согласии либо на договорном или законном основании, и ни одно не может опираться на новое основание признанных законных интересов (recognised legitimate interests). Разъяснения ICO об ИИ помечены как пересматриваемые в связи с этими изменениями, а обновленные разъяснения об автоматизированном принятии решений ожидаются зимой 2026 года.

Стратегический подход ICO и план работы на 2026/27 год идут дальше, и центральный элемент теперь закреплен в законе: ст. 92(2) закона Data (Use and Access) Act 2025 включила в Data Protection Act 2018 статью 124A, а подзаконный акт (statutory instrument) SI 2026/425, действующий с 12 мая 2026 г., обязывает Комиссара по информации (Information Commissioner) подготовить кодекс практики об обработке персональных данных при разработке и использовании ИИ и автоматизированного принятия решений. Обязанность подготовить кодекс действует; сам кодекс находится в стадии разработки, и по опубликованному графику ICO окончательная редакция ожидается в первой половине 2028 года, после чего кодекс на 40 дней направляется в парламент и вступает в силу через 21 день после издания (ст. 125). После вступления кодекса в силу суды, трибуналы и Комиссар должны принимать его во внимание в соответствующих случаях, а отступление от него само по себе не является нарушением (ст. 127); именно это и дает кодекс практики в отсутствие закона об ИИ.

Параллельно разрабатываются отдельные разъяснения об агентном ИИ: публичные консультации ожидаются в сентябре 2026 года, а окончательная редакция — весной 2027 года; они будут важны для каждой компании, которая использует автономных ассистентов.

Для финансовых фирм FCA опубликовало свой подход к ИИ, основанный на принципах и привязанный к действующим режимам — режиму ответственности высшего руководства (Senior Managers regime), Consumer Duty (обязанность добиваться надлежащих результатов для розничных клиентов), операционной устойчивости, — без планов вводить специальные правила об ИИ; в ту же сторону указывает план внедрения ИИ в сфере финансовых услуг (Financial Services AI Adoption Plan) от 14 июля 2026 г. — независимый доклад правительственных «чемпионов ИИ» (AI Champions), рекомендации которого, адресованные правительству, Министерство финансов Великобритании (HM Treasury) приняло: внедрение в пределах существующего периметра, а точечные меры приберегаются для новых вопросов. На практике вопрос комплаенса в Великобритании звучит как «какой регулятор отвечает за мой сценарий использования», тогда как в ЕС — «под какое приложение я подпадаю»: обычно это ICO, если затронуты персональные данные, плюс ваш отраслевой надзорный орган, а параллельно действуют авторское право, законодательство о равенстве, о защите потребителей и о безопасности продукции, соблюдение которых обеспечивается главным образом через суды.

Законопроект о передовых моделях (frontier), которого пока нет

Над моделью с опорой на регуляторов стоит заявленная правительством позиция в пользу точечных обязательных требований к разработчикам моделей ИИ общего назначения с высокими возможностями; эта формулировка встречается в официальных документах со времени ответа на белую книгу и по состоянию на 25 сентября 2026 г. остается намерением без законопроекта. Тронная речь короля (King's Speech) от 13 мая 2026 г. объявила законодательство иного рода: законопроект Regulating for Growth Bill, который, как заявляет правительство, предусматривает создание AI Growth Lab с полномочиями по созданию регуляторных песочниц для всей экономики, позволяющими временно не применять или изменять регуляторные требования для тестирования ИИ-продуктов в реальных условиях под надзором. Это объявленное законодательство, которое еще не стало законом, и оно ведет в сторону от закона об ИИ: законодательная энергия направлена на смягчение периметра для контролируемого тестирования. Обзор плана AI Opportunities Action Plan показывает, куда направлены усилия правительства: внедрение, инфраструктура и стандарты, включая стратегию цифровых стандартов до 2030 года.

С тех пор событие в сфере безопасности произошло, а законопроекта нет: в заявлении министра по вопросам ИИ от 7 сентября 2026 г. сообщалось о серии летних инцидентов, в которых ИИ-агенты вышли за пределы намерений своих операторов, а ответ правительства состоял в финансировании кибербезопасности, разъяснениях британского Национального центра кибербезопасности (NCSC) и законопроекте Cyber Security and Resilience Bill. Для целей планирования считайте британский законопроект о передовых моделях вопросом для наблюдения без графика, а кодекс практики ICO считайте тем предусмотренным законом инструментом, с учетом которого нужно планировать: после его издания суды, трибуналы и Комиссар должны принимать его во внимание (ст. 127 DPA 2018), а по графику ICO окончательная редакция кодекса ожидается в первой половине 2028 года.

Взгляд из Цюриха и Брюсселя

Треугольник теперь замкнут, и три его стороны различаются по самому замыслу. ЕС создал кодифицированный акт с ролями, уровнями риска и механизмом оценки соответствия, что мы разобрали в нашем обзоре о ст. 50 и в обзоре о переквалификации в поставщика. Швейцария принимает отраслевое законодательство на основе международного договора, причем проект для публичных консультаций ожидается в конце 2026 года, о чем мы писали в нашем обзоре о Швейцарии. Великобритания регулирует через своих регуляторов, а законодательство о защите данных служит фактическим законом об ИИ там, где обрабатываются персональные данные.

Для трансграничных групп из этого следуют три вывода. Во-первых, в Великобритании нет механизма оценки соответствия для ИИ: у системы, которой требуется оценка соответствия по AI Act ЕС, нет специального аналога для ИИ в Великобритании, и это меняет последовательность вывода продуктов на рынок; если сам продукт является регулируемым, например программное обеспечение как медицинское изделие, применяется собственная британская оценка соответствия — UKCA в Великобритании без Северной Ирландии (Great Britain), CE по правилам ЕС в Северной Ирландии. Во-вторых, британское правоприменение реально в любом случае: ICO уже сейчас применяет UK GDPR к внедрениям ИИ, и довод «мы соблюдали AI Act» не является защитой при нарушении британского законодательства о защите данных; режимы измеряют разное. В-третьих, эффективная архитектура — та, которую мы рекомендуем во всех этих обзорах: одна система управления, соотнесенная с каждым из трех режимов (анализ ролей и рисков в ЕС, соотнесение с регуляторами в Великобритании, швейцарский отраслевой уровень), чтобы доказательства, собранные один раз, служили всем трем проверкам, а решения, специфичные для каждой юрисдикции (запрещенные виды использования, автоматизированные решения, прозрачность, правила о продукции), были вынесены в приложения. Британская компания сама подпадает под действие AI Act, если ее системы попадают на рынок ЕС или результаты их работы используются там.

Что это означает для вас

• Не читайте «закона нет» как «правил нет». UK GDPR и DPA 2018 — действующий британский свод правил для ИИ, затрагивающего персональные данные; разъяснения ICO об ИИ объясняют, как они применяются, и пересматриваются после принятия DUAA; ICO уже сейчас обеспечивает соблюдение этого законодательства; соотнесите каждый сценарий использования с ICO и с вашим отраслевым надзорным органом — это британский аналог классификации рисков в ЕС.
• Финансовым фирмам: работайте в пределах опубликованного периметра. FCA опирается на действующие структуры ответственности и не планирует специальных правил об ИИ; план внедрения, подготовленный AI Champions и принятый со своей стороны Министерством финансов Великобритании, указывает в ту же сторону.
• Следите за предусмотренным законом кодексом практики ICO и за разъяснениями об агентном ИИ. Кодекс, после того как он будет издан на основании ст. 124A и 125 DPA 2018 (окончательная редакция по графику ICO ожидается в первой половине 2028 года), должны будут принимать во внимание суды, трибуналы и Комиссар; разъяснения об агентном ИИ ожидаются весной 2027 года; AI Growth Lab и законопроект о передовых моделях относятся к более отдаленной перспективе.
• Ведите одну систему на весь треугольник. Обязанности в ЕС, Великобритании и Швейцарии пересекаются по существу и различаются по форме, сфере применения и решениям, которых они требуют; единое ядро системы управления, соотнесенное с тремя режимами, обходится дешевле, и его проще отстоять, чем три программы.

Isak Legal консультирует компании по вопросам системы управления ИИ в рамках режимов ЕС, Великобритании и Швейцарии, соотнесения сценариев использования с регуляторами, внутренних политик внедрения ИИ и трансграничной продуктовой стратегии. Подробнее на наших страницах ИИ, данные и технологии и Великобритания, или свяжитесь с нами.

Настоящий обзор предназначен исключительно для общего ознакомления, отражает положение дел по состоянию на 26 сентября 2026 г., не является юридической консультацией и не создает отношений между юристом и клиентом. Британская система развивается через публикации регуляторов и точечное законодательство; прежде чем действовать, проверьте актуальное положение дел по официальным источникам, ссылки на которые приведены выше. Для получения консультации по конкретному вопросу свяжитесь с нами.