Регулирование цифровой экономики

1. Зачем регулировать цифровую экономику: провалы рынка
2. Персональные данные: 152-ФЗ и мировые аналоги
3. Информация и контент: 149-ФЗ, локализация, «приземление»
4. Конкуренция на цифровых рынках и платформенное регулирование
5. Кибербезопасность и критическая инфраструктура
6. Регулирование ИИ и экспериментальные правовые режимы
7. ИИ в регулировании и комплаенсе: история и современность
8. Прогноз до 2030 года

После лекции студент сможет:

Провалы рынка в цифровой экономике

1. Внешние эффекты данных — Утечка или использование данных одного человека затрагивает других; рынок сам не учитывает эти издержки
2. Асимметрия информации — Пользователь не знает, как используются его данные и работают алгоритмы
3. Рыночная власть платформ — Сетевые эффекты ведут к концентрации; злоупотребления — самопредпочтение, навязывание условий
4. Безопасность как общественное благо — Атака на одну компанию затрагивает всех; недоинвестирование в защиту
5. Системные риски — Сбой инфраструктуры или ИИ-системы — массовые последствия
6. Суверенитет и безопасность государства — Зависимость от иностранных технологий и данных как стратегический риск

152-ФЗ, GDPR и экономика приватности

1995

Директива ЕС о защите данных

2006

152-ФЗ в России

2015

Локализация данных россиян (242-ФЗ)

2018

GDPR в ЕС: штрафы до 4 % оборота

2021–2022

Ужесточение 152-ФЗ: уведомления об утечках, трансграничная передача

2024–2025

Оборотные штрафы за утечки (до 3 % выручки), уголовная ответственность

2026

Обезличенные данные для обучения ИИ; обсуждение «оборота данных»

Тридцать лет защиты данных: от европейской директивы к оборотным штрафам и обсуждению того, как данные можно не только защищать, но и легально оборачивать.

• Приватность как благо: у пользователей есть готовность платить за защиту данных, но «парадокс приватности» — декларируют ценность, делятся легко
• Издержки комплаенса: GDPR оценивается в миллионы евро для крупных компаний; в России — рост затрат на защиту после оборотных штрафов
• Эффекты для рынка: строгие правила усиливают крупных игроков (могут позволить комплаенс) и ослабляют стартапы
• Конкуренция на приватности: Apple, Telegram позиционируют защиту данных как продукт
• Обезличивание и синтетические данные — способ сохранить ценность данных при снижении рисков; в России — рамки нацпроекта «Экономика данных»

до 500 млн руб.

максимальный штраф за утечку особо крупного объёма данных

Источник / оценка: Роскомнадзор, InfoWatch, 420-ФЗ и 421-ФЗ от 30.11.2024

Ужесточение ответственности переводит защиту данных из формальности в экономическую необходимость: стоимость инцидента стала сопоставима со стоимостью защиты.

149-ФЗ, «приземление», импортозамещение

• 149-ФЗ «Об информации»: базовые понятия, обязанности владельцев сайтов и организаторов распространения информации, блокировки запрещённого контента «Закон о приземлении» (236-ФЗ, 2021): иностранные ИТ-компании с аудиторией более 500 тыс. обязаны открыть представительство в России; санкции — от запрета рекламы до блокировки
• Суверенный Рунет (90-ФЗ, 2019): оборудование для централизованного управления трафиком, национальная система доменных имён
• Обязательная предустановка российского ПО на смартфоны и компьютеры (с 2021 г.); единый магазин приложений RuStore
• Замедление и блокировка иностранных платформ (2022–2025) — перераспределение аудитории и рекламы в пользу VK, Telegram, Яндекса

1. КИИ — только отечественное ПО — Объекты критической информационной инфраструктуры переходят на российское ПО и оборудование (указы 2022 г., 187-ФЗ)
2. Госзакупки — Запрет закупки иностранного ПО для госнужд при наличии аналогов в реестре российского ПО
3. Облака и ЦОДы — Требования к размещению данных и государственных систем в российской инфраструктуре
4. Реестр российского ПО — Льготы (нулевой НДС, налоговый манёвр) только для ПО из реестра
5. ИТ-льготы — Пониженные страховые взносы и налог на прибыль для аккредитованных ИТ-компаний
6. Индустриальные центры компетенций — Заказ отечественных отраслевых решений при поддержке государства

Антимонопольное право в эпоху платформ

• Нулевые цены: как доказать монопольно высокую цену, если сервис бесплатен для пользователя? Ущерб — в данных, качестве, инновациях
• Доля рынка не отражает власть: важны сетевые эффекты, данные, контроль точки входа
• Границы рынка размыты: экосистема конкурирует «за всё сразу»
• Скорость: дела рассматриваются годами, рынок меняется за месяцы
• Ответ: «пятый антимонопольный пакет» (301-ФЗ, 2023) — понятие сетевого эффекта, запрет злоупотреблений владельцев цифровых платформ с долей более 35 % и выручкой более 2 млрд руб.

Защита как условие существования цифрового бизнеса

≈ 300 млрд руб.

ущерб граждан от кибермошенничества в год (оценки Банка России и МВД)

≈ 200 млрд руб.

объём российского рынка кибербезопасности (2025), рост 20 % в год

Источник / оценка: Positive Technologies, Kaspersky, Банк России, ЦСР; округлено

После 2022 года кибербезопасность стала вопросом национальной безопасности: атаки на инфраструктуру, госсистемы, банки и телеком; одновременно — уход иностранных вендоров защиты.

1. 187-ФЗ о КИИ — Категорирование объектов критической инфраструктуры (энергетика, транспорт, банки, связь, промышленность), меры защиты, ответственность до уголовной
2. ФСТЭК и ФСБ — Требования к защите информации, сертификация средств защиты, ГосСОПКА — система реагирования на атаки
3. Указы 2022 г. (№ 166, № 250) — Заместитель руководителя по ИБ в организациях, запрет иностранных средств защиты в КИИ с 2025 г.
4. 152-ФЗ и защита данных — Технические меры по уровням защищённости, уведомления об инцидентах в течение 24 часов
5. Банк России — Требования к банкам и платёжным системам (683-П, 719-П), ФинЦЕРТ
6. Борьба с мошенничеством — «Период охлаждения» по кредитам, самозапрет, обязанности операторов связи, блокировка подменных номеров

• Безопасность — инвестиция без прямой выручки: оправдывается ожидаемыми потерями (вероятность × ущерб) и требованиями регулятора
• Типичный бюджет ИБ — 5–15 % ИТ-бюджета; после 2022 года доля растёт
• Страхование киберрисков: развивающийся рынок; требует стандартов оценки защищённости
• Bug bounty и белые хакеры: легализация поиска уязвимостей обсуждается в законодательстве
• Человеческий фактор: большинство инцидентов — фишинг и социальная инженерия; обучение сотрудников эффективнее дорогих средств защиты
• Цепочки поставок: атаки через подрядчиков и открытое ПО; требования к аудиту поставщиков

Как регулировать то, что ещё не сложилось

• Национальная стратегия (Указ № 490, ред. 2024): цели по внедрению ИИ, доверенные технологии, суверенные модели
• Кодекс этики в сфере ИИ (2021): добровольные обязательства более 800 организаций; принципы человекоцентричности, безопасности, недискриминации
• Стандарты Росстандарта (ТК 164): терминология, оценка качества, доверенный ИИ; ГОСТы по ИИ в медицине и транспорте
• Обсуждаемые нормы: маркировка ИИ-контента, страхование ответственности за вред от ИИ, реестр систем в госсекторе, ограничения на дипфейки
• Отраслевые требования: Банк России — управление модельным риском; Минздрав — регистрация ИИ как медизделий
• Тренд: от рекомендаций к обязательным требованиям для высокорисковых сфер к 2027–2030 годам

История, современность, прорывы

1990-е

Автоматизированные системы ПОД/ФТ в банках

2000-е

Мониторинг транзакций на правилах; электронная отчётность

2010-е

Машинное обучение в надзоре ЦБ и ФНС; риск-ориентированный контроль

2018–2020

«Регтех» и «суптех» как отдельные рынки; ФНС АСК НДС

2023–2025

Генеративный ИИ читает нормативные акты и договоры; ИИ-комплаенс

2026–2030

Машиночитаемое право, автоматическая проверка соответствия, ИИ-надзор за ИИ

Регуляторы освоили аналитику раньше многих отраслей: от мониторинга транзакций к надзору на данных и машиночитаемому праву.

1. Комплаенс в компаниях — Языковые модели проверяют договоры и рекламу на соответствие 152-ФЗ, 38-ФЗ, отраслевым требованиям
2. Надзор на данных — ФНС, ЦБ, ФАС выявляют схемы, сговоры и нарушения по данным касс, транзакций, торгов
3. Машиночитаемое право — Нормы в виде кода: автоматическая проверка проектов, отчётности, регламентов (Минэкономразвития, 2022–2026)
4. ИИ против мошенничества — Антифрод-системы банков и операторов связи, распознавание дипфейков
5. Аудит алгоритмов — Инструменты проверки моделей на смещения и объяснимость — требование регуляторов
6. Помощь гражданам — ИИ-консультанты по правам потребителей, жалобам, обращениям в госорганы

ИИ в контексте темы: история, современность, горизонт 2030

Условная оценка числа существенных обязательных требований для платформы

условные единицы

Комплаенс становится отдельной функцией и рынком.

Источник исходной лекции: Иллюстративная оценка

• Требования растут быстрее, чем упрощаются старые
• Комплаенс становится отдельной функцией и рынком (регтех)
• Малый бизнес нуждается в «комплаенсе как сервисе» от платформ
• Ключевой вопрос 2030: удастся ли сделать право машиночитаемым

1. Регулирование цифровой экономики отвечает на провалы рынка: внешние эффекты данных, асимметрию информации, власть платформ, безопасность как общественное благо
2. Персональные данные (152-ФЗ) — центральный объект регулирования; оборотные штрафы и уголовная ответственность сделали защиту экономической необходимостью
3. Политика суверенитета (149-ФЗ, «приземление», импортозамещение) создала национальный ИТ-рынок ценой издержек миграции и рисков несовместимости
4. Антимонопольное право адаптируется к платформам: «пятый пакет» и закон о платформенной экономике; кибербезопасность регулируется через 187-ФЗ и указы 2022 г.
5. ИИ регулируется мягко (стратегия, кодекс, песочницы) с трендом к обязательным нормам; к 2030 году ключевые вопросы — оборот данных, аудит ИИ и машиночитаемое право

1. Назовите провалы рынка, оправдывающие регулирование цифровой экономики
2. Какие основания обработки персональных данных предусматривает 152-ФЗ? Что такое локализация?
3. Сравните ответственность за утечки в России и по GDPR
4. Какие требования «закона о приземлении» и импортозамещения затрагивают бизнес?
5. Почему доля рынка не отражает власть цифровой платформы? Что изменил «пятый антимонопольный пакет»?
6. Что такое КИИ и какие обязанности возлагает 187-ФЗ?
7. Сравните подходы к регулированию ИИ в ЕС и России; что такое ЭПР?
8. Как ИИ применяется в надзоре и комплаенсе, и что такое машиночитаемое право?

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; федеральные законы от 30.11.2024 № 420-ФЗ и № 421-ФЗ (ответственность за утечки)
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации…»; Федеральный закон от 01.07.2021 № 236-ФЗ («о приземлении»)
• Федеральный закон от 26.07.2006 № 135-ФЗ «О защите конкуренции» (ред. 301-ФЗ от 10.07.2023); Федеральный закон о платформенной экономике (2025)
• Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности КИИ»; Указы Президента РФ от 30.03.2022 № 166 и от 01.05.2022 № 250
• Федеральный закон от 31.07.2020 № 258-ФЗ «Об экспериментальных правовых режимах…»; Указ Президента РФ № 490 (Стратегия ИИ)
• Regulation (EU) 2016/679 (GDPR); Regulation (EU) 2022/1925 (DMA); Regulation (EU) 2024/1689 (AI Act)
• Acquisti A., Taylor C., Wagman L. The Economics of Privacy. Journal of Economic Literature, 2016
• Crémer J., de Montjoye Y.-A., Schweitzer H. Competition Policy for the Digital Era. European Commission, 2019
• Доклады ФАС России о конкуренции на цифровых рынках; доклады Роскомнадзора (2023–2025)
• Positive Technologies, Kaspersky: отчёты об угрозах кибербезопасности в России (2024–2025)

• Следующая лекция:
• Измерение цифровой экономики: индексы, статистика, оценка эффектов

Вопросы — на семинаре и в чате курса

• GDPR — Общий регламент защиты данных ЕС
• PIPL — закон Китая о защите персональной информации
• CCPA — закон Калифорнии о защите приватности потребителей
• DMA — Акт ЕС о цифровых рынках
• EDPB — Европейский совет по защите данных
• FTC — Федеральная торговая комиссия США
• CAC (Китай) — Администрация киберпространства Китая
• API — программный интерфейс приложения
• КИИ — критическая информационная инфраструктура
• ИБ — информационная безопасность
• ГосСОПКА — государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак

• ФинЦЕРТ — Центр взаимодействия и реагирования Банка России
• ФЗ — федеральный закон
• ГК — Гражданский кодекс
• УК — Уголовный кодекс
• ЗоЗПП — Закон о защите прав потребителей
• ТК — технический комитет по стандартизации
• ЭПР — экспериментальный правовой режим
• ПОД/ФТ — противодействие отмыванию доходов и финансированию терроризма
• АСК — автоматизированная система контроля
• ФАС — Федеральная антимонопольная служба
• ФНС — Федеральная налоговая служба

• ФСБ — Федеральная служба безопасности
• ФСТЭК — Федеральная служба по техническому и экспортному контролю
• МВД — Министерство внутренних дел
• ИИ / AI — искусственный интеллект
• ИТ / IT — информационные технологии
• ПО — программное обеспечение
• ОС — операционная система
• СУБД — система управления базами данных
• ЦОД — центр обработки данных
• ЦФА — цифровые финансовые активы
• ЦБ — Центральный банк; в России — Банк России

• НДС — налог на добавленную стоимость
• ЦСР — Центр стратегических разработок
• VK / ВК — «ВКонтакте»; бренд компании
• РФ — Российская Федерация
• ЕС / EU — Европейский союз
• США — Соединённые Штаты Америки
• БРИКС — Бразилия, Россия, Индия, Китай, Южная Африка — истоки названия
• ЕАЭС — Евразийский экономический союз

Единицы и текст: тыс. — тысяча; млн — миллион; млрд — миллиард; трлн — триллион; руб. — рубль; долл. — доллар; г./гг. — год/годы; уч. год — учебный год; ст. — статья; ред. — редакция; др./et al. — другие авторы. Регтех — регуляторные технологии; суптех — надзорные технологии.