Ответственность за ошибки ИИ-системы: кто и за что отвечает

Постановка проблемы: ошибка ИИ как юридический факт

Вопрос об ответственности за ошибки ИИ-системы кажется новым, но по своей правовой природе он сводится к давно известным институтам: нарушению обязательства, деликту и распределению договорного риска. Сложность не в отсутствии норм, а в квалификации события. «Ошибка ИИ» — это не единое явление; под ним скрываются как минимум три разных юридических факта: отказ инфраструктуры (система недоступна или не отвечает в срок), некачественный, но штатный по вероятностной природе вывод модели, и вред, причинённый решением, принятым на основании такого вывода. Каждый из этих фактов влечёт собственный режим ответственности, и смешение их — главная ошибка при составлении договора и ведении спора.

Российское право не знает понятия «правосубъектность искусственного интеллекта»: ИИ-система не является субъектом права, не несёт обязанностей и не может отвечать. Ответственность всегда лежит на лице — разработчике, поставщике сервиса, операторе, пользователе. Поэтому корректная постановка вопроса звучит не «отвечает ли ИИ», а «кто из участников отношений и на каком основании отвечает за последствия работы ИИ». Отвечать на него следует через классическую триаду: основание ответственности (нарушение обязательства или причинение вреда), условия (противоправность, вред, причинная связь, вина в применимых случаях) и объём (убытки, неустойка, пределы и исключения). Базовое правило о возмещении убытков при нарушении обязательства закреплено в ст. 393 ГК РФ, а понятие убытков и принцип полного возмещения — в ст. 15 ГК РФ.

Ключевой тезис, который стоит зафиксировать сразу: вероятностная природа ИИ сама по себе не является основанием для освобождения от ответственности. Если лицо приняло на себя обязательство обеспечить определённый уровень качества или доступности, оно отвечает за его нарушение независимо от того, что технология статистически несовершенна. Ссылка на «непредсказуемость нейросети» работает лишь там, где обязательство сформулировано как обязательство приложить усилия, а не достичь результата, и где фактический уровень качества не опустился ниже согласованного. Поэтому судьба спора об ответственности за ИИ почти всегда предрешена формулировками договора, а не свойствами алгоритма.

Договорная ответственность: нарушение обязательства об уровне сервиса и качестве

Когда ИИ-система предоставляется по договору (оказание услуг по ст. 779 ГК РФ, смешанная конструкция с элементами подряда по ст. 702 ГК РФ и лицензии по ст. 1235 ГК РФ), ответственность строится на нарушении договорного обязательства. Обязательство должно исполняться надлежащим образом в соответствии с его условиями в силу ст. 309 ГК РФ, а односторонний отказ от исполнения и одностороннее изменение условий по общему правилу не допускаются согласно ст. 310 ГК РФ. Нарушение надлежащего исполнения — недостижение показателей доступности, превышение времени реакции, падение качества ниже согласованного порога — порождает обязанность возместить убытки по ст. 393 ГК РФ и уплатить неустойку, если она предусмотрена договором по ст. 330 ГК РФ.

Условие ответственности предпринимателя — строгая ответственность. Лицо, не исполнившее обязательство при осуществлении предпринимательской деятельности, отвечает независимо от вины и освобождается только вследствие непреодолимой силы, как императивно установлено п. 3 ст. 401 ГК РФ. При этом к обстоятельствам непреодолимой силы прямо не относятся, в частности, нарушение обязанностей со стороны контрагентов должника и отсутствие у должника необходимых денежных средств. Для ответственности за ИИ это означает: поставщик-предприниматель не освобождается от ответственности за нарушение измеримых показателей ссылкой на сбой субподрядчика или на «поведение модели». Если же сторона не является предпринимателем, она отвечает при наличии вины, и отсутствие вины доказывает нарушитель в силу п. 2 ст. 401 ГК РФ.

Решающее значение имеет разграничение обязательства результата и обязательства усилий. Обязательство обеспечить доступность 99,5 % и время реакции на критический инцидент в один час — это обязательство результата: оно либо исполнено, либо нет, и проверяется измерением. Обязательство «поддерживать высокое качество ответов» без измеримого порога — это в лучшем случае обязательство усилий, доказать нарушение которого практически невозможно. Поэтому ответственность за качество модели возникает только при условии, что в договоре зафиксированы измеримая метрика, методика её замера и пороговое значение. Без этого условие о качестве не порождает ответственности: требование к результату должно быть определено настолько, чтобы исполнение можно было проверить, иначе соответствующая часть обязательства остаётся несогласованной по смыслу ст. 432 ГК РФ.

При оформлении доработок ИИ-системы как подряда применяется специальный режим ответственности за качество: при недостатках результата заказчик вправе требовать их устранения, уменьшения цены или возмещения расходов, а при существенных и неустранимых недостатках — отказаться от договора и потребовать возмещения убытков по ст. 723 ГК РФ. Распределение бремени доказывания и здесь решает исход: каждая сторона доказывает обстоятельства, на которые ссылается, в силу ст. 65 АПК РФ, поэтому сторона, не обеспечившая фиксацию метрик и инцидентов, оказывается в проигрышной позиции независимо от существа спора.

Разграничение ответственности разработчика, поставщика и пользователя

В цепочке создания ценности ИИ участвуют, как правило, несколько лиц: разработчик базовой модели, поставщик сервиса (интегратор, который внедряет и сопровождает систему у заказчика) и пользователь (заказчик, опирающийся на выводы модели в своих процессах). Ответственность между ними распределяется по основанию участия. Разработчик отвечает за дефекты самой модели в пределах данных им заверений и гарантий; поставщик — за надлежащее предоставление и сопровождение сервиса по своему договору с заказчиком; пользователь — за то, как он применяет выводы модели. Должник, возложивший исполнение на третье лицо, отвечает за его действия перед кредитором как за свои собственные в силу ст. 403 ГК РФ, — поэтому поставщик не вправе уйти от ответственности перед заказчиком ссылкой на то, что виноват разработчик базовой модели; он отвечает перед заказчиком, а затем регрессно взыскивает с разработчика.

Распределение рисков между этими лицами эффективнее всего оформляется не общими словами, а конкретными договорными инструментами. Заверения об обстоятельствах по ст. 431.2 ГК РФ позволяют возложить на сторону ответственность за достоверность её утверждений: о наличии прав на компоненты, об отсутствии нарушения прав третьих лиц, о соответствии модели заявленным характеристикам. Возмещение потерь по ст. 406.1 ГК РФ позволяет распределить риски, не связанные с нарушением обязательства: например, риск претензий третьих лиц или риск регуляторных санкций. Эти конструкции доступны в полном объёме в отношениях между предпринимателями и являются стандартным способом «нарезать» ответственность по цепочке.

Особый вопрос — роль человека в контуре принятия решения. Чем более автономно ИИ-система принимает решения, затрагивающие третьих лиц (скоринг, модерация, медицинские или юридические подсказки), тем выше риск и тем важнее зафиксировать, кто принимает окончательное решение. Если пользователь применяет вывод модели как окончательное решение без проверки, он принимает на себя соответствующий риск, и переложить его полностью на поставщика не удастся: при содействии кредитора наступлению или увеличению убытков суд уменьшает ответственность должника по ст. 404 ГК РФ. Грамотный договор прямо распределяет, в каких сценариях вывод модели носит рекомендательный характер и требует проверки человеком, а в каких поставщик гарантирует пригодность вывода для автоматического применения.

Деликтная ответственность и вред третьим лицам

Когда ошибка ИИ-системы причиняет вред лицу, не состоящему в договоре с причинителем, в действие вступает деликтная (внедоговорная) ответственность. Общее правило: вред, причинённый личности или имуществу, подлежит возмещению в полном объёме лицом, причинившим вред, и это лицо освобождается, если докажет отсутствие своей вины, как установлено ст. 1064 ГК РФ. Применительно к ИИ это означает, что потерпевший доказывает факт вреда и причинную связь с работой системы, а лицо, эксплуатирующее систему, для освобождения должно доказать отсутствие вины. Здесь важно, что субъектом ответственности выступает не «ИИ», а лицо, под чьим контролем система использовалась.

Если ИИ-система встроена в товар, работу или услугу, предоставляемые потребителю, может применяться ответственность за вред вследствие недостатков: вред, причинённый вследствие недостатков товара, работы или услуги, подлежит возмещению по ст. 1095 ГК РФ независимо от вины и независимо от того, состоял ли потерпевший в договорных отношениях с продавцом или изготовителем. Это режим повышенной ответственности, и его нельзя устранить договором с потребителем. Для бизнеса, встраивающего ИИ в потребительские продукты, это критично: ограничения ответственности, согласованные в B2B-цепочке, не действуют против потребителя, и компенсировать выплаченное потребителю можно лишь регрессно внутри цепочки поставщиков.

Причинная связь — самый трудный элемент деликтного иска применительно к ИИ. Вероятностный характер вывода модели, участие данных заказчика, действия пользователя и сторонних систем образуют сложную цепочку, в которой выделить вклад каждого звена непросто. Практический ответ — документирование: журналы работы системы, версии модели, входные данные и принятые на их основе решения становятся доказательственной базой, без которой установить причинную связь невозможно. При толковании договорных условий об ответственности суд руководствуется буквальным значением слов, а при неясности — действительной общей волей сторон с учётом цели договора по ст. 431 ГК РФ, поэтому неаккуратные формулировки об ответственности толкуются непредсказуемо.

Ограничение и исключение ответственности: пределы свободы договора

Поставщики ИИ-систем стремятся ограничить ответственность, и закон это в целом допускает, но в строгих пределах. Размер ответственности по отдельным видам обязательств может быть ограничен законом или договором в силу ст. 400 ГК РФ. На этом основании в договорах появляются потолки ответственности (как правило, привязанные к стоимости услуг за период), исключение упущенной выгоды и косвенных убытков. Такие условия действительны в отношениях между предпринимателями и являются нормальной практикой распределения риска.

Однако предел жёсткий и не обходится никакими формулировками: заключённое заранее соглашение об устранении или ограничении ответственности за умышленное нарушение обязательства ничтожно, что прямо установлено п. 4 ст. 401 ГК РФ. Это означает, что при умышленном нарушении (например, сознательном игнорировании критического инцидента или заведомом сокрытии дефекта) любой потолок ответственности не применяется, и убытки взыскиваются в полном объёме по ст. 393 ГК РФ и ст. 15 ГК РФ. Кроме того, условие, ограничивающее ответственность за нарушение прав потребителя, ничтожно в силу законодательства о защите прав потребителей — против потребителя договорные ограничения бессильны.

Неустойка как мера ответственности также подчинена ограничениям. Соглашение о неустойке требует письменной формы по ст. 331 ГК РФ; суд вправе снизить явно несоразмерную неустойку по ст. 333 ГК РФ, а в отношении предпринимателя — лишь в исключительных случаях и по его заявлению, как разъяснено в Постановлении Пленума ВС РФ от 24.03.2016 № 7. Соотношение неустойки и убытков по умолчанию зачётное: убытки возмещаются в части, не покрытой неустойкой, в силу ст. 394 ГК РФ. Если стороны хотят сделать неустойку исключительной мерой (что выгодно поставщику), это необходимо прямо предусмотреть; молчание толкуется в пользу зачётного характера и сохраняет право на довзыскание убытков. На сумму неправомерно удержанных средств начисляются проценты по ст. 395 ГК РФ.

Ответственность в связи с персональными данными

Отдельный и всё более дорогой пласт ответственности связан с обработкой персональных данных ИИ-системой. Если поставщик обрабатывает персональные данные по поручению заказчика, перед субъектом данных отвечает оператор (заказчик), а обработчик отвечает перед оператором; поручение должно соответствовать требованиям ч. 5 ст. 18 152-ФЗ, а основания обработки — ст. 6 152-ФЗ. Обязанность принимать меры безопасности установлена ст. 19 152-ФЗ и ст. 18.1 152-ФЗ. Поэтому в договоре необходима регрессная оговорка, перекладывающая на обработчика санкции и убытки, вызванные его нарушениями.

Размер административной ответственности в этой сфере существенно вырос. С 30 мая 2025 года действует Федеральный закон от 30.11.2024 № 420-ФЗ, который ужесточил санкции по ст. 13.11 КоАП РФ и ввёл оборотные штрафы за повторную утечку персональных данных. Наряду с административной существует уголовная ответственность: незаконное собирание и распространение сведений о частной жизни наказуемо по ст. 137 УК РФ, а неправомерный доступ к компьютерной информации — по ст. 272 УК РФ. Эти риски нельзя устранить договором; договор лишь распределяет, кто их несёт экономически через регресс и возмещение потерь по ст. 406.1 ГК РФ.

Зарубежные подходы и их влияние на российскую практику

Российскому юристу полезно понимать зарубежные подходы — не для прямого применения, а потому что они влияют на договорную практику транснациональных вендоров и на доктринальную дискуссию. В Европейском союзе принят регламент об искусственном интеллекте (так называемый AI Act), вводящий риск-ориентированный подход с особыми требованиями к системам высокого риска. Обсуждавшаяся отдельная директива о гражданско-правовой ответственности за ИИ в итоге не была принята и была снята с повестки в 2025 году, что показательно: даже передовые правопорядки пока не создали специального деликтного режима для ИИ и опираются на общие нормы об ответственности и на ответственность за дефект продукта. Это подтверждает корректность российского подхода — квалифицировать ответственность за ИИ через действующие институты, а не ждать специального закона.

Практический вывод для России двоякий. С одной стороны, отсутствие специального регулирования не означает пробела: общие нормы о договорной ответственности по ст. 393 ГК РФ и ст. 401 ГК РФ, о деликте по ст. 1064 ГК РФ и об ответственности за дефект продукта по ст. 1095 ГК РФ полностью покрывают типовые ситуации. С другой стороны, договорные конструкции, выработанные международной практикой (распределение ответственности по слоям, человек в контуре принятия решения, лимиты и исключения, заверения и индемнитеты), хорошо ложатся на российское право через свободу договора по ст. 421 ГК РФ, заверения по ст. 431.2 ГК РФ и возмещение потерь по ст. 406.1 ГК РФ. Заимствовать стоит структуру, а не терминологию.

Краткое заключение

Ответственность за ошибки ИИ-системы в российском праве определяется не свойствами технологии, а квалификацией события и формулировками договора. ИИ не субъект права; отвечает лицо — разработчик, поставщик, пользователь, — и распределение между ними строится на основании участия с использованием заверений по ст. 431.2 ГК РФ и возмещения потерь по ст. 406.1 ГК РФ. Договорная ответственность наступает за нарушение измеримого обязательства по ст. 393 ГК РФ и ст. 401 ГК РФ; деликтная — за причинение вреда по ст. 1064 ГК РФ, а при дефекте потребительского продукта — по повышенному режиму ст. 1095 ГК РФ. Ограничения ответственности возможны по ст. 400 ГК РФ, но ничтожны в части умысла по п. 4 ст. 401 ГК РФ. Главный практический вывод: исход спора об ответственности за ИИ закладывается на стадии составления договора — через измеримые обязательства, чёткое распределение ролей и фиксацию доказательственной базы, а не на стадии судебного разбирательства.