Ужесточить нельзя помиловать

Дискуссия о наказании за преступления с использованием ИИ вышла на новый виток. После инициатив СК, Минцифры и Госдумы МВД предложило учитывать ИИ как отягчающее обстоятельство по ряду статей УК — клевета, неправомерный доступ к компьютерной информации, создание вредоносных программ. Логика здесь понятна, мол нейросети стали инструментом для дипфейков, фишинга и генерации малвари, снижая порог входа для злоумышленников.

Юристы сразу указали на главную проблему — риск объективного вменения. Уголовный закон не должен наказывать строже за само наличие технологии. Его задача определить, изменило ли использование ИИ характер и степень общественной опасности конкретного преступления. Разница принципиальная. В одном случае нейросеть создает дипфейк, чтобы убедить бухгалтера перевести деньги, в другом — помогает отредактировать текст сообщения. Формально ИИ применялся и там, и там, но юридическая природа ситуаций разная.

Адвокаты называют установление ответственности за использование ИИ преждевременным. Во многом это связано и с отсутствием законодательной базы, регламентирующей использование технологий ИИ. Минюст в своем отзыве на законопроект Минцифры отметил и практическую сторону: подтверждение факта использования ИИ по каждому делу потребует специального исследования, что обременительно для экспертных учреждений и ведет к росту издержек судопроизводства.

Позиция Минюста сводится к точечным изменениям вместо универсальной нормы. ИИ не может быть субъектом преступления, он не обладает сознанием и волей. Ответственность несут разработчики, операторы, владельцы сервисов и конечные пользователи — и для этого нужно четкое распределение обязанностей. Универсальный признак для всего УК рискует превратиться в инструмент, применимый к любому цифровому следу. Человек заходит в личный кабинет банка при включенном VPN и под влиянием обмана совершает финансовое нарушение — формально признак «использование средств обхода блокировок» присутствует, хотя умысла на сокрытие следов не было.

Проблема доказательства глубже, чем кажется. Исследования показывают, что если ИИ адаптировался в процессе атаки, возникает вопрос — это было заложено в дизайн или система «решила» сама? Неопределенность затрудняет установление вины. Судебная практика уже сталкивается с тем, что результаты работы ИИ не входят в перечень допустимых доказательств по ст. 74 УПК. А экспертиза цифровых следов не всегда может отделить подлинные доказательства от сфабрикованных с помощью ИИ.

Мировой опыт идет похожим путем, и везде те же грабли. В США CFAA 1986 года просто не рассчитан на автономные системы: требование умысла у человека становится все труднее выполнить, когда решение принимает алгоритм. В Британии Computer Misuse Act 1990 года писались задолго до появления ИИ, и сейчас юристы спорят, кто отвечает, если автономный агент вышел за пределы песочницы. В ЕС AI Act регулирует разработчиков и поставщиков, но не хакеров, а его экстерриториальность создает отдельный клубок проблем с юрисдикцией и доказыванием.

Получается, что все юрисдикции одновременно осознали проблему и пока не нашли решения. Россия предлагает отягчающее обстоятельство, ЕС — административные штрафы для компаний, США и Британия — пытаются растянуть старые законы на новые реалии. Но ни один из подходов не решает главного: как доказать в суде, что ИИ использовался умышленно и как именно он повлиял на преступление. Пока одни обсуждают формулировки, другие просто пользуются тем, что формулировок еще нет.

@antiinfosec