Кто отвечает за алгоритм

За три летних месяца в базу мониторинга легли 513 документов из 19 юрисдикций — 234 законопроекта, 9 принятых законов и 270 судебных решений, 32,1 млн знаков текста. Этого хватает, чтобы увидеть не отдельные новости, а направление.

Направление такое. Законодатели почти перестали спорить о том, что такое искусственный интеллект, и занялись процедурой: кто подписывает решение, кому его объясняют, у кого можно потребовать пересмотра. Суды в это же время разбирают предыдущий слой цифровизации — тот, что внедрили десять лет назад, — и раз за разом отвечают на один вопрос: чем вы докажете, что человек согласился, и чем докажете, что машина не ошиблась.

Ниже — по темам. Сначала о том, как устроен сам срез: без этого цифры ниже читаются неправильно.

Что лежит в срезе

Тематически лето распределилось неровно, и перекос сам по себе показателен. Все названные ниже документы лежат в разделе «Пульс» с полным текстом, аннотацией на русском и объяснением, почему документ попал в базу.¹

Искусственный интеллект — почти целиком парламентская тема: 99 актов против 11 судебных решений. Цифровая идентификация — ровно наоборот: 6 актов и 34 решения. Законодатель пишет про ИИ, суд разбирает электронную подпись. Разрыв между тем, что регулируют, и тем, что доходит до спора, — примерно в один технологический цикл.

География среза перекошена не меньше. Из 234 законопроектов 138 — бразильские, 47 американских, 18 немецких, 11 шведских, по единицам — ЕС, Швейцария, Канада, Япония, Турция, Франция, Эстония, Люксембург, Нидерланды. В судебной части наоборот: 83 решения британских судов, 78 нидерландских, 42 чешских, 28 венгерских, 22 из Суда ЕС, 8 немецких, 6 польских, 2 из ЕСПЧ.²

Отдельно стоит один день. 17 июля 2026 года в срезе — 76 законопроектов, из них 69 бразильских: Палата депутатов в один день выложила пакет, где два депутата, Дуда Рамос и Амом Мандел, внесли по полутора десятку текстов подряд. Это не всплеск правотворчества, а особенность выкладки, и считать по ней динамику нельзя. Зато содержание пакета читать стоит: в нём видно, как выглядит представление одной парламентской школы о цифровой экономике целиком — от суверенных дата-центров до тёмных паттернов в интерфейсе.

Искусственный интеллект: спор ушёл в процедуру

Главная новость лета в этой теме — не новое требование, а отложенное. 8 июля 2026 года принят Регламент (ЕС) 2026/1744, «цифровой омнибус» по искусственному интеллекту. Он правит Регламент (ЕС) 2024/1689 и переносит вступление в силу секций 1–3 главы III — тех самых требований к системам высокого риска.

Отсрочка не означает паузу: национальные органы достраиваются как раз сейчас. Германия внесла закон об исполнении Регламента 2024/1689 — главным органом рыночного надзора становится Федеральное сетевое агентство (Bundesnetzagentur), под задачу ему посчитали 3,68 млн евро в год и 43 штатные единицы. Там же — санкция, которую стоит запомнить: если человеку не дали объяснение по статье 86 Регламента, штраф до 50 тыс. евро. Не за плохую модель — за молчание.

Дальше та же логика повторяется в разных странах и разных отраслях, и её удобно сформулировать одной фразой: решение остаётся автоматическим, ответственность остаётся человеческой.

Бразильский PL 3382/2026 прямо запрещает федеральным ведомствам и регуляторам оформлять протокол о нарушении на основании одного лишь автоматизированного решения: санкцию подписывает служащий после содержательной проверки. По каждому такому решению ведут неизменяемый журнал — время, входные данные с источниками, версию и идентификатор модели, параметры, результат со скорингами и вероятностями, объяснение логики, следы человеческой проверки и хеш целостности; хранить не меньше пяти лет. До протокола проверяемому шлют предварительное уведомление с указанием данных, которые вызвали срабатывание, и дают не меньше 15 дней на исправление.

PL 3560/2026 вводит обязательный аудит алгоритмической прозрачности (Auditoria Obrigatória de Transparência Algorítmica) для федеральных систем, распределяющих пособия, места и очереди: до запуска и дальше не реже раза в 12 месяцев, с публикацией методики простым языком и выявленных долей ошибок. PL 4734/2026 даёт уязвимым гражданам право потребовать, чтобы автоматизированное решение пересмотрел живой служащий — за 15 рабочих дней и без права автоматически подтвердить прежний результат. PL 4881/2026 переносит ту же конструкцию в потребительские отношения и добавляет к ней зубы: бремя доказывания исправности системы лежит на поставщике, штраф — до 5% валовой выручки группы, но не более 500 млн реалов за нарушение, вплоть до запрета алгоритма и полного перепрограммирования.

Рядом в том же пакете лежат три текста про алгоритмы в финансовой системе (PL 4391/2026, PL 4392/2026, PL 4393/2026), где обязанности сформулированы через оборот «будут стремиться», а раскрывать исходный код, модели и параметры прямо не требуется. Один и тот же парламент в один и тот же день предлагает и режим с оборотным штрафом, и декларацию о намерениях: рамка ещё не выбрана.

В США подход другой — точечный и отраслевой. Right to Override Act разрешает врачу отклонить вывод системы поддержки клинических решений по собственному профессиональному суждению и запрещает увольнять и преследовать его за это; надзор — у Министерства труда, жалоба или иск — у самого врача. Housing Price Transparency Act обязывает раскрывать, что месячную арендную ставку назначила программа, и делает умолчание недобросовестной практикой по Закону о Федеральной торговой комиссии. READ AI Models Act поручает NIST собрать модульный шаблон документации к моделям, AI Flaw Reporting and Security Enhancement Act — национальную базу изъянов ИИ; и то и другое добровольное.

Германия зашла с третьей стороны — через антидискриминационное право. В отзыве на вторую поправку к Общему закону о равном обращении (12 июня 2026) прямо сказано: искусственный интеллект и системы автоматизированных решений применяют при найме, сдаче жилья, выдаче кредитов и в страховании, а § 3 AGG такой формы дискриминации не описывает — нужно определение и облегчение доказывания. Бразильский PL 4370/2026 идёт тем же путём с другого конца: косвенной дискриминацией признаёт нейтральные на вид алгоритмы и статистические модели, которые непропорционально бьют по экономически уязвимым.

Дипфейки переехали в уголовный кодекс

Ещё год назад синтетический контент регулировали через обязанности платформ: пометить, удалить, отчитаться. Летом 2026 года центр тяжести сместился к составам преступлений — и особенно заметно это в Бразилии, где правки Уголовного кодекса идут пачкой.

PL 3905/2026 делает сексуализированный дипфейк отдельным составом по статье 218-C и обязывает провайдеров снять материал с ребёнком за 24 часа без судебного решения. PL 4695/2026 расписывает шкалу: 2–6 лет за создание, заказ или оплату несогласованного синтетического сексуального контента, 3–8 лет за хранение и администрирование каналов распространения, 6–14 лет, если на материале ребёнок; приложения для «раздевания» (nudificação) запрещено размещать и монетизировать. PL 3367/2026 вводит статью 158-A — вымогательство через синтетическую подделку личности, от 6 до 12 лет. PL 4849/2026 добавляет статью 307-A о подделке личности синтетическим контентом (2–5 лет) и прямо выводит из-под неё сатиру, пародию, художественную работу и журналистику с указанием на синтетическую природу материала.

Отдельная и, кажется, новая ветка — защита самого правосудия от подделанных входных данных. PL 4272/2026 вводит статью 359-I: подделка данных, инструкций, кода или метаданных в документах для суда ради обмана системы ИИ, которой пользуются суд, прокуратура или публичная защита, — от 1 до 4 лет, столько же тому, кто такие инструменты продаёт. PL 4274/2026 приравнивает подмену запроса (prompt injection) в процессуальных документах к посягательству на достоинство правосудия, а PL 3394/2026 обязывает юриста заявить в материалах дела, что он пользовался ИИ, и хранить промпты и ответы модели.

США движутся к тому же результату через частный иск. NO FAKES Act делает голос и внешность самостоятельным федеральным объектом прав: при жизни право не отчуждается, но лицензируется, после смерти держится 10 лет с продлением, но не дольше 70 лет со дня смерти. Взыскания — 5 тыс. долларов за произведение с человека, 25 тыс. с компании и до 750 тыс. с сервиса, который игнорировал уведомления. TAKE IT DOWN Act даёт площадке 48 часов на удаление по заявлению, DEFIANCE Act — десятилетний срок исковой давности по искам жертв интимных подделок.

Персональные данные: 236 документов, но спорят не о приватности

Самая крупная тема среза — и самая обманчивая. Из 122 судебных решений по персональным данным заметная часть вообще не про обработку: это споры о доступе — к своим данным, к чужим документам, к сведениям, которые орган не хочет отдавать.³

Британская часть среза почти целиком состоит из дел против Информационного комиссара по статье 166 Закона о защите данных 2018 года. Норма процедурная: трибунал проверяет, как комиссар рассмотрел жалобу, а не по существу ли он прав. Итог предсказуем — почти все такие заявления отклоняются по правилу 8(3)(c) как не имеющие реальных шансов на успех. В деле James Kelsall v The Information Commissioner (30 июля 2026) трибунал отдельно описал издержки такого потока: 22 жалобы за девять месяцев и 315 писем после предупреждения. Исключение в срезе одно — Dhanwantee Hooper (30 июля 2026): комиссара обязали за 28 дней довести процедуру до письменного решения, потому что он её просто не закончил.

Венгрия даёт зеркальную картину: девять решений о «данных общего интереса» — о зарплатах политических советников, о договорах госкомпаний, о финансировании фильма из бюджета. Суды системно встают на сторону заявителя, но требуют маскировать персональные данные подписантов. Тот же спор дошёл до уровня ЕС: 15 июля 2026 года Общий суд рассмотрел дело чешской организации Kverulant.org против Европарламента о доступе к сведениям о вознаграждениях чешских депутатов (T-529/24) — ровно на стыке прозрачности и статьи 9(1) Регламента 2018/1725.

Содержательная часть — в Суде ЕС, и там за две недели вышло сразу несколько решений, которые придётся учитывать всем.

Немецкий Федеральный суд за то же лето дважды уточнил цену ошибки. В деле VI ZR 375/24 (12 мая, опубликовано 29 июня 2026) он признал незаконной передачу данных в кредитное бюро SCHUFA по сомнительному, ничем не подтверждённому требованию: статья 6(1)(f) GDPR такую передачу не покрывает, данные подлежат отзыву, вред возмещается по статье 82. В деле VI ZR 97/22 (23 июня 2026) суд подтвердил, что потеря контроля над данными и обоснованные опасения злоупотребления — это вред, но размер компенсации нужно доказывать.

И одно решение, которое стоит десятка методичек. 29 июля 2026 года нидерландский Совет государства оставил в силе отмену штрафа в 600 тыс. евро, наложенного на муниципалитет Энсхеде за подсчёт посетителей по MAC-адресам устройств с включённым Wi-Fi. Надзорный орган не доказал, что по псевдонимизированным MAC-адресам и данным о местоположении можно опознать конкретного человека, — и штраф не устоял. Бремя доказывания идентифицируемости лежит на регуляторе.

Алгоритм в госуправлении: суд требует объяснений первым

Пока парламенты пишут про человеческий надзор, нидерландские суды уже спрашивают с конкретных систем. 7 августа 2026 года суд Гааги, заседая в Гронингене составом из трёх судей, вынес два решения по делам об убежище (NL24.46374 и NL25.18692) — и оба раза признал жалобу обоснованной и отменил решение министра.

Предмет спора — CaseMatcher, система, которая ищет и ранжирует материалы по заявлениям о предоставлении убежища. Заявители представили три экспертных заключения и добивались ответа на простой вопрос: это ИИ-система или нет. Суд установил, что по документам министерства и по государственному Реестру алгоритмов установить это невозможно: неясно, как переменные и веса складываются в оценку релевантности и задавали ли их люди заранее или они выведены из данных. В отчёте об оценке самого эксперимента 2021 года при этом прямо сказано, что прототип строился с применением методов text mining и artificial intelligence.

Это не единичный эпизод, а линия. 29 июля 2026 года тот же суд разбирал отказ в визе, при подготовке которого применялся алгоритм IOB (Informatie Ondersteunend Beslissen): на исход он не повлиял, но министерство не упомянуло его в решении — и суд признал нарушенными принципы мотивации и прозрачности, оставив отказ в силе. 4 июня 2026 года — обратный результат: система VisualDoc только классифицировала документы, подлинность оценивали люди, требования прозрачности к ней не применяются. Граница проводится по одному признаку: повлияла ли машина на существо решения.

Германия в это же время расширяет ровно ту практику, которую в Нидерландах разбирают в судах. Правительственный проект поправок к Уголовно-процессуальному кодексу (1 июля 2026) вводит § 98d — автоматическое сравнение биометрии из уголовного дела с общедоступными данными в интернете (сейчас это делают вручную обычными поисковиками) и § 98e — обработку полицейских данных автоматизированным приложением на аналитической платформе, в том числе сразу по нескольким делам. В пояснении сказано прямо: отдельное правовое основание понадобилось из-за Регламента об ИИ 2024/1689. Закон KIMVG (14 августа 2026) вписывает в законодательство об убежище мониторинг хода производства (Verfahrensmonitoring) и автоматическое сличение сведений заявителя с общедоступными данными из интернета, оговаривая, что правовая оценка остаётся за сотрудником.

И бытовой сюжет из той же темы: 12 августа 2026 года Совет государства Нидерландов рассмотрел сразу два дела студентов — из Эразмуса и Маастрихта — об использовании ChatGPT при составлении списка литературы. В обоих случаях библиография содержала несуществующие ссылки, санкции университетов устояли. Формулировка суда прикладная: студент не разграничил части работы, сделанные самостоятельно и с помощью ИИ, и тем самым лишил преподавателя возможности оценить его знания.

Цифровая идентификация: суды не верят кликам

Самый массовый и самый недооценённый сюжет среза. В теме «цифровая идентификация и госуслуги» — 34 судебных решения против 6 актов, и почти все решения чешские. Сюжет у них один и тот же, повторённый десятки раз: потребитель взял заём через сайт, кредитор идёт взыскивать, суд смотрит, чем подтверждена воля должника, — и не находит подтверждения.

Аргументация повторяется дословно. PIN-код, введённый на телефоне в форме на сайте, не является электронной подписью, отвечающей чешскому закону и регламенту eIDAS: он не обеспечивает однозначной идентификации подписанта и защиты записи от изменений. Значит, письменная форма договора не соблюдена. Отдельно и независимо суды проверяют оценку кредитоспособности: если кредитор опирался только на непроверенное заявление заёмщика о доходах, договор недействителен абсолютно.

Это не разночтение отдельных судей, а сложившаяся практика первой инстанции, подтверждённая апелляцией. Для рынка онлайн-кредитования в стране она означает, что вся модель «клик вместо подписи» перестала окупаться, — и дальше события пойдут либо к квалифицированной подписи и банковской идентификации, либо к законодательной починке письменной формы.

На уровне ЕС в это время достраивают инфраструктуру, при которой такого спора не будет. Германия внесла Закон о цифровых идентичностях (DIdG, Drucksache 21/7408 от 29 июля 2026) под Европейский кошелёк цифровой идентичности: национальный закон закрывает то, чего нет в прямо действующем Регламенте 910/2014 в редакции 2024/1183 — компетенции ведомств, основания для отдельных мер, штрафные составы. Расчёт занятный: федерации это добавит 1,8 млн евро расходов, землям сэкономит около 123,5 млн евро в год.

Бразилия подходит с той стороны, где идентификация встречается с приватностью. PL 4927/2026 обязывает государство бесплатно давать механизм проверки возраста, который выдаёт подтверждение (atestação) соответствия порогу — и запрещает передавать вместе с ним данные, идентифицирующие человека, раскрывать эмитенту получателя подтверждения и выбирать более раскрывающий способ там, где хватает менее раскрывающего. Механизм работает на открытых стандартах, а тот, кто обязан проверять возраст, не вправе требовать другого доказательства. Это, пожалуй, самая аккуратная конструкция возрастной проверки в срезе.

Платформы: от «не отвечаем» к «отвечаем, если знали»

Общий закон об ответственности посредника никто не переписывал, но по краям его обтачивают активно — и суды, и парламенты.

16 июля 2026 года Суд ЕС разобрал спор итальянского регулятора AGCOM с Google Ireland о рекламе онлайн-казино на YouTube. Первый вывод: из-под Директивы 2000/31 выведены сами азартные игры, а не хостинг рекламы о них. Второй, и он важнее: Google заключала партнёрские соглашения с авторами контента и анализировала тематику, популярность и метаданные каналов — такой контроль лишает её нейтральности, а вместе с ней и защиты по статье 14 директивы.

Венгерская Курия в деле Kfv.37.495/2026 (7 июля 2026) прошла по той же границе с другой стороны. Оператору маркетплейса выписали штраф 50 млн форинтов за опасные товары — цепные режущие головки, не отвечающие требованиям ЕС. Суды подтвердили формулу: общей ответственности за чужой контент у площадки нет, но при получении конкретной информации о нарушении она обязана действовать немедленно. А вот повторный штраф Курия сняла: надзорный орган распространил проверку за пределы периода, о котором шла речь в предыдущих решениях.

Британское дело Roadget (SHEIN) против Whaleco (Temu) (Высокий суд, 13 августа 2026) — про то же, но в авторском праве. Претензии по фотографиям товаров отклонены почти целиком: по снимкам поставщиков SHEIN не доказала право собственности, по снимкам сотрудников право признано, но нарушения не установлено, а самой площадке суд отказал в ответственности по статьям 20 и 23 британского закона, указав на её пассивную роль и отсутствие осведомлённости.

Два решения того же дня, 9 июля, меняют квалификацию целых бизнес-моделей. Суд ЕС признал стриминговую подписку цифровой услугой, а не цифровым контентом: раз сервис динамичен, персонализирует рекомендации и требует постоянного участия поставщика, право потребителя на отказ не сгорает в момент начала исполнения — он платит пропорциональную часть (prorata temporis) и уходит. А генеральный адвокат заключил, что Amazon Italia Logistica, Transport и Services оказывают почтовые услуги по Директиве 97/67: сортировка, упаковка, склады и координация подрядчиков с планированием маршрутов, показателями и санкциями — решающее влияние на условия услуги, даже если сама компания ничего не развозит.

Бразильский пакет по платформам читается как список претензий потребителя. PL 4553/2026 объявляет тёмные паттерны (dark patterns) нарушением прав потребителя: штраф до 2% выручки в Бразилии, но не более 50 млн реалов, плюс обязательный редизайн интерфейса. PL 4555/2026 требует предупреждать об одностороннем изменении сервиса за 60 дней, иначе изменение недействительно. PL 3420/2026 вводит симметрию: отписаться можно теми же каналами и за столько же шагов, что и подписаться. PL 5064/2026 дописывает в Кодекс защиты потребителя право на честный интерфейс — настройка по умолчанию обязана соответствовать варианту с наибольшей защитой приватности, а доказывать нейтральность дизайна должен сам поставщик. PL 3046/2026 просто выключает бесконечную ленту: после 30 роликов подряд — пауза минимум 5 минут.

Дети: две противоположные конструкции

Тема детской безопасности за лето обзавелась двумя решениями, которые тянут в разные стороны.

Первое — европейское. Регламент (ЕС) 2026/1881 от 24 июля 2026 года продлевает временное отступление от статей 5(1) и 6(1) директивы 2002/58 о конфиденциальности связи: провайдеры мессенджеров и других сервисов межличностной связи, не привязанных к номеру, могут и дальше сканировать переписку ради поиска материалов о сексуальном насилии над детьми и распознавания домогательств. Условие — строгая необходимость и единственная цель, отчётность включает долю ошибочных срабатываний (false positives). Срок действия — до 3 апреля 2028 года.

Второе — бразильское, и устроено оно ровно наоборот: не смотреть в переписку, а построить проверку возраста так, чтобы она ничего не раскрывала (PL 4927/2026, см. выше). Рядом — PL 4219/2026 с приватностью по умолчанию и запретом бесконечной ленты, побуждающих уведомлений и платных механик случайных наград; PL 4533/2026 с запретом рекламы, персонализированной по поведенческому профилю несовершеннолетнего; PL 3992/2026 со статьёй 18-C Статута ребёнка и подростка — про родителей, публикующих снимки детей (sharenting), где согласие самих опекунов от запрета не освобождает.

В США та же тема идёт двумя большими текстами. Kids Online Safety Act обязывает площадки проектировать функции вовлечения с разумной осмотрительностью, запрещает продуктовые исследования на детях до 13 лет и требует давать возможность переключиться на алгоритм, не использующий данные о самом пользователе. Promoting a Safe Internet for Minors Act идёт дальше в деталях: сайты, где больше трети контента вреден для детей, внедряют распознавание несовершеннолетних; соцсети по умолчанию отключают им функции, вызывающие навязчивое использование; а чат-бот обязан сообщить подростку, что он не человек, и показать телефон кризисной помощи.

Суверенитет, инфраструктура и кибербезопасность

Здесь лето дало самый предсказуемый и самый единообразный результат: страны описывают цифровую инфраструктуру как объект национальной безопасности и достраивают полномочия тем, кто её защищает.

Бразильский PL 4477/2026 присваивает статус стратегических цифровых инфраструктур системе мгновенных платежей PIX, цифровой валюте Drex, Open Finance, порталу Gov.br и Национальному удостоверению личности CIN. PL 4364/2026 разрешает в госзакупках облачных услуг объективно выше оценивать решения, чья основная инфраструктура стоит в Бразилии, — и тут же прямо запрещает резервировать рынок и вытеснять иностранные компании. PL 4395/2026 вводит понятие «предельных цифровых рисков» и штраф до 10% валовой выручки группы в стране для операторов стратегических цифровых сервисов.

Германия внесла Закон об усилении кибербезопасности (Drucksache 21/6585): Федеральное ведомство по информационной безопасности BSI сможет предписывать перенаправление вредоносного трафика не только операторам связи, но и другим центральным поставщикам услуг и направлять группы реагирования — в том числе при заранее размещённых бэкдорах (Prepositioning), — а поставщиков цифровых услуг обяжут передавать клиентам предупреждения BSI о конкретных угрозах. Цена вопроса для бизнеса названа: около 10 млн евро в год и 4,4 млн разово.

Швеция перенесла европейскую директиву CER: критический субъект составляет план устойчивости, ежегодно обновляет анализ уязвимых должностей, проверяет этих работников по выписке из реестра судимостей не старше шести месяцев и сообщает о серьёзном инциденте не позже 24 часов, а полный отчёт присылает в течение месяца. Штрафы по Закону о защите безопасности подняты до 120 млн крон или 2% мирового оборота, вступление в силу — 1 января 2027 года.

На уровне ЕС в июне внесены два тяжёлых предложения. Европол учреждают заново (COM(2026) 580, Регламент 2016/794 отменяется): мандат распространяют на преступления с гибридной составляющей во всём киберпространстве, появляются общее полицейское пространство данных (Police Shared Data Space), механизм обмена информацией с частными компаниями и «цифровая полицейская идентичность ЕС»; принудительных полномочий агентство при этом не получает. Европейский ордер на расследование перерабатывают (COM(2026) 313) и добавляют к нему ордер на дистанционное участие — подозреваемый, обвиняемый или потерпевший сможет с собственного согласия участвовать в заседании по видеосвязи из другой страны ЕС.

Отдельно стоит отметить шведский пакет о новой службе внешней разведки: центральный его элемент — закон об обработке персональных данных в ней, задуманный исчерпывающим. GDPR и шведский закон о защите данных к такой обработке применяться не будут. Швейцария в те же недели открыла своей разведке доступ к сведениям банков при тяжёлых угрозах, оставив проверку каждой меры Федеральному административному суду.

Криптоактивы: пришла не полиция, а налоговая

В крипто-теме за лето почти нет запретов и почти нет лицензирования. Зато есть отчётность.

Германия одним пакетом ратифицирует три многосторонних соглашения компетентных органов, подписанных в Асунсьоне 26 ноября 2024 года: рамки отчётности по криптоактивам (Melderahmen für Kryptowerte), дополнение к соглашению 2014 года о финансовых счетах — оно втягивает в обмен деривативы на криптоактивы и доли в инвестирующих в них компаниях, — и соглашение 2021 года о доходах через цифровые платформы. Ежегодный налоговый закон 2026 года достраивает последнее: операторы платформ станут передавать сведения о продавцах не только странам ЕС, но и третьим государствам-участникам.

ЕС в переработанной директиве об административном сотрудничестве (COM(2026) 308) поднимает порог отчётности платформ по продаже товаров с 2 000 до 3 000 евро и убирает порог по числу сделок, а срок раскрытия трансграничных схем посредниками растягивает с 30 до 90 дней. Обмен данными по операциям с криптоактивами при этом сохраняется и охватывает как лицензированных по MiCA поставщиков, так и нелицензированных операторов.

Санкционный контур в июле впервые накрыл крипторынок целиком. Регламент 2026/1846 с 25 августа 2026 года запрещает гражданам Белоруссии и живущим там людям владеть и контролировать любые криптосервисы ЕС в значении MiCA — раньше запрет касался только кошельков, счетов и кастодиальных услуг. Регламент 2026/1848 впервые позволяет запретить сделки со всеми криптосервисами и криптоплатформами, зарегистрированными в перечисленных третьих странах, и вносит в приложения 14 компаний, оказывающих услуги по криптоактивам. В обоих актах сохранены изъятия для поставок, поддерживающих интернет-инфраструктуру общего пользования.

Суды тем временем разбираются с последствиями. Коммерческий суд Англии 24 июля 2026 года по делу Smithers & Anor v Persons Unknown признал, что биткойн не теряет идентичности при передаче и остаётся собственностью потерпевших: 10,5 млн фунтов ушли в фальшивую криптотрейдинговую компанию, второй круг получателей обязали вернуть монеты или их фиатный эквивалент. Роттердамский суд 16 июля признал банкротом криптокомпанию с 3 661 клиентом и дефицитом 5–7 млн евро. Сегедская апелляционная палата 29 июня отменила конфискацию 14 274,7275 единиц USDT, DAI и ILV: происхождение средств подтверждалось легальным доходом и налоговой отчётностью.

Куда это идёт

Четыре вывода из среза — и осторожный прогноз к каждому.

Первое. Регулируют не технологию, а решение. Ни один документ лета не пытается описать, как должна быть устроена модель. Все описывают, что происходит вокруг вывода модели: кто подписывает, кому объясняют, за сколько дней пересматривают, что лежит в журнале и сколько его хранят. Это удобно тем, что не устаревает вместе с архитектурой моделей, и неудобно тем, что проверяемость смещается на бумагу. Ожидать стоит роста именно аудиторских требований: реестры систем, оценки воздействия, отчёты о прозрачности.

Второе. Уголовное право обгоняет регуляторное. Составы за дипфейки, синтетические личности и манипуляцию судебными ИИ-системами пишутся быстрее и проходят легче, чем рамочные законы об ИИ: у них короткий текст, понятная жертва и нулевая цена для бюджета. Из бразильского пакета до принятия, вероятнее всего, дойдут именно правки Уголовного кодекса и Кодекса защиты потребителя, а не национальные политики с созданием новых систем и центров.

Третье. Суды взялись за предыдущее поколение цифровизации. Чешские онлайн-кредиты, нидерландский CaseMatcher, штраф за MAC-адреса в Энсхеде, SCHUFA — это всё споры о технологиях, внедрённых пять–десять лет назад, и во всех суд задаёт один вопрос: покажите, как это работает. Тот, кто не может показать, проигрывает независимо от того, ошибся он на самом деле или нет.

Четвёртое. Сроки разъезжаются. ЕС отложил требования к системам высокого риска на 2027–2028 годы, но национальные надзоры и национальные основания для автоматизации строятся уже сейчас. В промежутке возникает окно, когда обязанности по регламенту ещё не действуют, а органы, полномочия и составы правонарушений — уже есть.