Цифровая грамотность сотрудников станет частью риск-менеджмента

Распоряжение Правительства России от 7 сентября 2026 года № 2402-р утвердило Концепцию повышения уровня цифровой грамотности граждан. Документ действует с 7 сентября 2026 года, но пока не обязывает компании проводить аттестацию сотрудников, менять локальные акты или обучать персонал к определённой дате.

Руководителю не нужно придумывать требования вместо государства. Сейчас задача компании — проверить свои правила работы с цифровыми рисками и дождаться плана мероприятий, который определит способы реализации Концепции.

Что изменилось с 7 сентября 2026 года

Концепция закрепила направления государственной политики в сфере цифровой грамотности. Среди них — единые рекомендации по безопасному поведению в интернете, алгоритмы правового реагирования на цифровые преступления и правила работы с искусственным интеллектом.

Для компаний документ выделяет обучение сотрудников как элемент управления корпоративными рисками. Правила цифровой грамотности предлагается включать в корпоративные образовательные программы.

Отдельное обучение предусмотрено для сотрудников банков, операторов связи, МФЦ и центров занятости, а также для педагогов и социальных работников, которые взаимодействуют с гражданами.

Это пока направление работы, а не готовый порядок обучения. Распоряжение № 2402-р не устанавливает срок, периодичность и форму занятий, не вводит экзамен или аттестацию и не определяет ответственность работодателя за отсутствие такой программы.

Какие темы могут войти в обучение сотрудников

Концепция охватывает четыре группы навыков:

• безопасное поведение в цифровой среде;
• действия при цифровом преступлении;
• проверку материалов на признаки синтетической генерации, включая дипфейки;
• снижение рисков при передаче персональных и биометрических данных системам машинного обучения.

Из распоряжения № 2402-р не следует, что компания уже обязана утвердить отдельное положение по каждой теме. Конкретные способы реализации должны появиться в плане мероприятий, который предстоит подготовить ведомствам.

Практический совет: не ждите плана, чтобы найти очевидные пробелы. Проверьте один рабочий сценарий — сотрудник получает файл, созданный с помощью ИИ, либо загружает сведения во внешний ИИ-сервис.

Внутри компании должны быть понятны ответы на три вопроса: какие данные разрешено передавать сервису, кто согласует такую передачу и кому сотрудник сообщает о подозрительном файле или инциденте. Это не требование распоряжения № 2402-р, а способ заранее снизить цифровые риски.

Кому пока рано менять локальные акты

Само упоминание корпоративных образовательных программ не создаёт для каждого работодателя обязанности немедленно принять новое положение или провести обучение всего персонала.

Не стоит закреплять во внутренних документах выдуманные сроки, экзамены и меры ответственности со ссылкой на распоряжение № 2402-р. Если будущий план установит другой порядок, документы придётся переделывать.

До выхода плана можно дополнить существующие инструкции правилами, которые нужны компании независимо от Концепции. Например, определить допустимые способы работы с внешними ИИ-сервисами и порядок сообщения о цифровом инциденте. Основание такого решения — оценка рисков компании, а не ещё не опубликованные обязательные требования.

Что проверить после публикации плана мероприятий

План мероприятий должен перевести положения Концепции в конкретные меры. После его публикации руководителю нужно проверить:

• с какой даты применяются новые правила;
• какие организации и работники под них попадают;
• чему и как часто потребуется обучать сотрудников;
• какими документами подтверждать обучение;
• предусмотрена ли ответственность за невыполнение требований.

Нельзя заранее утверждать, что план введёт каждый из этих элементов. Содержание новых обязанностей станет ясно только после публикации документа.

Что сделать руководителю сейчас

Назначьте сотрудника, который отвечает за цифровые риски, и поручите ему сверить действующие инструкции и обучение с четырьмя темами Концепции: безопасной работой в интернете, реакцией на цифровое преступление, проверкой синтетического контента и передачей персональных либо биометрических данных ИИ-системам.

Результатом проверки должен стать короткий перечень пробелов. Менять локальные акты со ссылкой на распоряжение № 2402-р стоит после выхода плана мероприятий и проверки его официального текста.

Это общий порядок. Нужные меры для конкретной компании зависят от того, какие данные она обрабатывает, какими цифровыми сервисами пользуется и какие сотрудники работают с гражданами.