15.10.2026

Проблемы цифрового законодательства Казахстана

и пределы законодательного регулирования

(соответствие законодательства п. 3 ст. 60 Конституции

Республики Казахстан)

С. Темирбулатов,

Почетный юрист РК

 2026 год стал для Казахстана переломным этапом развития правового регулирования цифровой среды.

15 марта 2026 года на республиканском референдуме была принята новая Конституция Республики Казахстан. Она закрепила новую институциональную модель законодательной власти, предусмотрев Курултай как высший представительный орган, осуществляющий законодательную власть. Одновременно Конституция существенно изменила формулу определения предметов законодательного регулирования.

Практически одновременно с конституционной реформой сформировался новый массив цифрового законодательства. 9 января 2026 года был принят Цифровой кодекс Республики Казахстан. В течение года были существенно обновлены Закон «О кибербезопасности» и Закон «О персональных данных и их защите». Продолжил действовать принятый 17 ноября 2025 года Закон «Об искусственном интеллекте», который в 2026 году также подвергался изменениям.

Таким образом, сегодня в Казахстане существует уже не отдельное регулирование информатизации, а достаточно сложная межотраслевая система цифрового права, включающая нормы о данных, цифровых объектах, цифровой инфраструктуре, кибербезопасности, искусственном интеллекте, автоматизированных решениях и ответственности.

Однако возникновение этой системы почти одновременно с новой Конституцией порождает принципиальный теоретический и практический вопрос: в какой мере действующее цифровое законодательство соответствует новой конституционной модели разграничения законодательного и подзаконного регулирования, закрепленной пунктом 3 статьи 60 Конституции Республики Казахстан?

Этот вопрос имеет значение не только для проверки формальной конституционности отдельных законов. Он позволяет поставить более широкую проблему: какой объем регулирования цифровой сферы действительно должен осуществляться законом, а какой может и должен быть передан на уровень подзаконных нормативных правовых актов?

Именно этот аспект представляется особенно важным применительно к цифровой сфере, поскольку ее технические характеристики меняются существенно быстрее, чем законодательство.

Новая конституционная модель законодательного регулирования

Пункт 3 статьи 60 новой Конституции устанавливает, что Курултай вправе издавать законы, которые «регулируют важнейшие общественные отношения, устанавливают основополагающие принципы и нормы» по перечисленным в Конституции вопросам.

В числе этих вопросов находятся, в частности:

1. правосубъектность физических и юридических лиц, гражданские права и свободы, обязательства и ответственность физических и юридических лиц;

2. основы организации и деятельности государственных органов и органов местного самоуправления, государственной и воинской службы;

3. обеспечение обороны и безопасности государства;

4. иные вопросы, в соответствии с Конституцией.

Таким образом, новая Конституция, по существу, закрепляет двойной критерий законодательного регулирования.

Первый критерий — предметный. Общественные отношения должны относиться к сфере, которую Конституция относит к законодательному регулированию.

Второй — содержательный. Речь должна идти именно о важнейших общественных отношениях, основополагающих принципах и нормах.

Второй критерий имеет принципиальное значение.

Если исходить только из предметного критерия, можно прийти к выводу, что, например, поскольку кибербезопасность относится к безопасности государства, то абсолютно все вопросы кибербезопасности могут регулироваться законом.

Но такой вывод представляется чрезмерно широким.

Конституция предоставляет законодателю полномочие регулировать основополагающие отношения в соответствующей сфере, но не требует превращать закон в технический регламент.

Эта мысль имеет особое значение именно для цифрового законодательства.

От прежней конституционной формулы к новой

Для понимания значения произошедших изменений уместно вспомнить прежнюю Конституцию.

Пункт 3 статьи 61 Конституции 1995 года также определял предметы законодательного регулирования, включая права и свободы, основы организации государственных органов, налогообложение, судоустройство и судопроизводство, образование, здравоохранение, оборону и безопасность государства и другие вопросы.

При этом последняя часть прежней нормы прямо устанавливала «все иные отношения регулируются подзаконными актами».

Новая Конституция использует иную конструкцию. Теперь пункт 3 статьи 60 говорит о законах, регулирующих важнейшие общественные отношения и устанавливающих основополагающие принципы и нормы.

Это не следует воспринимать как чисто редакционную замену.

Новая формула позволяет поставить вопрос о качественной границе закона.

Законодатель должен определить фундаментальные правила соответствующей сферы, а исполнительная власть — обеспечить их реализацию в пределах установленной законом компетенции.

Именно поэтому при анализе цифрового законодательства необходимо ответить не только на вопрос «имеет ли законодатель право регулировать эту сферу?» но и на вопрос «насколько детально он вправе ее регулировать?»

Почему цифровая сфера требует особенно четкого разграничения?

Цифровое регулирование имеет одну особенность, отличающую его от многих традиционных отраслей права - технологический цикл существенно короче законодательного.

То, что сегодня является актуальным техническим требованиям, через два-три года может оказаться устаревшим.

Поэтому цифровое право должно одновременно обеспечивать правовую определенность, защиту прав человека, безопасность, ответственность, предсказуемость государственного регулирования и при этом не создавать чрезмерно жесткой законодательной конструкции, препятствующей технологическому развитию.

Эта проблема прямо отражена уже в самом Цифровом кодексе. В статье 4 Кодекса закреплены, среди прочего, принципы безопасности человека, общества и государства, баланса частных и публичных интересов, пропорционального участия государства и технологической нейтральности правового регулирования.

Статья 12 устанавливает, что правовое регулирование должно исходить из функциональных характеристик технологий, обеспечивать предсказуемость и стабильность регулирования и не создавать необоснованных препятствий для развития новых технологий. Это критически важные положения.

Фактически сам Цифровой кодекс содержит методологический ответ на вопрос о пределах законодательного регулирования: закон должен быть достаточно стабильным, а конкретные технологические решения не должны жестко привязываться к тексту закона.

Законодательное регулирование прав человека - как

безусловная сфера закона

Первую и наиболее очевидную группу цифровых отношений составляют отношения, затрагивающие права и свободы человека. Здесь необходимость законодательного регулирования сомнений не вызывает.

Новая Конституция закрепляет специальную гарантию защиты персональных данных, включая защиту от их незаконного сбора, обработки, хранения и использования с применением цифровых технологий. Именно закон должен обеспечить реализацию этой конституционной гарантии.

Следовательно, Закон «О персональных данных и их защите» имеет прямое конституционное основание.

Это касается прежде всего прав субъекта персональных данных, условий их сбора и обработки, оснований передачи этих данных, ограничений их использования, обязанностей собственников и операторов, гарантий их конфиденциальности, оснований доступа к ним государственных органов; ответственности за нарушения их конфиденциальности.

Такие вопросы по своей природе относятся к основополагающим нормам, поскольку непосредственно затрагивают конституционные права.

Поэтому передача их исключительно на подзаконный уровень противоречила бы самой логике новой Конституции.

Закон «О персональных данных и их защите»: сильная сторона и конституционная основа

Закон 2013 года в 2026 году представляет собой уже существенно обновленный нормативный акт. Последние изменения внесены законом от 24.07.2026 года.

Закон устанавливает правовой режим сбора, обработки и защиты персональных данных, определяет права и обязанности соответствующих субъектов и предусматривает государственный контроль.

Особенно важен переход от исключительно организационной модели к модели, предполагающей конкретные меры защиты. Обязанности собственника и оператора возникают с момента сбора персональных данных и действуют до их уничтожения либо обезличивания.

Законодательство предусматривает также специальные правила в отношении доступа, согласия, идентификации и обработки данных. Здесь законодатель действует в пределах конституционной компетенции достаточно очевидно. Однако определенная часть конкретных требований может быть установлена не самим законом, а подзаконными актами.

Именно такая модель представляется конституционно более корректной - закон устанавливает право, обязанность, принципы, гарантию, ответственность, а подзаконный акт определяет процедуру, технический способ, форму и порядок реализации.

Практика показывает, что проблема уже не столько в отсутствии закона, сколько в его исполнении

Этот вывод особенно убедительно подтверждается практикой 2026 года.

По данным Министерства искусственного интеллекта и цифрового развития, в 2025 году было проведено 77 проверок в сфере защиты персональных данных, а с начала 2026 года - уже 44. При проверках выявлялись отсутствие согласия граждан, отсутствие ответственных лиц и перечней лиц, имеющих доступ к информации, сбор избыточных данных, отсутствие многофакторной аутентификации, журналирования, криптографической защиты, антивирусных решений и межсетевых экранов.

Это обстоятельство имеет принципиальное значение для оценки законодательной политики.

Если законодательные акты уже содержит необходимые обязанности, но организации их не исполняют, то ответом не обязательно должно быть принятие новых законов.

Необходимы контроль и аудит исполнения, техническое обеспечение, обучение, методические документы, стандарты, правильное правоприменение и ответственность технических исполнителей.

Иными словами: дополнительная законодательная детализация не всегда является адекватным ответом на проблему ненадлежащего исполнения уже существующих норм.

Закон «О кибербезопасности»:

безусловное конституционное основание

В отличие от Закона о персональных данных, конституционное основание Закона о кибербезопасности выводится прежде всего из положения о безопасности государства.

Подпункт 12) пункта 3 статьи 60 прямо относит к предмету законодательного регулирования обеспечение обороны и безопасности государства.

Следовательно, наличие специального закона о кибербезопасности вполне соответствует конституционной модели.

Более того, после изменений 2026 года закон существенно усиливает систему мониторинга и журналирования цифровых событий, включая объекты, обрабатывающие персональные данные.

Одним из требований по обеспечению кибербезопасности является ведение записей о действиях в информационной системе (журналирование цифровых событий). Эти записи позволяют восстановить последовательность событий, выявить несанкционированный доступ к данным и установить обстоятельства нарушения безопасности.

Предусмотрены также требования по подключению определенных критически важных цифровых объектов к системам мониторинга и единой платформе журналирования.

Тем самым кибербезопасность рассматривается уже не как исключительно ведомственная техническая задача, а как элемент обеспечения безопасности государства.

Но содержание Закона «О кибербезопасности» необходимо оценивать дифференцированно

Наличие конституционного основания для закона не означает автоматически конституционность любого объема его содержания.

Это принципиальное положение. Например, установление законом субъектов кибербезопасности, их основных прав и обязанностей системы государственного контроля, основных требований к критически важным цифровым объектам, полномочий государственных органов, принципов мониторинга, оснований аудита и юридической ответственности имеет очевидное отношение к важнейшим общественным отношениям.

Но иная ситуация возникает с нормами, определяющими конкретные технические параметры функционирования информационной системы. Такие параметры значительно рациональнее устанавливать в подзаконных актах.

Сам Цифровой кодекс подтверждает такую конструкцию - статья 97 устанавливает общее понятие кибербезопасности и возлагает защиту цифровых объектов на их собственников и владельцев, одновременно отсылая конкретные меры защиты к Закону «О кибербезопасности» и иным законам.

Статья 98 уже определяет, что защита цифровых данных обеспечивается совокупностью технических, организационных, правовых и иных мер, направленных на предотвращение, выявление и устранение киберугроз, а применение и сертификация технических средств определяется законодательством о кибербезопасности и техническом регулировании. Эта модель представляется в целом правильной.

Цифровой кодекс: конституционно оправданный предмет, но наиболее широкий объем регулирования

Цифровой кодекс представляет наиболее сложный объект анализа.

С одной стороны, его принятие как кодифицированного акта имеет очевидное конституционное основание. Он регулирует общественные отношения в цифровой среде при создании, обращении, хранении, передаче и использовании цифровых данных и цифровых объектов. Он непосредственно затрагивает права граждан, цифровую идентичность, цифровые данные, цифровые объекты, государственные цифровые ресурсы, цифровую инфраструктуру, цифровые платформы, цифровую аутентификацию, кибербезопасность, автоматизированные решения.

Поэтому считать Цифровой кодекс в целом выходящим за пределы п. 3 ст. 60 было бы необоснованно. Более того, Кодекс содержит положения, которые прямо развивают конституционные права. Например, субъект цифровых данных получает право на доступ к данным, контроль, удаление, ограничение обработки и получение информации о целях, правовых основаниях и способах обработки данных.

Вместе с тем Цифровой кодекс дает наиболее очевидный пример необходимости проверки законодательной детализации

Статья 1 Кодекса определяет чрезвычайно широкую сферу его применения. При этом статья 2 устанавливает, что цифровое законодательство состоит из Цифрового кодекса и иных нормативных правовых актов, а при противоречии Кодекса и иных законов по вопросам цифровой среды применяются положения Кодекса.

Это делает Кодекс фактически системообразующим актом цифрового права. Но системообразующий характер не должен приводить к превращению Кодекса в собрание всех возможных технических и административных правил.

Напротив, его роль должна состоять в установлении принципов цифровизации, основных прав и обязанностей участников процесса, правовых режимов, основных субъектов, юридических механизмов, оснований государственного вмешательства и общих гарантий безопасности.

А конкретные параметры детального регулирования цифрового права должны оставаться гибкими и регулироваться подзаконными НПА.

Очень показательная конструкция — статья 97 Цифрового кодекса

Статья 97 определяет кибербезопасность как состояние защищенности цифровых объектов от нарушения их конфиденциальности, целостности или доступности. Затем она устанавливает, что защита осуществляется собственниками и (или) владельцами цифровых объектов.

И только после этого направляет регулирование конкретных мер защиты к Закону «О кибербезопасности», единым требованиям и другим законам.

На наш взгляд, это одна из наиболее удачных конструкций с точки зрения пункта 3 статьи 60 Конституции.

Кодекс устанавливает фундаментальную норму. Закон о кибербезопасности раскрывает основные обязанности и механизмы. Подзаконные акты определяют конкретные технические требования.

Получается своеобразная нормативная пирамида: на самой вершине Конституция, ниже следует Цифровой кодекс, следующая нижняя ступень специальные законы, более низшая ступень - это подзаконные НПА, и далее - самая нижняя ступень -это технические стандарты и процедуры.

Именно такая система соответствует природе цифрового регулирования.

Закон «Об искусственном интеллекте»: новое измерение конституционной проблемы

Наиболее молодой элемент рассматриваемой системы - Закон Республики Казахстан «Об искусственном интеллекте» от 17 ноября 2025 года, актуализированный в 2026 году.

Конституция не выделяет искусственный интеллект (далее- ИИ) как самостоятельный предмет законодательного регулирования. Но это само по себе не является проблемой.

ИИ одновременно затрагивает несколько прямо конституционно значимых сфер:

1) права и свободы человека;

2) ответственность физических и юридических лиц;

3) организацию деятельности государственных органов;

4) безопасность государства;

5) обработку персональных данных;

6) цифровую среду.

Поэтому законодательное регулирование ИИ может иметь сразу несколько конституционных оснований.

Рассмотренные законодательные акты в целом имеют конституционно обоснованный предмет регулирования. Вместе с тем, окончательная оценка их соответствия пункту 3 статьи 60 Конституции требует анализа конкретных положений с учётом критериев важнейших общественных отношений и основополагающих принципов и норм, а также разграничения законодательного и подзаконного регулирования.

Риск-ориентированная модель Закона об ИИ соответствует

логике новой Конституции

Закон подразделяет ИИ-системы на системы минимального, среднего и высокого риска. К высокой степени риска относятся системы, функционирование которых может привести к чрезвычайным последствиям или существенным негативным последствиям для обороны, безопасности, экономики, инфраструктуры и жизнедеятельности людей.

Закон устанавливает также различные уровни автономности этих систем. Это особенно важно. Законодатель здесь не пытается одинаково регулировать все технологии.

Он применяет принцип: чем выше потенциальное воздействие на права человека, общество и государство, тем выше уровень правовых требований.

Такая модель представляется вполне совместимой с конституционным критерием «важнейших общественных отношений».

Особенно важна связь ИИ и кибербезопасности

Закон устанавливает, что высокорисковые ИИ-системы, относящиеся к критически важным цифровым объектам или предназначенные для формирования государственных цифровых ресурсов, приравниваются к государственным в части соблюдения требований кибербезопасности.

Тем самым возникает новая правовая связка: ИИ → цифровой объект → критически важный цифровой объект → кибербезопасность → безопасность государства.

Это позволяет дать достаточно убедительное конституционное обоснование законодательному регулированию соответствующих вопросов через подпункт 12) пункта 3 статьи 60.

Но именно Закон об ИИ показывает границы допустимой законодательной детализации

Закон содержит большое количество отсылок к подзаконным актам. Например, классификация ИИ-систем осуществляется в соответствии с правилами классификации цифровых объектов. Уполномоченный орган утверждает критерии отнесения цифровых объектов к ИИ-системам, перечень документации и иные нормативные требования. Это, как нам представляется, и есть правильный подход.

Закон устанавливает юридическую категорию риска и ее последствия. Подзаконный акт устанавливает методику определения риска в конкретном технологическом случае.

Если же сам Закон начнет фиксировать конкретные технические параметры модели, архитектуры, программного обеспечения или способов тестирования, то он будет быстро терять технологическую нейтральность.

Персональные данные и ИИ: наиболее сложная точка пересечения

Здесь возникает одна из самых серьезных проблем будущего цифрового права. Закон об ИИ вводит понятие «библиотеки данных», предназначенной для обучения моделей искусственного интеллекта. Национальная платформа ИИ предназначена, в частности, для сбора, обработки, хранения и распространения библиотек данных.

Одновременно Цифровой кодекс предусматривает специальные правила управления цифровыми данными, содержащими персональные данные, а Закон о персональных данных устанавливает самостоятельный режим их обработки.

Возникает вопрос - каковы пределы использования персональных данных для обучения моделей ИИ?

Существующих общих положений о защите данных недостаточно для ответа на все возникающие технологические вопросы. Например:

1) возможно ли обучение на обезличенных данных?

2) когда обезличивание является достаточным?

3) кто несет ответственность за качество обезличивания?

4) может ли обученная модель воспроизводить персональные сведения?

5) кто отвечает за нарушение прав субъекта, если данные были правомерно собраны, но неправомерно использованы при обучении?

6) каким образом реализуется право на удаление данных, уже использованных в обучении модели?

7) как осуществляется трансграничная обработка данных ИИ-системами?

Это уже не просто технические вопросы. Те из них, которые затрагивают объем прав граждан, основания ограничения этих прав, обязанности операторов и юридическую ответственность, должны находиться на уровне закона. А технические способы реализации этих требований - на подзаконном уровне.

Здесь особенно важен принцип технологической нейтральности

Цифровой кодекс прямо устанавливает этот принцип. Правовое регулирование должно исходить из функциональных характеристик технологий, а не привязываться к конкретной технологии.

Это означает, что законодатель не должен пытаться постоянно догонять технологии внесением изменений в закон.

Вместо этого необходимо формулировать нормы таким образом, чтобы они сохраняли действие при технологической трансформации.

Например, вместо перечисления «пароль + SMS + биометрия» целесообразнее закрепить: «многофакторная аутентификация, обеспечивающая установленный уровень надежности идентификации».

А конкретные технологии должны определяться подзаконными актами и стандартами. Именно это позволяет совместить правовую определенность и технологическую гибкость.

Материалы форума «AI & Digital Bridge 2026»

подтверждают актуальность такого подхода

 В программе форума «AI & Digital Bridge 2026» наряду с искусственным интеллектом, вычислительной инфраструктурой, большими языковыми моделями и робототехникой значительное внимание было отведено законодательному регулированию и безопасности технологий.

Это не случайное совпадение.

Технологическая повестка демонстрирует, что искусственный интеллект одновременно становится: экономическим инструментом, элементом государственного управления, инфраструктурной технологией, инструментом обработки данных, фактором киберриска и инструментом обеспечения кибербезопасности.

Президент Республики Казахстан на открытии форума 1 октября 2026 года отдельно подчеркнул значение законодательного регулирования и безопасности при развитии новых технологий.

Следовательно, перед законодателями стоит задача обеспечить не просто «регулирование ИИ», а создание устойчивой правовой инфраструктуры цифрового государства.

Практика 2026 года показывает, что угрозы развиваются быстрее нормативного цикла

Особенно показательна связь ИИ и кибербезопасности.

В рамках вышеназванного Форума обсуждались разные проблемы, в том числе защита данных, вредоносное программное обеспечение и новые киберугрозы, связанные с искусственным интеллектом.

Это означает, что классическая модель «закон установил требования — организация их выполнила — система защищена» становится недостаточной.

Современная система должна быть способна постоянно адаптироваться.

Отсюда следует еще один аргумент в пользу конституционного разграничения: закон должен устанавливать стабильные фундаментальные правила, а подзаконное регулирование — обеспечивать их адаптацию к изменению технологий.

Три уровня регулирования - как модель реализации

пункта 3 статьи 60 Конституции

На основании проведенного анализа предлагается следующая модель.

Первый уровень — исключительно закон. К нему следует относить:

1. основные права человека в цифровой среде;

2. основания ограничения этих прав;

3. основные обязанности собственников и операторов цифровых объектов;

4. полномочия государственных органов;

5. основания государственного контроля;

6. основные правовые режимы данных;

7. юридическую ответственность;

8. основания доступа государства к данным;

9. основные гарантии безопасности;

10. принципиальные ограничения применения ИИ;

11. категории высокорисковых цифровых и ИИ-систем;

12. основные правила защиты персональных данных.

Это и есть ядро «важнейших общественных отношений».

Второй уровень — рамочный закон + подзаконная конкретизация

Здесь закон должен устанавливать обязанность проводить аудит и вести журналирование, необходимость многофакторной аутентификации, обязанность осуществлять управление рисками, обязательность оценки соответствия, требования к уведомлению об инцидентах и требования к классификации объектов.

А подзаконный акт должен определять порядок, устанавливать формы, конкретизировать критерии, устанавливать технические параметры и определять методики.

Третий уровень - подзаконное и техническое регулирование

К нему следует относить конкретные алгоритмы, форматы журналов, технические протоколы, частоту отдельных технических процедур, архитектуру информационных систем, конкретные средства защиты, параметры тестирования, технические стандарты, формы отчетности и технические методики оценки.

Именно в этих вопросах законодатель должен проявлять сдержанность.

Наиболее важный вывод: проблема не в самих четырех законах

Проведенный анализ позволяет отказаться от первоначально возможной постановки вопроса: «Не слишком ли много законов регулируют цифровую сферу?» Такой вопрос, на наш взгляд, был бы упрощенным. Наличие четырех взаимосвязанных актов само по себе не свидетельствует о нарушении Конституции. Напротив, их существование имеет объективное основание:

Цифровой кодекс формирует общую архитектуру,

Закон о персональных данных защищает конкретный комплекс прав,

Закон о кибербезопасности обеспечивает безопасность цифровой инфраструктуры,

Закон об ИИ регулирует новую технологическую сферу с повышенным уровнем риска.

Проблема находится внутри этих актов, а именно в распределении нормативного материала между законами и подзаконными актами.

Необходима проверка законодательства на предмет «законодательной избыточности»

В этой связи представляется целесообразным провести специальную ревизию цифрового законодательства.

Причем такая ревизия должна отвечать не на вопрос: «Нужна ли еще одна норма?» а на вопрос: «Нужна ли эта норма именно на уровне закона?»

Это принципиально иной подход. Для каждой нормы необходимо определить:

1. Что она регулирует? Права? Обязанности? Ответственность? Государственное управление? Техническую процедуру?

2. Затрагивает ли она важнейшие общественные отношения?

3. Устанавливает ли она основополагающий принцип или норму?

4. Может ли ее содержание изменяться вследствие технологического развития?

5. Требует ли ее изменение полноценной законодательной процедуры?

6. Не является ли она по существу техническим регламентом?

Если ответ на последние два вопроса положительный, норму следует рассмотреть на предмет переноса в подзаконное регулирование.

Особенно важна проблема «технических норм в законе»

В цифровом законе техническая норма может выглядеть вполне безобидно. Например, «оператор обязан применять определенное средство защиты». Но технология этого средства через несколько лет может измениться. Тогда закон становится препятствием для технологической нейтральности.

Вместо этого закон должен устанавливать: «оператор обязан обеспечить установленный уровень защищенности цифрового объекта». А конкретный способ обеспечения определяется уполномоченным органом с учетом современных технологий.

Такая конструкция позволяет одновременно сохраняет обязательность требования, обеспечить правовую определенность, позволяет применять новые технологии и не требует постоянного изменения закона.

Но существует и противоположная опасность

Передача чрезмерного количества вопросов на подзаконный уровень также может быть неконституционной по существу. Особенно если подзаконным актом фактически вводятся новые обязанности граждан или ограничиваются их права, устанавливаются новые основания доступа к персональным данным, расширяется круг субъектов государственного контроля, вводится новая ответственность и определяются существенные ограничения деятельности бизнеса.

В таких случаях подзаконный акт может фактически заменить закон.

Поэтому правильная модель выглядит не как «все техническое — подзаконное». Она выглядит так - «все существенное для прав, обязанностей, ответственности и основ государственного регулирования — закон; способы реализации — подзаконное регулирование».

Конституционный принцип законности требует именно такого баланса

Особое значение здесь приобретает правовая определенность.

Гражданин и организация должны иметь возможность заранее понимать, какие данные могут собираться и для чего? кто может их получить? какие обязанности возложены на оператора? какая ответственность наступает? в каких случаях государство вправе вмешиваться?

Это не может зависеть исключительно от ведомственного усмотрения.

Вместе с тем невозможно законом определить каждую техническую характеристику цифровой системы.

Поэтому новая конституционная модель позволяет сформировать двухуровневую систему правового регулирования - законодательная определенность + административно-техническая гибкость.

Предлагаемая модель дальнейшего совершенствования законодательства

Представляется целесообразным провести после введения новой Конституции комплексную ревизию четырех основных актов по следующим направлениям.

Первое - выявить все нормы, непосредственно затрагивающие права и свободы человека. Они должны быть сохранены на уровне закона.

Второе - выявить нормы, устанавливающие обязанности и ответственность физических и юридических лиц. Их правовая основа также должна находиться в законе.

Третье - определить нормы, устанавливающие полномочия государственных органов. Закон должен устанавливать пределы полномочий, а подзаконные акты - порядок их реализации.

Четвёртое- выявить технические и процедурные нормы. Именно они являются основными кандидатами на перенос в подзаконные акты.

Пятое - устранить дублирование. Особенно между Цифровым кодексом, Законом о кибербезопасности, Законом о персональных данных и Законом об ИИ.

Особого внимания требует вопрос о «стыках» четырех актов

Сегодня можно выделить как минимум четыре наиболее значимых пересечения.

Цифровой кодекс ↔ персональные данные

Кто и на каком основании получает доступ к цифровым данным?

Персональные данные ↔ ИИ

На каком основании данные используются для обучения и функционирования моделей?

ИИ ↔ кибербезопасность

Как классифицируется риск и кто отвечает за безопасность высокорисковой системы?

Цифровой кодекс ↔ кибербезопасность

Какие требования должны находиться непосредственно в Кодексе, а какие — в специальном законе?

Именно в этих точках, как нам представляется, необходимо искать основные проблемы законодательства 2026 года.

Общая оценка соответствия пункту 3 статьи 60 Конституции

На основании проведенного анализа можно сделать следующие выводы:

1. Закон «О персональных данных и их защите» имеет наиболее очевидное конституционное основание. Он непосредственно обеспечивает реализацию конституционного права на защиту персональных данных.

2. Закон «О кибербезопасности» также имеет прямое конституционное основание, прежде всего в связи с законодательным регулированием безопасности государства.

3. Цифровой кодекс в целом соответствует конституционной модели, поскольку регулирует комплекс отношений, непосредственно связанных с правами граждан, деятельностью государства и безопасностью. Однако именно его содержание нуждается в наиболее серьезной проверке на предмет чрезмерной детализации.

4. Закон «Об искусственном интеллекте» также имеет достаточное конституционное основание, несмотря на отсутствие в Конституции специального упоминания ИИ. Его регулирование выводится из нескольких конституционных предметов одновременно.

5. Главный конституционный вопрос находится не на уровне самих законов, а на уровне отдельных норм. То есть нельзя обоснованно утверждать:

«Цифровой кодекс противоречит пункту 3 статьи 60». Но обоснованно и нужно поставить вопрос: «Соответствует ли конкретная норма Цифрового кодекса критериям важнейших общественных отношений и основополагающих принципов и норм?»

То же самое относится к трем специальным законам.

Заключение

Новая Конституция Республики Казахстан 2026 года формирует новый подход к пониманию закона.

Пункт 3 статьи 60 Конституции нельзя рассматривать исключительно как перечень сфер, в которых Курултай вправе принимать законы. Его содержание предполагает также качественный критерий законодательного регулирования - регулироваться законом должны важнейшие общественные отношения, а законом должны устанавливаться прежде всего основополагающие принципы и нормы.

Для цифровой сферы это имеет особое значение.

Казахстан объективно нуждается в законодательном регулировании цифровой среды. Более того, развитие цифрового государства, защита персональных данных, обеспечение кибербезопасности и регулирование искусственного интеллекта невозможно обеспечить исключительно подзаконными актами.

Однако из этого не следует необходимость регулировать законом каждую деталь цифровых процессов.

Напротив, специфика цифровых технологий требует особого сочетания двух начал: стабильности закона и гибкости подзаконного регулирования.

Закон должен устанавливать права, обязанности, гарантии, ограничения, ответственность, полномочия государственных органов и основополагающие принципы.

Подзаконное регулирование должно обеспечивать техническую и процедурную реализацию этих норм.

Именно такой подход соответствует одновременно:

1) пункту 3 статьи 60 новой Конституции;

2) принципу правовой определенности;

3) принципу технологической нейтральности;

4) требованиям эффективной кибербезопасности;

5) необходимости защиты персональных данных;

6) риск-ориентированной модели регулирования ИИ.

При этом 2026 год показывает, что перед Казахстаном стоит уже не столько задача увеличения количества цифровых норм, сколько задача создания согласованной системы их применения.

Показательны в этом отношении результаты государственного контроля: при наличии достаточно развитой нормативной базы организации продолжают допускать отсутствие многофакторной аутентификации, журналирования, криптографической защиты, разграничения доступа и других предусмотренных требований.

Следовательно, дальнейшее совершенствование законодательства должно быть ориентировано не только на принятие новых норм, но и на

систематизацию → устранение дублирования → разграничение закона и подзаконного акта → повышение качества правоприменения → развитие аудита → формирование культуры кибербезопасности.

 Форум «AI & Digital Bridge 2026» показал, что Казахстан вступает в этап, когда цифровая трансформация, искусственный интеллект и кибербезопасность уже невозможно рассматривать как отдельные направления.

Поэтому представляется обоснованным следующий общий вывод:

Действующие Цифровой кодекс, законы «О кибербезопасности», «О персональных данных и их защите» и «Об искусственном интеллекте» в своей основе имеют достаточные конституционные основания и в целом соответствуют пункту 3 статьи 60 Конституции Республики Казахстан. Однако их дальнейшее развитие должно осуществляться не путём постоянного расширения массива законодательных предписаний, а посредством четкого разграничения основополагающего законодательного регулирования и подзаконной, прежде всего технической и процедурной, конкретизации.