2026 жылғы 9 қаңтарда Президент ҚР Цифрлық кодексіне (№ 255-VIII) қол қойды, ал 2026 жылғы 11 шілдеде құжат күшіне енді. Бұл — деректерді, жасанды интеллектті, цифрлық құқықтарды және киберқауіпсіздікті реттеуді бір жерге жинаған ТМД-дағы алғашқы жинақ, ал бұрын бұлар жылдар бойы ондаған жекелеген заңдарға шашырап жатқан еді. Бизнес үшін бұл «бір жақта, жоғарыда» жүріп жатқан абстрактілі реформа емес: биылғы жазден бастап сайты, CRM-і, клиенттер базасы немесе бұлттық сервисі бар кез келген компания жаңа қағидалардың ішінде болып шықты. Ал көпшілігі бұл туралы іс жүзінде болғаннан кейін ғана біледі.
West Star Ltd-да біз күн сайын клиенттердің деректерімен жұмыс істейміз — 1С интеграциялары, CRM, AI-сервистер, бұлттық орналастырулар — және біздің тәжірибемізден цифрлық реттеу әрдайым дерлік компаниялардың оған дайындығынан озып кететіні көрінеді. Сондықтан нақты әрі заңгерлік тұмансыз талдап көрейік: ҚР Цифрлық кодексі шын мәнінде нені өзгертеді, бизнесте қандай міндеттер пайда болды және нұсқама алмау немесе сервисті бұғаттауға жол бермеу үшін ең алдымен не істеу керек.
ҚР Цифрлық кодексі деген не және ол бизнеске не үшін қажет
2026 жылға дейін Қазақстандағы цифрлық сала мозаикамен реттелді: дербес деректер туралы заң, ақпараттандыру туралы заң, электрондық құжаттар, байланыс, мемлекеттік қызметтер бойынша жекелеген актілер. Нормалар бір-бірін қайталады, кей жерлерде бір-біріне қайшы келді, ал бизнеске талаптарды бөлшектеп жинауға тура келді. Цифрлық кодекс мұны бірыңғай логикаға келтірді: цифрлық деректер, цифрлық объектілер, цифрлық орта қатысушыларының құқықтары мен міндеттері жалпы қағидаттары бар бір құжатта сипатталған.
Кодекстің негізгі идеясы — нүктелік шешімдерден қауіпсіздікке, жауапкершілікке және азаматтардың құқықтарын қорғауға негізделген жүйелі цифрлық трансформацияға көшу. Сонымен қатар жасанды интеллектті егжей-тегжейлі реттеу кодекс тікелей сілтеме жасайтын жеке AI туралы заңға шығарылған. Яғни бізде енді бірге оқу керек бірнеше актіден тұратын байлам бар — және практикалық сұрақтардың басым бөлігі дәл олардың түйіскен жерінде туындайды.
Компания иесі үшін бір нәрсені түсіну маңызды: кодекс тек IT-алыптарға ғана арналмаған. Оның аясына тапсырыс формасы бар интернет-дүкен, онлайн-жазылуы бар стоматология, түйіндемелер базасы бар кадр агенттігі, кез келген SaaS түседі. Егер сіз адамдардың деректерін жинасаңыз, сақтасаңыз немесе өңдесеңіз — сіз осы реттеудің субъектісісіз. Бизнес мұны неғұрлым ерте түсінсе, процестерді ретке келтіру соғұрлым арзанға түседі: нұсқамадан кейін өрт сөндіргеннен гөрі сабырмен реформалау әрдайым оңайырақ.
Деректерді оқшаулау, AI және киберқауіпсіздік: үш басты талап
Деректерді оқшаулау (локализация) — іс жүзінде ең қымбаты. Қазақстан азаматтарының дербес деректері ҚР аумағында (немесе қорғау деңгейі барабар елдерде) сақталуы тиіс. Талап бәріне бірдей қолданылады: сайттарға, CRM-ге, клиенттік базаларға, email-таратуларға, бұлттық шешімдерге. Және — бұл өте маңызды — оның аясына Қазақстандағы клиенттерге қызмет көрсететін халықаралық компания да түседі. «Біз базаны жай ғана еуропалық бұлтта ұстаймыз» деген уәж енді әдепкі бойынша жарамайды.
Іс жүзінде ыңғайсыз сұрақтарға жауап беруге тура келеді: клиенттік деректер физикалық түрде қай жерде жатыр, CRM қай жерде орналастырылған, сайттың кері байланыс формалары қайда жазылады, қандай бөгде сервистер (аналитика, таратулар, чат-боттар) дербес деректерді елден тыс жерге шығарады. Орындамаудың салдары айтарлықтай. Дербес деректермен жұмыстағы бұзушылықтар әкімшілік құқық бұзушылық ретінде сараланады (ҚР ӘҚБтК 79-бабы), ал деректерді оқшаулау талабын бұзғаны үшін уәкілетті органның нұсқамалары және — шеткі жағдайда — сайтты немесе сервисті Қазақстан аумағында бұғаттау мүмкін. Сайты негізгі сату арнасы болып табылатын бизнес үшін бұл түсімге тікелей соққы.
Негізгі жұмыс дәл осы жерде жатыр: деректерге түгендеу жүргізу, оқшаулау аясына не түсетінін анықтау және сақтауды бизнес-процестерді жоғалтпай қазақстандық контурға көшіру. Біз 1С-ті автоматтандыру және интеграциялау аясында дәл осымен айналысамыз — деректерді көшіру сирек «көшіріп алып, ұмыту» болады, әсіресе CRM, есеп жүйесі және сайт бір алмасу тізбегімен өзара байланысқан кезде.
Мұның іс жүзінде қалай көрінетінін типтік мысалмен көрсету оңайырақ. Қазақстандағы әдеттегі интернет-дүкенді алайық: сайттан түскен өтінімдер CRM-ге түседі, одан 1С-ке өтеді, чектер клиенттерге шетелдік тарату сервисі арқылы email-мен жіберіледі, ал веб-аналитиканы серверлері шетелде орналасқан бөгде скрипт жинайды. Формалды түрде бұл тізбекте клиенттің деректері шекараны кемінде екі рет кесіп өтеді — таратуда және аналитикада. Мұндай байламды ретке келтіру бәрін нөлден қайта жазуды емес, буындарды нүктелік ауыстыруды немесе қайта баптауды білдіреді: базаны және есеп жүйесін қазақстандық бұлтқа көшіру, жергілікті тарату сервисін таңдау немесе рұқсат етілген жерде тек иесіздендірілген деректерді қалдыру. Көбінесе пайдаланушы үшін процестер мүлдем өзгермейді — деректердің физикалық түрде қай жерде тұратыны және олардың жүйелер арасында қалай берілетіні өзгереді.
Жасанды интеллект енді қағидаларға бағынады. Кодекс және оған ілеспе AI туралы заң AI-мен жұмыс істеудің базалық қағидаттарын бекітеді: әдептілік, ашықтық, кемсітпеушілік және шешімдерді адамның бақылауы. Жоюға құқық бөлек жазылған: егер пайдаланушы өз деректерін жоюды талап етсе, AI-модельді сол деректерде әрі қарай оқытуға болмайды. Бизнес үшін бұл философия емес, нақты міндеттер. Егер сізде қолдаудың бірінші желісінде чат-бот, өтінімдерді AI-скоринг, ұсыным жүйесі немесе дауыстық көмекші жұмыс істесе — сіз ашықтықты (адам алгоритммен сөйлесіп отырғанын түсінуі тиіс), автоматты шешімге шағымдану мүмкіндігін және деректерді жою туралы сұрауларды дұрыс өңдеуді қамтамасыз етуге міндеттісіз.
Біз AI-шешімдерді енгізу кезінде мұны ескереміз: кез келген автоматты сценарийде оператор үшін «тұтқа» және түсінікті логика болуы тиіс. Кодекс, мәні бойынша, онсыз да жақсы инженерлік практика болып табылатын нәрсені бекітті — бірақ енді адам бақылауының болмауы үшін клиенттен емес, реттеушіден талап алуға болады. AI-шешімдерді пайдалы әрі талаптарға сай болатындай етіп қалай құру керектігін біз жасанды интеллектпен жұмыс кезіндегі деректер қауіпсіздігі туралы материалдарда егжей-тегжейлі талдадық.
Киберқауіпсіздік және деректер айналымы. Кодекс ақпаратты қорғауға және инциденттер туралы хабарлауға қойылатын негіздемелік талаптарды бекітеді. Маңызды нюанс: хабарлаудың нақты мерзімдері мен тәртібі заңға тәуелді актілермен белгіленеді, және тұжырымдардан терезелердің қысқа болатыны көрінеді — салалық сарапшылар тәулік шамасына бағдар ұстайды. Компанияда алдын ала жазылған регламент болуы тиіс: инцидентті кім тіркейді, кім және қандай мерзімде хабарлайды, логтар қалай сақталады. Сонымен бірге кодекс жаңа мүмкіндіктер де ашады — алғаш рет цифрлық деректер өнімдерімен алмасу платформасы, иесіздендірілген аналитиканы рәсімдеп, өткізудің заңды тетігі енгізіледі. Жинақталған деректер массивтері бар компания үшін бұл оларды сұр аймақта емес, дұрыс монетизациялау мүмкіндігі. Ал 2026 жылғы 12 шілдеден бастап цифрлық кондоминиумдар қағидалары да жұмыс істей бастады — жылжымайтын мүлікті басқаруды цифрландыру өзінің құқықтық базасын алды.
Кеңірек контекстті де есте ұстаған жөн: 2026 жыл — жалпы алғанда реттеушілік қайта жүктеу жылы. Цифрлық реформамен қатар ҚҚС мөлшерлемесі 16% және тіркеу шегі 10 000 АЕК болатын жаңа Салық кодексі жұмыс істей бастады. Есеп пен процестерді салық өзгерістеріне бәрібір қайта құрып жатқан компанияларға цифрлық комплаенсті де екі бөлек асығыс жұмыспен емес, сол бір кезеңде жапқан қисынды — деректер де, есеп те, интеграциялар да әдетте бір жүйелерде тұрады.
Шектеулер мен жасырын тұстар
Кодекс туралы адал әңгіме тек тамсанудан тұра алмайды. Іс жүзінде қиын болатын бірнеше тұс бар, және олар туралы алдын ала білген дұрыс.
- Көп нәрсе заңға тәуелді актілерге шығарылған. Кодекс шеңберді белгілейді, бірақ хабарламалардың нақты мерзімдері, форматтары және талаптардың бір бөлігі күшіне енгеннен кейін заңға тәуелді құжаттарда пайда болады. Олар қабылданғанға дейін міндеттердің бір бөлігін «алдын ала», қормен түсіндіруге тура келеді.
- Актілер арасындағы коллизиялар. Цифрлық кодекс, AI туралы заң, қолданыстағы дербес деректер туралы заң және Салық кодексі қатар өмір сүреді және кей жерлерде қиылысады. «Цифрлық комплаенс» — бірнеше құжатты бірге оқу, және әр сұраққа бір мәнді жауап әзірге жоқ.
- Шағын бизнес үшін деректерді оқшаулау құны. Деректерді қазақстандық контурға көшіру, бұлтты ауыстыру, интеграцияларды қайта жасау — бұл ақша мен уақыт. Ірі компания үшін бұл бюджет бабы, шағын компания үшін — бәрі бірдей дайын емес айтарлықтай жүктеме.
- Құқық қолдану практикасы әлі қалыптаспаған. Кодекс жаңа, сот және қадағалау практикасы жоқтың қасы. Реттеушінің басқа елдегі «барабар қорғауды» қалай өлшейтінін немесе AI ашықтығын қалай түсіндіретінін заң мәтіні емес, алғашқы істер көрсетеді.
- Формалды тәсіл тәуекелі. «Көрсеткіш үшін» жауапты адамды жалдап, саясат жазып, оны ұмытып кету оңай. Кодекс қағазды емес, шынымен жұмыс істейтін процестерді талап етеді — және түптің түбінде реттеуші дәл тірі процестерді тексеретін болады.
- Шетелдік сервистермен сұр аймақтар. Деректерді шетелге шығаратын аналитиканы, таратуларды, төлем және бұлттық сервистерді бір-бірлеп қайта қарауға тура келеді. Танымал құралдардың бәрінде бірдей қазақстандық контур жоқ, және мұнда бизнес ыңғайлы мен заңды арасында таңдау жасауға мәжбүр болады.
Мұның бәрімен не істеу керектігі рөлге байланысты. Техникалық маманға түгендеуден бастаған жөн: дербес деректер қай жерде жатқанын, қандай интеграциялар оларды сыртқа шығаратынын, өнімде AI қай жерде адам бақылауынсыз жұмыс істейтінін көрсететін карта жасау. Басшыға — деректер үшін жауапты адамды формалды түрде емес, өкілеттіктерімен тағайындау және сақтауды көшіруге әрі инциденттерге ден қою регламентіне бюджет қарастыру. Меншік иесіне — мұны тағы бір бюрократия ретінде емес, тәуекелді азайту ретінде қабылдау: бұғатталған сайт немесе деректердің жылыстауы мұқият дайындықтан қымбатқа түседі. Цифрлық кодекс бизнестің өмірін қиындатқан жоқ — ол бұрын да болған, бірақ олар туралы үндемеу қалыпты саналған тәуекелдерді айқын етті. Оған қауіп ретінде емес, баяғыда өту керек болған тексеру парағы ретінде қарайтындар ұтады.
Жиі қойылатын сұрақтар
ҚР Цифрлық кодексі қашан күшіне енді?
Кодекске 2026 жылғы 9 қаңтарда қол қойылды (№ 255-VIII) және ол 2026 жылғы 11 шілдеде — жарияланғаннан кейін алты айдан соң қолданысқа енгізілді. Сабақтас нормалардың бір бөлігі, мысалы, цифрлық кондоминиумдар қағидалары, 2026 жылғы 12 шілдеден бастап жұмыс істей бастады. Сонымен қатар бірқатар егжей-тегжейлі талаптар кодекс күшіне енгеннен кейін заңға тәуелді актілермен нақтыланатын болады.
CRM мен клиенттер базаларын Қазақстанға көшіру керек пе?
Егер оларда ҚР азаматтарының дербес деректері сақталса — көп жағдайда иә. Оқшаулау талабы сайттарға, CRM-ге, клиенттік базаларға, таратуларға және бұлттық сервистерге қолданылады. Түгендеуден бастаған жөн: деректердің физикалық түрде қай жерде жатқанын және қандай бөгде сервистер оларды елден тыс жерге шығаратынын түсініп, содан кейін ғана қазақстандық контурға көшуді жоспарлау керек.
Цифрлық кодекс жасанды интеллектті қалай реттейді?
Кодекс жеке AI туралы заңмен бірге әдептілік, ашықтық, кемсітпеушілік және шешімдерді адамның бақылауы қағидаттарын бекітеді. Іс жүзінде бұл автоматты жүйелердің түсіндірілетін болуы, AI шешімдеріне адамның шағымдана алуы, ал жоюды талап еткен пайдаланушылардың деректерін модельдерді әрі қарай оқыту үшін пайдалануға болмайтынын білдіреді.
Деректерді оқшаулау талабын бұзғаны үшін не қатер төнеді?
Дербес деректермен жұмыстағы бұзушылықтар әкімшілік құқық бұзушылық ретінде сараланады (ҚР ӘҚБтК 79-бабы). Оқшаулау талабын сақтамағаны үшін уәкілетті органның нұсқамалары, ал шеткі жағдайда — сайтты немесе сервисті Қазақстан аумағында бұғаттау мүмкін. Сайты негізгі сату арнасы болып табылатын компаниялар үшін бұл тікелей қаржылық тәуекел, сондықтан дайындықты кейінге қалдырмаған дұрыс.