Правове регулювання ШІ в оборонному секторі України

В Україні немає окремого закону про штучний інтелект (ШІ), який комплексно регулює оборонні ШІ-системи. Водночас такі рішення вже підпадають під чинні правила експортного контролю, оборонних закупівель, кібербезпеки, критичної інфраструктури, державної таємниці, захисту персональних даних, інтелектуальної власності та відповідальності за продукцію. З березня 2026 року діє також спеціальний експериментальний режим для товарів військового призначення у сфері технологій ШІ.

Матеріал призначений для українських та іноземних оборонно-технологічних компаній, розробників ШІ, постачальників, інвесторів, а також юридичних команд і фахівців із комплаєнсу, які планують розроблення, передачу або впровадження ШІ-рішень для українських оборонних замовників.

1. Статус законодавства у сфері ШІ в Україні

2. ШІ у державній політиці та оборонному плануванні

3. Галузеве регулювання ШІ в оборонному секторі

4. Експортний контроль та міжнародні передачі технологій

5. Класифікація ШІ-рішень як товарів військового або подвійного використання

6. Оборонні закупівлі та ШІ-системи за законодавством України

7. Кібербезпека та критична інфраструктура

8. Державна таємниця та засекречена інформація

9. Захист персональних даних та автоматизовані рішення

10. Інтелектуальна власність у ШІ-системах та контенті, згенерованому ШІ

11. Відповідальність за ШІ-системи та дефектну продукцію

12. EU AI Act та значення для іноземних постачальників

13. Автономні системи, людський контроль та міжнародне гуманітарне право

14. Санкції та перевірка контрагентів

15. Практичний комплаєнс-чекліст

Часті запитання

Як DLF може допомогти

1. Статус законодавства у сфері ШІ в Україні

Станом на 4 вересня 2026 року окремого закону України, який комплексно регулював би штучний інтелект, немає. Розпорядження Кабінету Міністрів України від 9 травня 2025 року № 457-р «Про затвердження плану заходів з реалізації Концепції розвитку штучного інтелекту в Україні на 2025–2026 роки» передбачає розроблення та подання законопроєкту у сфері ШІ у IV кварталі 2026 року. Це плановий строк для законопроєктної роботи, а не дата автоматичного набрання чинності майбутнім законом.

Україна підписала Рамкову конвенцію Ради Європи про штучний інтелект, права людини, демократію та верховенство права (CETS 225), але її норми не замінюють українське галузеве регулювання. Стаття 3(4) Конвенції прямо передбачає, що питання національної оборони не входять до сфери її дії. Офіційна інформація про підписання Конвенції Україною оприлюднена Кабінетом Міністрів України.

Окремо від майбутнього загального закону, з 13 березня 2026 року в Україні вже діє Постанова Кабінету Міністрів України від 12 березня 2026 року № 310 «Деякі питання реалізації експериментального проекту щодо розвитку товарів військового призначення у сфері технологій штучного інтелекту та визначення особливостей міжнародної передачі (експорту) таких товарів». Вона запровадила дворічний експериментальний проєкт у сфері оборонного ШІ та окремі механізми доступу до певних програмних продуктів і прав інтелектуальної власності у межах цього проєкту.

2. ШІ у державній політиці та оборонному плануванні

Розпорядження Кабінету Міністрів України від 2 грудня 2020 року № 1556-р «Про схвалення Концепції розвитку штучного інтелекту в Україні» визначає державні напрями розвитку ШІ. Концепція охоплює, зокрема, застосування ШІ у сфері оборони, кібербезпеки та систем підтримки прийняття рішень. Це програмний документ: він формує завдання для органів влади, але сам по собі не встановлює окремої системи дозволів для приватних компаній.

План заходів на 2025–2026 роки передбачає розроблення рекомендацій з кібербезпеки для ШІ та заходів щодо використання ШІ у сфері оборони. Для приватного постачальника практичне значення мають не лише ці програмні документи, а насамперед конкретні закони, постанови Кабінету Міністрів і нормативні акти відповідних регуляторів.

Постанова № 310 створює спеціальний режим саме для окремих товарів військового призначення у сфері ШІ. У межах експериментального проєкту Міністерство оборони може надавати визначеним учасникам доступ до програмних продуктів та інших об’єктів інтелектуальної власності на договірних умовах. Для компанії це означає, що перед початком розроблення або трансферу технології потрібно перевірити не лише загальне законодавство, а й те, чи підпадає проєкт під цей спеціальний режим.

Пов’язана стаття: Нова модель закупівель оборонних інновацій в Україні

3. Галузеве регулювання ШІ в оборонному секторі

Залежно від функцій системи, статусу замовника, типу даних і способу передачі технології одночасно можуть застосовуватися кілька правових режимів.

4. Експортний контроль та міжнародні передачі технологій

Міжнародні передачі регулює Закон України «Про державний контроль за міжнародними передачами товарів військового призначення та подвійного використання» № 549-IV від 20 лютого 2003 року. Закон охоплює не лише матеріальні товари, а й технології та технічну допомогу, якщо вони відповідають критеріям державного експортного контролю.

Стаття 1 визначає технологію військового призначення як спеціальну інформацію у будь-якій формі, необхідну для розроблення, виробництва або використання виробів військового призначення. Отже, програмне забезпечення на основі ШІ, модель, технічна документація або інший нематеріальний компонент можуть бути контрольованою технологією, якщо за своїми функціями та відповідною позицією у контрольному списку вони підпадають під дію закону.

Закон використовує терміни «дозвіл» і «висновок», а не «ліцензія». Такі дозволи й висновки можуть бути разовими, генеральними або відкритими.

Якщо додаткове міжвідомче погодження не потрібне, закон установлює граничні строки розгляду: до 45 днів для експорту або реекспорту товарів військового призначення, до 30 днів для експорту або реекспорту товарів подвійного використання та окремих тимчасових передач, до 15 днів для імпорту і транзиту. За необхідності міжвідомчого погодження строк може становити до 90 днів.

Для іноземного постачальника важливо визначити конкретну модель операції. За типової моделі імпорту в Україну основні формальності перед Державною службою експортного контролю України (ДСЕКУ) виконує українська сторона, але закон допускає надання разових дозволів або висновків іноземним суб’єктам у визначених випадках.

Дозвіл українського органу не замінює вимог експортного контролю країни походження. Для постачальників з ЄС застосовним може бути, зокрема, Регламент ЄС 2021/821; для німецьких компаній додатково слід перевіряти AWG/AWV, а для постачальників зі США — EAR та ITAR.

5. Класифікація ШІ-рішень як товарів військового або подвійного використання

Класифікація залежить від технічних характеристик продукту, функцій програмного забезпечення, кінцевого використання, користувача та конкретної позиції у контрольному списку. Те, що продукт використовує ШІ, саме по собі не робить його товаром військового призначення.

Перелік товарів військового призначення є додатком до Постанови Кабінету Міністрів України від 20 листопада 2003 року № 1807, а списки товарів подвійного використання містяться в Порядку, затвердженому Постановою Кабінету Міністрів України від 28 січня 2004 року № 86, з урахуванням чинних змін. Ці переліки публікуються в офіційній базі законодавства, але для складних ШІ-продуктів зі змішаними функціями доцільно отримати фахову класифікацію або звернутися до ДСЕКУ.

Окремо потрібно перевіряти, чи застосовується експериментальний режим Постанови № 310 щодо товарів військового призначення у сфері технологій ШІ. Він не скасовує необхідності правильно визначити товар, технологію, вид міжнародної передачі та відповідний дозвільний режим.

Пов’язана стаття: Постачання оборонної продукції в Україні

6. Оборонні закупівлі та ШІ-системи за законодавством України

Закупівлі державних замовників регулює Закон України «Про оборонні закупівлі» № 808-IX від 17 липня 2020 року та підзаконні акти, включно зі спеціальними правилами на період воєнного стану.

Закон прямо відносить до оборонних послуг розроблення та впровадження інформаційних, інформаційно-аналітичних і телекомунікаційних систем, а також систем кібербезпеки та кіберзахисту. Тому ШІ-рішення можуть охоплюватися законом за своїм функціональним призначенням, навіть якщо термін «система штучного інтелекту» окремо не використовується.

Стаття 7 Закону прямо передбачає державні та міжвідомчі випробування для зразків озброєння, військової та спеціальної техніки. Для конкретного ШІ-продукту можуть також застосовуватися процедури кодифікації, допуску до експлуатації, прийняття на озброєння або внутрішні вимоги замовника; їх потрібно визначати з урахуванням типу продукту та конкретного замовника.

На період воєнного стану застосовуються також особливості здійснення оборонних закупівель, затверджені Постановою Кабінету Міністрів України від 11 листопада 2022 року № 1275. Для чутливих і секретних закупівель діють спеціальні правила щодо доступу до інформації та процедури закупівлі.

7. Кібербезпека та критична інфраструктура

Кібербезпека

Закон України «Про основні засади забезпечення кібербезпеки України» № 2163-VIII від 5 жовтня 2017 року встановлює загальні засади кібербезпеки для державних органів, військових формувань, операторів критичної інфраструктури та інших визначених суб’єктів.

Підхід до захисту інформаційних систем змінився у 2025–2026 роках. Постанова Кабінету Міністрів України від 18 червня 2025 року № 712 запровадила порядок авторизації з безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних і технологічних систем. Для конкретної системи застосовний порядок захисту й авторизації визначається з урахуванням її категорії, типу інформації та замовника.

Для окремих систем і перехідних ситуацій можуть залишатися чинними атестати відповідності КСЗІ або спеціальні відомчі процедури. Зокрема, в Міністерстві оборони діють окремі правила державної експертизи комплексних систем захисту інформації.

З 16 січня 2026 року діють також вимоги Держспецзв’язку до заходів безпеки постачальників залежно від ризику ланцюга постачання. Вони застосовуються до постачальників товарів, робіт і послуг для власників або розпорядників систем, у яких обробляються державні інформаційні ресурси, службова інформація чи державна таємниця, а також для об’єктів критичної інформаційної інфраструктури. Іноземному оборонно-технологічному постачальнику потрібно окремо перевірити безпеку ланцюга постачання поряд із кібербезпекою самого продукту.

Критична інфраструктура

Закон України «Про критичну інфраструктуру» № 1882-IX від 16 листопада 2021 року регулює категоризацію, облік і захист об’єктів критичної інфраструктури. Серед секторів, які можуть охоплюватися цим режимом, є оборона, інформаційні послуги, електронні комунікації, енергетика, транспорт та інші сфери, визначені законодавством.

Після категоризації застосовуються вимоги щодо внесення відомостей про об’єкт до Реєстру об’єктів критичної інфраструктури, розроблення та погодження паспорта безпеки, а також планування заходів захисту. Для оператора конкретні строки й процедура визначаються загальним порядком паспортизації та застосовними секторальними актами.

Окремо потрібно перевіряти санкційні та інші обмеження щодо власності й контролю. Для постачальника ШІ це означає перевірку структури власності, кінцевих бенефіціарних власників, ключових субпідрядників і ланцюга постачання до укладення договору.

8. Державна таємниця та засекречена інформація

Режим визначає Закон України «Про державну таємницю» № 3855-XII від 21 січня 1994 року. Оборонні ШІ-системи можуть працювати з відомостями про озброєння, військові дослідження, системи управління, мобілізаційні або оперативні плани та інші дані, віднесені до державної таємниці відповідно до закону.

Організація, яка провадить діяльність, пов’язану з державною таємницею, повинна мати відповідний дозвіл Служби безпеки України. Допуск до державної таємниці за загальним правилом надається громадянам України у встановленому законом порядку. Іноземцям та особам без громадянства доступ може надаватися лише у виняткових випадках на підставах, визначених законом.

Вимоги до інформаційної системи залежать від категорії даних та застосовного режиму технічного і криптографічного захисту. Не існує окремого універсального «сертифіката для ШІ»: потрібно визначати вимоги СБУ, Держспецзв’язку та замовника для конкретної системи, середовища і виду інформації.

9. Захист персональних даних та автоматизовані рішення

Закон України «Про захист персональних даних» № 2297-VI від 1 червня 2010 року поширюється і на автоматизовану обробку даних. Суб’єкт персональних даних має право знати механізм автоматичної обробки та право на захист від автоматизованого рішення, яке має для нього правові наслідки.

Для ШІ-систем, що використовуються для перевірки осіб, оцінювання, допуску, ідентифікації або інших індивідуальних рішень, необхідно визначити правову підставу обробки, обсяг даних, строк зберігання, доступ і заходи безпеки.

Стаття 7 Закону встановлює спеціальні правила для окремих чутливих категорій персональних даних і містить винятки, зокрема для виконання державними органами завдань оперативно-розшукової чи контррозвідувальної діяльності та боротьби з тероризмом. Ці винятки застосовуються лише у передбачених законом випадках і не звільняють оборонні ШІ-проєкти від інших вимог законодавства про персональні дані.

10. Інтелектуальна власність у ШІ-системах та контенті, згенерованому ШІ

Закон України «Про авторське право і суміжні права» № 2811-IX від 1 грудня 2022 року розрізняє твори, створені людиною, і неоригінальні об’єкти, згенеровані комп’ютерною програмою.

Програмне забезпечення, створене людиною з творчим внеском, може охоронятися авторським правом. Натомість стаття 33 передбачає право особливого роду (sui generis) на неоригінальні об’єкти, згенеровані комп’ютерною програмою. Суб’єктами цього права можуть бути особи, яким належать майнові права на відповідну комп’ютерну програму або які мають ліцензійні повноваження щодо неї; договір може встановлювати інші умови належності права.

Строк чинності права sui generis становить 25 років, що обчислюються з 1 січня року, наступного за роком генерування об’єкта. Стаття 33 пов’язує належність цього права з майновими правами або ліцензійними повноваженнями щодо відповідної комп’ютерної програми; критерію «суттєвих інвестицій» ця норма не встановлює.

Для оборонних контрактів додаткове значення має Розпорядження Кабінету Міністрів України від 10 квітня 2026 року № 342-р «Про затвердження політики управління інтелектуальною власністю в оборонно-промисловому комплексі України». Політика вимагає належно врегульовувати питання інтелектуальної власності у державних оборонних контрактах та інших відповідних угодах.

У межах експериментального проєкту за Постановою № 310 можуть діяти окремі ліцензійні умови доступу до програмних продуктів і об’єктів, майнові права на які належать державі в особі Міністерства оборони. Належність прав у конкретному оборонному ШІ-проєкті визначається законом, походженням технології, спеціальним режимом і договором, а не загальною презумпцією на користь розробника чи держави.

Навчальні дані слід оцінювати окремо. Якщо для навчання моделі використовуються твори, що охороняються авторським правом, бази даних, конфіденційна інформація або дані третіх осіб, потрібно визначити правові підстави такого використання, зокрема необхідність ліцензії, дозволу чи відповідних договірних умов.

11. Відповідальність за ШІ-системи та дефектну продукцію

Закон України «Про відповідальність за шкоду, завдану внаслідок дефекту в продукції» № 3390-VI від 19 травня 2011 року встановлює спеціальний режим відповідальності виробника за дефектну продукцію. Він, зокрема, передбачає трирічний строк позовної давності, що обчислюється з моменту, коли потерпілий дізнався або мав дізнатися про шкоду, дефект і виробника, та десятирічний граничний строк від введення продукції в обіг.

Закон не містить спеціального режиму для програмного забезпечення або ШІ як самостійного цифрового продукту. Для рішення, що існує лише у формі програмного забезпечення, застосовність цього режиму визначається з урахуванням конструкції продукту та обставин завдання шкоди.

На практиці розподіл ризиків потрібно врегульовувати у договорі: гарантії, допустимі законом обмеження відповідальності, вимоги до тестування, порядок повідомлення про дефекти й кіберінциденти, оновлення моделей і контроль версій. Загальні норми Цивільного кодексу України можуть застосовуватися паралельно залежно від підстави вимоги.

12. EU AI Act та значення для іноземних постачальників

Регламент (ЄС) 2024/1689 Європейського Парламенту та Ради від 13 червня 2024 року про встановлення гармонізованих правил щодо штучного інтелекту (EU AI Act) не є частиною українського національного права і не застосовується лише на тій підставі, що ШІ-система використовується в Україні.

Водночас у передбачених Регламентом випадках його положення можуть застосовуватися і до суб’єктів за межами ЄС. Зокрема, він охоплює постачальників, які вводять ШІ-системи або моделі в обіг на ринку ЄС, користувачів систем у ЄС, а також у визначених випадках постачальників або користувачів у третіх країнах, якщо результат роботи ШІ-системи використовується в ЄС.

Стаття 2 і преамбула Регламенту виключають системи, які вводяться в обіг, вводяться в експлуатацію або використовуються виключно для військових, оборонних цілей або цілей національної безпеки. Якщо та сама система вводиться в обіг або використовується також для однієї чи кількох невиключених цілей, військове призначення саме по собі не виводить її зі сфери EU AI Act.

Місцезнаходження постачальника в ЄС саме по собі не означає, що кожна поставка в Україну автоматично підпадає під EU AI Act. Потрібно аналізувати роль компанії, ринок, призначення системи, місце використання її результату та перехідні строки для конкретної категорії систем.

13. Автономні системи, людський контроль та міжнародне гуманітарне право

У міжнародній дискусії щодо автономних систем озброєнь використовується поняття meaningful human control. Українське законодавство не встановлює універсальної вимоги щодо такого контролю для всіх автономних систем озброєнь. Водночас застосування таких систем має відповідати нормам міжнародного гуманітарного права (МГП).

Україна є стороною Женевських конвенцій та застосовних додаткових протоколів. Під час застосування ШІ у веденні бойових дій необхідно дотримуватися, зокрема, принципів розрізнення, пропорційності та вживати запобіжних заходів. Питання індивідуальної або командної відповідальності визначається за застосовними нормами міжнародного права та фактичними обставинами конкретного рішення чи операції.

Рамкова конвенція Ради Європи CETS 225 не встановлює додаткових правил для національної оборони, оскільки стаття 3(4) прямо виключає ці питання зі сфери її дії.

14. Санкції та перевірка контрагентів

Закон України «Про санкції» № 1644-VII від 14 серпня 2014 року передбачає різні види спеціальних економічних та інших обмежувальних заходів. Їх дія залежить від конкретної санкції, відповідного рішення РНБО та указу Президента України.

Перед укладенням оборонного або технологічного договору доцільно перевірити саму компанію, її кінцевих бенефіціарних власників, ключових контрагентів, посередників і дистриб’юторів. Таку перевірку слід проводити щодо конкретної операції за актуальними офіційними даними, оскільки санкційні переліки та застосовані до окремих осіб заходи можуть змінюватися.

Експортний контроль і санкції потрібно аналізувати окремо. Для передач, пов’язаних з Росією або Білоруссю, діють спеціальні обмеження українського законодавства; додаткові вимоги можуть встановлювати санкційні та експортно-контрольні режими країни походження постачальника.

15. Практичний комплаєнс-чекліст

• Класифікувати продукт. Визначити, чи є ШІ-рішення товаром військового призначення, товаром подвійного використання або контрольованою технологією.
• Визначити вид міжнародної передачі. Перевірити, чи потрібен дозвіл або висновок ДСЕКУ, хто є заявником і який тип документа застосовується.
• Перевірити спеціальний режим оборонного ШІ. Встановити, чи підпадає проєкт під Постанову № 310 та чи використовуються програмні продукти або права Міністерства оборони.
• Проаналізувати оборонну закупівлю. Визначити статус замовника, режим закупівлі, вимоги до кодифікації, випробувань або допуску саме для цього продукту.
• Провести перевірку кібербезпеки. Визначити необхідність авторизації з безпеки, статус наявного атестата відповідності КСЗІ та вимоги до безпеки ланцюга постачання.
• Перевірити режим державної таємниці. Встановити, чи потрібні дозвіл СБУ, допуски та доступ до державної таємниці для залученого персоналу, а також спеціальні вимоги до системи захисту інформації.
• Перевірити персональні дані. Визначити правову підставу, категорії даних, доступ, строки зберігання та вплив автоматизованих рішень.
• Закріпити права інтелектуальної власності в договорі. Окремо визначити права на програмне забезпечення, моделі, навчальні дані, результати, згенеровані комп’ютерною програмою, та модифікації.
• Розподілити відповідальність. Передбачити гарантії, тестування, кіберінциденти, дефекти, оновлення і процедуру відкликання або виправлення продукту.
• Провести санкційну перевірку та перевірити вимоги країни походження. Перевірити контрагентів і окремо оцінити застосовність EU AI Act, режиму ЄС для товарів подвійного використання, AWG/AWV, EAR/ITAR та інших відповідних режимів.

Часті запитання

Чи є в Україні закон, що регулює ШІ в оборонному секторі?

Окремого закону про ШІ немає. Водночас оборонні ШІ-рішення регулюються чинними галузевими законами, а з березня 2026 року діє спеціальний дворічний експериментальний проєкт щодо товарів військового призначення у сфері технологій ШІ. План уряду передбачає розроблення та подання загального законопроєкту про ШІ у IV кварталі 2026 року.

Чи застосовується EU AI Act до ШІ-систем, що постачаються в Україну?

Не автоматично. Потрібно перевірити територіальну сферу EU AI Act, роль компанії та призначення системи. Системи, що вводяться в обіг, вводяться в експлуатацію або використовуються виключно для військових, оборонних цілей або цілей національної безпеки, виключені зі сфери Регламенту. Якщо система має також невиключене призначення, необхідний окремий аналіз.

Які дозволи експортного контролю потрібні для передачі ШІ-програмного забезпечення українському оборонному замовнику?

Необхідність дозволу або висновку ДСЕКУ залежить від класифікації товару чи технології, виду міжнародної передачі, кінцевого використання та контрагента. Закон передбачає разові, генеральні та відкриті дозволи або висновки. Складні ШІ-системи потрібно класифікувати до укладення договору або початку передачі.

Які вимоги з кібербезпеки застосовуються до ШІ-систем в українських державних органах та Збройних Силах?

Застосовуються загальні правила кібербезпеки та захисту інформації, а для відповідних систем — процедура авторизації з безпеки. Атестація КСЗІ може залишатися релевантною для окремих систем, зокрема за наявності чинних атестатів, але не є універсальною вимогою для кожного ШІ-рішення. Для постачальників також можуть діяти вимоги Держспецзв’язку до безпеки ланцюга постачання.

Кому належать права на контент, згенерований ШІ в межах оборонного контракту?

Стаття 33 Закону про авторське право передбачає право sui generis на неоригінальні об’єкти, згенеровані комп’ютерною програмою. За загальним правилом суб’єктами цього права можуть бути особи, яким належать майнові права на відповідну програму або які мають ліцензійні повноваження щодо неї; договір може встановлювати інші умови належності права. В оборонному контракті потрібно окремо враховувати державну політику управління ІВ 2026 року та, за потреби, спеціальний режим Постанови № 310.

Чи може іноземна компанія постачати ШІ-рішення операторам критичної інфраструктури України?

Так, якщо виконані застосовні вимоги щодо закупівель, експортного контролю, санкцій, кібербезпеки та захисту інформації. Для конкретного проєкту потрібно перевірити статус об’єкта критичної інфраструктури, структуру власності й ланцюг постачання, а також необхідні українські та іноземні дозволи.

Як DLF може допомогти

DLF attorneys-at-law супроводжує іноземні оборонно-технологічні компанії, розробників ШІ, виробників та інвесторів у проєктах з українськими оборонними замовниками. Ми допомагаємо визначити застосовну модель та вимоги до участі у процедурах закупівель, перевірити й договірно врегулювати права інтелектуальної власності, структурувати умови поставки та інші договірні питання, а також оцінити вимоги експортного контролю, кібербезпеки, державної таємниці, санкційні ризики й відповідальність.

Юрій Динис, радник, адвокат — DLF attorneys-at-law

Контакти: +380 44 384 24 54, info@dlf.ua.

Цей матеріал має загальноінформаційний характер. Застосування описаних підходів залежить від обставин конкретної справи та потребує окремої правової оцінки.