Статья анализирует правовые и регулирующие аспекты применения автоматизированных систем управления нового поколения (c элементами ИИ, IIoT и предиктивной аналитики) в нефтегазовой отрасли, выявляя асинхронный разрыв между быстрым технологическим развитием и инертностью нормативной базы; цель исследования — систематизировать действующие нормы, количественно оценить регуляторные и комплаенс-риски и предложить архитектуру риск-ориентированного регулирования для безопасного масштабирования интеллектуальных АСУ. Методология опирается на междисциплинарный подход: сравнительно-правовой, технический и системный анализ более 80 федеральных и ведомственных актов (включая №116-ФЗ, №184-ФЗ, №187-ФЗ), свыше 45 национальных и международных стандартов (ГОСТ 34, ГОСТ Р МЭК 61508, ГОСТ Р МЭК 62443; ISO/IEC/ISA), контент-анализ терминологии, статистическую обработку отраслевых данных и 15 глубинных интервью с инженерами АСУ ТП, специалистами по ПБ и отраслевыми юристами. Показано усложнение структуры киберугроз: снижение инцидентов с традиционным вредоносным ПО на 32,6% и фишинга на 10,5% сочетается с ростом DDoS-атак на 64,7%, случаев несанкционированного доступа на 122,6% и манипуляций технологическими параметрами на 125,6%, что требует отхода от формального соответствия к эшелонированной проактивной защите в контуре КИИ. Комплаенс-нагрузка смещается в нетехническую плоскость: среднегодовой рост затрат на юридическое сопровождение и страхование достигает 64,6%, на аудиты — 49,8%, на сертификацию ПО — 41,9%, тогда как техническое обслуживание средств защиты растет на 8,0% в год, подтверждая регуляторно-индуцированную диспропорцию. Центральной проблемой выступает серая зона ответственности: по инцидентам, обусловленным некорректной работой алгоритмов ИИ, установление виновной стороны возможно менее чем в половине случаев (неопределенность до 59,1%), при сильной корреляции доли неопределенных кейсов с ростом юридических издержек (r=0,82). Дополнительное системное ограничение — дефицит междисциплинарных компетенций: разрыв по анализу данных/ML составляет 2,40 балла, по промышленной кибербезопасности — 2,35, по знанию правовой базы — 1,55 (по шкале 1–5), что усиливает операционные и юридические риски. Рекомендована модель риск-ориентированного регулирования: регуляторные песочницы , специальные техрегламенты для ИИ-систем (прозрачность, интерпретируемость, устойчивость), механизмы страхования ответственности ИИ, гармонизация с IEC/ISA-семейством и методики сертификации самообучающихся систем, а также реформа подготовки кадров для работы на стыке технологий, права и безопасности.
The article analyzes the legal and regulatory aspects of applying next-generation automated control systems (with elements of AI, IIoT, and predictive analytics) in the oil and gas industry, identifying the asynchronous gap between rapid technological progress and the inertia of the regulatory framework. The study aims to systematize existing norms, quantitatively assess regulatory and compliance risks, and propose a risk-oriented regulatory architecture for the safe scaling of intelligent control systems. The methodology relies on an interdisciplinary approach—comparative legal, technical, and systems analysis of more than 80 federal and departmental acts (including Federal Laws No. 116-FZ, No. 184-FZ, No. 187-FZ), over 45 national and international standards (GOST 34, GOST R IEC 61508, GOST R IEC 62443; ISO/IEC/ISA), content analysis of terminology, statistical processing of industry data, and 15 in-depth interviews with process control engineers, industrial safety specialists, and industry lawyers. The research reveals the increasing complexity of cyber-threat structures: a 32.6% reduction in traditional malware incidents and a 10.5% drop in phishing coexist with a 64.7% rise in DDoS attacks, a 122.6% surge in unauthorized access cases, and a 125.6% increase in manipulations of technological parameters—requiring a shift from formal compliance to layered proactive protection within critical information infrastructure. Compliance costs are drifting into the non-technical domain: average annual growth in spending on legal support and insurance reaches 64.6%, on audits—49.8%, and on software certification—41.9%, while technical maintenance of protective tools grows by only 8.0% per year, confirming a regulation-induced imbalance. The central issue is the gray zone of liability: in incidents caused by the incorrect operation of AI algorithms, identifying the responsible party is possible in fewer than half of the cases (uncertainty up to 59.1%), with a strong correlation between the share of uncertain cases and rising legal costs (r = 0.82). An additional systemic limitation is the shortage of interdisciplinary competencies: the skills gap for data analysis/ML is 2.40 points, for industrial cybersecurity—2.35, and for knowledge of the legal framework—1.55 (on a 1–5 scale), amplifying operational and legal risks. A risk-oriented regulatory model is recommended: regulatory sandboxes, special technical regulations for AI systems (transparency, interpretability, resilience), AI liability insurance mechanisms, harmonization with the IEC/ISA family of standards and certification methods for self-learning systems, as well as reform of professional training at the intersection of technology, law, and security.