Онлайн-займы в Кыргызстане: как закон требует проверять заёмщика

18 августа 2026 года Нацстатком Кыргызстана опубликовал экспресс-информацию о микрокредитовании населения: за первое полугодие небанковские финансово-кредитные организации выдали 48,5 млрд сомов, а число получателей выросло в 2,7 раза — до 1 559 235 человек. Средний займ за тот же год упал вдвое, с 70,9 до 31,1 тыс. сомов. Рынок раздаёт всё более мелкие суммы всё большему числу людей, и делает это через смартфон. На таких оборотах проверка заёмщика перестала быть бэк-офисной формальностью. Это главный производственный процесс кредитора — и на него теперь смотрят сразу Нацбанк и Кабмин.

Каждый пятый сом — займ на месяц

Статистика НБКР по микрофинансовым организациям показывает, куда сместился рынок. За 2025 год МФО выдали 86,4 млрд сомов — на 35,9% больше, чем годом раньше. Кредитный портфель к середине 2026-го достиг 68,7 млрд сомов.

Внутри этого роста спрятан структурный сдвиг. Займы сроком до одного месяца дали 2,2% выдач в 2023 году, 9,0% — в 2024-м и 20,9% — в 2025-м. Во втором квартале 2026 года — уже 23,5%. Официальной статистики онлайн-выдач НБКР не публикует, но десятикратный за два года рост сверхкоротких займов при удвоении числа получателей и падении среднего чека — это и есть след PDL-кредитования через приложения. 24.kg передаёт позицию Нацстаткома в тех же словах: скачок числа заёмщиков связан с агрессивным развитием сервисов краткосрочного онлайн-кредитования.

География подтверждает диагноз. В экспресс-информации Нацстаткома на Бишкек приходится 46,8% получателей микрокредитов — против 20,8% двумя годами раньше. Потребительские займы забирают 93,5% всех получателей. Выдаёт эти деньги компактный сектор: по годовому отчёту НБКР за 2024 год, на конец 2024-го в стране работали 108 МФО — 9 микрофинансовых компаний, 64 микрокредитные компании и 35 микрокредитных агентств.

Цена непроверенного заёмщика

За январь–июль 2026 года в Кыргызстане зарегистрировано 8241 мошенничество против 5274 годом раньше — рост в 1,6 раза. Кражи за тот же период снизились на 24,8%, грабежи на 14,1%, разбои в 1,4 раза: рост всей группы преступлений против собственности Нацстатком объясняет одним мошенничеством. Банковский и интернет-сегмент внутри этой массы считает МВД: за 2025 год 3267 фактов и 1547 уголовных дел, раскрываемость — 53,9%.

Одна строка этой статистики касается кредитора напрямую. Замминистра внутренних дел Нурбек Абдиев назвал 226 случаев за 2025 год, когда граждане сами передали мошенникам SIM-карты и банковские карты. У пожилых людей это уже отдельная категория учёта: среди преступлений против них за семь месяцев 2026 года 7,8% пришлось на «умышленную передачу или продажу третьим лицам электронных средств платежа, кошелька виртуального актива и SIM-карты». Против такой схемы биометрия бессильна по устройству: человек проходит проверку сам, добровольно, со своим лицом и своим паспортом.

Как это выглядит в жизни, показала история, описанная Kaktus.media. Госслужащей позвонили по видеосвязи, представившись сотрудниками сотовой компании, и перехватили доступ к интернет-банку — за 11 минут мошенники сняли 31 тыс. сомов с карты и оформили на жертву кредит на 153 600 сомов. Кредит числится на жертве. Зампред банка сообщил ей, что знает о 55 таких пострадавших.

Второй вектор — внутренний. В Кара-Суу в июле 2025 года 11 человек подали заявления о займах, которых не брали: местная жительница в сговоре с бывшим сотрудником кредитного отдела с декабря 2024-го оформляла кредиты на чужие имена — всего свыше 4 млн сомов. Возбуждено дело по части 2 статьи 379 УК КР, подделка документов.

Мошенник приходит и снаружи, и изнутри, а онлайн-канал масштабирует оба вектора. Регулятор ответил не рекомендациями, а тремя слоями обязательных норм.

Три слоя правил: закон, порядки НБКР, порядок Кабмина

Слой первый — закон. Закон от 28 апреля 2025 года № 84 добавил в закон «О микрофинансовых организациях» № 124 статью 35-4: МФО «должны обеспечить наличие и эффективное функционирование системы противодействия мошенничеству (антифрод-системы)», а её параметры задаёт Нацбанк. Антифрод перестал быть конкурентным преимуществом — это лицензионное условие.

Слой второй — порядки удалённой идентификации НБКР. Ещё в 2020 году Нацбанк утвердил два документа: порядок для банков (постановление от 13 мая 2020 года № 2020-П-12/27-1-(НПА), с тех пор правился пять раз) и отдельный порядок для МФО (от 30 сентября 2020 года № 2020-П-33/54-3-(НФКУ), в редакции от 8 декабря 2023 года). Способов удалённой идентификации два — сверка фото и видеосвязь, и к обоим прописаны технические требования. Программное обеспечение «должно как минимум обеспечивать автоматическое сличение фотографии в документе, удостоверяющем личность, и изображения клиента, а также предусматривать защиту от подмены данных». Документ проверяется на подлинность «путем запроса… в соответствующие государственные информационные системы». Сеанс видеосвязи идёт «в режиме реального времени без перерывов», в кадре — лицо и плечи, тёмные очки запрещены.

Документы похожи, но в одном месте расходятся принципиально. Банкам порядок разрешает вести видеоидентификацию «сотрудником банка и/или с использованием информационных систем, технологий, алгоритмов, программного обеспечения», а у микрофинансовой организации она «должна проводиться сотрудником МФО» — это пункт 20 в обеих версиях. Слов «живость», «один-к-одному» и «сертификация» в порядке для МФО нет вообще: эти требования придут к микрофинансовому сектору сверху, третьим слоем.

Слой третий — порядок цифровой идентификации Кабмина. Базовая обязанность заложена в законе о противодействии отмыванию преступных доходов № 87: статья 21 требует «идентифицировать и верифицировать клиента» в рамках надлежащей проверки. Как именно это делать удалённо, с 1 декабря 2025 года описывает постановление Кабинета министров № 739 с Положением о надлежащей проверке клиента, внутри которого — Порядок цифровой идентификации и верификации для операций, совершаемых удалённо. «Получение онлайн-кредита» прямо названо в перечне услуг, к которым он применяется; распространяется он и на банки, и на все три формы МФО, и на платёжные организации.

Редакция от 7 июля 2026 года — постановление № 463 — добавила в этот порядок технический минимум, которого раньше в кыргызстанском праве не было. Дословно: «алгоритмы проверки живости (liveness check) должны быть сертифицированы на соответствие международным стандартам защиты от атак на биометрическое предъявление (например, ISO/IEC 30107-3 или эквивалент)». Там же — перечень ситуаций, в которых идентификацию нельзя завершать. В том числе: клиент младше 16 лет; IP-адрес за пределами Кыргызстана без подтверждённых причин; обнаружены VPN, proxy или Tor; выявлены признаки удалённого управления устройством — RDP, TeamViewer, AnyDesk; идентификаторы устройства (Device ID, IMEI, MAC-адрес) совпадают с устройствами других клиентов; антиспуфинг фиксирует среднюю или высокую вероятность «средств подделки, монтажа, эмуляторов камеры или искусственного интеллекта (Deepfake)».

Требования есть и к самой платформе проверки — базовые действуют с декабря 2025 года, правки 2026-го их дополнили. Платформа должна быть «размещена на серверах на территории Кыргызской Республики», шифровать каналы передачи данных — «включая передачу изображений, видеопотока и данных проверки живости», принимать «только фотографии и (или) видеозаписи, созданные в режиме реального времени» и хранить фото- и видеоматериалы «в исходном качестве». Купить облачный сервис с серверами в Европе и считать вопрос закрытым не получится.

Требования писались под конкретные схемы. Пункт про эмуляторы камеры бьёт по инъекции видеопотока, пункт про TeamViewer — ровно по сценарию из истории выше, где жертвой управляли с чужого iPhone.

Сколько можно выдать, решает способ идентификации

Самое практичное в этой конструкции — жёсткая связка между глубиной проверки и размером займа.

Расчётный показатель в Кыргызстане — 100 сомов: постановление Жогорку Кенеша № 1115-III держит его на этом уровне с 2006 года.

Кредиторы транслируют эту сетку в продукты без изменений. У МФК «Салым Финанс» условия онлайн-кредита сформулированы дословно по нормативным потолкам: «при удаленной идентификации — до 15 000 за раз. До 30 000 сомов в месяц», при идентификации в офисе — до 100 000 за раз. Продуктовая линейка онлайн-МФО в Кыргызстане — производная от регуляторных лимитов: выше чек — глубже идентификация.

Поверх лимитов работает период охлаждения. Постановление НБКР от 27 ноября 2024 года № 2024-П-12/63-1-(НПА) определило его как время после подписания договора, в течение которого банк не перечисляет деньги, — изначально от 3 до 24 часов в зависимости от суммы. Позже сетку скорректировали. Действующий вариант Нацбанк описывает в годовом отчёте за 2025 год: «пересмотрены пороговые суммы и минимальные сроки периода охлаждения по… кредитам, выдаваемым через удаленные/дистанционные каналы обслуживания: для… кредитов от 50 001 до 100 000 сомов – 4 часа, свыше 100 000 сомов – 12 часов». Суммы до 50 000 сомов охлаждения не требуют, а свыше 100 000 к паузе добавляется контрольный звонок сотрудника — так описывает порядок Оптима Банк. Логика прозрачна: у жертвы социальной инженерии появляется время передумать, а у банка — обязанность переспросить.

Регулятор эту конструкцию продолжает крутить: в августе 2026-го НБКР вынес на обсуждение проект об увеличении лимитов онлайн-кредитов МФО и периодов их охлаждения.

Два запроса, без которых выдача незаконна

Проверка личности — половина обязательной программы. Вторая половина — проверка кредитного поведения, и обе её нормы появились или ужесточились в 2025 году.

Закон «Об обмене кредитной информацией» № 160 требует от кредитора «запрашивать кредитную информацию не менее чем у двух кредитных бюро». В реестре НБКР их ровно два — «Ишеним» и «Сэйф энд Саунд», то есть на практике опрашиваются оба.

Второй запрос появился в 2025 году — самозапрет. Гражданин бесплатно устанавливает через госпортал запрет на заключение с ним кредитных сделок, а кредитор обязан проверять его наличие — закон разрешает делать это без согласия клиента. Санкция за игнорирование прописана в самом законе: «кредитная сделка, заключенная… с нарушением требований пункта 6 части 3 настоящей статьи, является ничтожной». Выдал займ человеку с самозапретом — потерял право требования. Для скорингового конвейера это означает обязательную предвыдачную проверку по бюро в реальном времени, без исключений для «маленьких и быстрых» займов.

Платёжеспособность тоже под потолком

Оценку платёжеспособности закон теперь тоже нормирует. Принятый 28 октября 2025 года закон «О потребительском кредите» № 237 распространяется «на банки и небанковские финансово-кредитные организации, поднадзорные Национальному банку» — то есть и на МФО. Он ограничил номинальную ставку: она «не может превышать 0,08 процента в день», причём проценты начисляются на уменьшающийся остаток. Для PDL-сегмента, привыкшего к другой экономике, это прямое сжатие маржи — и дополнительный мотив отсекать невозвраты на входе.

Тот же закон ввёл обязательный расчёт показателя долговой нагрузки. Если ПДН заёмщика превышает 60 процентов, кредитор до заключения договора «обязан под роспись уведомить заемщика о рисках неисполнения обязательств». Онлайн-конвейер, который раньше мог ограничиться паспортом и селфи, теперь обязан считать доходы и платежи — ещё один запрос к данным на каждую заявку.

Госбиометрия: сверить можно, искать нельзя

У государства есть база биометрических данных граждан, и доступ к ней для кредиторов формализован. Порядок, утверждённый постановлением Кабмина № 725, допускает к идентификации «юридические лица независимо от форм собственности… при наличии правовых оснований» — по соглашению с уполномоченным органом и техническим оператором. Работает это «посредством веб-сервисов, в том числе с применением сервиса идентификации Face-Id с возможностью проверки живого присутствия (Liveness)», в режиме «запрос-ответ» через систему межведомственного взаимодействия «Тундук».

Границу очертил Цифровой кодекс, действующий с 6 февраля 2026 года. Статья 48 разрешает обработку биометрии «только в целях цифровой аутентификации физического лица путем сравнения с его биометрическими данными» — и прямо запрещает сравнение «со всеми имеющимися в базах данных биометрическими данными». В переводе с юридического: сверка 1:1 — «передо мной действительно тот человек, чьи данные в заявке» — законна, поиск 1:N по всей государственной базе — нет.

Дальше начинается зона, где решение принимает юрист кредитора, а не поставщик технологии. Собственную базу заявок кредитор строит сам, но запрет в статье 48 сформулирован шире её заголовка: про государственную систему в этом предложении не сказано ни слова. Рядом работает статья 80 — она относит биометрические данные для цифровой идентификации к специальным категориям, обработка которых запрещена, кроме перечисленных в ней случаев и только если «применяются меры защиты от недобросовестной обработки данных и меры предотвращения вреда субъекту персональных данных». Основание «обработка необходима для заключения или исполнения договора» закрывает данные самого заявителя. При поиске по базе в сравнение попадают лица всех, кто обращался раньше. К их договорам новая заявка отношения не имеет. Основание для них нужно своё. Поэтому правовое основание и меры защиты по статье 80 фиксируются до того, как поиск по собственной базе включается в конвейер.

Рынок пришёл к требованиям неодновременно

Часть игроков выстроила полный цифровой контур задолго до обязательных норм. MBank ещё в 2021 году описывал схему: сканирование паспорта камерой, селфи-видео, «для защиты от мошенников используются алгоритмы Liveness, разработанные VisionLabs», сверка лица с фотографией в документе, финальное подтверждение сотрудником.

На другом полюсе — процессы из прошлой эпохи. У «М Булак» до сих пор действует инструкция по онлайн-заявке образца 2020 года: заполнить короткую анкету и дождаться звонка специалиста — колл-центр вместо eKYC. Такая модель законна и сегодня, пока договор подписывается при личной явке. Но для полностью дистанционной выдачи технический минимум — сертифицированный liveness, антидипфейк, детект удалённого управления — теперь задан нормативно, и разрыв между лидерами и остальными стал регуляторной проблемой, а не вопросом маркетинга.

Что из обязательного закрывает технология

Biometric.Vision собирает регуляторный контур проверки заёмщика в одну сессию: клиент фотографирует документ, делает селфи — система проверяет документ, живость и сходство лиц, возвращает вердикт через API или SDK. Сопоставление с нормами выглядит так.

Работоспособность связки проверена на живом кредиторе: в кейсе защиты МФО автоматическая проверка документов и биометрическая верификация дали предотвращение 90% мошеннических попыток на этапе заявки.

Три вещи, которых биометрический вендор не сделает — ни мы, ни кто-либо ещё. Запросы в кредитные бюро и проверку самозапрета технология лиц не заменяет: это отдельный канал, который кредитор строит с «Ишеним» и «Сэйф энд Саунд». Поиск 1:N по государственной базе не проведёт ни один поставщик — статья 48 Цифрового кодекса его запрещает. И сертификацию liveness стоит проверять документами у любого вендора, включая нас. У Biometric.Vision опубликованы сертификат ISO 27001 № 760281 и сертификат соответствия ISO/IEC 30107-3:2023 № RSBV-2504-8642. Второй выдан органом сертификации — это не протокол испытаний в лаборатории, где указывались бы уровень атак и метрики APCER и BPCER, и достаточность такого документа для выполнения требования пункта 28 оценивает регулятор, а не поставщик. Поддержку конкретных серий кыргызстанских документов правильно подтверждать на пилоте, на ваших реальных потоках.

Первые 500 проверок в месяц бесплатны, интеграция через Web SDK занимает около 30 минут — достаточно, чтобы прогнать порядок цифровой идентификации на своих заявках до того, как это сделает надзор. Как контур работает для микрофинансовой организации — на странице биометрия для МФО.

Материал носит информационный характер, не заменяет юридическую консультацию и описывает состояние норм на 5 сентября 2026 года. Правительственную базу принимали в ноябре 2025-го, меняли в феврале и ужесточали в июле 2026-го, лимиты онлайн-кредитов Нацбанк пересматривает отдельно — перед решением сверяйте действующие редакции в Централизованном банке данных правовой информации Минюста.