Насколько сильно Закон ЕС об ИИ повлияет на ваш бизнес?

Когда вступают в силу новые положения, вот что компании действительно должны знать о соблюдении требований

2 февраля 2025 года стала первым крупным этапом в реализации Закона ЕС об ИИ, с положениями, запрещающими запрещенные практики ИИ и требующими от организаций обеспечить, чтобы их сотрудники имели достаточные знания, навыки и понимание того, как работает ИИ, его риски и преимущества (грамотность ИИ). Теперь 2 августа 2025 года стал еще одним критическим этапом, поскольку обязательства для моделей ИИ общего назначения вступили в силу.

Закон об ИИ применяется к тем, кто продает, импортирует или предоставляет системы ИИ или модели ИИ общего назначения в ЕС, независимо от того, базируются ли они в ЕС или нет. Он также применяется к компаниям, базирующимся в ЕС, которые используют системы ИИ или модели.

Хотя компании действительно обеспокоены обязательствами по соблюдению требований ИИ, реальность для большинства бизнесов будет менее драматичной, чем могут показаться положения на первый взгляд.

Как человек, который управляет глобальной компанией, которая обширно использует ИИ в нашей платформе управления документами, мне пришлось ориентироваться в этом регулировании firsthand. Правда в том, что для подавляющего большинства бизнесов Закон об ИИ гораздо более управляем, чем может показаться на первый взгляд — подобно тому, как GDPR казался подавляющим с американской точки зрения, но оказался работоспособным, когда вы поняли принципы.

Но в отличие от единой даты реализации GDPR, Закон об ИИ вводится в действие поэтапно. С штрафами до 35 миллионов евро или 7% от общего оборота и одним критическим этапом принудительного исполнения прямо за нами и еще одним крупным сроком впереди, правильная стратегия соблюдения требований является необходимостью.

Где мы находимся на временной шкале

По состоянию на август 2025 года обязательства для моделей ИИ общего назначения теперь вступили в силу — и это затрагивает гораздо больше компаний, чем многие осознают. Если вы используете модели основы, такие как GPT-5, Claude или Llama в ваших продуктах, вы можете унаследовать обязанности по соблюдению требований, даже если вы считаете себя просто “пользователем” модели.

Обязанности включают демонстрацию соблюдения законодательства о авторском праве в обучающих данных, проведение тестирования на уязвимости безопасности, реализацию надежных мер безопасности и предоставление подробной технической документации о возможностях и ограничениях модели.

Многие компании SaaS предполагают, что они освобождены, поскольку они не разрабатывают модели с нуля. Но если вы настраиваете или модифицируете модели каким-либо образом, вы можете обнаружить, что вы подвержены обязательствам по моделям ИИ общего назначения. Граница между “использованием” и “предоставлением” систем ИИ намеренно широкая в регулировании.

2 августа 2026 года — это крупный этап, за которым нужно следить. К этой дате системы ИИ, классифицируемые как “высокорисковые”, должны соответствовать комплексным требованиям соблюдения требований. Масштаб шире, чем многие бизнесы ожидают, и обязанности существенны.

Классификации высокого риска включают системы, используемые для набора и подбора персонала, оценки кредитоспособности и принятия финансовых решений, оценки образовательных достижений, медицинской диагностики, критически важной инфраструктуры и правоохранительных органов. Если ваш инструмент ИИ помогает определять, кто нанимается, одобряется для получения кредитов, принимается в программы или диагностируется с заболеваниями, вы, вероятно, входитесь в сферу действия.

С этим связана определенная нагрузка. Вам понадобятся комплексные системы управления рисками с постоянным мониторингом, техническая документация, доказывающая безопасность и надежность вашей системы, стандарты качества данных с аудиторными доказательствами целостности обучающих данных, автоматическое ведение журнала всех решений и операций системы, значимый человеческий надзор с возможностью вмешаться в реальном времени и маркировка CE с оценкой соответствия третьей стороной.

Это не только добавление免ения на вашем сайте. Системы высокого риска требуют таких систем управления качеством, как правило, встречаются в производстве медицинских устройств или систем безопасности автомобилей.

Понимание категорий риска

Закон об ИИ действует на основе четырехуровневого подхода, основанного на риске, который более тонкий, чем многие осознают.

• Недопустимый риск (запрещен): Эти приложения ИИ запрещены полностью – системы социального рейтинга, манипулятивные ИИ, нацеленные на уязвимые группы, реальное биометрическое определение личности в общественных местах (с ограниченными исключениями для правоохранительных органов) и распознавание эмоций на рабочих местах или в школах.
• Высокий риск (жестко регулируется, но разрешается): Это то место, где многие бизнесы попадают в ловушку. Как упоминалось выше, высокорисковые приложения включают инструменты скрининга резюме и набора персонала, системы оценки кредитоспособности и выдачи кредитов, медицинские диагностические устройства, системы безопасности в транспорте (автономные транспортные средства, управление движением), инструменты оценки образовательных достижений, правоохранительные органы и управление критически важной инфраструктурой.
• Ограниченный риск (требуется прозрачность): Эти системы в основном включают ИИ, который взаимодействует напрямую с людьми или генерирует контент, который можно принять за материал, созданный человеком. Это включает чат-боты, виртуальных помощников и системы ИИ, которые создают синтетические медиа, такие как глубокие подделки или манипулированные изображения и видео. Для этих приложений основным нормативным требованием является прозрачность – пользователи должны быть четко проинформированы, когда они взаимодействуют с системой ИИ, а не с человеком, или когда контент был искусственно сгенерирован.
• Минимальный риск: Большинство приложений ИИ попадают в категорию минимального риска, которая охватывает системы, которые представляют небольшую угрозу для основных прав или безопасности. Это включает общие инструменты бизнеса, такие как фильтры спама, системы управления запасами, базовые платформы аналитики, системы рекомендаций контента или продуктов и автоматизированное маршрутизация обслуживания клиентов. Для систем минимального риска нет конкретных нормативных обязанностей в рамках Закона об ИИ, кроме общих требований, таких как грамотность ИИ для сотрудников.

Если вы попадаете в категории “недопустимый или высокий риск”, прозрачность одна не сработает. Если вы попадаете куда-либо еще, требования соблюдения требований являются управляемыми.

Эффект риппла моделей основы

Срок GPAI августа 2025 года, который только что прошел, заслуживает особого внимания, поскольку он создает эффект риппла во всей экосистеме ИИ. Поставщики моделей основы, такие как OpenAI, Anthropic и Meta, должны были внедрить новые меры соблюдения требований, и эти требования распространяются вниз по течению на их корпоративных клиентов.

Если вы строите на основе этих моделей, вам нужно понять позицию вашего поставщика по соблюдению требований и то, как она влияет на ваши собственные обязанности. Некоторые поставщики моделей могут ограничить определенные случаи использования, другие могут передать затраты на соблюдение требований в виде более высоких цен или новых уровней обслуживания.

Компании должны провести аудит своей цепочки поставок ИИ сейчас, если они еще не сделали этого. Документируйте, какие модели вы используете, как вы настраиваете их и какие данные проходят через них. Этот инвентарь будет крайне важен для понимания ваших текущих обязанностей по моделям ИИ общего назначения и подготовки к требованиям систем высокого риска 2026 года.

Передовые

Закон об ИИ представляет собой первый в мире комплексный регламент ИИ, и мы сейчас находимся в середине его поэтапного внедрения. С обязательствами по моделям ИИ общего назначения, которые теперь вступили в силу, и крупным сроком для систем высокого риска, приближающимся в августе 2026 года, компании, которые рассматривали GDPR как бремя, пропустили возможность превратить конфиденциальность в дифференциатор. Не делайте ту же ошибку с управлением ИИ.

Бизнесы, которые будут бороться больше всего, — это те, которые будут застигнуты врасплох, когда усиление принудительного исполнения будет усилено. Те, кто строит ответственно сегодня, обнаружат, что соблюдение требований усиливает, а не препятствует их стратегии ИИ. Еще есть время, чтобы опередить кривую — но окно закрывается быстро.