Як суттєво вплине закон про штучний інтелект ЄС на ваш бізнес?

Як вступають у дію нові положення, ось що компанії повинні знати про дотримання вимог

2 лютого 2025 року став першим великим етапом у впровадженні Закону про штучний інтелект Європейського Союзу, з положеннями, які забороняють заборонені практики штучного інтелекту та вимагають від організацій забезпечити свої працівники достатніми знаннями, навичками та розумінням того, як працює штучний інтелект, його ризики та переваги (грамотність штучного інтелекту). Тепер 2 серпня 2025 року став ще одним критичним етапом, оскільки обов’язки щодо загального призначення моделей штучного інтелекту вступили у дію.

Закон про штучний інтелект застосовується до тих, хто продає, імпортує або надає системи штучного інтелекту чи моделі загального призначення в ЄС, незалежно від того, чи знаходяться вони в ЄС чи ні. Він також застосовується до тих компаній, які знаходяться в ЄС і використовують системи штучного інтелекту чи моделі.

Хоча компанії справді турбуються про відповідальність за дотримання вимог штучного інтелекту, реальність для більшості бізнесів буде менш драматичною, ніж положення можуть здатися на перший погляд.

Як людина, яка керує глобальною компанією, яка широко використовує штучний інтелект у нашій платформі документального управління, мені довелося впоратися з цією регуляцією особисто. Правда в тому, що для більшості бізнесів Закон про штучний інтелект значно більш керований, ніж здається спочатку – подібно до того, як GDPR здавався ошеломлюючим з американської точки зору, але виявився працездатним, коли ви зрозуміли принципи.

Але на відміну від GDPR, який мав єдину дату впровадження, Закон про штучний інтелект вводиться етапами. З штрафами до 35 мільйонів євро або 7% від загального обороту та однією критичною хвилею виконання, яка тільки що пройшла, і ще однією великою датою вперед, правильна стратегія дотримання вимог є обов’язковою.

Де ми зараз на хронології

Станом на серпень 2025 року обов’язки щодо моделей загального призначення штучного інтелекту (GPAI) тепер діють – і це впливає на значно більше компаній, ніж більшість розуміють. Якщо ви використовуєте моделі основних моделей, такі як GPT-5, Claude або Llama у ваших продуктах, ви можете успадкувати обов’язки щодо дотримання вимог, навіть якщо ви вважаєте себе лише “користувачем” моделі.

Обов’язки включають демонстрацію дотримання законодавства про авторське право у навчальних даних, проведення тестів на стійкість до атак для виявлення уразливостей безпеки, впровадження надійних заходів безпеки та надання детальної технічної документації щодо можливостей і обмежень моделі.

Багато компаній SaaS вважають, що вони звільнені, оскільки вони не розробляють моделі з нуля. Але якщо ви певним чином донастроюєте або змінюєте моделі, ви можете виявитися підпорядкованими обов’язкам GPAI. Лінія між “використанням” і “наданням” систем штучного інтелекту свідомо розширена в регуляції.

2 серпня 2026 року – це велика дата, яку потрібно спостерігати. До цієї дати системи штучного інтелекту, класифіковані як “високого ризику”, повинні відповідати вимогам щодо дотримання вимог. Обсяг ширший, ніж багато бізнесів очікує, а обов’язки суттєві.

Класифікації високого ризику включають системи, які використовуються для підбору та прийому на роботу, кредитного скорингу та фінансових рішень, освітньої оцінки, медичної діагностики, безпеки критичної інфраструктури та застосувань правоохоронних органів. Якщо ваш інструмент штучного інтелекту допомагає визначати, хто приймається на роботу, затверджується для кредитів, приймається до програм або діагностується захворювання, ви, ймовірно, потрапляєте під дію цього положення.

Є тягар, який супроводжує це. Вам потрібно буде комплексна система управління ризиками з постійним моніторингом, технічна документація, яка доводить безпеку та надійність вашої системи, стандарти якості даних з аудиторською перевіркою цілісності навчальних даних, автоматичне ведення журналу всіх рішень та операцій системи, суттєвий людський нагляд з можливістю втручання в режимі реального часу та маркування CE з перевіркою конформності третьою стороною.

Це не тільки про додавання застереження на ваш сайті. Системи високого ризику вимагають типу систем управління якістю, які зазвичай зустрічаються у виробництві медичних пристроїв або систем безпеки автомобілів.

Поняття ризикових категорій

Закон про штучний інтелект діє на основі чотирирівневого підходу, заснованого на ризику, який є більш нюансованим, ніж багато хто розуміє.

• Неприйнятний ризик (заборонено): Ці застосування штучного інтелекту заборонені абсолютно – соціальні системи оцінки, маніпулятивний штучний інтелект, спрямований на вразливі групи, ідентифікація біометричних даних у громадських місцях (з обмеженими винятками для правоохоронних органів) та розпізнавання емоцій на робочих місцях або в школах.
• Високий ризик (сильно регульований, але дозволений): Це місце, де багато бізнесів потрапляють під несподіваний удар. Як згадувалося вище, застосування високого ризику включають інструменти підбору та прийому на роботу, системи кредитного скорингу та кредитування, медичні діагностичні пристрої, системи безпеки транспорту (автономні транспортні засоби, управління рухом), інструменти освітньої оцінки, застосування правоохоронних органів та управління критичної інфраструктури.
• Обмежений ризик (транспарентність потрібна): ці системи в основному включають штучний інтелект, який взаємодіє безпосередньо з людьми або генерує контент, який можна сплутати з матеріалом, створеним людьми. Це включає чат-боти, віртуальних помічників та системи штучного інтелекту, які створюють синтетичні медіа, такі як глибокі підробки або маніпульовані зображення та відео. Для цих застосунків основним регуляторним вимогам є прозорість – користувачі повинні бути чітко інформовані, коли вони взаємодіють з системою штучного інтелекту, а не з людиною, або коли контент був штучно створений.
• Мінімальний ризик: Більшість застосунків штучного інтелекту потрапляють у категорію мінімального ризику, яка охоплює системи, які становлять мало загрози для основних прав або безпеки. Це включає загальні бізнес-інструменти, такі як фільтри спама, системи управління запасами, базові платформи аналітики, системи рекомендацій для контенту або продуктів та автоматизоване маршрутизація клієнтського сервісу. Для систем мінімального ризику немає конкретних регуляторних обов’язків згідно з Законом про штучний інтелект, окрім загальних вимог, таких як грамотність штучного інтелекту для працівників.

Якщо ви потрапляєте у категорію “Неприйнятний ризик” або “Високий ризик”, прозорість сама по собі не достатня. Якщо ви потрапляєте в будь-яку іншу категорію, вимоги щодо дотримання вимог є керованими.

Ефект хвилі моделей основних моделей

Минулий термін GPAI серпня 2025 року заслуговує особливої уваги, оскільки він створює ефект хвилі у всьому екосистемі штучного інтелекту. Постачальники моделей основних моделей, такі як OpenAI, Anthropic та Meta, мали впровадити нові заходи щодо дотримання вимог, а ці вимоги передаються вниз їхнім клієнтам.

Якщо ви будуєте на основі цих моделей, вам потрібно буде зрозуміти позицію вашого постачальника щодо дотримання вимог та те, як це впливає на ваші власні обов’язки. Деякі постачальники моделей можуть обмежувати певні випадки використання, інші можуть передавати витрати на дотримання вимог у вигляді вищої ціни або нових рівнів сервісу.

Компанії повинні провести аудит своєї ланки постачання штучного інтелекту, якщо вони ще не зробили цього. Документуйте, які моделі ви використовуєте, як ви їх настроюєте, і які дані передаються через них. Цей інвентар буде важливим для розуміння ваших поточних обов’язків щодо GPAI та підготовки до вимог високого ризику 2026 року.

Передбачення кривої

Закон про штучний інтелект представляє перший у світі комплексний регуляторний акт щодо штучного інтелекту, і зараз ми знаходимося в середині його етапного впровадження. З обов’язками щодо моделей загального призначення, які зараз діють, та великою датою високого ризику, яка наближається в серпні 2026 року, компанії, які розглядали GDPR як тягар, пропустили можливість перетворити приватність на диференціатор. Не повторюйте ту саму помилку з урядуванням штучного інтелекту.

Бізнеси, які будуть боротися найбільше, – це ті, які будуть спіймані зненацька, коли виконання вимог посилиться. Ті, хто будує відповідальність сьогодні, виявлять, що дотримання вимог підвищує, а не перешкоджає їхній стратегії штучного інтелекту. Все ще є час, щоб передбачити криву – але вікно закривається швидко.