Главное
- Начните с инвентаря всех систем ИИ в работе, включая функции ИИ внутри программ, которые вы уже покупаете, потому что нельзя классифицировать то, чего нет в списке.
- Каждая система получает роль (провайдер, пользователь системы, импортёр, дистрибьютор) и класс риска, а контроль следует из этих двух ответов.
- Запрещённые практики, грамотность в сфере ИИ и прозрачность по статье 50 уже действуют. Высокий риск из Приложения III: с 2 декабря 2027 года, а из Приложения I: с 2 августа 2028 года (Регламент (ЕС) 2026/1744).
- Для пользователя системы основная работа приходится на закупки и операции: договоры, человеческий надзор, хранение журналов и способ реагировать на инциденты.
Что изменилось в 2026 году и почему это не значит, что можно ждать
Для каждой системы ИИ определите ответственного, свою юридическую роль, класс риска и файл доказательств. Приведённые 12 шагов согласуют работу юридической службы, безопасности, закупок и операционной команды. Изменённые сроки для высокого риска: 2 декабря 2027 года для приложения III и 2 августа 2028 года для систем в продуктах по приложению I. Действующие запреты, грамотность в области ИИ и соответствующие обязанности прозрачности уже требуют внимания.
Чек-лист из 12 шагов
- Назначьте ответственного и небольшую рабочую группу: юристы, ответственный за защиту данных, безопасность, продукт и закупки. За программу отвечает один человек.
- Составьте инвентарь ИИ: каждая система, кто её владелец, что она делает, каких данных касается и разработана ли она своими силами или куплена. Добавьте функции ИИ внутри инструментов, на которые у вас уже есть лицензия, и инструменты, которыми сотрудники пользуются без разрешения.
- Сначала проверьте запрещённые практики из статьи 5, потому что они уже обязательны и имеют самые высокие штрафы.
- Определите свою роль для каждой системы: провайдер, пользователь системы, импортёр или дистрибьютор. Заказ индивидуальной системы и её эксплуатация под собственным именем могут сделать вас провайдером.
- Классифицируйте каждую систему: запрещённая, высокий риск (статья 6 и Приложение III), только прозрачность (статья 50) или минимальный риск. Фиксируйте рассуждение, а не только ответ.
- Настройте грамотность в сфере ИИ по статье 4: обучение, соответствующее роли, контексту и людям, на которых влияет система, с записью о том, кто его прошёл.
- Перепишите договоры с поставщиками и вопросы для закупок (см. таблицу ниже).
- Для каждой системы высокого риска, которую вы используете, выполняйте обязанности по статье 26: используйте её по инструкции, назначьте компетентный человеческий надзор, проверяйте входные данные, следите за работой, храните журналы не менее шести месяцев и информируйте работников и затронутых лиц.
- Для каждой системы высокого риска, которую вы поставляете, постройте контроль из главы III: управление рисками, управление данными, техническая документация, журналирование, инструкция по использованию, человеческий надзор, точность и кибербезопасность, система менеджмента качества, оценка соответствия и мониторинг после вывода на рынок.
- Внедрите прозрачность по статье 50: сообщайте людям, что они говорят с ИИ, маркируйте сгенерированный контент и помечайте дипфейки.
- Свяжите с GDPR: оценка воздействия на защиту данных, когда обработка имеет высокий риск, и оценка воздействия на основные права по статье 27, когда она применяется.
- Создайте файл доказательств и цикл пересмотра: одна папка на систему, процесс реагирования на инциденты и календарь с датами выше.
Шаги 1–6 касаются каждой организации, использующей ИИ, независимо от её роли. Шаги 7 и 8: основная работа пользователя системы, шаг 9: для провайдеров, а шаги 10–12 связывают всё воедино. Если вы только покупаете и используете инструменты ИИ, можете пропустить шаг 9 и всё равно получите полную программу.
Что спрашивать у поставщиков перед подписанием
| Попросите у поставщика | Почему это важно |
|---|---|
| Назначение и инструкцию по использованию письменно | Вы обязаны использовать систему высокого риска по инструкции (статья 26), так что вам нужна инструкция, чтобы ей следовать. |
| Доступ к журналам, которые формирует система | Вы должны хранить журналы под своим контролем не менее шести месяцев. |
| Где хранятся и обрабатываются данные и используются ли они для обучения моделей | Условия обработчика по GDPR, местонахождение данных и конфиденциальность. |
| Уведомление о существенных изменениях модели или системы | Существенная модификация может изменить класс риска или того, кто является провайдером. |
| Условия уведомления об инцидентах и уязвимостях | О серьёзных инцидентах нужно сообщать, а вам быстро нужны факты. |
| Для систем высокого риска: декларацию соответствия и регистрационные данные | Доказательство того, что провайдер выполнил свою часть работы. |
| Субобработчиков и место размещения | Нужно для ваших записей и для любого анализа передачи данных. |
Кто за что отвечает
| Задача | Обычно отвечает | Какие доказательства хранить |
|---|---|---|
| Инвентарь ИИ и классификация | Владелец программы вместе с бизнес-подразделениями | Таблица инвентаря с ролью, классом и обоснованием |
| Проверка на запрещённые практики | Юристы | Датированное согласование по каждой системе |
| Оценка поставщиков и договорные условия | Закупки и юристы | Ответы на опросник и подписанные условия |
| Проектирование человеческого надзора | Продукт и операции | Именные роли надзора, записи об обучении, процедура отмены решения |
| Журналирование и мониторинг | Инженерия и безопасность | Настройки хранения журналов, записи проверок |
| Оценки воздействия | Ответственный за защиту данных | DPIA и, где нужно, FRIA |
| Обучение | HR или комплаенс | Журналы посещаемости, учебные программы по ролям |
Что делать первые 90 дней
- Недели 1–3: назначен ответственный, встреча рабочей группы, первый черновик инвентаря от ИТ, закупок и каждого отдела.
- Недели 4–6: проверка на запрещённые практики, роль и класс риска для каждой системы, отмечены кандидаты на высокий риск.
- Недели 7–9: разосланы опросники поставщикам, обновлён шаблон договора, утверждён план по грамотности в сфере ИИ.
- Недели 10–13: уведомления по статье 50 запущены там, где нужно, назначены роли надзора для применений высокого риска, созданы папки с доказательствами и назначена дата пересмотра.
Поделитесь перечнем систем ИИ и требованиями к развёртыванию. Поможем определить архитектуру, контроль доступа, журналы и технические доказательства для каждой системы.
Обсудить корпоративную архитектуру ИИFAQ
С чего крупной компании начать выполнение Закона ЕС об ИИ?
Составить инвентарь всех систем ИИ в работе, включая функции в программах, которые вы уже покупаете. Роли, классы риска и контроль зависят от того, знаете ли вы, что у вас есть.
Отменил ли Digital Omnibus правила для высокого риска?
Нет. Он их отсрочил: системы из Приложения III: до 2 декабря 2027 года, продукты из Приложения I: до 2 августа 2028 года. Запреты, грамотность в сфере ИИ и требования прозрачности не отсрочены, кроме льготного периода для маркировки по статье 50(2) в системах, которые уже были на рынке.
Нужна ли отдельная оценка воздействия на основные права?
Только если к вам применяется статья 27, которая охватывает публичные органы, частные организации, оказывающие публичные услуги, и пользователей определённых систем кредитования и страхования. Если вам также нужна оценка воздействия по GDPR, их можно проводить вместе.
Источники
- Регламент (ЕС) 2024/1689 (Закон об ИИ), статьи 4, 5, 6, 26, 27, 50 и глава III, Официальный вестник ЕС
- Регламент (ЕС) 2026/1744 (Digital Omnibus по ИИ), Официальный вестник ЕС, 24 июля 2026
- Европейская комиссия, часто задаваемые вопросы о требованиях прозрачности по статье 50 Закона об ИИ
- Сервисный центр Закона об ИИ, статья 26: обязанности пользователей систем ИИ высокого риска
Об авторе
Artem Synytskyi · Сооснователь · ИИ
Artem возглавляет направление ИИ в ESADEX и создаёт LLM, RAG и системы транскрипции для отраслей с нормативными требованиями.