Головне
- Почніть з інвентаря всіх систем ШІ в роботі, зокрема функцій ШІ всередині програм, які ви вже купуєте, бо не можна класифікувати те, чого не внесено до списку.
- Кожна система отримує роль (провайдер, розгортач, імпортер, дистриб'ютор) і клас ризику, а контроль випливає з цих двох відповідей.
- Заборонені практики, обізнаність у сфері ШІ та прозорість зі статті 50 уже діють. Високий ризик із Додатка III: з 2 грудня 2027 року, а з Додатка I: з 2 серпня 2028 року (Регламент (ЄС) 2026/1744).
- Для розгортача основна робота припадає на закупівлі та операції: договори, людський нагляд, зберігання журналів і спосіб реагувати на інциденти.
Що змінилося у 2026 році і чому це не означає, що можна чекати
Для кожної системи ШІ визначте відповідального, свою юридичну роль, клас ризику та файл доказів. Наведені 12 кроків узгоджують роботу юридичної служби, безпеки, закупівель і операційної команди. Змінені строки для високого ризику: 2 грудня 2027 року для додатка III та 2 серпня 2028 року для систем у продуктах за додатком I. Чинні заборони, грамотність у сфері ШІ й відповідні обов’язки прозорості вже потребують уваги.
Чек-лист із 12 кроків
- Призначте відповідального й невелику робочу групу: юристи, відповідальний за захист даних, безпека, продукт і закупівлі. За програму відповідає одна людина.
- Складіть інвентар ШІ: кожна система, хто її власник, що вона робить, яких даних торкається і чи її розроблено власними силами, чи куплено. Додайте функції ШІ всередині інструментів, на які ви вже маєте ліцензію, та інструменти, якими співробітники користуються без дозволу.
- Спершу перевірте заборонені практики зі статті 5, бо вони вже обов'язкові й мають найвищі штрафи.
- Визначте свою роль для кожної системи: провайдер, розгортач, імпортер чи дистриб'ютор. Замовлення індивідуальної системи та її експлуатація під власним іменем можуть зробити вас провайдером.
- Класифікуйте кожну систему: заборонена, високий ризик (стаття 6 і Додаток III), лише прозорість (стаття 50) чи мінімальний ризик. Фіксуйте міркування, а не лише відповідь.
- Налаштуйте обізнаність у сфері ШІ за статтею 4: навчання, що відповідає ролі, контексту й особам, на яких впливає система, із записом про те, хто його пройшов.
- Перепишіть договори з постачальниками та питання для закупівель (див. таблицю нижче).
- Для кожної системи високого ризику, яку ви розгортаєте, виконуйте обов'язки зі статті 26: використовуйте її за інструкцією, призначте компетентний людський нагляд, перевіряйте вхідні дані, стежте за роботою, зберігайте журнали щонайменше шість місяців та інформуйте працівників і постраждалих осіб.
- Для кожної системи високого ризику, яку ви постачаєте, побудуйте контроль із розділу III: управління ризиками, управління даними, технічна документація, журналювання, інструкція з використання, людський нагляд, точність і кібербезпека, система управління якістю, оцінка відповідності та моніторинг після виходу на ринок.
- Запровадьте прозорість за статтею 50: повідомляйте людям, що вони говорять зі ШІ, маркуйте згенерований контент і позначайте дипфейки.
- Поєднайте з GDPR: оцінка впливу на захист даних, коли обробка має високий ризик, і оцінка впливу на фундаментальні права за статтею 27, коли вона застосовується.
- Створіть файл доказів і цикл перегляду: одна тека на систему, процес реагування на інциденти та календар із датами вище.
Кроки 1–6 стосуються кожної організації, що використовує ШІ, незалежно від її ролі. Кроки 7 і 8: основна робота розгортача, крок 9: для провайдерів, а кроки 10–12 поєднують усе докупи. Якщо ви лише купуєте й використовуєте інструменти ШІ, можете пропустити крок 9 і все одно матимете повну програму.
Що питати в постачальників перед підписанням
| Попросіть у постачальника | Чому це важливо |
|---|---|
| Призначення та інструкцію з використання письмово | Ви маєте використовувати систему високого ризику за інструкцією (стаття 26), тож вам потрібна інструкція, щоб її дотримуватися. |
| Доступ до журналів, які формує система | Ви повинні зберігати журнали під своїм контролем щонайменше шість місяців. |
| Де зберігаються й обробляються дані та чи використовуються вони для навчання моделей | Умови обробника за GDPR, місце розташування даних і конфіденційність. |
| Повідомлення про суттєві зміни моделі чи системи | Суттєва модифікація може змінити клас ризику або того, хто є провайдером. |
| Умови повідомлення про інциденти й вразливості | Про серйозні інциденти треба повідомляти, а вам швидко потрібні факти. |
| Для систем високого ризику: декларацію відповідності та реєстраційні дані | Доказ того, що провайдер виконав свою частину роботи. |
| Субобробників і місце розміщення | Потрібно для ваших записів і для будь-якого аналізу передачі даних. |
Хто за що відповідає
| Завдання | Зазвичай відповідає | Які докази зберігати |
|---|---|---|
| Інвентар ШІ та класифікація | Власник програми разом із бізнес-підрозділами | Таблиця інвентаря з роллю, класом і обґрунтуванням |
| Перевірка на заборонені практики | Юристи | Датоване погодження для кожної системи |
| Оцінка постачальників і договірні умови | Закупівлі та юристи | Відповіді на опитувальник і підписані умови |
| Проєктування людського нагляду | Продукт і операції | Іменні ролі нагляду, записи про навчання, процедура скасування рішення |
| Журналювання й моніторинг | Інженерія та безпека | Налаштування зберігання журналів, записи перевірок |
| Оцінки впливу | Відповідальний за захист даних | DPIA та, де потрібно, FRIA |
| Навчання | HR або комплаєнс | Журнали відвідування, навчальні програми за ролями |
Що робити перші 90 днів
- Тижні 1–3: призначено відповідального, зустріч робочої групи, перша чернетка інвентаря від ІТ, закупівель і кожного відділу.
- Тижні 4–6: перевірка на заборонені практики, роль і клас ризику для кожної системи, позначено кандидатів на високий ризик.
- Тижні 7–9: розіслано опитувальники постачальникам, оновлено шаблон договору, затверджено план з обізнаності у сфері ШІ.
- Тижні 10–13: повідомлення за статтею 50 запущено там, де потрібно, призначено ролі нагляду для використань високого ризику, створено теки з доказами та призначено дату перегляду.
Поділіться переліком систем ШІ та вимогами до розгортання. Допоможемо визначити архітектуру, контроль доступу, журнали й технічні докази для кожної системи.
Обговорити корпоративну архітектуру ШІFAQ
З чого великій компанії почати виконання Закону ЄС про ШІ?
Скласти інвентар усіх систем ШІ в роботі, зокрема функцій у програмах, які ви вже купуєте. Ролі, класи ризику й контроль залежать від того, чи знаєте ви, що маєте.
Чи скасував Digital Omnibus правила для високого ризику?
Ні. Він їх відтермінував: системи з Додатка III: до 2 грудня 2027 року, продукти з Додатка I: до 2 серпня 2028 року. Заборони, обізнаність у сфері ШІ та вимоги прозорості не відтерміновано, окрім пільгового періоду для маркування за статтею 50(2) у системах, які вже були на ринку.
Чи потрібна окрема оцінка впливу на фундаментальні права?
Лише якщо до вас застосовується стаття 27, яка охоплює публічні органи, приватні організації, що надають публічні послуги, та розгортачів певних систем кредитування й страхування. Якщо вам також потрібна оцінка впливу за GDPR, їх можна проводити разом.
Джерела
- Регламент (ЄС) 2024/1689 (Закон про ШІ), статті 4, 5, 6, 26, 27, 50 і розділ III, Офіційний вісник ЄС
- Регламент (ЄС) 2026/1744 (Digital Omnibus щодо ШІ), Офіційний вісник ЄС, 24 липня 2026
- Європейська комісія, поширені запитання про вимоги прозорості за статтею 50 Закону про ШІ
- Сервісний центр Закону про ШІ, стаття 26: обов'язки розгортачів систем ШІ високого ризику
Про автора
Artem Synytskyi · Співзасновник · ШІ
Artem очолює напрям ШІ в ESADEX і створює LLM, RAG та системи транскрипції для галузей із нормативними вимогами.