Закон ЕС об ИИ (AI Act): что важно знать компаниям вне ЕС
Основы4 минРедакция Innovialabs
Коротко
AI Act распространяется не по месту регистрации компании, а по месту использования ИИ: если ваша ИИ-система выводится на рынок ЕС или её результаты используются в ЕС, закон применяется и к вам, а объём обязанностей зависит от категории риска.
Короткий ответ
AI Act — регламент Европейского союза, который регулирует системы искусственного интеллекта по уровню риска. Ключевое для компаний вне ЕС: закон смотрит не на то, где вы зарегистрированы, а на то, где используется ваш ИИ.
Если компания из Ташкента продаёт ИИ-продукт клиентам в ЕС или результаты её системы используются в ЕС, требования закона могут распространяться и на неё. Если ваш продукт работает только для местного рынка, AI Act вас напрямую не касается.
Этот материал — обзор, а не юридическая консультация. Для конкретного продукта стоит проверить требования с юристом, знакомым с правом ЕС.
Четыре категории риска
| Категория | Примеры | Что требуется |
|---|---|---|
| Недопустимый риск | Социальный рейтинг, манипулятивные техники, эксплуатирующие уязвимость людей, массовый сбор лиц из интернета для баз распознавания, распознавание эмоций на работе и в учёбе | Запрещено |
| Высокий риск | ИИ для найма и оценки сотрудников, кредитного скоринга, доступа к образованию и важным услугам, а также ИИ как элемент безопасности регулируемых продуктов | Управление рисками, качество данных, документация, логирование, контроль человеком, оценка соответствия |
| Ограниченный риск | Чат-боты, генерация текста, изображений, аудио и видео, дипфейки | Обязанности по прозрачности |
| Минимальный риск | Спам-фильтры, рекомендации, ИИ в играх | Специальных требований нет |
Отдельные правила есть для моделей общего назначения (GPAI) — крупных языковых моделей. Они касаются в первую очередь разработчиков самих моделей, а не компаний, которые используют их через API.
Прозрачность: чат-боты и сгенерированный контент
Это категория, в которую попадает большинство бизнес-проектов:
- Чат-боты. Пользователь должен понимать, что общается с ИИ, а не с человеком, если это не очевидно из контекста.
- Сгенерированный контент. Тексты, изображения, аудио и видео, созданные ИИ, должны маркироваться в машиночитаемом виде, чтобы их можно было распознать как синтетические.
- Дипфейки. Реалистичные изображения, видео или голос реальных людей, созданные ИИ, нужно явно помечать.
- Распознавание эмоций и биометрическая категоризация. Людей нужно уведомлять, что такая система к ним применяется.
На практике для типичного чат-бота поддержки это значит: понятное сообщение «Вы общаетесь с ИИ-ассистентом» в начале диалога и возможность связаться с человеком.
Когда закон касается компании из Узбекистана или СНГ
AI Act различает роли:
- Провайдер — тот, кто разрабатывает ИИ-систему и выводит её на рынок под своим именем.
- Деплоер — тот, кто использует ИИ-систему в своей деятельности.
Закон может применяться к компании вне ЕС, если:
- Вы продаёте или предоставляете ИИ-продукт клиентам в ЕС — например, SaaS с ИИ-функциями.
- Результаты вашей системы используются в ЕС — например, вы скорите кандидатов для европейского работодателя.
- Вы встраиваете ИИ в продукт, который поставляется в ЕС.
Провайдеры из третьих стран для высокорисковых систем обязаны назначить уполномоченного представителя в ЕС.
Не попадают под закон, как правило: внутренние инструменты без пользователей в ЕС, продукты только для местного рынка, чисто исследовательские разработки.
Что сделать уже сейчас
- Составьте реестр ИИ. Где в продуктах и процессах используется ИИ, какие модели, для каких задач.
- Определите, есть ли пользователи или клиенты в ЕС.
- Оцените категорию риска каждой системы. Особое внимание — найму, кредитованию, образованию, биометрии.
- Добавьте прозрачность: раскрытие ИИ в чат-ботах, маркировку сгенерированного контента.
- Документируйте данные, модели, тесты и меры контроля человеком — это пригодится и для других законов.
- Следите за графиком. Требования вступают в силу поэтапно, а сроки и детали уточняются через руководства Еврокомиссии.
Частые ошибки
- Считать, что закон касается только европейских компаний.
- Путать AI Act с GDPR: обработка персональных данных регулируется GDPR отдельно, и оба закона могут применяться одновременно.
- Думать, что использование чужой модели через API снимает всю ответственность. Обязанности деплоера и прозрачности остаются за вами.