EU AI Act для українських компаній, які продають продукти зі штучним інтелектом у ЄС

Чому регламент діє і поза межами ЄС

EU AI Act, тобто Регламент (ЄС) 2024/1689, набрав чинності 1 серпня 2024 року. Як і GDPR, він має екстериторіальну дію. Стаття 2 поширює його на постачальників, які виводять на ринок ЄС або вводять в експлуатацію в ЄС системи ШІ чи моделі ШІ загального призначення, незалежно від того, де ці постачальники зареєстровані. Регламент також охоплює постачальників і користувачів (у тексті регламенту deployers) з третіх країн, якщо результат роботи системи використовується в ЄС.

Для української компанії це означає, що питання не в тому, де зареєстрована юрособа, а в тому, де працює продукт і де використовуються його результати. SaaS-платформа з функцією автоматичного відбору кандидатів, яку купує польський роботодавець, або модуль скорингу для німецького фінтеху, розроблений в Україні, цілком можуть підпадати під регламент.

Україна не є членом ЄС, тому прямих обов'язків для внутрішнього ринку регламент не створює. Але для компаній, що експортують продукти й послуги в ЄС, він стає частиною вимог клієнтів і умов доступу до ринку.

Яка у вас роль: постачальник, користувач чи підрядник

Обов'язки за AI Act залежать насамперед від ролі. Постачальник (provider) розробляє систему ШІ або замовляє її розробку і виводить на ринок під своїм ім'ям чи торговою маркою. Користувач (deployer) застосовує систему ШІ у своїй професійній діяльності. Окремо регламент визначає імпортерів, дистриб'юторів і уповноважених представників.

Українські компанії найчастіше потрапляють у три ситуації. Перша: власний продукт зі ШІ продається клієнтам у ЄС. Тут компанія, як правило, є постачальником і несе основні обов'язки. Друга: аутсорсингова розробка на замовлення європейського клієнта, який виводить продукт під своїм брендом. Тоді постачальником зазвичай є клієнт, але він переносить значну частину вимог на підрядника через договір: документацію, тестування, якість даних, підтримку аудиту. Третя: українська компанія надає послугу, в якій сама використовує ШІ, а результат отримує клієнт у ЄС. Тут потрібно уважно аналізувати, чи не є компанія користувачем або постачальником у розумінні регламенту.

Роль варто визначати для кожної системи окремо і фіксувати письмово. Від цього залежить, які розділи регламенту читати першочергово.

Класи ризику і що вони означають на практиці

Регламент побудований на ризик-орієнтованому підході. Класифікація стосується не технології як такої, а призначення системи. Та сама мовна модель може бути системою мінімального ризику в чат-боті підтримки і системою високого ризику, якщо її використовують для ранжування кандидатів на вакансію. Тому класифікувати потрібно кожен сценарій використання, описаний у документації та маркетингових матеріалах продукту.

Зверніть увагу і на виняток зі статті 6: система зі сфери Додатка III може не вважатися високоризиковою, якщо вона виконує вузьке процедурне завдання або лише покращує результат уже завершеної людської діяльності і не здійснює профілювання людей. Таке рішення постачальник має задокументувати і бути готовим обґрунтувати перед органом нагляду. Від класу ризику залежить обсяг обов'язків:

• Заборонені практики (стаття 5): наприклад, маніпулятивні техніки, що завдають шкоди, соціальний скоринг, певні види біометричної ідентифікації, розпізнавання емоцій на роботі та в освіті з окремими винятками. Ці заборони діють з 2 лютого 2025 року.
• Системи високого ризику: компоненти безпеки продуктів, на які поширюється гармонізоване законодавство ЄС, а також сфери з Додатка III, зокрема біометрія, критична інфраструктура, освіта, працевлаштування і управління персоналом, доступ до основних послуг, включно з оцінкою кредитоспроможності, правоохоронна діяльність, міграція, правосуддя.
• Системи з обов'язками прозорості (стаття 50): чат-боти мають повідомляти, що людина взаємодіє з ШІ, а синтетичний контент і діпфейки мають бути позначені.
• Моделі ШІ загального призначення (GPAI): окремі обов'язки для постачальників моделей, що діють з 2 серпня 2025 року.
• Інші системи мінімального ризику: спеціальних вимог немає, але діє загальний обов'язок щодо грамотності у сфері ШІ.

Строки застосування і застереження щодо змін

Регламент застосовується поетапно. З 2 лютого 2025 року діють заборони і обов'язок забезпечити достатній рівень грамотності персоналу у сфері ШІ (стаття 4). З 2 серпня 2025 року застосовуються правила для моделей загального призначення, а також положення про органи нагляду і штрафи. Більшість вимог до систем високого ризику за початковим текстом регламенту мали застосовуватися з 2 серпня 2026 року, а для систем ШІ, що є компонентами регульованих продуктів, з 2 серпня 2027 року.

У 2025-2026 роках Європейська комісія запропонувала пакет змін, так званий digital omnibus, який може відкласти частину строків для систем високого ризику. Оскільки законодавчий процес триває, перевіряйте актуальний статус на EUR-Lex і на сайті Європейської комісії перед тим, як планувати проєкт. Розумна стратегія полягає в тому, щоб не чекати остаточних дат, адже клієнти в ЄС уже зараз включають вимоги AI Act у договори та опитувальники для постачальників.

Обов'язки постачальника системи високого ризику

Якщо ваша система належить до високого ризику і ви є постачальником, регламент вимагає побудувати цілий комплекс процесів. Для багатьох систем з Додатка III оцінку відповідності проводить сам постачальник на основі внутрішнього контролю, без залучення нотифікованого органу. Це не спрощення: орган нагляду може в будь-який момент запросити документацію, і вона має бути повною, актуальною та доступною мовою, зрозумілою органу. Основні вимоги такі:

• Система управління ризиками протягом усього життєвого циклу (стаття 9).
• Управління даними: якість, релевантність, репрезентативність навчальних, валідаційних і тестових наборів, перевірка на упередженість (стаття 10).
• Технічна документація за Додатком IV (стаття 11) і автоматичне ведення журналів подій (стаття 12).
• Інструкції для користувачів і прозорість (стаття 13), людський нагляд (стаття 14), точність, надійність і кібербезпека (стаття 15).
• Система управління якістю (стаття 17), процедура оцінки відповідності, декларація відповідності ЄС, маркування CE, реєстрація в базі даних ЄС.
• Моніторинг після виведення на ринок і повідомлення про серйозні інциденти.
• Для постачальника з третьої країни: призначення уповноваженого представника, заснованого в ЄС, письмовим дорученням (стаття 22).

Штрафи і реальні комерційні наслідки

Стаття 99 встановлює максимальні розміри штрафів: до 35 млн євро або 7% світового річного обороту за порушення заборон, до 15 млн євро або 3% за порушення більшості інших обов'язків, до 7,5 млн євро або 1% за надання неправдивої або неповної інформації органам. Для малих і середніх підприємств, включно зі стартапами, застосовується менша з двох сум. Конкретні правила накладення штрафів визначають держави-члени.

Для української компанії комерційні наслідки часто відчутніші за штрафи. Європейські клієнти, особливо банки, страхові компанії, HR-платформи і медичні організації, перевіряють постачальників ШІ під час закупівель. Без зрозумілої документації, оцінки ризиків і опису даних компанія ризикує просто не пройти due diligence або отримати в договорі вимоги, яких не зможе виконати.

Типові запитання в таких опитувальниках: який клас ризику ви присвоїли системі і чому, на яких даних навчалася модель, як перевіряли упередженість, чи використовуються дані клієнта для донавчання, як працює людський нагляд, як повідомляєте про інциденти. Якщо відповіді вже зібрані в одному місці, продаж іде швидше.

План дій для української компанії

Навіть якщо остаточні строки для систем високого ризику ще можуть змінитися, базову роботу варто почати зараз. Вона знадобиться і для регламенту, і для відповідей на опитувальники клієнтів.

• Скласти реєстр усіх систем і моделей ШІ, які ви розробляєте або використовуєте, з зазначенням ринків і клієнтів у ЄС.
• Для кожної системи визначити свою роль за регламентом і попередній клас ризику, рішення задокументувати.
• Перевірити, чи немає ознак заборонених практик, і провести навчання з грамотності у сфері ШІ для команди.
• Додати маркування і повідомлення для чат-ботів і генеративного контенту.
• Для потенційно високоризикових систем почати готувати технічну документацію, опис даних, журналювання і механізми людського нагляду.
• Переглянути договори з клієнтами в ЄС і з постачальниками моделей: хто є постачальником, хто відповідає за документацію, як обмінюватися інформацією про інциденти.
• Розглянути впровадження ISO/IEC 42001 як системної рамки для управління ШІ.

Роль ISO 42001 у підготовці

ISO/IEC 42001:2023 не є гармонізованим стандартом за AI Act і не дає презумпції відповідності. Однак він описує систему управління, яка покриває багато тих самих тем: оцінку ризиків і впливу, життєвий цикл систем, якість даних, роботу з постачальниками, моніторинг і коригувальні дії. Для невеликої компанії це зручний каркас, на який потім можна накласти конкретні вимоги регламенту.

Безкоштовна самооцінка на baltum.ai допоможе швидко побачити, які елементи управління ШІ у вас уже є, а яких бракує для розмови з європейськими клієнтами.

Стаття має інформаційний характер і не є юридичною консультацією. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації.