Перенесли не все

Влітку 2026 року Digital Omnibus on AI, тобто Регламент (ЄС) 2026/1744, набрав чинності 27 липня. Багато хто прочитав це як «все відклали». Це неправда, і різниця важлива для кожної компанії, яка має користувачів у ЄС.

Що саме перенесено, за сторінкою Єврокомісії (оновлена 19 жовтня 2026):

• вимоги до систем високого ризику з Annex III (додатку III до Регламенту) тепер застосовуються з 2 грудня 2027;

• вимоги до високоризикових систем, вбудованих у регульовані продукти (Annex I), з 2 серпня 2028.

Що не перенесено:

• заборонені практики й вимоги щодо AI literacy (обізнаності з ШІ) діють з 2 лютого 2025;

• AI Act застосовується з 2 серпня 2026, правила прозорості набирають чинності в серпні 2026;

• нова заборона на системи, що створюють сексуальний контент без згоди та матеріали з сексуальним насильством над дітьми, діє з грудня 2026.

Окремо є строк, який легко пропустити. Регламент (ЄС) 2026/1744 дає провайдерам генеративних систем, які вже були на ринку до 2 серпня 2026, перехідний період на чотири місяці: до 2 грудня 2026 вони мають виконати вимоги статті 50(2). Це маркування згенерованого аудіо, зображень, відео й тексту в машиночитному форматі, щоб такий контент можна було виявити. Про цей строк пишуть і юристи Cooley.

На момент виходу цієї статті до 2 грудня лишається трохи більше місяця. Спершу про те, що вимагає стаття 50 і кого вона стосується, далі п'ять кроків, Annex III, ISO/IEC 42001 і типові помилки.

Що саме вимагає стаття 50

Стаття 50 про прозорість: людина має знати, що має справу зі ШІ або зі згенерованим контентом. Юристи Cooley виділяють чотири сценарії. Провайдер розробляє систему і виводить її на ринок, деплоєр використовує її під своєю відповідальністю.

1. Системи, що взаємодіють із людьми напряму: чат-боти, голосові асистенти, ШІ-агенти. Провайдер розкриває, що це ШІ, якщо це не очевидно.

2. Генерація чи зміна аудіо, зображень, відео, тексту. Провайдер вбудовує машинозчитуване маркування і дає механізм виявлення. Винятки обмежені, наприклад стандартне редагування.

3. Розпізнавання емоцій і біометрична категоризація. Деплоєр інформує людей, до яких це застосовують.

4. Deepfake і згенерований текст на теми суспільного інтересу. Деплоєр розкриває штучне походження, якщо контент не пройшов суттєву редакційну перевірку людини, що взяла на себе редакційну відповідальність.

Єврокомісія в настановах щодо прозорості підтверджує цей розподіл і пояснює поняття та винятки на прикладах. Способи виконання різні. Для маркування є кодекс практик; хто до нього не приєднується, має довести виконання «альтернативними, рівнозначно адекватними засобами». Для решти обов'язків, зокрема сповіщення про чат-бот, компанія сама визначає адекватні заходи.

Окремо про заборони. Серед дев'яти заборонених практик на сторінці Комісії є розпізнавання емоцій на робочих місцях і в закладах освіти та біометрична категоризація для визначення певних захищених ознак. Тож якщо функція «читає» емоції працівників чи студентів, питання не в позначці, а в тому, чи вона допустима.

Кого це стосується в Україні

AI Act не питає, де зареєстрована компанія. За описом Cooley, він застосовується до провайдерів, деплоєрів, імпортерів і дистриб'юторів систем ШІ, які виводять ШІ на ринок ЄС або чиї результати використовують в ЄС. Для українських компаній вирішує місце роботи системи і використання результату, а не адреса офісу.

Типово це продукт із користувачами в ЄС, сервіс для клієнта з ЄС, який використовує результати системи (оцінку, рекомендацію, згенерований матеріал), або контент, який ви публікуєте для аудиторії в ЄС. Якщо нічого з цього немає, зафіксуйте такий висновок письмово. У сумнівних випадках Комісія веде AI Act Service Desk.

Крок 1. Реєстр систем ШІ

Почніть зі списку: що в компанії працює на моделях ШІ. Не лише власні продукти. Додайте чат-бот на сайті, скоринг, рекомендації, генерацію зображень і тексту, асистентів у розробці та підтримці, функції ШІ в SaaS, який ви купуєте. Останні найчастіше забувають.

Для кожної системи запишіть:

• назву, модель і постачальника (ваша команда чи вендор);

• призначення і кому адресований результат;

• чи бачить систему або її результат користувач у ЄС;

• які дані, зокрема персональні;

• вашу роль: провайдер чи деплоєр;

• сценарій статті 50: чат-бот, генерація, deepfake, емоції, біометрія чи жоден;

• чи схожа система на сценарії Annex III;

• як організовано нагляд людини і де зберігаються журнали;

• власника і дату останнього перегляду.

Добре, коли в системи є бізнес-власник (знає, навіщо вона і що буде без неї) і технічний (знає, як вона влаштована). Реєстр загалом веде одна людина: комплаєнс, CISO, DPO чи керівник операцій. У кожному рядку має стояти ім'я, а не назва відділу. Це одна таблиця, а не проєкт на квартал.

Крок 2. Хто ви для кожної системи: провайдер чи деплоєр

Обов'язки залежать від ролі, а роль визначають для кожної системи окремо. Три умовні приклади, без назв компаній.

Українська продуктова компанія з користувачами в ЄС. У застосунку є чат-асистент на сторонній моделі та генерація зображень. Для самого застосунку компанія зазвичай провайдер: розкриття «це ШІ» і маркування зображень лежать на ній, а якщо функція працювала до 2 серпня 2026, строк для маркування й виявлення 2 грудня. Коли ця сама компанія просто користується генератором зображень для реклами, вона деплоєр.

Банк зі скорингом. Якщо модель куплено у вендора, банк зазвичай деплоєр; якщо збудовано самостійно, у нього є риси провайдера. Кредитний скоринг Комісія наводить як приклад високого ризику, тож горизонт тут 2 грудня 2027. Але чат-бот цього банку має розкриття вже з серпня. Одна організація, два режими.

HR-платформа. Сервіс сортує резюме й продається роботодавцям. Платформа провайдер, роботодавці деплоєри. Програми сортування резюме Комісія теж називає прикладом високого ризику. Функцію аналізу емоцій кандидата варто окремо показати юристу, бо розпізнавання емоцій на робочих місцях Комісія відносить до заборонених.

Є й проміжні випадки, наприклад коли ви змінили модель настільки, що відповідаєте за неї як розробник. Фіксуйте такі рішення письмово в реєстрі разом із відповіддю вендора про маркування й виявлення.

Крок 3. Чат-бот повинен назвати себе

Якщо на сайті чи в застосунку є чат-бот, голосовий асистент чи ШІ-агент, користувач має знати, що говорить не з людиною. Виняток один: коли це очевидно. На практиці не покладайтеся на очевидність. Перевірте:

• чи є позначка в самому вікні чату, а не тільки в політиці конфіденційності;

• чи видно її до першого повідомлення;

• чи не видає бот себе за людину іменем, фото чи манерою;

• чи є шлях до живого оператора, якщо ви його обіцяєте.

Це найдешевший крок у списку, і він стосується майже кожної компанії з сайтом.

Крок 4. Маркування контенту й deepfake

Тут два окремих обов'язки. Провайдер генеративної системи вбудовує машинозчитуване маркування і дає спосіб виявити штучний контент. Для систем, що були на ринку до 2 серпня 2026, за Регламентом 2026/1744 це має бути виконано до 2 грудня. Решта вимог статті 50 діє з 2 серпня для всіх систем. Контент, опублікований до цієї дати, заднім числом позначати не треба.

Деплоєр, який публікує штучно створений чи змінений контент, зокрема deepfake (реалістичні зображення, відео чи аудіо людини в ситуації, якої не було), має про це повідомити. Те саме стосується тексту, який публікують, щоб інформувати публіку з питань суспільного інтересу, якщо його не перевіряла людина-редактор.

Кодекс практик від 10 червня 2026 добровільний. За Jones Day, жоден окремий метод маркування сьогодні не гарантує потрібної надійності, тож кодекс вимагає від підписантів щонайменше двох шарів (скажімо, метаданих і водяного знака), механізмів виявлення для користувачів, органів, дослідників і медіа, а для аудіо передбачає голосове застереження. Для позначок деплоєра є публічна піктограма ЄС. Cooley додає, що підписанти, на їхню думку, отримують певну презумпцію відповідності.

Що зробити зараз: визначте процеси, які створюють контент за допомогою ШІ, і хто вирішує про позначку. Провайдеру генеративної системи поставте технічну задачу з дедлайном до 2 грудня.

Крок 5. Навчання персоналу: AI literacy

Цей обов'язок діє з 2 лютого 2025, тож якщо ви ще нічого не робили, закривайте його першим. Єдиної програми немає. Розумний мінімум: люди, які працюють із ШІ, розуміють, що він може й чого не може, де межі довіри до результату, які дані не вводити і кому повідомляти про збої. Зафіксуйте, хто, коли і за яким матеріалом навчався. Для аудиту це простіше показати, ніж пояснювати.

Annex III: що туди входить і чому інвентаризацію варто робити вже зараз

Строк 2 грудня 2027 здається далеким. За Комісією, правила для високоризикових сфер (біометрія, критична інфраструктура, освіта, зайнятість, міграція, притулок і керування кордонами) діятимуть саме з цієї дати. Приклади зі сторінки Комісії:

• освіта: оцінювання іспитів;

• зайнятість: програми сортування резюме;

• істотні послуги: кредитний скоринг, що може відмовити в кредиті;

• віддалена біометрична ідентифікація, розпізнавання емоцій, біометрична категоризація;

• також критична інфраструктура, правоохоронна діяльність, кордони, правосуддя.

Комісія називає й вимоги: оцінка та зниження ризиків, якість даних проти дискримінації, журналювання, документація, інформація для деплоєра, нагляд людини, надійність, кібербезпека і точність. Це процеси і дані, а не текст політики, і за місяць їх не ввімкнеш. До речі, 19 жовтня 2026 року в Official Journal опублікували перший гармонізований стандарт на підтримку AI Act.

Фінсектору варто прямо спитати себе, чи скоринг під це підпадає. HR-tech та EdTech варто звірити свої сценарії з переліком. Додайте до реєстру колонку «схоже на Annex III» і власника: якщо відповідь «можливо», у вас є трохи більше року, щоб з'ясувати це без поспіху, а не в останній квартал.

AI Act і ISO/IEC 42001

AI Act задає вимоги, але не каже, як організувати роботу, щоб виконувати їх стабільно. Тут допомагає рамка управління. ISO/IEC 42001:2023 за описом ISO це перший у світі стандарт системи управління ШІ (AIMS). Він визначає вимоги до створення, впровадження, підтримання й постійного вдосконалення такої системи для організацій, що розробляють, надають або використовують ШІ, за циклом «плануй, роби, перевіряй, дій». Реєстр із першого кроку майже збігається з тим, що потрібно системі управління: які системи є, хто відповідає, які ризики, як усе переглядають.

Застереження: ISO пише, що стандарт не заглиблюється в деталі окремих застосунків ШІ. Він не замінює юридичного аналізу за AI Act: роль, сценарій статті 50 і належність до Annex III визначають окремо.

Типові помилки

• Реєстр лише про власні продукти. Функції ШІ в куплених SaaS теж на вас як деплоєрі.

• Позначка про ШІ лише в політиці конфіденційності.

• «Перенесли» прочитали як «пауза». Перенесено Annex III та Annex I, а стаття 50 діє з серпня.

• Сплутані строки. 2 грудня 2026 стосується лише маркування й виявлення для систем, що були на ринку до 2 серпня.

• Одна роль на всю компанію. Роль визначають для кожної системи.

• Функції розпізнавання емоцій і біометрії без перевірки на заборони. Позначка не робить допустимою заборонену практику.

• Реєстр без імені власника. За тиждень він застаріває.

Скільки це коштує, якщо нічого не робити

За порушення вимог статті 50 штраф може сягати до 15 млн євро або 3% світового річного обороту, залежно від того, що більше (за Cooley). Для більшості компаній практичніший ризик інший: запит від клієнта чи партнера з ЄС, на який нема відповіді.

Часті запитання

Чи стосується AI Act українських компаній?

Так, якщо систему виведено на ринок ЄС або її результати використовують в ЄС. Вирішує не місце реєстрації, а те, хто і де користується системою.

Що саме настає 2 грудня 2026?

Для провайдерів генеративних систем, що були на ринку до 2 серпня 2026, закінчується перехідний період для маркування й виявлення контенту (стаття 50(2)). У грудні 2026 також набирає чинності нова заборона на системи для сексуального контенту без згоди. Вимоги Annex III цього грудня не починаються, їх перенесено на 2 грудня 2027.

Кодекс практик обов'язковий?

Ні. Але без нього за настановами Комісії треба показати виконання вимог щодо маркування «альтернативними, рівнозначно адекватними засобами».

Чи замінює ISO/IEC 42001 виконання вимог AI Act?

Ні. Це стандарт системи управління. Він допомагає організувати реєстр, ролі й оцінювання ризиків, але роль, сценарій статті 50 і Annex III визначають окремо.

З чого почати цього тижня

• Складіть реєстр систем ШІ і призначте власника для кожної.

• Визначте роль для кожної: провайдер чи деплоєр.

• Перевірте повідомлення в чат-боті.

• Визначте, де ви створюєте контент за допомогою ШІ, і як його позначати.

• Зафіксуйте навчання персоналу.

• Додайте до реєстру колонку про Annex III.

Це матеріал для орієнтації, а не юридична консультація: фінальну оцінку ролі й строків краще узгодити з юристом. Якщо потрібно швидко скласти реєстр і розкласти системи за ролями та ризиком, поговоримо. Для ширшого погляду на безпеку ваших систем є також аудит кібербезпеки.