EU AI Act
Відповідність EU AI Act: спершу класифікація
Інвентаризуємо системи ШІ, якими ви вже користуєтеся, визначаємо їхню категорію ризику й готуємо вас лише до тих зобов’язань, що справді вас стосуються.
З ЧОГО ПОЧИНАЄТЬСЯ
СПЕРШУ КЛАСИФІКАЦІЯ
Більшість організацій починають роботу з AI Act не з того питання. Вони питають «як нам виконати вимоги?», а відповідь залежить від попереднього питання: до якої категорії ризику потрапляють системи ШІ, якими компанія вже користується.
ЩО МИ БАЧИМО НА ПРАКТИЦІ
Регламент уже чинний і вводиться поетапно за рівнями ризику. Заборони окремих практик діють з 2 лютого 2025 року, зобов’язання для моделей ШІ загального призначення — з 2 серпня 2025 року, більшість інших норм, зокрема вимоги прозорості, — з 2 серпня 2026 року. Digital Omnibus on AI (Регламент (ЄС) 2026/1744) переніс вимоги до систем високого ризику: для сфер із додатка III вони діють з 2 грудня 2027 року, а для систем ШІ, вбудованих у продукти з додатка I, — з 2 серпня 2028 року. До систем високого ризику застосовуються суттєві вимоги щодо управління ризиками, врядування даними, технічної документації, логування, прозорості, людського нагляду, точності та кібербезпеки, а їхні постачальники мають пройти оцінку відповідності й зареєструвати систему до виходу на ринок. Для систем, які спілкуються з людьми або створюють контент, діють вимоги прозорості. Незалежно від рівня ризику кожна організація, яка розробляє чи впроваджує ШІ, має вживати заходів для розвитку грамотності персоналу у сфері ШІ, і цей обов’язок теж уже діє. Більшість систем у більшості компаній потрапляють у нижчу категорію, ніж бояться їхні власники. Винятки зосереджені в регульованих галузях: оцінка кредитоспроможності, від якої залежить доступ до фінансових послуг (виявлення шахрайства прямо виключене), інструменти відбору персоналу, системи, якими державні органи вирішують доступ до пільг і базових публічних послуг. Якщо ви банк, страховик чи заклад охорони здоров’я, виходьте з протилежного, доки класифікація не покаже інше. У будь-якому разі стверджувати результат, який ви не задокументували, не можна.
У НИХ НЕМАЄ ІНВЕНТАРИЗАЦІЇ
ШІ потрапляє в компанію через закупівлі, через функції, увімкнені в наявних SaaS-продуктах, і через команди, які самі почали користуватися інструментами. Перший результат майже кожного проєкту з AI Act — перелік систем ШІ, якими користується компанія, і він майже завжди довший, ніж очікували.
ВИ ВПРОВАДЖУЄТЕ, А НЕ РОЗРОБЛЯЄТЕ
Зобов’язання суттєво відрізняються залежно від того, чи ви розробляєте систему ШІ й виводите її на ринок, чи впроваджуєте чужу; окремі ролі мають імпортери й дистриб’ютори. Помилитися з роллю означає готуватися зовсім не до тих зобов’язань. До того ж межа рухається: якщо ви ставите власну назву на систему високого ризику, суттєво її змінюєте або змінюєте її призначення, ви стаєте постачальником з усіма його зобов’язаннями.
ЧИЇ ЗОБОВ’ЯЗАННЯ ВИ НЕСЕТЕ
Продукти на основі базової моделі (foundation model) поєднують два набори зобов’язань: постачальника моделі — за розділом регламенту про моделі ШІ загального призначення — і ваші власні щодо системи, яку ви будуєте поверх неї. На яку документацію постачальника моделі можна спертися, а яку треба підготувати самим, варто з’ясувати до того, як про це спитає перший корпоративний клієнт.
ЗАКОН І СИСТЕМА УПРАВЛІННЯ
AI Act — це закон. ISO/IEC 42001 — стандарт системи управління ШІ, за яким можна пройти сертифікацію. Це не одне й те саме: сертифікат не означає відповідності закону, а 42001 не є гармонізованим стандартом за AI Act, тож презумпції відповідності не дає. Гармонізовані стандарти ще розробляються. 42001 дає операційну структуру — управління, оцінку ризиків, контролі життєвого циклу й безперервне вдосконалення, — у яку вписуються регуляторні зобов’язання. Організаціям, які вже мають ISO 27001 чи ISO 27701, інтегрувати її значно простіше, бо структура системи управління спільна: ми будуємо одну інтегровану систему, а не третю паралельну.
МИ САМІ — ПОСТАЧАЛЬНИК ЗА AI ACT
Ми експлуатуємо власну платформу ШІ — Digital Employee — і за регламентом є її постачальником. Тому управління, яке ми описуємо, для нас не теорія: впровадження починається зі спостереження й доступу лише на читання; налаштування кожного процесу визначає, які дії потребують погодження конкретної людини; кроки процесів, звернення до моделі й погодження записуються з узгодженим охопленням, строком зберігання й захистом; а канал комунікації вмикаємо лише тоді, коли адресати знатимуть, що мають справу із системою ШІ.
Платформу впроваджують у пілотах із фінансовими, медичними й телекомунікаційними організаціями в межах Netherlands–Ukraine Cybersecurity Fund 2026 — програми уряду Нідерландів, яку адмініструє Netherlands Enterprise Agency (RVO), у консорціумі на чолі з DataExpert B.V. Кожен пілот проходить перевірку захисту даних у клієнта, з договірними обмеженнями на автоматизовані рішення й людським наглядом, побудованим відповідно до принципів ISO/IEC 42001. Це управління ШІ, відпрацьоване п’ять разів у реальних середовищах, а не один раз на папері. Якщо хочете побачити, як ці вимоги виглядають у робочій системі, а не в тексті політики, — покажемо нашу.
Що ми робимо
Інвентаризація та класифікація систем ШІ
Виявляємо системи ШІ, якими користується організація, визначаємо вашу роль щодо кожної й класифікуємо їх за рівнями ризику регламенту. Результат — реєстр ШІ із задокументованим обґрунтуванням для кожної системи. Від цього залежить уся подальша робота.
Аналіз прогалин
Порівнюємо вашу практику лише з тими зобов’язаннями, які відповідають вашій класифікації, а не із загальним чеклістом.
Система управління
Ролі, людський нагляд, реагування на інциденти, документування й логування та регулярний перегляд, щоб класифікація не застарівала, коли системи змінюються. Сюди входить і навчання грамотності у сфері ШІ: від брифінгу для правління до практичних сесій для розробників і власників процесів.
Впровадження ISO/IEC 42001
Якщо мета — сертифікована система управління ШІ, ми впроваджуємо 42001 і зіставляємо її з тими вимогами AI Act, що стосуються вас, щоб одна система закривала обидва завдання. Так само ISO 27001 закриває кілька вимог безпеки одночасно, з одним застереженням: 42001 описує, як організація керує ШІ, а вимоги до систем високого ризику стосуються й самого продукту, і сертифікація не замінює оцінки відповідності.
Безпека систем ШІ
Точність, стійкість і кібербезпека — прямі зобов’язання для систем ШІ високого ризику, а для ШІ, вбудованого в продукти з цифровими елементами, до них додається Cyber Resilience Act. Саме тут зустрічаються наша практика безпеки й наша практика ШІ: змагальне тестування, безпека моделі й пайплайну та докази того, що заходи працюють.
Постійний контроль
Класифікація — це знімок на певну дату. Вона застаріває, коли постачальник вмикає нову функцію, команда змінює сценарій використання або міняється модель. Ми налаштовуємо тригери й цикл перегляду, щоб реєстр залишався актуальним, а для клієнтів, які користуються нашим AI Digital CISO, підтримку реєстру ШІ та доказів можемо оформити як окремий робочий процес.
Спершу класифікація, щоб готуватися лише до тих зобов’язань, які справді стосуються вас.
Чи стосується нас AI Act, якщо ми не в ЄС?
Може стосуватися. Регламент поширюється на постачальників, які виводять системи ШІ на ринок ЄС або вводять їх в експлуатацію в ЄС, незалежно від того, де вони зареєстровані, а також на компанії поза ЄС, які розробляють або впроваджують ШІ, якщо результат роботи їхньої системи використовується в ЄС. Компанії з Великої Британії, України, Канади та інших країн також стикаються з ним через клієнтів, які переносять ці зобов’язання в договори, і саме так він найчастіше з’являється першим.
Чи є наш чат-бот системою високого ризику?
Зазвичай ні, але не варто це припускати. Більшість клієнтських асистентів підпадають під вимоги прозорості, а не під режим високого ризику: люди мають знати, що спілкуються із системою ШІ. Той самий чат-бот стає системою високого ризику, коли його використовують у переліченій сфері, наприклад для відбору кандидатів чи рішень щодо кредиту або доступу до базових послуг. Відповідь залежить від конкретного випадку використання, і класифікацію потрібно задокументувати, а не просто припустити: саме цю документацію запитає наглядовий орган або корпоративний клієнт.
Чи потрібна нам сертифікація за ISO 42001?
Не як юридична вимога. Вона стає доцільною, коли клієнти чи партнери просять підтвердження вашого управління ШІ, або коли вам потрібна операційна структура, а не просто набір документів.
З чого почати?
З інвентаризації та класифікації. Це найшвидший етап, він зазвичай зменшує уявний масштаб проблеми, а все, що зроблено без нього, доведеться перевіряти заново.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.