Регламент ЄС про штучний інтелект (AI Act): контрольний список для бізнесу на 2026 рік

Резюме рішення: Практичний контрольний список після 2 серпня 2026 року: ролі, ризики, прозорість, нагляд із боку людини, постачальники та безпечний пілотний проєкт.

· · 7 хв читання

Рішення: класифікуйте використання, не інструмент

Важливі мета, наслідки та роль компанії, а не назва моделі. Той самий помічник має обмежений вплив, коли готує внутрішню чернетку, але може суттєво впливати на людей, якщо бере участь у рішеннях щодо них. Запишіть мету, осіб, яких це стосується, дані, автоматичні дії та момент втручання людини.

Це не юридична консультація. Обов’язки залежать від країни, галузі, ризику та ролі. Починайте з вимірюваного пілотного проєкту, схваленого людиною, із можливістю скасувати наслідки дій. Перевіряйте важливі критерії за актуальними джерелами ЄС.

Що змінилося 2 серпня 2026 року?

Єврокомісія повідомляє, що Європейський офіс із питань штучного інтелекту (AI Office) та національні органи почали забезпечувати застосування окремих положень. Діють вимоги прозорості статті 50 для певних інтерактивних систем і синтетичного контенту: повідомлення про взаємодію із ШІ та маркування окремих дипфейків чи інших матеріалів. Строки застосування правил для систем високого ризику можуть наставати пізніше.

Для кожного способу використання фіксуйте мету, роль компанії, ринок, дані, осіб, яких це стосується, тип результату та дату. Перед закупівлею або правовим рішенням звіряйтеся з офіційним календарем.

Карта ролей

Компанія, що виводить систему на ринок під власним ім’ям, може бути постачальником, а та, що використовує її для працівників або клієнтів, — суб’єктом, який використовує систему (deployer). Інтеграція моделі ШІ загального призначення в продукт може означати роль постачальника, який інтегрує модель у власну систему (downstream provider). Уточніть, хто визначає мету, змінює систему, обирає дані та відповідає перед користувачами.

Запишіть відповідальних із боку бізнесу й ІТ, постачальника, версію, дані, дію, порядок схвалення, необхідне повідомлення, строк зберігання, спосіб зупинки та дату перегляду. Повторюйте оцінку після змін.

Чотири групи ризику

Перший: зупинити й консультуватися за можливої забороненої практики. Другий: оцінити високий ризик у наймі, кредиті, освіті, критичній інфраструктурі чи базових послугах. Третій: перевірити прозорість чатботів і синтетичних медіа. Четвертий: навіть внутрішній інструмент потребує контролю даних, безпеки й якості та нагляду з боку людини.

Оцініть інтеграції, можливість скасувати наслідки дій, кількість людей, персональні дані, ціну помилки й час втручання. За невизначеності залиште режим рекомендацій.

Контрольний список вимог прозорості статті 50

Обов’язкове повідомлення має з’являтися вчасно, бути зрозумілим і доступним, а не прихованим у політиці конфіденційності. Для зображень, аудіо, відео чи суспільно важливих текстів перевірте вимоги до видимого й машинозчитуваного маркування та застосовні винятки.

Перевірте мову, роботу із програмою зчитування з екрана, збереження маркування під час експорту, можливість звернення до людини та документацію версії. Перехідні правила звіряйте з офіційними настановами.

Технічні та операційні заходи

Використовуйте цикл NIST AI RMF: керування, визначення контексту, вимірювання та реагування. До пілотного проєкту задайте критерії успіху, допустимий рівень помилок і умови зупинки. Перевіряйте відсутні документи, суперечливі інструкції, інші мови, несанкціоновані запити та збої.

Для агентів застосовуйте рекомендації OWASP: мінімум функцій, спочатку лише читання, схвалення людиною перед надсиланням, оплатою чи видаленням, зберігання ключів і облікових даних поза моделлю та повний журнал дій. Підготуйте відновлення після впровадження шкідливих інструкцій, витоку даних, неправильного результату чи збою постачальника.

План на 30 днів

Дні 1–5: інвентаризація та призначення відповідальних; 6–10: оцінка ролі й ризику; 11–15: повідомлення, передавання людині, права доступу, зберігання даних і договори; 16–23: тести; 24–30: обмежений пілотний проєкт і рішення.

Це не сертифікат. Оберіть вимірюваний процес із можливістю скасувати наслідки дій. Використайте карту процесу і порівняння RPA та ШІ.

Матриця оцінки постачальника й пілотного проєкту

Письмово запитайте перелік моделей і субпідрядників, місця обробки та строки зберігання даних, правила використання даних для навчання, заходи безпеки, порядок і строки реагування на інциденти, відомості про версії, маркування, журнали, перенесення даних і завершення співпраці. Фраза «відповідає AI Act» не є доказом: потрібні конкретний контрольний захід, обов’язок і роль компанії.

Приклад сценарію: МСП класифікує листи й готує чернетки відповідей. Їх надсилає людина, чутливі випадки передають відповідальному працівнику, а ШІ нічого не видаляє й не оплачує. Вимірюйте помилки, правки, інциденти та відновлення. Це гіпотетичний приклад, а не результат клієнта.

Методологія

Твердження оцінюються за здійсненністю, вартістю, ризиком і вимірюваністю. Приклади розрахунків є припущеннями; юридичні та безпекові рішення потребують первинних джерел.

Примітка про джерела

Посилання й названі документи — початкові точки. Неперевірені результати клієнтів не публікуються.

Останнє оновлення:

Поширені запитання

Кожна система ШІ є високоризиковою?

Ні. Це залежить від мети, сфери застосування та функції системи; водночас можуть діяти вимоги щодо прозорості, захисту персональних даних і безпеки.

Чи має чатбот сказати, що він ШІ?

Стаття 50 передбачає повідомлення для певних інтерактивних систем. Перевірте роль, використання й винятки офіційно.

Чи може закон стосуватися компанії поза ЄС?

Виведення системи на ринок ЄС, її використання щодо людей у ЄС або роль компанії в ланцюгу створення цінності можуть потребувати аналізу застосовності регламенту.

Які документи зберігати?

Мету, відповідальних, роль і ризик, потоки даних, заходи нагляду, тести, версію та постачальника, повідомлення, інциденти й зміни.

Чи можна пілотувати до завершення оцінки?

Можливий обмежений тест зі схваленням людини та можливістю скасувати наслідки дій. Не вмикайте дії із суттєвими наслідками, доки залишаються невизначеності.