AI Act ЕС: что на самом деле меняется для вашего МСП

AI Act (Регламент ЕС 2024/1689) — первый европейский закон, регулирующий разработку и использование искусственного интеллекта. Он вступил в силу 1 августа 2024 года и применяется поэтапно вплоть до 2027 года.

Логика проста: чем сильнее система ИИ может повлиять на права или безопасность людей, тем больше правил она должна соблюдать. Некоторые виды использования полностью запрещены, другие относятся к высокому риску и жёстко контролируются, а для большинства повседневных сценариев использования (например, ИИ-помощник для написания текстов) действуют минимальные обязанности.

GiBSeS — Понять, в какую категорию попадают ваши инструменты, — отправная точка любой оценки, которую мы проводим с МСП.

Да, AI Act не делает скидок по размеру компании: он применяется ко всем, кто разрабатывает, распространяет или просто использует системы ИИ в профессиональной деятельности, включая МСП и самозанятых специалистов. Важен не оборот компании, а то, как именно вы используете ИИ.

Хорошая новость в том, что обязанности пропорциональны риску: если вы используете ИИ для рутинных задач, требования минимальны. Регламент также предусматривает меры поддержки специально для МСП и стартапов, такие как регуляторные песочницы (sandbox) и калиброванные санкции.

GiBSeS — Настоящая работа — отделить то, что реально касается вас, от того, что вас не затрагивает: именно с такого практического фильтра мы и начинаем.

Provider (поставщик) — это тот, кто разрабатывает систему ИИ или выводит её на рынок под своим именем или торговой маркой. Deployer (пользователь/оператор системы) — это тот, кто использует систему ИИ под своим контролем в рамках профессиональной деятельности.

Почти все МСП являются deployer, а не provider: если вы используете ChatGPT, Copilot, CRM с функциями ИИ или инструмент автоматизированного рекрутинга, вы — deployer. Наиболее тяжёлые обязанности (техническая документация, оценка соответствия) ложатся в первую очередь на provider; у deployer обязанности легче, но не нулевые, особенно если используются системы высокого риска.

GiBSeS — Понимание того, кто вы — provider или deployer — для каждого инструмента, полностью меняет список требований: это одна из первых вещей, которую мы проясняем вместе.

Да, но, скорее всего, в лёгкой форме. Используя эти инструменты, вы становитесь deployer ИИ, а значит, попадаете в сферу действия регламента. В большинстве случаев речь идёт об ИИ с ограниченным или минимальным риском, с обязанностями, касающимися в основном прозрачности и здравого смысла.

Требование, которое почти наверняка вас касается, — это грамотность персонала в области ИИ (ст. 4): те, кто использует эти инструменты, должны адекватно понимать, как они работают, каковы их ограничения и риски (например, конфиденциальные данные, вводимые в промпты, галлюцинации, предвзятость).

GiBSeS — Даже самое «безобидное» использование чат-бота нужно правильно оформить: мы помогаем чётко зафиксировать на бумаге, что необходимо делать, а что нет.

Отчасти да. Статья 4 AI Act, применяемая с 2 февраля 2025 года, обязывает provider и deployer обеспечить «достаточный» уровень грамотности в области ИИ у персонала, использующего эти системы. Это реальное, но гибкое обязательство.

Важный нюанс: закон НЕ требует формального сертифицированного курса или конкретного аттестата. Он требует уровня, адекватного и пропорционального роли сотрудника, его опыту и типу используемого ИИ. На практике это означает: люди должны понимать, чем они пользуются, с какими рисками и ограничениями. Рекомендуется документировать проделанную работу (внутренний журнал обучения, материалы, проведённые сессии), чтобы иметь возможность подтвердить это при проверке.

GiBSeS — Пропорциональный и документируемый план обучения без лишних затрат — один из типичных результатов нашей программы Academy AI Act.

Официального бланка или обязательной сертификации не существует. Доказательство формируется внутри компании: фиксируйте, кто прошёл обучение, по каким темам, когда и с каким содержанием. Простой журнал обучения с материалами и датами — уже прочная основа.

Цель не в бюрократии ради бюрократии, а в том, чтобы суметь показать надзорному органу, что вы действовали серьёзно и пропорционально. Для небольшой компании может быть достаточно задокументированной внутренней сессии и письменной политики использования инструментов ИИ.

GiBSeS — Настроить такой журнал просто, но так, чтобы он выдержал проверку, — это то, что мы можем помочь вам сделать за несколько часов.

AI Act делит системы на четыре уровня риска:

1. Неприемлемый риск: запрещённые практики (ст. 5), не допускаемые ни при каких обстоятельствах.

2. Высокий риск: строго регулируемые системы (например, отбор персонала, кредитование, медицинские изделия, критическая инфраструктура) с жёсткими обязанностями.

3. Ограниченный риск: обязанности касаются в основном прозрачности (например, сообщить пользователю, что он общается с чат-ботом, маркировать сгенерированный контент).

4. Минимальный риск: подавляющее большинство обычных случаев использования, без специфических обязанностей помимо здравого смысла и грамотности в области ИИ.

GiBSeS — Правильно разместить каждый инструмент на нужном уровне риска — значит избежать и штрафов, и лишних требований: это суть диагностики, которую мы проводим.

Статья 5 перечисляет практики с неприемлемым риском, запрещённые на всей территории ЕС с 2 февраля 2025 года. Среди них: подсознательные или обманные манипуляции, причиняющие вред, использование уязвимостей незащищённых групп людей, social scoring (социальный рейтинг граждан), определённые формы распознавания эмоций на рабочем месте и в учебных заведениях, нецелевой сбор изображений лиц для создания баз данных распознавания лиц, а также биометрическая идентификация в реальном времени в общественных местах, за очень ограниченными исключениями.

Для среднестатистического МСП эти запреты редко становятся проблемой, но их нужно знать, прежде чем внедрять инструменты HR-аналитики, «умное» видеонаблюдение или агрессивный поведенческий маркетинг.

GiBSeS — Проверить, что ни один из рассматриваемых инструментов не приближается к запрещённой практике, — быстрая, но обязательная проверка, которую мы всегда включаем в работу.

К высокому риску относятся перечисленные в регламенте системы, способные существенно повлиять на безопасность или основные права человека. Сюда, например, входит ИИ, используемый для отбора или оценки кандидатов и сотрудников, для принятия решений о предоставлении кредита, а также в сфере здравоохранения, образования или управления критической инфраструктурой.

Если вы используете систему высокого риска в качестве deployer, у вас появляются конкретные обязанности: применять её согласно инструкциям, обеспечивать человеческий надзор, отслеживать работу системы, хранить логи и информировать затронутых работников. Более строгие правила для таких систем становятся полностью применимыми с 2 августа 2026 года (а для некоторых регулируемых продуктов — с 2027 года).

GiBSeS — Инструмент для рекрутинга или скоринга на базе ИИ может незаметно превратить вас в deployer системы высокого риска: это случай, который мы всегда проверяем внимательно.

Во многих случаях да. Статья 50 вводит обязанности по прозрачности: тот, кто создаёт аудио, изображения, видео или текст с помощью ИИ (включая дипфейки), обязан сделать это узнаваемым и промаркировать как искусственно созданное. Чат-боты также должны дать пользователю понять, что он взаимодействует с машиной, а не с человеком.

Для МСП это на практике означает: указывать, когда маркетинговое изображение или видео создано ИИ, и чётко обозначать, когда виртуальный ассистент не является человеком. Это разумные обязанности, которые часто решаются с помощью простой пометки или примечания.

GiBSeS — Перевести эти обязанности в несколько практических правил для маркетинга и клиентской поддержки — быстрая задача, которую мы можем настроить вместе с вами.

Санкции значительны и растут вместе с тяжестью нарушения. За запрещённые практики (ст. 5) штраф может достигать 35 миллионов евро или 7% годового мирового оборота — в зависимости от того, какая сумма выше. За нарушение других обязанностей потолок составляет до 15 миллионов евро или 3% оборота; за предоставление недостоверной информации органам надзора — до 7,5 миллиона евро или 1%.

Важно для МСП: для малых и средних предприятий и стартапов применяется более низкая из двух величин — фиксированная сумма или процент, а не более высокая. Санкции применяют национальные надзорные органы каждого государства-члена, при этом полноценный надзор начинается с 2 августа 2026 года.

GiBSeS — Риск нужно оценивать применительно к вашей реальной ситуации, а не по тревожным заголовкам: часть нашей работы — дать вам честную оценку вашей подверженности риску.

Надзор и санкции возложены на компетентные национальные органы, которые назначает каждое государство-член, при координации на европейском уровне со стороны AI Office Комиссии. Единой европейской «ИИ-полиции» не существует: то, кто именно вас контролирует, зависит от страны.

Полномочия национальных органов по наложению санкций становятся действующими с 2 августа 2026 года. Однако некоторые обязанности вступают в силу раньше (запреты и грамотность в области ИИ — с 2 февраля 2025 года), поэтому «пока не проверяют» не означает «пока не обязан».

GiBSeS — Знать, какой орган компетентен для вашей юрисдикции и ваших рынков, — часть первоначальной карты, которую мы готовим.

Ключевые этапы:

- 1 августа 2024 года: вступление регламента в силу.

- 2 февраля 2025 года: запреты на практики с неприемлемым риском (ст. 5) и обязанность грамотности в области ИИ (ст. 4).

- 2 августа 2025 года: правила для моделей ИИ общего назначения (GPAI) и вопросы управления.

- 2 августа 2026 года: применение большинства обязанностей, включая многие системы высокого риска, и полные полномочия надзорных органов по наложению санкций.

- 2 августа 2027 года: обязанности для ИИ, встроенного в уже регулируемые продукты.

GiBSeS — Составить внутренний мини-календарь только с теми сроками, которые касаются именно вас, помогает избежать авральной гонки в последний момент: это конкретный результат нашей оценки.

Первый шаг — не покупка софта и не курсы, а инвентаризация. Составьте список всех инструментов ИИ, которые вы реально используете (включая «скрытые» внутри CRM, ERP-систем, маркетинговых инструментов), с какой целью и с какими данными.

Затем для каждого инструмента определите: вы provider или deployer, к какому уровню риска он относится и какие обязанности из этого вытекают. После этого для большинства МСП остаются три практических действия: обучить персонал (ст. 4), написать политику использования инструментов ИИ и настроить прозрачность для клиентов и пользователей там, где это требуется.

GiBSeS — Эта продуманная инвентаризация — именно тот первый шаг, который мы делаем вместе: полдня, потраченные с пользой, избавляют и от штрафов, и от лишних расходов.

Для МСП с простыми сценариями использования ИИ многое можно сделать своими силами: инвентаризация инструментов, политика использования и задокументированная сессия обучения покрывают значительную часть обязанностей. Крупный проект не обязателен.

Внешняя поддержка полезна прежде всего там, где есть потенциально высокорисковые инструменты (HR, кредитование, здравоохранение), где обрабатываются чувствительные данные, или когда вам просто нужна уверенность, что вы ничего не упустили, не тратя на это дни. Правильная цель — пропорциональность: делать столько, сколько нужно, не больше.

GiBSeS — Мы работаем именно так: даём независимую диагностику и честно говорим, с чем вы можете справиться сами, а с чем нет.

Фиксированного тарифа не существует: всё зависит от количества используемых инструментов и уровня риска, к которому они относятся. Для большинства малых компаний с ограниченным или минимальным риском приведение в соответствие носит прежде всего организационный характер (инвентаризация, политика, обучение) и обходится недорого — чаще это затраты внутреннего времени, чем денег.

Затраты растут только при попадании в зону высокого риска, где нужна структурированная документация, человеческий надзор и мониторинг. Риск, которого стоит избегать, — обратный: тратить слишком много на требования, которые вас не касаются, испугавшись избыточных по масштабу консультаций.

GiBSeS — Соразмерять расходы с реальным риском, не раздувая их, — руководящий принцип нашего подхода: экономическая дисциплина прежде всего.

Нет, это два разных, взаимодополняющих нормативных акта. GDPR (Общий регламент по защите данных) регулирует обработку персональных данных; AI Act регулирует системы искусственного интеллекта в зависимости от риска. Система ИИ, обрабатывающая персональные данные, должна соблюдать оба регламента.

На практике: если вы используете ИИ на данных клиентов или сотрудников, продолжают действовать правила GDPR (правовое основание, информирование, безопасность), и к ним добавляются обязанности AI Act. Обе оценки нужно проводить вместе, а не как альтернативу друг другу.

GiBSeS — Согласовать комплаенс по AI Act и GDPR, не дублируя работу, — часть того, как мы выстраиваем анализ для МСП.

AI Act имеет экстерриториальное действие: он применяется и к поставщикам, и к пользователям, учреждённым за пределами ЕС, если результаты работы системы ИИ используются в Союзе, или если вы выводите системы ИИ на европейский рынок. Таким образом, швейцарская или иная компания за пределами ЕС, обслуживающая клиентов или пользователей в ЕС, может попасть под действие регламента.

Если вы работаете исключительно на рынках за пределами ЕС, сам AI Act может не применяться, но часто всё равно имеет смысл ориентироваться на него как на эталонный стандарт, поскольку европейские клиенты и партнёры нередко этого требуют.

GiBSeS — Для компаний с клиентами в Швейцарии, Италии и ЕС мы оцениваем в каждом конкретном случае, где регламент действительно применяется, а где соответствие ему — вопрос собственного выбора.

Да, но с умом. AI Act не запрещает ИИ: он требует использовать его осознанно и пропорционально риску. Правильный ответ — не отказ и не бездумное внедрение всего подряд, а решение в каждом конкретном случае, приносит ли инструмент ИИ реальную пользу по сравнению с его рисками и затратами.

Многие ИИ-проекты проваливаются не из-за регулирования, а потому что были внедрены из-за моды, без чёткой проблемы для решения. ИИ стоит внедрять после анализа рисков и выгод — как и любую другую технологию или инвестицию компании.

GiBSeS — Это суть нашего независимого подхода: мы не продаём ИИ, а помогаем на основе данных решить, где он действительно нужен, а где нет.

Соответствие AI Act не обязывает вас выбирать конкретного поставщика. Более того, это удачный повод настроить всё нейтрально: документирование того, что делает каждый инструмент, с какими данными и с какими гарантиями, облегчает вам в будущем смену инструмента без риска остаться заблокированным.

Осторожно с решениями «всё включено», которые обещают комплаенс, но привязывают вас к одной платформе: настоящий комплаенс — это ваш собственный процесс, а не продукт поставщика. Сохраняйте за собой права на свои данные, свои политики и свою документацию.

GiBSeS — Независимость от поставщиков и защита от vendor lock-in — принципы, на которых строится каждая наша рекомендация: комплаенс остаётся вашим, а не поставщика.

Да. Регламент ЕС 2024/1689 (AI Act) сознательно имеет экстерриториальное действие. Он применяется к поставщикам (provider), которые выводят на рынок ЕС или вводят в эксплуатацию системы ИИ, независимо от места их учреждения, и даже к поставщикам и пользователям, находящимся за пределами ЕС, если результат работы системы ИИ используется в Союзе.

На практике не важно, где зарегистрирована ваша компания, — важно, доходят ли ваши системы ИИ (или их результаты) до европейских клиентов и пользователей. Если ответ да, вы находитесь в периметре действия регламента.

GiBSeS — GiBSeS помогает компаниям за пределами ЕС понять, затрагивает ли их AI Act и каким образом, прежде чем это станет препятствием для выхода на европейский рынок.

Это зависит от типа системы. Если вы поставщик системы ИИ высокого риска за пределами ЕС, AI Act обязывает вас назначить, по письменному мандату, уполномоченного представителя, учреждённого в Союзе, прежде чем сделать систему доступной на рынке ЕС. Такая же обязанность действует для поставщиков моделей ИИ общего назначения (GPAI) за пределами ЕС.

Уполномоченный представитель — это точка контакта для европейских органов власти, он хранит техническую документацию и содействует проверкам. Для систем с ограниченным или минимальным риском это конкретное обязательство не возникает, но остальные применимые требования сохраняются.

GiBSeS — GiBSeS может сориентировать вас по роли уполномоченного представителя и по самому лёгкому способу закрыть эту функцию, не утяжеляя вашу структуру.

Первый шаг — классифицировать вашу систему по AI Act: запрещённая практика, высокий риск, ограниченный риск (только с обязанностями по прозрачности) или минимальный риск. Большинство универсальных SaaS-решений ИИ попадают в категорию ограниченного или минимального риска, но некоторые сценарии использования (например, отбор персонала, кредитование, биометрия, компоненты безопасности) переводят их в категорию высокого риска.

Если вы оказываетесь поставщиком системы высокого риска, вам потребуется подготовить техническую документацию, систему управления рисками, человеческий надзор, регистрацию событий, маркировку CE и уполномоченного представителя в ЕС. Если риск ограниченный, основные обязанности касаются прозрачности по отношению к пользователю. В любом случае именно правильная карта ваших клиентов в ЕС и потока результатов определяет ваши реальные обязанности.

GiBSeS — GiBSeS сопровождает SaaS-поставщиков за пределами ЕС в классификации риска и в подготовке минимально необходимого набора мер, чтобы законно обслуживать европейских клиентов.

Да. Один из ключевых критериев AI Act именно таков: регламент применяется и к поставщикам, и к пользователям, учреждённым в третьей стране, если результат работы системы ИИ используется в Европейском союзе. Не важно, размещено ли и исполняется ли программное обеспечение в ЕС.

Это значит, что модель, обученная и работающая, например, в США или Азии, результаты которой питают решения или услуги, ориентированные на европейских пользователей, попадает в сферу действия регламента. Важно назначение и использование результатов, а не географическое расположение серверов.

GiBSeS — GiBSeS помогает отследить, куда на самом деле попадают результаты работы ваших систем и какие обязанности ЕС это активирует.

AI Act распределяет разные уровни ответственности по всей цепочке. Поставщик (тот, кто разрабатывает систему и выводит её на рынок под своим именем или маркой) несёт самые тяжёлые обязанности: соответствие, техническая документация, маркировка CE. Импортёр в ЕС обязан проверить, что поставщик за пределами ЕС провёл оценку соответствия, подготовил документацию и назначил уполномоченного представителя, и отказать во ввозе, если чего-то не хватает.

Дистрибьютор обязан проверить наличие маркировки и документации перед тем, как сделать систему доступной. Однако внимание: импортёр или дистрибьютор, вносящие существенные изменения или продающие систему под собственной маркой, могут быть переквалифицированы в поставщиков со всеми вытекающими обязанностями. Ответственность не перекладывается автоматически на того, кто находится ниже по цепочке.

GiBSeS — GiBSeS помогает чётко определить роли и ответственность с вашими партнёрами в ЕС, чтобы вы не столкнулись с неожиданными обязанностями.

Маркировка CE подтверждает, что продукт соответствует применимым требованиям ЕС. Для систем ИИ, классифицированных как системы высокого риска, AI Act требует, чтобы поставщик завершил оценку соответствия, составил декларацию соответствия ЕС и нанёс маркировку CE, прежде чем вывести систему на рынок или ввести её в эксплуатацию в Союзе.

Для систем с ограниченным или минимальным риском маркировка CE в целях AI Act не требуется: в этих случаях главную роль играют обязанности по прозрачности. Поэтому понимание того, к какой категории относится ваш продукт, — это шаг, который определяет, касается ли вас данное требование.

GiBSeS — GiBSeS помогает понять, требуется ли вашей системе маркировка CE, и подготовить техническую документацию, которая её обосновывает.

Последствия бывают двух типов. На рыночном уровне национальные надзорные органы могут потребовать корректирующих мер, изъять или отозвать систему с рынка ЕС и запретить её предоставление: на практике ваш продукт оказывается закрыт для европейских клиентов.

На санкционном уровне AI Act предусматривает штрафы до 35 миллионов евро или 7% годового мирового оборота за запрещённые практики, до 15 миллионов евро или 3% за нарушение других обязанностей и до 7,5 миллиона евро или 1% за предоставление недостоверной информации органам власти (применяется более высокая из двух величин). Для компании за пределами ЕС наиболее непосредственным риском часто оказывается именно потеря доступа к рынку.

GiBSeS — GiBSeS помогает предотвратить такие сценарии, обеспечивая соответствие требованиям до того, как оно превратится в коммерческую блокировку.

Да. AI Act вводит отдельный режим для моделей ИИ общего назначения. Поставщики GPAI обязаны подготовить техническую документацию, предоставлять информацию нижестоящим поставщикам, интегрирующим модель, принять политику соблюдения авторского права и опубликовать сводку данных, использованных для обучения модели. Для моделей с системным риском добавляются усиленные обязанности (оценки, снижение рисков, кибербезопасность, отчётность об инцидентах).

Кроме того, поставщики GPAI, учреждённые за пределами ЕС, обязаны назначить уполномоченного представителя в Союзе. Правила по GPAI входят в число первых, которые становятся применимыми по календарю регламента.

GiBSeS — GiBSeS помогает поставщикам моделей общего назначения за пределами ЕС картировать обязанности по GPAI и заранее подготовить требуемую документацию.

Вы можете продолжать продавать: AI Act не закрывает рынок для поставщиков за пределами ЕС, но ставит доступ в зависимость от соблюдения правил, основанных на уровне риска. Подавляющее большинство систем ИИ относится к минимальному или ограниченному риску с умеренными обязанностями; лишь немногие чётко определённые сценарии использования относятся к высокому риску или запрещены.

Ключ в том, чтобы прийти подготовленным: знать свою категорию риска, подготовить нужные меры (не больше и не меньше, чем требуется) и, где необходимо, иметь представителя в ЕС. Компании за пределами ЕС, которые организуются заранее, превращают соответствие требованиям в конкурентное преимущество перед теми, кто приходит неподготовленным.

GiBSeS — GiBSeS помогает выстроить доступ к рынку ЕС прагматично, не связывая вас больше, чем необходимо.

AI Act вступил в силу 1 августа 2024 года и применяется поэтапно. Запреты на запрещённые практики ИИ действуют с 2 февраля 2025 года. Обязанности для моделей ИИ общего назначения (GPAI) применяются с 2 августа 2025 года.

Большинство обязанностей для систем высокого риска становятся применимыми с 2 августа 2026 года, а для некоторых систем высокого риска, встроенных в уже регулируемые продукты, срок — 2 августа 2027 года. Компании за пределами ЕС стоит выстраивать план в обратном порядке от этих дат, поскольку подготовка технической документации, оценки соответствия и уполномоченного представителя занимает месяцы.

GiBSeS — GiBSeS помогает выстроить дорожную карту соответствия, согласованную с этими сроками, чтобы вы пришли на рынок ЕС подготовленными.

Отправная точка — инвентаризация ваших систем ИИ и их классификация по AI Act (запрещённая, высокого риска, ограниченного риска, минимального риска), сопоставленная со сценариями использования, ориентированными на европейских клиентов или пользователей. Эта карта точно определяет, какие обязанности вас касаются, и позволяет избежать как пробелов, так и лишних требований.

Отсюда вытекают операционные шаги: подготовить техническую документацию там, где требуется, прояснить роли по цепочке (поставщик, импортёр, дистрибьютор), рассмотреть назначение уполномоченного представителя в ЕС и настроить обязанности по прозрачности. Лучше начать с прицельного gap-анализа, а не с общего соответствия требованиям.

GiBSeS — GiBSeS начинает именно с такого gap-анализа, чтобы вывести вас на рынок ЕС в соответствии с требованиями, с нужными усилиями и без лишних ограничений.

AI Act предусматривает обязанности по прозрачности для некоторых систем, которые взаимодействуют с людьми или генерируют контент. Системы ИИ, предназначенные для прямого взаимодействия с физическими лицами (например, чат-боты), обязаны информировать пользователя о том, что он общается с искусственным интеллектом, за исключением очевидных случаев. Поставщики систем, генерирующих синтетический текст, изображения, аудио или видео, обязаны обеспечить, чтобы такие результаты были помечены как искусственно созданные или изменённые в машиночитаемом формате.

Тот, кто использует системы, создающие дипфейки, также обязан сообщать, что контент был искусственно создан или изменён. Эти обязанности действуют и для поставщиков за пределами ЕС, чьи системы или результаты их работы достигают пользователей в Союзе.

GiBSeS — GiBSeS помогает внедрить обязанности по прозрачности и маркировку контента в соответствии с требованиями для европейской аудитории.