Чекліст відповідності Акту про ШІ

Більшість чеклістів з Акта про ШІ - це пласкі переліки обов'язків. Це неправильна форма, бо приблизно половина того, що в них є, вас не стосуватиметься - а яка саме половина, залежить від двох відповідей, які можна отримати приблизно за двадцять хвилин.

Тому цей чекліст упорядкований. Кожен крок або прибирає роботу, або звужує її. Робіть їх послідовно - і витратите зусилля на ті обов'язки, які у вас справді є.

Крок 1 - Чи ви взагалі підпадаєте?

Два запитання.

Чи це система ШІ? Стаття 3(1) визначає її як машинну систему, що на основі отриманого вводу виводить, як генерувати результати - прогнози, контент, рекомендації чи рішення. На практиці: якщо у вашому продукті є модель, що робить висновки, ви всередині. Детермінована логіка на правилах - механізм якщо/то, скорингова формула, написана людиною вручну - зазвичай ні, хоч би яким "розумним" це називав маркетинг.

Чи має ЄС юрисдикцію? Стаття 2 охоплює постачальників, які виводять системи на ринок ЄС, незалежно від місця заснування, і - ця частина найчастіше губиться - постачальників та суб'єктів впровадження поза ЄС, коли результат використовується в ЄС. Реєстрація в Делавері вас не вилучає, якщо ваші користувачі в Берліні.

Крок 2 - Яка ваша роль?

Це питання з найбільшим важелем у всьому регламенті, і саме на нього найчастіше відповідають неправильно.

Засновники переважно припускають "постачальник", бо вони щось побудували. Але якщо сама система ШІ чужа і ви використовуєте її у своїх операціях - інструмент найму, який ви ліцензували, модель підтримки, яку ви викликаєте через API - ви є суб'єктом впровадження цієї системи, і різниця величезна. Команди закладають бюджет на оцінки відповідності, які ніколи не мали б робити.

Це працює і у зворотний бік, і саме цей напрям дорогий. Істотна модифікація може зробити вас постачальником системи, якої ви не будували. Якщо ви берете сторонню систему і суттєво змінюєте її передбачене призначення, ви можете успадкувати обов'язки постачальника, ніколи цього не вирішуючи.

Повний розбір постачальник проти суб'єкта впровадження, зокрема змішаний випадок, коли ви одночасно і те, і те, вартий двадцяти хвилин, якщо є будь-який сумнів.

Крок 3 - Чи модифікували ви модель загального призначення?

Окреме питання, окремий набір обов'язків, і воно ловить людей зненацька.

• Лише виклики API або промптинг - ви нижче за течією. Обов'язки GPAI зі статті 53 лежать на постачальнику моделі, а не на вас. Скажіть це вголос кожному, хто твердив вам інакше; це знімає страх, який коштує командам реальних грошей.
• Легке донавчання, та сама домена, скромний набір даних - у звичайному випадку теж нижче за течією.
• Істотне перенавчання, значні зміни параметрів або нова предметна область - тепер ви можете бути постачальником GPAI за статтею 53: технічна документація (додаток XI), інформація для нижчих ланок (додаток XII), політика щодо авторського права та інтелектуального аналізу тексту й даних, а також публічне резюме навчальних даних.

Обов'язки зі статті 53 застосовуються від серпня 2025 і стали примусово застосовними 2 серпня 2026. Найбільш вразливі тут ті команди, які вісімнадцять місяців тому зробили серйозне донавчання з міркувань продуктивності, коли не було регуляторної причини про це думати. Докладніше про поріг статті 53.

Крок 4 - Яка ваша категорія ризику?

Ідіть згори вниз. Зупиніться на першій, що підходить.

Неприйнятний ризик - стаття 5

Заборонено прямо. Дистанційна біометрична ідентифікація в реальному часі в публічно доступних місцях для правоохоронних цілей (з вузькими винятками), соціальний скоринг органами публічної влади або для них, розпізнавання емоцій на робочому місці чи в освіті, нецільове збирання зображень облич та експлуататорські маніпуляції вразливими групами. Заборонено від лютого 2025; примусово застосовується від 2 серпня 2026. Якщо ви тут, це не проєкт із відповідності - це продуктове рішення.

Високий ризик - стаття 6 і додаток III

Додаток III перелічує сфери: зайнятість і управління працівниками, освіта, кредит і основні послуги, правоохоронна діяльність, міграція і прикордонний контроль, здійснення правосуддя, біометрія та критична інфраструктура. Додаток I охоплює ШІ як елемент безпеки продуктів, уже врегульованих гармонізаційним правом ЄС.

Виняток не безкоштовний. Постачальник, який на нього спирається, має задокументувати цю оцінку і зареєструвати систему. "Ми припустили, що ми виняток", записане заднім числом, оцінкою не є. Як правильно провести перевірку за 6(3).

Обмежений ризик - стаття 50

Обов'язки прозорості. Системи, що взаємодіють з людьми, мають повідомляти, що вони є ШІ. Синтетичний контент має бути позначений. Дипфейки мають розкриватися. Саме тут опиняється більшість чат-ботів і генеративних продуктів - і, що критично, статтю 50 омнібус не відтермінував.

Мінімальний ризик

Жодних обов'язкових вимог, окрім обізнаності щодо ШІ за статтею 4. Тут перебуває більшість бізнес-програм.

Крок 5 - Що діє примусово просто зараз?

Прочитайте цю таблицю на тлі того, що вам казали в червні. "ЄС відтермінував Акт про ШІ" описує рядки п'ять і шість. Рядки з першого по четвертий діють сьогодні, і саме вони ловлять чат-боти й генеративні продукти - групу, яка найімовірніше розслабилася.

Відтерміноване не означає далеке. Оцінка відповідності, технічна документація і працююча система управління ризиками реалістично забирають у малої команди від дванадцяти до вісімнадцяти місяців. Грудень 2027 означає початок роботи у 2026. Повна таблиця термінів.

Крок 6 - Зробіть це цього тижня

1. Якщо у вас є чат-бот: змусьте його повідомляти. Під час першої взаємодії або до неї, видимо для користувача - не в політиці конфіденційності. Діє вже зараз і забирає пів дня.
2. Якщо ви генеруєте контент: позначайте його. Стаття 50(2) і (4). Теж пів дня.
3. Проведіть навчання з обізнаності щодо ШІ і запротоколюйте його. Стаття 4 - найдешевший обов'язок у регламенті. Пів дня, із записом присутніх, про те, що ваші системи роблять і як вони помиляються. Запис і є відповідністю.
4. Запишіть свою роль і категорію з обґрунтуванням і поставте дату. Одна сторінка. Саме про це насправді питає корпоративна закупівельна анкета.
5. Якщо ви високого ризику: отримайте фіксовану пропозицію на оцінку відповідності. Поки не щоб купити - щоб знати цифру і строк.

Зауваження про штрафи, бо більшість матеріалів подає це навпаки

Ви скрізь побачите цифри 35 млн € / 7% і 15 млн € / 3%. Це стелі для великих компаній. Стаття 99(6) передбачає, що для МСП і стартапів штраф - це менша з двох величин: фіксованої суми та відсотка обороту, тобто протилежність правилу для великих фірм.

Для малої компанії гучні цифри ніколи не були про вас. Це не робить ризик нульовим - це його переміщує. Реальна вартість позиції щодо Акта про ШІ, яку неможливо пред'явити, - це корпоративна закупівельна анкета, яку ви не можете заповнити, і угода, що тихо помирає в чужому юридичному відділі. Це стається задовго до того, як регулятор почує вашу назву, і стається набагато частіше.