Короткий ответ. После 2 августа 2026 года компании, которые выводят AI-продукты на рынок ЕС или используют AI в работе с людьми, должны проверять не только модель, но и весь пользовательский сценарий. Практический минимум — составить реестр AI-систем, определить свою роль по каждому сценарию, классифицировать риск, внедрить обязательные уведомления и хранить доказательства контроля. При этом не каждый AI-сервис является high-risk: требования зависят от назначения, роли компании и фактического использования.
Этот чек-лист полезен SaaS-компаниям, маркетплейсам, клиникам, работодателям, fintech-проектам и международным B2B-командам. Он помогает подготовить продуктовую и техническую часть, но не заменяет юридическую оценку конкретной системы.
Что изменилось к октябрю 2026 года
AI Act применяется поэтапно. Запреты на отдельные практики и обязанность поддерживать AI literacy действуют с февраля 2025 года. Правила для general-purpose AI начали применяться в августе 2025 года, а с 2 августа 2026 года Еврокомиссия и национальные органы получили полномочия по применению ряда норм. Одновременно заработали требования прозрачности для определённых AI-систем.
Для high-risk систем сроки отличаются: по актуальной версии правил требования к use cases из Annex III должны применяться с 2 декабря 2027 года, а к AI, встроенному в регулируемые продукты из Annex I, — с 2 августа 2028 года. Поэтому старый календарь из презентации или статьи нельзя использовать как единственный источник.
Шаг 1. Определите роль компании
| Роль | Типичная ситуация | Первый вопрос |
|---|---|---|
| Provider | Компания разрабатывает AI-систему или выводит её на рынок под своим брендом | Какие продуктовые, технические и документальные обязанности возникают? |
| Deployer | Компания использует чужой AI в своих процессах или продукте | Соответствует ли использование назначению и что нужно сообщить человеку? |
| Importer или distributor | Компания поставляет AI-систему в ЕС | Есть ли у поставщика необходимые документы и представитель в ЕС? |
| Неочевидная роль | White-label, fine-tuning, существенное изменение или новое назначение | Не стала ли компания provider из-за фактических изменений? |
Одна группа может одновременно быть provider для собственного AI-модуля и deployer для внешней модели. Поэтому классифицируют не компанию «вообще», а каждый конкретный use case.
Шаг 2. Создайте реестр AI-систем
Начните с таблицы, которую смогут использовать product, legal, security и marketing. Для каждого сценария зафиксируйте владельца процесса, назначение, пользователей, модель и поставщика, категории данных, страны запуска, влияние на человека и возможность human review.
- чат-бот поддержки и sales assistant;
- генерация текста, изображений, видео или голоса;
- скоринг, antifraud и проверка документов;
- подбор кандидатов и оценка сотрудников;
- медицинская, биометрическая или эмоциональная аналитика;
- рекомендации, персонализация и автоматическое принятие решений.
Без реестра команда обычно проверяет только заметный chatbot и пропускает AI внутри CRM, HR, рекламных кабинетов и сторонних API.
Шаг 3. Проверьте запреты, прозрачность и high-risk признаки
Проверка должна идти в таком порядке: запрещённая практика, high-risk признаки, специальные правила прозрачности, затем обязанности по другим законам — например GDPR, потребительскому праву, авторским правам и отраслевому регулированию.
Для интерактивной AI-системы может потребоваться ясно сообщать человеку, что он взаимодействует с AI. Для синтетического или изменённого контента могут быть нужны machine-readable marks и видимая маркировка. Для deepfake и отдельных материалов общественного интереса действуют специальные требования. Точный способ зависит от роли и контекста.
Шаг 4. Встройте compliance в продукт
- Уведомление. Покажите его до или в момент взаимодействия, а не прячьте только в Terms.
- Human escalation. Дайте пользователю понятный путь к человеку там, где ошибка может существенно повлиять на него.
- Логи и версии. Фиксируйте модель, prompt/system configuration, дату изменения, ответственного и ключевые инциденты.
- Контроль данных. Опишите, какие данные уходят поставщику, используются ли они для обучения и каков срок хранения.
- Тестирование. Проверяйте качество, нежелательные сценарии, дискриминационные результаты, prompt injection и утечки.
- Маркировка контента. Согласуйте видимую и машинно-читаемую маркировку с реальным форматом публикации.
Если продукт ещё строится, дешевле заложить эти элементы в архитектуру и интерфейс заранее. CrystalCore может связать требования с UX, данными и интеграциями через разработку AI-платформ и web-приложений.
Шаг 5. Соберите доказательства, а не только политику
Политика без рабочих артефактов слабо подтверждает контроль. Полезный пакет включает реестр, решения по классификации, схему данных, vendor due diligence, инструкции для сотрудников, журнал тестов, процедуру инцидентов, тексты уведомлений и историю изменений. Для внешней модели запросите у поставщика техническую информацию, ограничения, условия использования и материалы, нужные downstream-команде.
План на первые 30 дней
| Период | Результат |
|---|---|
| Дни 1–5 | Владелец проекта, список AI-систем и карта поставщиков |
| Дни 6–10 | Роли, первичная классификация риска и список спорных сценариев |
| Дни 11–20 | Уведомления, human escalation, data flow и требования к логам |
| Дни 21–25 | Vendor review, тесты, инструкции и incident workflow |
| Дни 26–30 | Реестр доказательств, backlog продукта и план юридической проверки |
Частые вопросы
Нужно ли сертифицировать любой AI-чат-бот?
Нет. Обязанности зависят от роли, назначения и риска. Для многих чат-ботов основной задачей будет прозрачность и корректный контроль данных, а не режим high-risk.
Достаточно ли написать «создано с помощью AI»?
Не всегда. Требования различают интерактивные системы, deepfake, синтетический контент и отдельные публичные материалы. Может требоваться как видимое уведомление, так и machine-readable marking.
Если мы используем API крупного поставщика, отвечает только он?
Нет. Поставщик модели и компания, которая внедряет её в конкретный процесс, могут иметь разные обязанности. Ваши интерфейс, данные, инструкции и фактическое назначение остаются вашей зоной контроля.
Когда начинать подготовку к high-risk требованиям?
До даты применения: реестр, классификация, data governance, логи и документацию невозможно качественно восстановить за неделю перед запуском.
Официальные источники
- European Commission: AI Act и актуальный календарь применения
- European Commission: guidelines по прозрачности
- EUR-Lex: консолидированный текст AI Act
Материал проверен 10 октября 2026 года и носит информационный характер. Применимые обязанности зависят от продукта, роли, данных, отрасли и стран запуска.