EU AI Act: что предпринимателям действительно нужно знать в 2026 году

Четыре класса риска EU AI Act

Сердцевина EU AI Act - это классификация по уровню риска. Чем больше потенциальный вред от системы ИИ, тем строже регулирование. Звучит логично. И по сути так оно и есть.

Решающий вопрос для вас как предпринимателя: в какой класс попадают инструменты ИИ, которые вы сейчас используете или хотите использовать? Это определяет, что вам придётся делать.

Где на самом деле оказывается большинство предпринимателей

Честный ответ: большинство владельцев МСП и самозанятых, которых я знаю, используют ИИ как помощника в письме, для маркетинговых текстов, для ресёрча, для саммари. Это Класс 3 или Класс 4. Регулирования мало или почти нет. А вот тот, кто применяет ИИ для отбора персонала, для кредитных решений или в медицинских контекстах, находится в совсем другой вселенной.

Запрещённые системы ИИ: что действует с февраля 2025?

Со 2 февраля 2025 Статья 5 EU AI Act работает в полную силу. Это абсолютные запреты: никаких серых зон, никаких переходных периодов, никакой соразмерности. Тот, кто применяет такие системы, рискует получить самые жёсткие штрафы.

Что конкретно запрещено

Социальный скоринг: системы ИИ, которые оценивают поведение людей во времени и используют эту оценку, чтобы создавать им ограничения. Классический пример - китайская система социального кредита. В ЕС запрещено, неважно, государственная она или частная.

Распознавание эмоций на рабочем месте и в учебных заведениях: камеры или другие системы, которые распознают и анализируют эмоции сотрудников или учеников. Тот, кому придёт в голову мониторить настроение коллектива с помощью ИИ, получает серьёзную проблему.

Биометрическая массовая слежка в реальном времени: распознавание лиц и похожие технологии в общественных местах в реальном времени со стороны органов власти, с очень узкими исключениями для правоохранительной деятельности под судебным контролем.

Манипулятивный ИИ: системы, которые используют психологические слабости или уязвимость, чтобы влиять на поведение людей против их воли, без того, чтобы они знали, что на них воздействует ИИ.

Проверка на практике: как обычный предприниматель вы не столкнётесь ни с одной из этих запрещённых категорий. Большинство из них касаются государственных структур или узкоспециализированных поставщиков систем. Но если кому-то придёт в голову ввести ИИ для «анализа настроения» сотрудников, ему стоит немедленно от этого отказаться.

ИИ высокого риска: кого это касается и что нужно делать?

Это та часть, которая к августу 2026 становится актуальной для большинства предпринимателей. Системы ИИ высокого риска определены в Приложении III EU AI Act. Список конкретный и исчерпывающий, простора для толкований нет.

Какие сферы считаются высоким риском

• HR и кадры: системы ИИ для отбора кандидатов, скрининга резюме, оценки эффективности сотрудников, решений об увольнении.
• Выдача кредитов и финансовые услуги: проверка кредитоспособности с помощью ИИ, автоматические кредитные решения.
• Медицина: диагностические системы ИИ, системы для триажа, ИИ в медицинских устройствах.
• Образование: системы, которые оценивают результаты экзаменов, управляют доступом к учебным заведениям или оценивают учащихся.
• Правоохранительная деятельность: ИИ для оценки риска рецидива, для анализа подозреваемых.
• Пограничный контроль и миграция: системы оценки риска при пересечении границ.
• Критическая инфраструктура: ИИ в энергетике, водоснабжении, транспорте, финансовых системах.
• Правосудие: системы ИИ, которые помогают судьям или прокурорам в принятии решений.

Что должны делать поставщики ИИ высокого риска

Список обязанностей для поставщиков (то есть тех, кто разрабатывает и продаёт такие системы) обширный. Статьи с 9 по 17 и Статья 43 EU AI Act устанавливают:

• Система управления рисками (Ст. 9) - постоянная, не разовая
• Управление данными и качество обучающих данных (Ст. 10)
• Техническая документация по Приложению IV (Ст. 11)
• Обязанности по ведению записей / логирование (Ст. 12)
• Человеческий надзор - систему должно быть возможно перекрыть вручную (Ст. 14)
• Система менеджмента качества (Ст. 17)
• Оценка соответствия (Ст. 43)
• Регистрация в базе данных ЕС (Ст. 71)

У эксплуатантов, то есть тех, кто применяет готовые системы ИИ высокого риска, не разрабатывая их сами, есть собственные, но более узкие обязанности по Статье 26. В отдельных случаях сюда входит оценка воздействия на основные права (Ст. 27).

Ограниченный риск: чат-боты и обязанность прозрачности

Класс 3 - это категория, которая напрямую касается большинства предпринимателей. Сюда попадает всё, что связано с взаимодействием пользователя и ИИ: чат-боты на сайте, сгенерированные ИИ тексты и изображения, синтетическая речь.

Что конкретно предписывает Статья 50

С 2 августа 2026 действует Статья 50. Основная обязанность проста: тот, кто использует чат-бота, должен обеспечить, чтобы пользователи знали, что взаимодействуют с ИИ, а не с человеком. Звучит банально, но это не так, если воспринимать формулировку всерьёз.

К этому добавляется обязанность машиночитаемой маркировки сгенерированного ИИ контента. Изображения, видео и аудио, созданные ИИ, должны иметь машиночитаемый водяной знак, если только речь не идёт об очевидной сатире или произведениях искусства. В принципе это касается и сгенерированных ИИ маркетинговых изображений.

На практике это значит: если на вашем сайте есть ИИ-чат-бот, пользователь должен знать, что это ИИ. Если вы используете сгенерированные ИИ изображения в рекламе, им нужна маркировка.

Кто поставщик, а кто эксплуатант?

Это различие - самое важное для понимания, что именно вам нужно делать. EU AI Act чётко разделяет две главные роли.

Поставщики (Providers) - это те, кто разрабатывает систему ИИ и выводит её на рынок под собственным именем или брендом. OpenAI - поставщик. Anthropic - поставщик. Стартап, который разрабатывает и продаёт собственное ИИ-ПО для оценки кредитоспособности, - поставщик. На поставщиках лежит самая большая нагрузка обязанностей.

Эксплуатанты (Deployers) используют готовые системы ИИ в рамках собственной деятельности. Вы используете ChatGPT для маркетинга? Эксплуатант. У вас на сайте есть чат-бот от стороннего поставщика? Эксплуатант. Вы используете инструмент ИИ для отбора кандидатов? Эксплуатант, и в этом случае с серьёзными обязанностями.

Почему роль решает всё

Как чистому эксплуатанту инструментов минимального или ограниченного риска вам к августу 2026 нужно прежде всего одно: уведомление о прозрачности, когда пользователи взаимодействуют с вашим чат-ботом, и при необходимости маркировка сгенерированного ИИ контента. Это управляемо.

Как эксплуатант системы высокого риска вы получаете больше обязанностей, но всё равно меньше, чем поставщик. Статья 26 перечисляет обязанности эксплуатанта. Коротко: используйте систему по назначению, не модифицируйте её, ведите записи, сотрудничайте с органами власти.

Как поставщик вы оказываетесь во всём спектре обязанностей. И это работа специализированных IT-юристов, а не этой статьи.

Ключевые сроки EU AI Act 2025-2027

Четыре даты. Их хватает для 95 процентов всех предпринимателей.

Действует ли EU AI Act и для малого бизнеса и МСП?

Да, но с явными отличиями от крупных концернов. EU AI Act прямо учитывает соразмерность. Три момента, которые решают для МСП:

Пропорциональные штрафы

Штрафы могут ограничиваться в процентах. Для малых компаний действуют более низкие пороги, если они меньше абсолютных максимальных сумм. Стартап с годовым оборотом 500 000 евро при потолке в 3% заплатит максимум 15 000 евро, а не 15 миллионов. Это по-человечески, не угроза существованию.

Упрощённые требования

МСП должны выполнять те же базовые обязанности, что и крупные компании, но надзорные органы будут проявлять соразмерность в том, что касается глубины документации. В самом законе так прямо не написано, но это ясно из преамбулы и политического замысла.

Что вам как МСП нужно сделать конкретно

• Составить инвентаризацию ИИ: перечислите все системы ИИ, которые вы используете. Какие инструменты, где применяются, с какой целью.
• Определить класс риска: попадает ли какой-то из ваших инструментов в категорию высокого риска? Если вы используете ChatGPT только для маркетинговых текстов - Класс 4. Если применяете инструмент ИИ для отбора кандидатов - высокий риск.
• Обеспечить прозрачность: чат-бот на сайте? Чётко обозначьте, что это ИИ.
• Избегать высокого риска или быть соответствующим: тот, кто применяет системы высокого риска, должен выполнять обязанности эксплуатанта по Ст. 26.

EU AI Act против GDPR: в чём разница?

Сравнение полезно, потому что почти каждый предприниматель знает GDPR или должен знать. Вот ключевые отличия:

GDPR регулирует обращение с персональными данными. Всё вращается вокруг того, как вы собираете, храните, обрабатываете и передаёте данные людей. Правовое основание, ограничение целей, право на информацию - это поле GDPR.

EU AI Act регулирует системы ИИ как технологию, независимо от того, обрабатывают ли они персональные данные. Система ИИ, которая использует только открытые данные, всё равно может быть высокого риска. Система ИИ, которая не хранит данные, всё равно может запускать обязанности прозрачности.

Оба могут действовать одновременно. Система ИИ для отбора персонала, которая обрабатывает данные кандидатов, одновременно относится к GDPR (персональные данные) и к EU AI Act (ИИ высокого риска). Вам нужны оба.

Коротко: GDPR - как вы обращаетесь с данными. EU AI Act - какие системы ИИ вы применяете и как их контролируете. Разное измерение, могут пересекаться.

Германия: KI-MIG и Федеральное сетевое агентство

EU AI Act - это регламент ЕС, он действует напрямую. Но каждая страна-член должна назначить орган рыночного надзора. Германия урегулировала это в феврале 2026: Федеральный кабинет 11 февраля 2026 принял закон о реализации требований к ИИ (KI-MIG) и внёс его в Бундестаг.

Федеральное сетевое агентство как координирующий орган

Федеральное сетевое агентство (Bundesnetzagentur) назначается координирующим органом по нормам об ИИ (KoKIVO). Для ИИ высокого риска в конкретных секторах (медицина, банки, страхование) ответственными остаются профильные ведомства. Федеральное сетевое агентство координирует на сквозном уровне.

Что это значит для вас: если у вас есть вопросы по EU AI Act и вы находитесь в Германии, Федеральное сетевое агентство - ваша первая точка обращения. Национальный закон KI-MIG создаёт рамку того, как это реализуется на практике.

Digital Omnibus: будет ли продление сроков?

Скажем честно: да, Digital Omnibus реален. Законодательный процесс ЕС идёт, и есть дискуссии о переносе главных сроков на декабрь 2027 или август 2028. Но, и это решающее, принятого правового акта пока нет.

Тот, кто выбирает стратегию ждать переноса и ориентироваться на август 2028 как цель, идёт на серьёзный риск. Если перенос не произойдёт или произойдёт лишь частично, человек останется ни с чем. Процесс трилога может затянуться, может провалиться, может прийти к иным результатам, чем ожидалось.

Моя рекомендация: планируйте, ориентируясь на 2 августа 2026. Если сроки действительно сдвинут - тем лучше, у вас будет запас. Если нет - вы соответствуете требованиям.

Что такое модели GPAI и касается ли это моей компании?

GPAI означает General Purpose AI - то есть системы ИИ, обученные не для конкретного применения, а пригодные для широкого спектра задач. ChatGPT, Claude, Gemini, LLaMA - это всё модели GPAI.

Что действует со 2 августа 2025

Для поставщиков моделей GPAI со 2 августа 2025 активны обширные обязанности. Code of Practice для GPAI был окончательно опубликован 10 июля 2025. Модели с объёмом обучения более 10^25 FLOP (операций с плавающей точкой) считаются моделями с «системным риском» и подпадают под ещё более строгое регулирование.

Для вас как эксплуатанта этих моделей, то есть как пользователя Claude, ChatGPT и других, важно: вы должны иметь возможность доверять тому, что поставщики выполняют свои обязанности GPAI. Проверяйте, соответствуют ли требованиям инструменты, которые вы используете. Крупные поставщики, как правило, это делают, потому что штрафы болезненны и для них.

Штрафы и санкции: что грозит за нарушения?

У EU AI Act есть зубы. Три уровня:

Запрещённые системы (Ст. 5)

До 35 миллионов евро или, для компаний, до 7 процентов мирового годового оборота. Применяется большее из двух значений. Это самый жёсткий уровень.

Высокий риск и GPAI: нарушения обязанностей

До 15 миллионов евро или 3 процентов мирового годового оборота. За нарушения обязанностей для высокого риска и требований GPAI.

Ложные сведения для органов власти

До 7,5 миллиона евро или 1 процента годового оборота. Тот, кто обманывает надзорные органы или препятствует им, наказывается отдельно.

МСП: применяется меньшая из двух границ. Компания с оборотом 2 миллиона евро при 7 процентах заплатит максимум 140 000 евро, а не 35 миллионов. Болезненно, но не угроза существованию.

Моя оценка как предпринимателя

Я использую ИИ каждый день, как вы, возможно, знаете из моей статьи про моего ИИ-ассистента. Claude пишет со мной статьи, ведёт мой календарь, отвечает на письма. Это всё применения Класса 3 или Класса 4. Регулирования почти нет.

Моя компания зарегистрирована на Кипре - стране-члене ЕС. У меня есть клиенты из ЕС. Значит, я в игре, хочу я этого или нет. И это правильно.

Что меня как предпринимателя действительно интересует

ИИ прямо сейчас меняет то, как поисковые системы и системы ИИ находят и взвешивают информацию. EU AI Act влияет на то, какие инструменты ИИ я смогу использовать в долгосрочной перспективе и какие поставщики удержатся. Поставщиков, которые игнорируют EU AI Act, вытеснят с европейского рынка или очень дорого накажут. Это значит: соответствующие требованиям инструменты будут доминировать. Хорошо для пользователей вроде меня.

Что меня раздражает: бюрократическая нагрузка для настоящих систем высокого риска астрономическая. Среднему предприятию, которое хочет применить ИИ для отбора кандидатов, грозят требования к документации, которые почти отпугивают. Это политически задумано так - я понимаю замысел, но местами считаю исполнение несоразмерным.

Что я советую предпринимателям: не делайте из этого драму. Проверьте, в какую категорию попадает ваше использование ИИ. Если вы не применяете систему высокого риска, объём работы обозримый. Если применяете - возьмите юридическую поддержку.

EU AI Act - не повод для паники, но и не повод тянуть. Тот, кто уже сейчас сделает инвентаризацию ИИ и будет знать свои классы риска, успеет до августа 2026. Тот, кто откладывает в долгий ящик, окажется в цейтноте.