Вы в зале заседаний совета директоров. Квартальные результаты выглядят хорошо. Но тут заговорил юридический отдел:

"Нам нужно говорить об инструментах ИИ в операциях. Новое регулирование ЕС вступает в силу в следующем году, а сейчас мы даже не знаем, что используем".

Знакомо?

Закон ЕС об искусственном интеллекте - это не проблема будущего. Это следующий GDPR - только на этот раз речь идет не о конфиденциальности, а о контроле.

Контроль над тем, какие системы искусственного интеллекта вы создаете, покупаете или внедряете. Контроль над тем, кто несет ответственность, если что-то пойдет не так. А также контроль над тем, как вы документируете, контролируете и доказываете, что играете по правилам.

Как GDPR заставил компании переосмыслить данные, так и этот закон заставит вас переосмыслить то, как принимаются решения в области ИИ - в ИТ-отделе, юридическом отделе, отделе эксплуатации, продукте и совете директоров.

Но есть и хорошие новости: если вы начнете действовать раньше, вы не просто избежите штрафов. Вы получите операционную ясность, согласование рисков и даже доверие рынка.

К чему на самом деле применяется закон

Немецкий стартап в области медицинских технологий запускает функцию искусственного интеллекта для диагностики. Это просто часть продукта - пока он не отмечен как высокий риск в соответствии с Законом ЕС об искусственном интеллекте.

Теперь от основателя ожидают, что он продемонстрирует контроль рисков, ведение журналов, надзор и документацию по соблюдению требований... быстро.

Такова реальность. Закон об искусственном интеллекте - это не о программном обеспечении. Речь идет об ответственности.что делает ваша система и какую роль вы играете при использовании или распространении.

⚖️ Четыре уровня риска

Неприемлемые
Полностью запрещено. О социальном скоринге, публичном распознавании лиц, распознавании эмоций на работе и многом другом.

Высокий риск
Разрешено со строгим контролем. Подумайте о медицинской диагностике, инструментах для найма персонала, финансовых скорингах.

Риск прозрачности
Вы можете использовать его, но пользователи должны быть предупреждены, что они взаимодействуют с ИИ. Это относится к чат-ботам, синтетическим медиа и т. д.

Минимальный риск
Никаких обязательств. Применяется для малозатратных систем, таких как спам-фильтры или программы проверки грамматики с поддержкой искусственного интеллекта.

🧩 Четыре роли, четыре набора обязанностей

Поставщик
Вы создали или продаете систему. Вы отвечаете за соответствие требованиям, документацию, контроль рисков и постмаркетинговый мониторинг.

Пример: Французская компания предлагает инструмент найма на основе искусственного интеллекта по всей Европе.

Развертыватель
Вы используете систему в своей собственной деятельности. Вам необходимо обеспечить надзор, прозрачность и внутренний контроль.

Пример: Розничная компания, использующая чатбота с искусственным интеллектом для автоматизации обслуживания клиентов.

Импортер
Вы ввозите ИИ, не входящий в ЕС, в ЕС. Вы должны проверить поставщика на соответствие требованиям до выхода на рынок.

Пример: Голландская компания импортирует американскую аналитическую модель для местных больниц.

Дистрибьютор
Вы предлагаете инструменты ИИ другим. Если вы обнаружите проблемы с соблюдением требований, вы должны действовать.

Пример: ИТ-поставщик, продающий клиентам сторонние решения в области искусственного интеллекта.

Ваш первый шаг?
Нанесите на карту все инструменты ИИ, с которыми работает ваша компания. Отметьте, какую роль вы играете в каждом из них, и определите уровень риска.
Так начинается соблюдение требований.

Ваша временная шкала простыми словами

Рассматривайте сроки принятия Закона ЕС об искусственном интеллекте как график проекта, а не просто как юридический отсчет. Чем раньше вы начнете действовать, тем легче будет контролировать результат. Задержитесь слишком долго, и вы будете реагировать на ситуацию под давлением.

Вот что важно и когда:

📅 Август 2024 года

Закон вступил в силу. Вы уже работаете, даже если некоторые положения еще не вступили в силу.

📅 Февраль 2025 года

Начальные общие положения начинают применяться. Это подходящий момент, чтобы оценить, насколько вы подвержены GPAI - особенно если вы полагаетесь на крупные внешние модели.

📅 Август 2025 года

Вступают в силу правила, характерные для GPAI. Это означает обязательства по прозрачности, гарантии соблюдения авторских прав и обязательный обмен информацией с последующими пользователями.
Если вы используете такие инструменты, как OpenAI, Claude или LLM с открытым исходным кодом - это касается и вас.

📅 Август 2026 года

Большинство основных требований становятся обязательными для исполнения, особенно для систем с высоким уровнем риска. Вам понадобится управление: классификация рисков, документирование, человеческий надзор, ведение журналов и мониторинг после выхода на рынок.

📅 Август 2027 года

Ожидается полное развертывание системы, включая новые правила для GPAI с системным риском и все отстающие стандарты. К этому моменту регулирующие органы ожидают от вас наличия зрелой модели управления ИИ - готовность не будет необязательной.

С чего начать

Не обязательно делать все сразу, но начать необходимо. Сосредоточьтесь на:

• Создание инвентаризации ИИ
• Определение систем с высоким уровнем риска
• Назначение ролей и владение контролем

Каждый квартал, когда вы действуете раньше, дает вам время, контроль и авторитет. Если вы будете ждать слишком долго, вам придется играть в догонялки, когда начнутся принудительные меры.

Что запрещено, а что просто трудно

Стартап из Испании устанавливает систему распознавания лиц в общественных местах, не подозревая, что она теперь запрещена в соответствии с Статья 5 Закона ЕС об искусственном интеллекте. Когда регулирующие органы вмешаются, будет уже слишком поздно.

Штрафы приходят быстро, как и репутационный ущерб.

Тем временем логистическая компания относит свой ИИ для оптимизации маршрутов к категории высокого риска. Да, он сложен, но благодаря документированному надзору, чистым данным и внутреннему протоколированию он проходит предварительную оценку без особых проблем.

Именно эту черту проводит Закон.

❌ Некоторые случаи использования ИИ запрещены - без исключений

• Системы социальных баллов, созданные правительствами
• Распознавание лиц, взятое из Интернета
• Распознавание эмоций в школах и на рабочих местах
• Биометрическая идентификация в реальном времени в общественных местах, за исключением очень узких условий
• Предиктивная полицейская деятельность на основе профилирования

Эти системы не рискованны. Они незаконны. И правоприменение начинается рано.

В отличие от, системы с высоким уровнем риска разрешены, но регулируются. В эту категорию попадают такие инструменты, как программное обеспечение для скрининга резюме, платформы для образовательного тестирования, медицинская диагностика и искусственный интеллект для кредитного скоринга.

Эти системы должны отвечать строгим требованиям, в том числе:

• Документированное управление рисками
• Надзор с участием человека
• Высококачественные учебные данные
• Регистрация и прослеживаемость
• Понятная техническая документация
• Постоянный постмаркетинговый мониторинг

Одна категория требует полной остановки. Другая требует операционной зрелости.

Чтобы соответствовать правилам, связанным с высоким риском, не нужно совершенства - нужны ответственность, структура и процесс. Начните с самого начала, двигайтесь последовательно, и соблюдение правил станет управляемым.

GPAI без лишней шумихи: Что вы должны сделать сейчас

ИИ общего назначения - это не только проблема Big Tech. Если ваши команды используют такие инструменты, как ChatGPT, Claude или Gemini, вы попали в поле зрения и теперь находитесь на крючке.

В соответствии с Законом ЕС об искусственном интеллекте, Поставщики услуг GPAI должны публиковать сводки учебных данных, вести техническую документацию, соблюдать правила авторского права и передавать ключевые детали по наследству.

Если их модели представляют "системный риск", применяются дополнительные меры предосторожности.

Но если вы используя если вы используете эти инструменты в своем бизнесе, вы не останетесь в стороне. От вас требуется:

• Подтвердите соответствие требованиям поставщика
• Запросите документацию - карточки моделей, сводки данных, целевое использование
• Внутренние сценарии использования журнала
• Применяйте человеческий надзор, где это необходимо

Сайт Практический кодекс GPAI (июль 2025 г.) дает вам четкий старт. Используйте его, чтобы направлять запросы поставщикам и создавать свою внутреннюю игровую книгу - даже если вы не относитесь к группе высокого риска.

Начните с простого: перечислите инструменты, поставщиков и полученные документы. Это ваш базовый уровень.

Когда важна скорость, фирмы часто привлекают временный руководитель отдела соблюдения требований ИИ чтобы заложить этот фундамент и быстро привести всех в соответствие.

Создайте свою базу данных ИИ и классифицируйте риски

Представьте себе: вы находитесь в зале заседаний, и кто-то спрашивает,
"Сколько систем искусственного интеллекта у нас работает и каков уровень их риска?" Если ваш ответ начинается с паузы, вы не одиноки. Но вы также не готовы.

Вот как взять себя в руки - быстро и четко.

Начните с создания простой таблицы с пятью столбцами:
Система | Владелец | Уровень риска | Роль | Документация

I. Начните с очевидного: чат-боты, системы ценообразования, скринеры резюме, скоринговые модели.

II. Для каждого отметьте уровень риска: запрещенные, высокого риска, только прозрачные или минимальные.

III. Определите свой роль: Вы создали его (поставщик)? Использовали его (развертыватель)? Получили его извне (импортер/дистрибьютор)?

IV. Соберите то, что у вас уже есть: контракты, типовые карты, документы поставщиков, внутренние оценки.

Всего за несколько рабочих сеансов туман начинает рассеиваться.

До: Отсутствие инвентаря, смутные догадки, разобщенные команды.
После: 15 инструментов нанесены на карту, отмечены 3 системы с высоким риском, названы четкие владельцы, видны пробелы в документации.

Именно так начинается подготовка - не с теории, а с общего взгляда на то, что реально и над чем нужно работать.

Ясность ролей и минимальный контроль, который работает

Запускать ИИ в вашем бизнесе без определенных ролей - все равно что управлять заводским цехом без начальников смен. Он может работать в хорошие дни - но ломается, когда что-то идет не так.

Относитесь к этому как к оперативной группе ИИ. У каждой команды есть своя четкая роль, и хотя настройка не должна быть тяжелой, она должна быть продуманной.

Сайт Правление определяет риск-аппетит и ежеквартально проверяет ход работы. Их работа заключается в том, чтобы спрашивать: "Настало ли время GDPR - и серьезно ли мы подходим к этому вопросу?"

Сайт ИТ-директор или директор по управлению данными владеет инвентаризацией ИИ, надзором за поставщиками и рабочими процессами по обеспечению соответствия. Они знают, какие модели используются и кто отвечает за каждую из них.

Продукция и операции не забывать о человеческих гарантиях - обеспечить наличие резервных процессов и тестирование в реальных условиях как часть рабочего процесса. Их вопрос: "Что произойдет, если ИИ выйдет из строя в 2 часа ночи?"

Команды специалистов по науке о данных и ML управляют технической документацией, выявляют отклонения в модели и контролируют версии. При этом они не теряют бдительности по отношению к одной ключевой проблеме: "Мы все еще используем модель, утвержденную в прошлом месяце?"

Законодательство и соблюдение норм определяют политику, оценки и готовность к аудиту. Их роль проста, но крайне важна: "Можем ли мы предъявить документы - до того, как нас попросят об этом?"

Какой самый маленький стек элементов управления, который действительно работает?

• Единая общая инвентаризация ИИ
• Определенный человеческий надзор за системами высокого риска
• Активное протоколирование
• Технический файл в движении
• Стандартный контрольный список поставщиков

Сохраняйте легкость. Сохраняйте живой характер. Это то, что выживет после аудита.

Когда нужно привлекать временное руководство

Когда сроки ускоряются или объем работ выходит за рамки возможностей команды, компании привлекают временный руководитель отдела соблюдения требований ИИ - Тот, кто создает инвентарь, согласовывает работу с поставщиками и продвигает документацию, не сбивая с пути команды разработчиков.

CE Interim специализируется на размещении таких операторов с мандатами на срок от 30 до 90 дней - сфокусированных, встроенных и готовых к выполнению.

Штрафы не главное - избегайте их с помощью дизайна

Да, штрафы велики: до 35 миллионов евро или 7% от мирового оборота за самые серьезные нарушения. Но не это должно заставлять вас спать по ночам.

Реальный риск? Сделки задерживаются из-за несоответствия требованиям. Продукты блокируются при запуске. Звонки инвесторов срываются из-за вопросов управления.

Устранение этих проблем впоследствии обходится дороже - в деньгах, во времени и в репутации.

Самый дешевый путь - это Обеспечьте соответствие требованиям с самого началане прикручивайте ее после того, как она появилась.

30-дневный план готовности

Вы проделали этот путь - теперь узнайте, как двигаться быстро и ловко.

Неделя 1: Составьте карту ландшафта

Создайте свой инвентарь ИИ. Назначьте владельцев. Отмечайте все, что касается конфиденциальных данных, клиентов или областей соответствия нормативным требованиям.

Контрольная точка: 80% инструменты отображены, красные флажки обнаружены.

Неделя 2: Привлеките своих поставщиков

Запросите документацию - типовые карты, резюме тренингов, декларации о соответствии. Используйте Кодекс практики GPAI в качестве руководства.

Контрольная точка: Документы собраны, рабочие процессы составлены.

Неделя 3: Испытание давлением

Проведите симуляцию случая использования с высоким риском. Протестируйте процедуры "человек в контуре" и рассмотрите, как срабатывают аварийные сигналы и журналы.

Контрольная точка: Выявлены недостатки, запланированы исправления.

Неделя 4: Согласование лидерства

Проинформируйте совет директоров о рисках, недостатках и бюджетных запросах. Представьте четкую 90-дневную дорожную карту, привязанную к продукту и целям соответствия.

Контрольная точка: План утвержден, импульс обеспечен.

Когда команды работают на пределе своих возможностей, в временный руководитель программы может провести весь этот спринт, чисто сдать дела и уйти, оставив за собой структуру.

Заключение - От риска к готовности

Это не просто очередной нормативный акт. Это кнопка перезагрузки для того, как компании обращаются с ИИ - в технологиях, продуктах, соблюдении норм и руководстве.

Закон об искусственном интеллекте не требует совершенства. Он требует ответственности. За наглядность. Готовность.

Начните с составления карты того, что вы уже используете. Определите ответственных. Покажите, как контролируется риск.

Начните с малого. Держите себя в руках. Наращивайте темп с этого момента.
Начните на этой неделе - и будьте впереди.