EU AI Act: сроки, требования и штрафы для ИИ-систем повышенного риска

Главное — не перепутать сроки. Полный набор обязанностей ЕС для ИИ-систем повышенного риска пока не начал действовать: его применение перенесено. Для автономных систем, перечисленных в Приложении III к EU AI Act, требования начнут действовать 2 декабря 2027 года. Для высокорискового ИИ, входящего в состав отдельных регулируемых продуктов, установлен более поздний срок — 2 августа 2028 года. 18

Для компаний, которые намерены выводить такие системы на рынок ЕС, это означает необходимость заранее выстроить процесс соответствия требованиям. Нужно будет подтвердить безопасность, прослеживаемость работы системы и наличие ответственных механизмов контроля ещё до запуска.

Какие ИИ-системы считаются высокорисковыми

К этой категории относятся две большие группы:

• ИИ-системы, используемые как компоненты безопасности либо в продуктах, подпадающих под специальные нормы ЕС о безопасности продукции, если для таких продуктов требуется оценка соответствия с участием независимой третьей стороны.
• Системы, применяемые в определённых сценариях из Приложения III, с учётом предусмотренных законом условий и исключений. 15

Статус «повышенного риска» принципиален: для таких продуктов действует гораздо более строгий набор требований на всём жизненном цикле, чем для обычных ИИ-инструментов.

К чему должны подготовиться поставщики

Прежде чем вывести высокорисковую систему на рынок ЕС, поставщик должен встроить контрольные процедуры в разработку и эксплуатацию продукта. Собрать документы задним числом, лишь когда ими заинтересуется регулятор, будет недостаточно.

Управление рисками и данными

Поставщики должны внедрить процедуры оценки и снижения рисков. Датасеты должны быть достаточно качественными, чтобы уменьшать вероятность дискриминационных результатов. Режим для высокорискового ИИ делает акцент на релевантности, репрезентативности и надлежащем управлении данными для обучения, валидации и тестирования. 115

Документация и прослеживаемость

Для таких систем необходимо вести журналы событий, позволяющие отследить ход работы и результаты. Также потребуется подробная техническая документация о системе и её предполагаемом назначении. Эти материалы дают органам надзора возможность проверить соблюдение правил. 1

Человеческий контроль и устойчивость системы

EU AI Act требует адекватных мер человеческого контроля, а также высокого уровня точности, устойчивости и кибербезопасности. Поставщик должен предоставить организации, использующей систему, ясную и достаточную информацию: как применять её по назначению и какие у неё есть ограничения. 1

Оценка соответствия, регистрация и мониторинг

До вывода системы на рынок поставщик должен пройти применимую процедуру оценки соответствия. В предусмотренных случаях систему необходимо зарегистрировать, а после выпуска — отслеживать её работу и сообщать о серьёзных инцидентах. Иными словами, соблюдение требований — это не разовое одобрение продукта, а постоянная операционная функция. 115

Практический чек-лист готовности

Организациям, готовящимся к срокам 2027 и 2028 годов, стоит заранее ответить на следующие вопросы:

1. Действительно ли система относится к высокорисковым? Сопоставьте сценарий применения с категориями Приложений I и III.
2. Кто несёт ответственность? Назначьте владельцев процессов по безопасности продукта, соблюдению требований, документации и реагированию на инциденты.
3. Можно ли доказать, что риски выявляются и снижаются? Нужен воспроизводимый процесс управления рисками с тестами и фиксацией решений.
4. Выдерживают ли проверку процедуры работы с данными? Документируйте релевантность и репрезентативность наборов данных, проверки качества и известные ограничения.
5. Готова ли система к аудиту? Сохраняйте журналы, техническую документацию и инструкции для пользователей с описанием назначения и ограничений системы.
6. Работает ли человеческий контроль на практике? Определите, когда человек может вмешаться, отменить вывод системы или прекратить её использование.
7. Налажен ли мониторинг после выпуска? Подготовьте процессы наблюдения за работой системы, корректирующих действий и уведомления об инцидентах.

Какие штрафы предусмотрены

Размер санкций в EU AI Act привязан одновременно к фиксированным суммам в евро и мировому годовому обороту компании. Самый высокий уровень — за запрещённые практики в области ИИ — может составить до 35 млн евро или 7% мирового годового оборота. За другие нарушения возможен штраф до 15 млн евро или 3% мирового годового оборота. 3

При таком масштабе возможных санкций программу соответствия нельзя сводить к проверке юристами. Потребуются подтверждения работы защитных механизмов от продуктовых, информационно-безопасностных, дата-сайенс, закупочных, комплаенс- и операционных команд.

Почему готовиться нужно уже сейчас

Перенос сроков даёт компаниям дополнительное время, но не освобождает от выполнения масштабных требований. Если начать подготовку лишь в конце 2027 года, может оказаться, что ещё предстоит создать систему документации, изменить практики разработки моделей, внедрить журналирование, проверить механизмы человеческого контроля и наладить порядок мониторинга и отчётности после запуска.

Практичный подход — воспринимать EU AI Act как стандарт управления продуктом: заранее выявлять высокорисковые сценарии, собирать доказательства по мере разработки системы и включать безопасность, прослеживаемость и человеческий контроль в процесс выпуска продукта. 115