EU AI Act для бизнеса: обязанности, сроки и чек-лист

Для компаний, которые работают с рынком ЕС, предлагают там цифровые продукты или используют ИИ в европейском контексте, это лучше воспринимать не как абстрактную новость из Брюсселя, а как управленческую задачу: составить карту ИИ-систем, назначить ответственных и заранее понять, какие сроки относятся к каждому случаю.

Что меняет EU AI Act на практике

Главный вопрос смещается с простого: можно ли нам использовать ИИ? — к более точному: как классифицировать этот конкретный сценарий применения?

Например, внутренний инструмент для краткого пересказа документов оценивается иначе, чем система, которая предварительно сортирует резюме, анализирует показатели сотрудников или готовит решения, влияющие на людей. Источники описывают EU AI Act как поэтапный подход: сначала запрещенные практики, затем обязанности для моделей общего назначения — GPAI, после этого основная часть требований к высокорисковым системам и позднее отдельные ИИ-системы в уже регулируемых продуктах.

Для бизнеса удобно начать с трех вопросов:

1. Сценарий применения: что именно делает ИИ, с какими данными работает и влияет ли на решения о людях?
2. Роль компании: вы используете систему как эксплуатант или deployer, поставляете ИИ-систему как provider либо разрабатываете или предоставляете GPAI-модель?
3. Риск: речь идет о запрещенной практике, GPAI, высокорисковом ИИ или менее чувствительном применении?

Основные сроки, которые стоит держать в календаре

Эта таблица не заменяет юридическую оценку, но помогает понять, с чего начинать планирование.

Как провести первичную оценку: сценарий, роль, риск

1. Не начинайте с названия инструмента

Один и тот же ИИ-инструмент может использоваться по-разному. Поэтому сначала нужно описать не бренд и не модную функцию, а реальную цель: помогает ли система писать тексты, анализирует ли клиентов, отбирает ли кандидатов, оценивает ли людей, управляет ли безопасностью или влияет на доступ к услугам.

Особенно рано стоит проверить ИИ в чувствительных областях. Источники называют биометрию, критическую инфраструктуру, образование, занятость и государственные услуги среди сфер, где вопросы высокорискового ИИ могут возникать особенно часто.

2. Определите свою роль

Компания может иметь разные роли в разных проектах. Если вы покупаете готовый ИИ-сервис и используете его внутри, вы часто будете прежде всего эксплуатирующей организацией, то есть deployer. Если вы выводите на рынок собственный продукт с ИИ-функцией, могут появиться обязанности поставщика. Если вы разрабатываете или предоставляете модель общего назначения, добавляются вопросы GPAI.

Это важно, потому что обязанности зависят не только от риска системы, но и от того, предоставляете ли вы ИИ другим, используете ли его сами или выступаете поставщиком модели.

3. Оцените вероятную категорию риска

Для первичной сортировки можно использовать четыре шага:

1. Исключить запрещенные практики. Если сценарий попадает в запрещенную категорию, это не вопрос на будущее, а немедленный риск.
2. Проверить связь с GPAI. Вы сами предоставляете модель общего назначения или только используете чужую модель внутри конкретного приложения?
3. Проверить высокорисковый контекст. Относится ли сценарий к чувствительной сфере или влияет на решения о людях?
4. Проверить продуктовый режим. Встроен ли ИИ в уже регулируемый продукт, для которого могут действовать специальные переходные сроки?

Что бизнесу стоит сделать уже сейчас

Создать реестр ИИ

Первый практический шаг — полный реестр ИИ-систем. В него должны попасть не только крупные стратегические проекты, но и внутренние ассистенты, купленные SaaS-функции, автоматизации, собственные продуктовые возможности и используемые модели.

Минимально полезный реестр должен включать:

• название инструмента или системы;
• цель применения и подразделение;
• внутреннее или внешнее предоставление;
• типы используемых данных;
• людей или группы, которых может затронуть система;
• влияние на решения;
• поставщика, внутреннего владельца и ответственные команды;
• первичную оценку: запрещенная практика, GPAI, потенциально высокорисковый сценарий или более низкий риск.

Такой реестр нужен не ради формальности. Он дает основу, чтобы по каждому сценарию последовательно проверить роль компании и категорию риска.

Приоритизировать чувствительные сценарии

Не все ИИ-приложения требуют одинакового внимания. В первую очередь стоит разобрать системы, которые оценивают людей, влияют на доступ к возможностям или услугам либо используются в чувствительных областях: биометрии, критической инфраструктуре, образовании, занятости и государственных услугах.

На практике в эту зону часто попадают HR-инструменты, предварительный отбор кандидатов, оценка эффективности, приложения рядом с безопасностью и системы, которые готовят решения о людях. Но будет ли конкретный случай действительно высокорисковым, зависит от точного процесса и роли вашей компании.

Подготовить управление и документацию

Для высокорисковых систем источники называют такие требования, как управление рисками, техническая документация и оценка соответствия. Какие именно задачи ложатся на вашу компанию, зависит от роли и конкретной системы. Для высокорисковых систем из Annex III полный комплаенс-режим становится актуальным со 2 августа 2026 года.

Разумная подготовка включает:

• назначить ответственных в бизнес-подразделениях, IT, защите данных, юридической функции и комплаенсе;
• ввести процесс согласования новых ИИ-инструментов;
• запрашивать у поставщиков техническую документацию, сведения о рисках и договорные гарантии;
• документировать цель, данные, риски, человеческий контроль и изменения системы;
• спорные случаи заранее выносить на юридическую оценку.

Не откладывать ИИ-грамотность

ИИ-грамотность — не только тема для высокорисковых систем. Один из источников описывает требования к AI literacy как широкую обязанность для поставщиков и эксплуатирующих организаций независимо от уровня риска: даже организации с минимально рискованными ИИ-системами должны учитывать требования к ИИ-грамотности и избегать запрещенных практик.

В практическом смысле это означает, что сотрудники, которые выбирают, настраивают или используют ИИ, должны понимать ограничения системы, типичные ошибки и ситуации, когда нужна человеческая проверка.

Три типичных бизнес-сценария

Сценарий 1: компания использует ИИ-ассистент только внутри

Ключевой вопрос — для чего он используется. Внутренняя работа с текстами или помощь в поиске информации оцениваются иначе, чем применение в HR, оценке людей, доступе к услугам или других чувствительных процессах. Но такие инструменты все равно стоит включить в реестр ИИ, а при низком риске остаются важными ИИ-грамотность и понятные правила использования.

Сценарий 2: компания делает SaaS-продукт с ИИ-функцией

Здесь нужно понять, может ли компания считаться поставщиком ИИ-системы и не попадает ли функция в высокорисковый контекст. Для высокорисковых систем с 2026 года особенно значимыми становятся управление рисками, техническая документация и вопросы оценки соответствия.

Сценарий 3: ИИ используется в рекрутинге, скоринге или клиентской поддержке

Рекрутинг и другие процессы, связанные с занятостью, стоит проверять особенно рано: занятость названа среди сфер, где могут возникать вопросы высокорискового ИИ. В скоринге и клиентской поддержке многое зависит от того, просто ли ИИ помогает сотруднику или фактически готовит, влияет на принятие либо автоматизирует решения о людях. Без описания процесса такую систему нельзя надежно классифицировать.

Чек-лист на ближайшие недели

1. Собрать все ИИ-применения. Зафиксировать инструменты, модели, продуктовые функции и автоматизации.
2. Провести первичную сортировку сценариев. Сначала исключить запрещенные практики, затем проверить связь с GPAI и возможные высокорисковые случаи.
3. Определить роль компании. По каждому сценарию понять, вы эксплуатант, поставщик ИИ-системы или поставщик GPAI-модели.
4. Поставить в приоритет чувствительные области. Рано оценить HR, биометрию, критическую инфраструктуру, образование, государственные услуги и процессы, близкие к принятию решений о людях.
5. Проверить поставщиков. Для купленного ИИ запросить документацию, информацию о рисках, обновлениях и договорных обязательствах.
6. Выстроить управление. Назначить ответственных, согласования, обучение и документацию.
7. Спланировать подготовку к высокорисковым системам. Для потенциальных систем из Annex III считать 2 августа 2026 года центральной контрольной датой.

Вывод

Главный вопрос по EU AI Act для бизнеса звучит не так: можно ли нам использовать ИИ? Гораздо важнее другое: какой конкретный сценарий у нас есть, какую роль мы играем и какой срок к нему относится?

Если компания использует несколько внутренних ИИ-инструментов, нагрузка может быть умеренной. Но реестр ИИ, правила использования и ИИ-грамотность все равно важны и в ряде случаев прямо актуальны. Если же вы применяете ИИ в чувствительных областях, предлагаете ИИ-продукт или предоставляете GPAI-модели, откладывать проверку до 2026 года рискованно.