Що постачальникам високоризикового ШІ потрібно підготувати до 2027 року

Ключове уточнення для бізнесу: повний набір вимог ЄС до високоризикових систем штучного інтелекту ще не набув чинності для більшості таких систем. Для автономних систем, перелічених у Додатку III до AI Act, правила мають застосовуватися з 2 грудня 2027 року. Для високоризикового ШІ, що є частиною окремих регульованих товарів, установлено пізніший строк — 2 серпня 2028 року. 18

Компаніям, які планують виводити такі продукти на ринок ЄС, варто використати цей час не як паузу, а як період для побудови процесів, здатних довести безпечність, простежуваність і підзвітність системи ще до її запуску.

Який ШІ вважається високоризиковим

До цієї категорії належать дві широкі групи систем:

• ШІ, який використовується як компонент безпеки або як частина товару, що регулюється визначеними актами ЄС і потребує незалежної оцінки відповідності третьою стороною.
• Системи ШІ для певних сценаріїв, перелічених у Додатку III, з урахуванням передбачених законом умов і винятків. 15

Ця класифікація має практичне значення: статус високого ризику запускає значно суворіші вимоги протягом усього життєвого циклу системи, ніж для звичайних інструментів ШІ.

Які вимоги мають підготувати постачальники

До виходу високоризикової системи на ринок ЄС її постачальник має закласти контрольні механізми в розробку та експлуатацію продукту. Збирати докази лише після запиту регулятора буде запізно.

Управління ризиками та даними

Постачальники повинні впровадити заходи з оцінювання та зниження ризиків. Вони також мають використовувати дані достатньої якості, щоб мінімізувати ризик дискримінаційних результатів. Режим для високоризикового ШІ акцентує на релевантності, репрезентативності та належному управлінні даними для навчання, валідації й тестування. 115

Документація та простежуваність

Для таких систем необхідні журнали подій, що забезпечують простежуваність результатів, а також докладна технічна документація про систему та її призначення. Саме ці матеріали дадуть органам влади змогу перевірити відповідність вимогам. 1

Людський нагляд і надійність роботи

AI Act також вимагає належних заходів людського нагляду, високого рівня точності, стійкості та кібербезпеки. Постачальник повинен надати оператору системи чітку й достатню інформацію, аби її використовували за призначенням і розуміли її обмеження. 1

Оцінка відповідності, реєстрація та моніторинг

Перед виведенням системи на ринок постачальник має пройти застосовну процедуру оцінки відповідності. Якщо це передбачено правилами, систему потрібно зареєструвати, після запуску — відстежувати її роботу та повідомляти про серйозні інциденти. Тобто відповідність AI Act — не одноразове погодження продукту, а постійна операційна функція. 115

Практичний чекліст готовності

Організації, що готуються до строків 2027 і 2028 років, мають уже зараз відповісти на такі запитання:

1. Чи справді система є високоризиковою? Зіставте сценарій її використання з категоріями Додатків I та III.
2. Хто відповідає за відповідність? Визначте власників процесів із безпеки продукту, юридичної відповідності, документації та реагування на інциденти.
3. Чи можна довести та знизити ризики? Підтримуйте відтворюваний процес управління ризиками, результати тестів і записи про ухвалені рішення.
4. Чи можна обґрунтувати контроль даних? Документуйте релевантність і репрезентативність наборів даних, перевірки якості та відомі обмеження.
5. Чи готова система до аудиту? Зберігайте журнали подій, технічний файл та інструкції для користувачів із поясненням призначення й обмежень системи.
6. Чи працює людський нагляд на практиці? Визначте, коли людина може втрутитися, скасувати результат або припинити використання системи.
7. Чи готовий моніторинг після запуску? Підготуйте процедури контролю роботи системи, коригувальних дій і повідомлення про інциденти.

Які штрафи передбачає AI Act

Система санкцій AI Act прив’язана і до фіксованих сум у євро, і до світового річного обороту компанії. Найсуворіший рівень — за заборонені практики ШІ — може сягати 35 млн євро або 7% світового річного обороту. За інші порушення максимальний штраф може становити 15 млн євро або 3% світового річного обороту. 3

Такий масштаб потенційних санкцій означає, що програма відповідності для високоризикового ШІ не може бути лише завданням юридичного відділу. Команди, що відповідають за продукт, кібербезпеку, дані, закупівлі, комплаєнс та операційну діяльність, мають спільно забезпечити докази того, що запобіжники реально працюють.

Чому відкладений строк важливий уже зараз

Нові дати дають більше часу на підготовку, але не роблять вимоги простішими. Компанія, яка відкладе роботу до кінця 2027 року, може не встигнути налагодити документацію, оновити практики розробки моделей, запровадити логування, перевірити механізми людського нагляду та створити процеси звітності після виходу продукту на ринок.

Найпрактичніший підхід — розглядати AI Act як стандарт управління продуктом: якомога раніше визначати високоризикові сценарії використання, збирати докази під час розробки та зробити безпеку, простежуваність і людський контроль частиною процесу випуску системи. 115