Закон ЕС об ИИ: уровни риска, сроки и штрафы

Закон ЕС об ИИ — это регламент Европейского союза, который делит системы искусственного интеллекта по степени создаваемого ими риска и устанавливает под каждую категорию соответствующие правила. Он вступил в силу 1 августа 2024 года и вводится поэтапно в течение нескольких лет. Запреты, обязанность обеспечивать грамотность в области ИИ и правила для моделей ИИ общего назначения (GPAI) уже действуют. Правила для систем высокого риска были отложены на декабрь 2027 года и август 2028 года поправкой, известной как Цифровой омнибус, которая была принята в 2026 году.

Это руководство отражает положение дел на октябрь 2026 года. Некоторые детали пересмотренного графика еще уточняются. Прежде чем принимать решения о соответствии требованиям, сверьтесь с текстом, опубликованным в Официальном журнале, и с собственными страницами Европейской комиссии, посвященными Закону об ИИ.

Что такое Закон ЕС об ИИ?

Закон об ИИ является регламентом, а не директивой. Это означает, что он применяется напрямую во всех государствах-членах, и национальным правительствам не нужно включать его в собственное законодательство. Официальный номер акта — Регламент (ЕС) 2024/1689, он был опубликован в июле 2024 года. Исследовательская служба Европейского парламента отмечала, что для его полного применения задумывался срок не менее трех лет.

Его широко описывают как первую всеобъемлющую горизонтальную правовую основу для ИИ, то есть он охватывает сразу все отрасли, а не регулирует один конкретный сектор. Системы ИИ регулируются в зависимости от риска, а модели общего назначения — в зависимости от их возможностей. Технические детали раскрывают руководящие документы, гармонизированные стандарты и добровольные кодексы практики.

Какие категории риска предусматривает Закон об ИИ?

Текст закона определяет четыре уровня риска для систем ИИ, а также отдельное направление для моделей общего назначения. Приведенное ниже описание следует структуре закона. Точные границы определены в статье 5, статье 6, приложениях I и III и статье 50.

Недопустимый риск (запрещено): сюда относятся социальный скоринг и ИИ, который манипулирует людьми или использует их уязвимость. Запрещено неизбирательное сканирование изображений лиц, а также распознавание эмоций на работе и в учебных заведениях, за исключением отдельных случаев. Также запрещены определенные виды биометрической категоризации, прогнозирующая полиция, основанная исключительно на профилировании, и дистанционная биометрическая идентификация в реальном времени в общественных местах правоохранительными органами (с узкими исключениями).

Высокий риск: существует два типа. Приложение I охватывает ИИ, выступающий компонентом безопасности в продуктах, которые уже регулируются законодательством ЕС о продукции, например в машинах, медицинских изделиях или игрушках. Приложение III охватывает автономные системы, используемые в чувствительных сферах. К ним относятся биометрия, критическая инфраструктура, образование, занятость, основные услуги и кредитование, правоохранительная деятельность, миграция и контроль границ, а также правосудие и демократические процессы.

Поставщики систем высокого риска должны внедрить управление рисками, управление данными и техническую документацию. Также требуются журналирование, человеческий контроль и достаточная точность и устойчивость работы. Кроме того, необходимы оценка соответствия, маркировка CE и регистрация в базе данных ЕС.

Ограниченный риск (прозрачность, статья 50): людей необходимо уведомлять, когда они взаимодействуют с чат-ботом, а дипфейки должны быть помечены. Контент, созданный ИИ, также должен иметь машиночитаемую отметку. Минимальный риск: повседневные инструменты, такие как спам-фильтры или видеоигры, не несут новых обязанностей.

Модели ИИ общего назначения: каждый поставщик GPAI обязан вести документацию и иметь политику в области авторского права. Модели, которые считаются несущими «системный риск», получают дополнительные обязанности. Закон presumes наличие системного риска при пороге обучающих вычислений выше 10^25 FLOPs.

Когда начинает действовать Закон ЕС об ИИ? Текущий график

По первоначальному графику запреты и обязанности по грамотности в области ИИ вступили в силу 2 февраля 2025 года. Правила для GPAI, положения об управлении и штрафы последовали 2 августа 2025 года. Большинство оставшихся положений, включая правила для систем высокого риска из приложения III, должны были вступить в силу 2 августа 2026 года. Правила для систем высокого риска из приложения I были назначены на 2 августа 2027 года.

Этот план изменился. 19 ноября 2025 года Комиссия предложила «Цифровой омнибус по ИИ», частично в ответ на обеспокоенность сложностью регулирования, высказанную в докладе Драги 2024 года. Парламент и Совет достигли предварительного соглашения 7 мая 2026 года. Парламент окончательно одобрил текст 16 июня, а Совет принял его 29 июня. Документ подписали 8 июля, и он вступил в силу после публикации в Официальном журнале 27 июля 2026 года.

По пересмотренным срокам правила для автономных систем высокого риска из приложения III применяются с 2 декабря 2027 года. Правила из приложения I для ИИ, встроенного в регулируемые продукты, начинают действовать в августе 2028 года. По данным анализа Formalize, общие запреты и правила GPAI отложены не были.

Некоторые вопросы остаются открытыми. Среди них точная дата после Омнибуса для обязанностей по прозрачности и водяным знакам согласно статье 50, добавлены ли новые запреты, а также точный объем послаблений для небольших компаний. Сообщается, что гармонизированные стандарты также запаздывают. Сверяйте эти моменты с официальным текстом.

На кого распространяется Закон об ИИ?

Согласно статье закона о сфере действия, он охватывает поставщиков, которые выводят системы ИИ на рынок ЕС, независимо от места их регистрации. Он также распространяется на операторов-пользователей (организации, применяющие ИИ), находящихся в ЕС, а также на импортеров, дистрибьюторов и производителей продукции. Поставщики и операторы за пределами ЕС тоже подпадают под действие закона, если результаты работы их системы используются внутри ЕС.

Такой экстерриториальный охват во многом похож на GDPR. Компания в Турции, США или другой стране, которая продает ИИ в ЕС или чьи результаты работы ИИ используются там, может попасть в сферу действия закона. Поставщики систем высокого риска и моделей GPAI из стран вне ЕС должны назначить уполномоченного представителя в ЕС.

Некоторые сферы исключены: военное назначение, оборона и национальная безопасность; ИИ, используемый исключительно для научных исследований; а также чисто личное непрофессиональное использование. Большая часть бесплатного программного обеспечения с открытым исходным кодом также не подпадает под действие закона, с некоторыми исключениями.

Каковы штрафы по Закону ЕС об ИИ?

Статья 99 устанавливает три уровня штрафов. За нарушение запретов можно получить штраф до 35 миллионов евро или 7% общемирового годового оборота — в зависимости от того, что больше. За большинство других обязанностей операторов предусмотрен штраф до 15 миллионов евро или 3%. За предоставление неверной или вводящей в заблуждение информации органам власти может быть назначен штраф до 7,5 миллиона евро или 1%.

Для МСП и стартапов применяется меньшая из двух сумм (статья 99(6)). Сообщается, что Омнибус распространяет такой режим и на «малые средние компании». Государства-члены устанавливают подробные национальные правила наказаний, а статья 99 применяется с 2 августа 2025 года. Штрафы для поставщиков GPAI может назначать Комиссия — до 15 миллионов евро или 3%.

Уровни штрафов, связанные с отложенными обязанностями, начинают действовать только тогда, когда сами эти обязанности вступают в силу. Некоторые более ранние статьи до сих пор говорят, что штрафы за системы высокого риска начинаются 2 августа 2026 года. Это уже неточно.

Что организациям следует делать сейчас?

Отсрочка не повод прекращать подготовку, поскольку запреты, грамотность в области ИИ и правила GPAI уже действуют. Практический первый шаг — составить инвентаризацию систем ИИ, которые вы разрабатываете, покупаете или продаете, и отнести каждую из них к уровню риска.

Для поставщиков систем высокого риска подготовка документации, управление данными и процессы человеческого контроля требуют времени, поэтому декабрь 2027 года ближе, чем кажется. Для точной информации опирайтесь на EUR-Lex, страницы Комиссии о Законе об ИИ и Офис по ИИ, а не на вторичные обзоры.