Закон ЕС об ИИ: чек-лист соответствия для разработчиков (2026)

Обновлено в октябре 2026 года: руководство учитывает Закон ЕС об ИИ с изменениями, внесёнными Цифровым омнибусом по ИИ (Регламент (ЕС) 2026/1744), который вступил в силу 27 июля 2026 года. Это общая информация, а не юридическая консультация.

Закон ЕС об ИИ — уже не проблема будущего. Запреты на отдельные практики ИИ действуют с февраля 2025 года, правила для моделей ИИ общего назначения — с августа 2025 года, а 2 августа 2026 года начали применяться общие положения регламента, включая обязанности по прозрачности, которые затрагивают большинство потребительских приложений.

А вот самая тяжёлая часть в августе 2026 года не заработала: это обязательства для ИИ высокого риска. В июле 2026 года ЕС принял Цифровой омнибус по ИИ, который перенёс эти сроки на фиксированные более поздние даты. Если вы читали старое руководство, обещавшее «полное применение с 2 августа 2026 года», оно устарело.

Штрафы вполне реальны: до 35 млн евро или 7% мирового годового оборота (в зависимости от того, что больше) за запрещённые практики. Для сравнения: максимальный штраф по GDPR составляет 20 млн евро или 4%.

Как и GDPR, Закон об ИИ действует за пределами Европы. Он распространяется на поставщиков, которые выводят системы ИИ на рынок ЕС или вводят их там в эксплуатацию, на эксплуатантов (deployers), находящихся в ЕС, а также на поставщиков и эксплуатантов за пределами ЕС, если результаты работы их ИИ используются в ЕС. Компания из Сан-Франциско, обслуживающая европейских пользователей, может быть связана этими правилами так же, как компания из Берлина.

В iHux мы создаём ИИ-приложения для себя и для клиентов, поэтому внимательно следим за этой темой. Вот что важно для разработчиков приложений — простым языком.

Система классификации рисков: к какой категории относится ваше приложение?

Ваши обязательства зависят от уровня риска вашей системы ИИ. Правильная классификация — самый важный шаг.

Неприемлемый риск (запрещено)

Эти практики запрещены с 2 февраля 2025 года. К ним относятся:

• социальный скоринг, оценивающий людей по их поведению или личным характеристикам;
• манипулятивные или обманные методы, а также ИИ, эксплуатирующий уязвимости, связанные с возрастом, инвалидностью или экономическим положением;
• ненаправленный сбор изображений лиц для создания баз данных распознавания лиц;
• распознавание эмоций на рабочих местах и в образовательных учреждениях (с ограниченными исключениями);
• биометрическая категоризация, по которой делаются выводы о чувствительных признаках, таких как этническая принадлежность, политические взгляды или сексуальная ориентация;
• прогнозирование того, что человек совершит преступление, исключительно на основе профилирования;
• удалённая биометрическая идентификация в режиме реального времени в общедоступных местах в правоохранительных целях, с узкими исключениями.

С 2 декабря 2026 года Цифровой омнибус вводит новый запрет: системы ИИ, которые создают интимные изображения без согласия или материалы сексуального насилия над детьми.

Если ваше приложение делает что-либо из перечисленного, остановитесь. Пути к соответствию здесь нет.

Высокий риск (жёсткое регулирование)

К ИИ высокого риска относятся системы, используемые в критической инфраструктуре, образовании (зачисление, оценивание), сфере занятости (подбор персонала, оценка эффективности), доступе к основным услугам (кредитный скоринг, страхование), правоохранительной деятельности, миграции и отправлении правосудия, а также ИИ, являющийся компонентом безопасности регулируемых продуктов, например медицинских изделий или машин.

Требования включают управление рисками, управление данными, техническую документацию, ведение записей, прозрачность для пользователей, человеческий надзор, точность и кибербезопасность, а также оценку соответствия до вывода системы на рынок.

Новые сроки по Цифровому омнибусу:

• 2 декабря 2027 года: самостоятельные системы высокого риска из Приложения III (перечисленные выше сферы, например занятость и кредитный скоринг).
• 2 августа 2028 года: ИИ высокого риска, встроенный в продукты, на которые распространяется законодательство ЕС о продукции (Приложение I).

Это фиксированные даты. Они не зависят от того, когда будут опубликованы технические стандарты.

Ограниченный риск (обязанности по прозрачности)

Сюда попадает большинство потребительских и бизнес-приложений, и эти правила действуют с 2 августа 2026 года. Согласно статье 50:

• Людей нужно уведомлять, что они взаимодействуют с ИИ (например, с чат-ботом), если это не очевидно из контекста.
• Поставщики генеративного ИИ обязаны маркировать синтетический контент (текст, изображения, аудио, видео) в машиночитаемом формате, чтобы его можно было распознать как созданный ИИ. У генеративных систем, выведенных на рынок до 2 августа 2026 года, есть время до 2 декабря 2026 года; для более новых систем льготного периода нет.
• Людей нужно информировать, когда к ним применяются распознавание эмоций или биометрическая категоризация.
• Дипфейки необходимо раскрывать, а созданный ИИ текст, публикуемый для информирования общественности по вопросам общественного интереса, должен маркироваться, за некоторыми исключениями.

Обычные рекомендательные системы под действие статьи 50 не подпадают.

Минимальный риск (без дополнительных требований)

Спам-фильтры, ИИ в видеоиграх, базовые рекомендательные системы и аналогичные малозначимые сценарии не подпадают под дополнительные требования Закона об ИИ сверх действующего законодательства. Приветствуются добровольные кодексы поведения.

Модели ИИ общего назначения: что касается вас

Если ваше приложение построено на модели ИИ общего назначения от стороннего поставщика, большая часть обязательств на уровне модели лежит на этом поставщике. С августа 2025 года такие поставщики должны предоставлять техническую документацию, соблюдать законодательство ЕС об авторском праве и публиковать краткое описание своих обучающих данных. Для моделей с системным риском действуют дополнительные обязанности, например состязательное тестирование и сообщение об инцидентах.

Как разработчик приложений, использующий эти модели, вы должны применять модель в рамках её задокументированного целевого назначения, добавлять меры защиты, подходящие для вашего сценария, выполнять описанные выше обязанности по прозрачности и хранить записи о своей оценке рисков.

Практический чек-лист соответствия для разработчиков приложений

Приоритет 1: классификация и оценка (сделайте это сейчас)

1. Проведите аудит каждого компонента ИИ в приложении: каждого места, где ИИ принимает решения или влияет на них, включая сторонние ИИ-сервисы и встроенные модели.
2. Классифицируйте каждый компонент по уровню риска, опираясь на Приложение III к регламенту и руководящие указания Комиссии. Если сомневаетесь, выбирайте более высокий уровень.
3. Задокументируйте свою аргументацию. Эта запись — ваша первая линия защиты при любой проверке регулятора.

Приоритет 2: прозрачность (уже обязательно)

1. Сообщайте пользователям, когда они взаимодействуют с системой ИИ, например с помощью понятных пометок в диалогах с чат-ботом.
2. Если вы предоставляете функцию генеративного ИИ, сделайте её результаты распознаваемыми как созданные ИИ с помощью машиночитаемой маркировки, а не только визуальной пометки. Для систем, уже выведенных на рынок, срок — 2 декабря 2026 года.
3. Раскрывайте дипфейки и созданные ИИ тексты по вопросам общественного интереса там, где этого требует статья 50.
4. В качестве лучшей практики (и отчасти по требованию GDPR) объясните в политике конфиденциальности, какие функции ИИ вы используете и какие данные они обрабатывают.

Приоритет 3: подготовка к обязательствам для высокого риска (до декабря 2027 года)

Если какой-либо компонент относится к высокому риску, используйте дополнительное время с толком:

1. Спроектируйте человеческий надзор: люди должны иметь возможность понимать, отслеживать и отменять решения ИИ.
2. Внедрите журналирование и аудиторский след, фиксирующие входные данные, результаты и факторы принятия решений.
3. Непрерывно тестируйте систему на предвзятость и дискриминационное воздействие как часть процесса разработки.
4. Определите, что считается серьёзным инцидентом для вашего продукта и как вы будете о нём сообщать.
5. Запланируйте оценку соответствия — она может занять несколько месяцев.

Структура штрафов: что на самом деле на кону

Санкции установлены статьёй 99 и применяются с 2 августа 2025 года:

• Запрещённые практики (любое нарушение статьи 5): до 35 млн евро или 7% мирового годового оборота, в зависимости от того, что больше.
• Большинство других обязательств, включая обязанности по прозрачности по статье 50 и обязательства поставщиков, эксплуатантов, импортёров и дистрибьюторов: до 15 млн евро или 3%, в зависимости от того, что больше.
• Предоставление неверной, неполной или вводящей в заблуждение информации нотифицированным органам или властям в ответ на запрос: до 7,5 млн евро или 1%, в зависимости от того, что больше.

Для МСП и стартапов каждый штраф ограничен меньшей из двух сумм, а Цифровой омнибус распространяет аналогичное послабление на небольшие компании средней капитализации. Кроме того, с 2 августа 2026 года Европейская комиссия может штрафовать поставщиков моделей ИИ общего назначения на сумму до 15 млн евро или 3%.

Больше чем соответствие: стратегическая возможность

Требования Закона об ИИ (прозрачность, человеческий надзор, тестирование на предвзятость, документация) — это ещё и признаки качественно сделанных ИИ-продуктов. Пользователи доверяют приложениям, которые открыто говорят о своём ИИ. Корпоративные покупатели запрашивают аудиторский след и человеческий надзор. Тестирование на предвзятость выявляет проблемы качества до того, как они станут репутационными.

Команды, которые воспринимают Закон об ИИ как систему обеспечения качества продукта, а не как юридическую повинность, создают более качественные продукты и завоёвывают больше доверия — особенно на корпоративных рынках, где соответствие требованиям входит в решение о покупке.

Хронология вкратце

• 1 августа 2024 года: Закон об ИИ вступает в силу.
• 2 февраля 2025 года: запрещённые практики запрещены; начинают действовать обязанности по ИИ-грамотности. (Цифровой омнибус с тех пор смягчил эту обязанность до принятия мер, поддерживающих ИИ-грамотность.)
• 2 августа 2025 года: начинают применяться правила для моделей ИИ общего назначения; начинают применяться положения об управлении и режим санкций.
• 27 июля 2026 года: Цифровой омнибус по ИИ вступает в силу.
• 2 августа 2026 года: общее применение, включая обязанности по прозрачности по статье 50 и полномочия Комиссии штрафовать поставщиков моделей ИИ общего назначения.
• 2 декабря 2026 года: срок машиночитаемой маркировки для генеративных систем, уже выведенных на рынок; запрет ИИ, создающего интимные изображения без согласия или материалы сексуального насилия над детьми.
• 2 декабря 2027 года: обязательства для самостоятельных систем высокого риска (Приложение III).
• 2 августа 2028 года: обязательства для ИИ высокого риска в регулируемых продуктах (Приложение I).

С чего начать

Начните классификацию рисков на этой неделе, убедитесь, что обязанности по прозрачности выполнены (они касаются почти всех и уже действуют), а если подозреваете сценарий высокого риска, как можно раньше привлеките юристов. Декабрь 2027 года кажется далёким, но работа по оценке соответствия занимает месяцы.

В iHux мы закладываем требования Закона об ИИ в процесс разработки каждого выпускаемого продукта, потому что это обходится гораздо дешевле, чем обеспечивать соответствие задним числом после запуска. Если вы создаёте приложение на базе ИИ и ищете партнёра, который думает об этом с первого дня, свяжитесь с нами.