EU AI Act: что малому и среднему бизнесу знать о регулировании ИИ

Регламент ЕС об ИИ (EU AI Act) — первое всеобъемлющее регулирование искусственного интеллекта, и оно распространяется на малый и средний бизнес. Хорошая новость: для большинства задач в практике, мастерской или адвокатской конторе обязанности вполне посильные. В статье показано, как классифицировать ваши ИИ-инструменты, какие обязанности уже действуют и что делать и в каком порядке.

О чём EU AI Act

Регламент вступил в силу в августе 2024 года и начинает применяться поэтапно. Он регулирует не технологию как таковую, а её использование, причём в зависимости от риска. Чем серьёзнее возможные последствия для людей, тем строже требования. Спам-фильтр рассматривается иначе, чем программа, которая участвует в решениях о приёме на работу или выдаче кредита.

С февраля 2025 года уже действуют два положения: отдельные виды применения запрещены, а компании, использующие ИИ, обязаны обеспечить достаточную ИИ-грамотность своих сотрудников. Другие обязанности, например для систем высокого риска и в части прозрачности, вступают в силу поэтапно. В конце 2025 года Еврокомиссия предложила скорректировать некоторые сроки. Поэтому проверяйте актуальное положение дел, прежде чем строить планы под конкретную дату. Эта статья не заменяет юридическую консультацию.

Поставщик или эксплуатант: от роли зависят обязанности

Регламент прежде всего различает поставщиков, которые разрабатывают ИИ-систему и выводят её на рынок, и эксплуатантов, которые используют её под свою ответственность. Подавляющее большинство компаний малого и среднего бизнеса — эксплуатанты. Стоматологическая практика, которая использует телефонного ассистента, — эксплуатант. Производитель ассистента — поставщик, и на нём лежит большая часть обязанностей, например по технической документации.

Будьте осторожны, если вы существенно меняете чужую систему, продаёте её под своим именем или используете не по назначению, предусмотренному производителем. Тогда вы сами можете оказаться в роли поставщика. Если вы перепродаёте ИИ-решение клиентам, например как агентство, отдайте этот вопрос на тщательную проверку.

Классы риска на примерах из немецкого Mittelstand

Класс риска	Примеры	Что делать эксплуатанту
Запрещено	Социальный скоринг, манипулятивные техники, использующие уязвимости, распознавание эмоций на рабочем месте	не использовать
Высокий риск	автоматический предварительный отбор резюме, оценка сотрудников, проверка кредитоспособности	соблюдать инструкцию по применению, обеспечить контроль со стороны человека, следить за работой, хранить журналы, информировать затронутых лиц
Обязанности прозрачности	чат-боты и телефонные ассистенты для общения с клиентами, созданные ИИ изображения или тексты для информирования общественности	сообщать, что используется ИИ
Минимальный риск	спам-фильтры, помощники перевода, подсказки текста для внутреннего использования	особых обязанностей по регламенту нет, но требование ИИ-грамотности действует

Типичная ремесленная фирма с онлайн-записью и общением с клиентами попадает в класс с обязанностями прозрачности. Иначе обстоит дело, если вы используете инструмент, который автоматически сортирует или отсеивает резюме. Это высокий риск, и перед использованием стоит проконсультироваться.

Что EU AI Act означает для малого и среднего бизнеса на практике: шесть шагов

1. Составьте реестр ИИ. Перечислите все инструменты, в которых есть ИИ: чат-бот на сайте, телефонный ассистент, генераторы текста, перевод, функции в CRM. Спросите и команду, какими сервисами сотрудники пользуются для работы в частном порядке.
2. Определите свою роль. Для каждого инструмента отметьте, только ли вы им пользуетесь или изменяете и передаёте дальше.
3. Присвойте класс риска. Большинство позиций окажутся с минимальным риском или с обязанностями прозрачности. Отметьте всё, что связано с кадровыми решениями, кредитами или доступом к важным услугам.
4. Обеспечьте ИИ-грамотность. Тот, кто работает с ИИ, должен знать, что умеет система, где она ошибается и какие данные в неё вводить нельзя. В небольших компаниях часто достаточно короткого обучения и письменного правила использования. Задокументируйте и то и другое.
5. Встройте прозрачность. Каждый чат-бот и телефонный ассистент должен в начале сообщать, что он ИИ. Формально эта обязанность лежит прежде всего на поставщике, но на практике именно вы как эксплуатант следите, чтобы уведомление дошло до клиента.
6. Свяжите это с GDPR. Регламент об ИИ не заменяет защиту данных. Договоры об обработке данных, место хранения и сроки удаления остаются отдельными темами.

О том, как сочетаются оба свода правил, читайте в нашей статье GDPR (в Германии — DSGVO) и ИИ-чат-боты. Почему важно ещё и расположение серверов, объясняет статья Хостинг ИИ-инструментов в ЕС или США.

Пример: телефонный ассистент в кабинете физиотерапии

Кабинет физиотерапии поручает цифровому ассистенту принимать звонки вне часов приёма. Он записывает и переносит визиты и отвечает на вопросы о направлениях. Кабинет — эксплуатант, а использование подпадает под обязанности прозрачности. Ассистент начинает каждый разговор фразой вроде «Вы говорите с цифровым ассистентом нашего кабинета». Команде коротко объяснили, какие вопросы ассистент передаёт людям. Поскольку разговор может касаться данных о здоровье, кабинет дополнительно согласовал с уполномоченным по защите данных, какие сведения можно спрашивать.

Ассистенты Neurobots рассчитаны именно на такой случай: они работают в соответствии с GDPR, данные хранятся на серверах во Франкфурте, и мы рекомендуем клиентам встроить уведомление об ИИ в приветствие.

Где не нужно тратить много сил

Косметическому салону с онлайн-записью и чат-ботом на сайте не нужна дорогая экспертиза. Реестр, подтверждение обучения, уведомление об ИИ в разговоре и обычные документы по защите данных закрывают большую часть требований. Относитесь скептически к предложениям, которые продают дорогие комплексные пакеты, запугивая штрафами. Внешний консультант оправдан там, где вы работаете с приложениями высокого риска или сами предлагаете ИИ-продукты.

Важнее толстой папки — актуальность документов. Новые инструменты часто появляются незаметно: поставщик программы добавляет функцию ИИ или сотрудник находит удобный сервис. Поэтому установите правило: о новых ИИ-приложениях коротко сообщают до начала использования и вносят их в реестр. В большинстве небольших компаний достаточно просматривать список раз в полгода.

Частые вопросы

Распространяется ли регламент на совсем маленькие компании?

Да, нижней границы по числу сотрудников нет. Но для малого и среднего бизнеса предусмотрены послабления, например в части штрафов и доступа к регуляторным песочницам. Обязанности зависят от цели использования, а не от размера.

Нужно ли регулировать, как сотрудники пользуются ChatGPT и похожими сервисами?

Настоятельно рекомендуется. Требование ИИ-грамотности распространяется и на такие инструменты, а с точки зрения защиты данных принципиально, чтобы данные клиентов или пациентов не попадали в непроверенные сервисы. Внутренняя инструкция на одну страницу — хорошее начало.

Является ли телефонный ИИ-ассистент системой высокого риска?

Как правило, нет, пока он записывает на приём и отвечает на вопросы. На него распространяются обязанности прозрачности. Ситуация может быть иной, если он решает вопросы доступа к важным услугам.

Что грозит за нарушения?

Регламент предусматривает серьёзные штрафы в зависимости от тяжести нарушения; для малого и среднего бизнеса применяется меньшая из предусмотренных максимальных сумм. Больше о вопросах безопасности — в статье Безопасность данных в ИИ-системах для бизнеса, обзор ситуации в Германии даёт статья ИИ для немецких компаний.

Итог

Для большинства компаний малого и среднего бизнеса EU AI Act — прежде всего обязанность навести порядок: знать, какой ИИ у вас используется, обучить команду и открыто сообщать клиентам, когда они говорят с ИИ. Если вы автоматизируете решения о найме, кредитах или другие решения с серьёзными последствиями, присмотритесь внимательнее и проконсультируйтесь.

Как устроен прозрачный ИИ-ассистент в клиентском сервисе, показывает страница Цифровой ассистент для сервисных центров.