EU AI Act — первый в мире комплексный закон о регулировании искусственного интеллекта, принятый Евросоюзом. Он затрагивает не только европейские компании, но и любой бизнес, чьи ИИ-продукты используются на территории ЕС. Разбираем ключевые категории риска и что закон означает на практике.
EU AI Act делит ИИ-системы на четыре уровня риска, и от категории зависит набор конкретных обязательств для бизнеса — не абстрактная декларация, а чек-лист того, что нужно сделать.
| Категория риска | Примеры систем | Что требуется от бизнеса |
|---|---|---|
| Неприемлемый риск | Социальный скоринг граждан государством, манипулятивные техники, массовый биометрический скрейпинг, большинство случаев распознавания эмоций на работе/в школе | Полный запрет на территории ЕС |
| Высокий риск | Найм, кредитный скоринг, медицинские устройства, правоохрана, биометрическая идентификация, критическая инфраструктура | Техдокументация, человеческий контроль, тесты на точность и предвзятость, регистрация в базе ЕС |
| Ограниченный риск (прозрачность) | Чат-боты, дипфейки, системы генерации текста/изображений | Обязанность раскрыть пользователю факт взаимодействия с ИИ |
| Минимальный риск | Большинство обычных ИИ-приложений — спам-фильтры, рекомендательные системы и т.п. | Специальных требований нет |
Важная особенность EU AI Act — экстерриториальность: закон применяется не только к компаниям, зарегистрированным в ЕС, но и к любому бизнесу за пределами Евросоюза, если его ИИ-система используется европейскими пользователями или влияет на них. Это значит, что даже российская компания, продающая ИИ-продукт клиентам в Европе, формально подпадает под требования закона.
Для систем, отнесённых к высокому риску, закон требует ведения технической документации, обеспечения человеческого контроля над решениями системы, регулярного тестирования на предвзятость и точность, а также прозрачности перед конечными пользователями о том, что решение принято или поддержано ИИ.
Закон официально вступил в силу 1 августа 2024 года, но применяется поэтапно — и в июле 2026 года график сдвинулся: пакет упрощения «Digital Omnibus» (Regulation (EU) 2026/1744, вступил в силу 27 июля 2026) перенёс срок для самостоятельных систем высокого риска с 2 августа 2026 на 2 декабря 2027 года. Это самое важное практическое изменение для бизнеса, который готовился к старому графику.
Статья 99 EU AI Act устанавливает три уровня штрафов в зависимости от тяжести нарушения — применяется большая из двух величин (фиксированная сумма или процент от оборота), кроме МСП и стартапов, для которых действует меньшая величина.
| Нарушение | Максимальный штраф |
|---|---|
| Запрещённые практики (ст. 5 — неприемлемый риск) | €35 млн или 7% глобального оборота |
| Нарушение обязательств по системам высокого риска и другие нарушения | €15 млн или 3% глобального оборота |
| Предоставление недостоверной информации регулятору | €7,5 млн или 1% глобального оборота |
Это закон Евросоюза, который делит ИИ-системы на категории риска — от запрещённых до минимально регулируемых — и устанавливает требования к прозрачности, тестированию и человеческому контролю в зависимости от категории.
Да, если ИИ-система компании используется европейскими пользователями или влияет на них, закон применяется независимо от места регистрации самой компании.
К неприемлемому риску относятся, например, системы социального скоринга граждан государством и некоторые формы биометрического наблюдения в реальном времени в общественных местах.
До 35 млн евро или 7% глобального годового оборота компании (берётся большая величина) за запрещённые практики — это верхняя граница. За нарушения требований к системам высокого риска и другие нарушения — до 15 млн евро или 3% оборота, за недостоверную информацию регулятору — до 7,5 млн евро или 1% оборота.
Поэтапно — с 1 августа 2024 года (вступление в силу) до 2 августа 2028 года (требования к системам высокого риска, встроенным в регулируемые продукты). Закон уже в силе: запреты действуют с февраля 2025, правила для GPAI-моделей — с августа 2025, прозрачность и основной корпус — с августа 2026.
Да. В июле 2026 года пакет упрощения «Digital Omnibus» (Regulation (EU) 2026/1744, в силе с 27 июля 2026) перенёс срок для самостоятельных систем высокого риска (Annex III) с 2 августа 2026 на 2 декабря 2027 года, а для систем, встроенных в регулируемые продукты (Annex I), — с 2 августа 2027 на 2 августа 2028 года.
Применяется большая из двух величин — фиксированная сумма в евро или процент от глобального годового оборота компании. Исключение — малые и средние предприятия, включая стартапы: для них действует меньшая из двух величин.