EU AI Act 2026: Новые обязанности для компаний

EU AI Act — первый в мире комплексный закон о регулировании искусственного интеллекта. С момента вступления в силу 1 августа 2024 года уже реализованы два этапа: запрет особо опасных практик ИИ (февраль 2025) и обязательства для General Purpose AI (август 2025). 2 августа 2026 года наступает третий и самый масштабный этап с требованиями к прозрачности, полномочиями по правоприменению, новыми запретами и системой штрафов.

Кроме того, в июне 2026 года был принят Digital Omnibus on AI — поправочный регламент, который корректирует AI Act, сдвигает сроки и вводит новые запреты. В этой статье мы объясняем всё, что компаниям необходимо знать, чтобы подготовиться к новым требованиям до 2 августа 2026 года.

2 августа 2026 года одновременно вступают в силу: обязательства по прозрачности для систем ИИ (статья 50), обязательства по повышению компетенции в области ИИ (статья 4), обязательства операторов, включая оценку рисков для ИИ высокого риска (статья 26), правила для регуляторных песочниц и тестирования в реальных условиях, а также полномочия по применению штрафов (статья 99). Обязательства для ИИ высокого риска были перенесены Digital Omnibus на декабрь 2027 года.

Что такое EU AI Act

Регламент об ИИ (официально: Регламент ЕС 2024/1689) создаёт единую правовую базу для искусственного интеллекта на территории всего ЕС. Как и GDPR, он действует непосредственно во всех 27 государствах-членах, без необходимости национального транспонирования. Компании из стран, не входящих в ЕС, также подпадают под его действие, если их системы ИИ используются в ЕС или если результаты работы этих систем затрагивают людей в ЕС.

• Запрещённые (напр. социальный скоринг, манипулятивный ИИ)
• Высокого риска (напр. подбор персонала, кредитный скоринг)
• Ограниченного риска (напр. чат-боты, генераторы дипфейков)
• Минимального риска (напр. спам-фильтры, рекомендательные алгоритмы)

Что уже действует

С 2 февраля 2025 года определённые практики ИИ полностью запрещены: социальный скоринг, манипулятивные системы ИИ, биометрическая идентификация в реальном времени в общественных местах, распознавание эмоций на рабочем месте и в образовательных учреждениях, а также предиктивная полицейская деятельность на основе профилирования. Кроме того, Digital Omnibus добавил два новых запрета: использование данных распознавания лиц из интернета и социальных сетей для создания баз данных, а также системы ИИ, создающие профили людей на основе биометрических данных для определения расы, политических взглядов или сексуальной ориентации (TÜV Consulting, 2026).

С 2 августа 2025 года действуют обязательства для поставщиков General Purpose AI (ИИ общего назначения), включая техническую документацию, резюме обучающих данных и политику в области авторских прав (TÜV Consulting, 2026). Каждая используемая система ИИ должна быть идентифицирована и отнесена к одной из четырёх категорий риска.

AI Act разграничивает две ключевые роли: поставщики разрабатывают системы ИИ и выводят их на рынок, операторы используют их под собственную ответственность в профессиональной деятельности. Обе стороны должны обеспечивать компетенции в области ИИ (статья 4), однако Digital Omnibus существенно смягчил конкретные требования к этой обязанности (Gibson Dunn, 2026).

Соотношение с GDPR

AI Act и GDPR действуют параллельно. GDPR защищает персональные данные, AI Act регулирует безопасность и прозрачность самой системы ИИ. Кто использует систему ИИ, обрабатывающую персональные данные, должен соблюдать оба регламента одновременно. На практике это означает: оценка воздействия на защиту данных (DPIA) может быть дополнена оценкой рисков по AI Act, принцип минимизации данных GDPR остаётся в силе при обучении ИИ, а обязательства по прозрачности из обоих регламентов необходимо согласовывать. Компании, которые уже имеют структурированную систему защиты данных, имеют хорошую стартовую позицию для соблюдения AI Act.

Обязательства по прозрачности с 2 августа 2026 года

Статья 50 Регламента об ИИ (KI-VO) определяет обязательства по прозрачности, которые вступают в силу 2 августа 2026 года. Они затрагивают как поставщиков, так и операторов систем ИИ и являются текущим центром внимания для большинства компаний, уже сейчас использующих ИИ на практике (Регламент ЕС 2024/1689, ст. 99).

Чат-боты и ИИ-ассистенты

Операторы систем ИИ, которые напрямую взаимодействуют с людьми, обязаны информировать этих людей о том, что они общаются с системой ИИ. Это касается чат-ботов на сайтах, голосовых ботов на горячих линиях, ИИ-помощников при бронировании и каждого автоматизированного разговора, в котором собеседник является ИИ.

Маркировка может быть текстовой, визуальной или звуковой, в зависимости от канала коммуникации. Для чат-бота на сайте достаточно видимого уведомления, например, «Вы общаетесь с ИИ-ассистентом». Исключение действует только в том случае, если использование ИИ очевидно для среднестатистического человека, например, при автоматическом исправлении орфографии. Чат-боты и виртуальные ассистенты никогда не подпадают под это исключение (artificialintelligenceact.eu, 2026).

Для компаний с августа 2026 года действует чёткий принцип: кто использует ИИ, должен быть прозрачным. Пользователи и зрители должны иметь возможность распознать, когда они взаимодействуют с ИИ или видят контент, созданный ИИ.

Дипфейки и манипулированный контент

AI Act определяет дипфейки как созданные или обработанные ИИ изображения, аудио- или видеоматериалы, которые похожи на реальных людей, объекты, места или события и могут быть ошибочно восприняты как подлинные. Операторы обязаны раскрывать, что такой контент был создан или обработан с помощью ИИ. Это раскрытие должно быть «ясным и различимым» при первом показе контента (FAQ Европейской комиссии, 2026).

Для компаний это особенно актуально в маркетинге и рекламе. Созданные ИИ фото продуктов, виртуальные отзывы или синтетические голоса в рекламных видео должны быть маркированы как созданные ИИ. Отсутствие маркировки является нарушением статьи 50 и грозит штрафами до 15 млн евро.

Для художественных, сатирических, вымышленных или аналогичных творческих произведений достаточно неброской маркировки, которая не нарушает восприятие контента. Краткого указания в титрах видео или в выходных данных достаточно. Однако маркировка не может быть опущена полностью.

Тексты, созданные ИИ

Тексты, созданные системами ИИ и опубликованные по темам, представляющим общественный интерес, должны быть маркированы как созданные ИИ. В FAQ Европейской комиссии термин «общественный интерес» трактуется широко: политика, здравоохранение, безопасность, окружающая среда, но также финансовые услуги, общественный транспорт или основные коммунальные услуги (FAQ Европейской комиссии, 2026).

Важное исключение: если текст проходит настоящий человеческий редакционный контроль, требование маркировки снимается. Это означает, что специалист с содержательной компетенцией проверяет и адаптирует ИИ-текст перед публикацией. Автоматическая проверка грамматики или поверхностный просмотр недостаточны. Чем значительнее тема (например, здравоохранение, право, финансы), тем строже стандарт «реального контроля» (FAQ Европейской комиссии, 2026).

Независимо от маркировки текстов, для поставщиков систем ИИ существует отдельная техническая обязанность: каждая система ИИ, генерирующая синтетический контент, будь то изображения, видео, аудио или текст, должна встраивать машиночитаемые маркеры (водяные знаки, метаданные или криптографические маркеры) в свои результаты. Для уже существующих систем на рынке действует переходный период до 2 декабря 2026 года (Gibson Dunn, 2026).

Каталог штрафов: три уровня до 35 миллионов евро

EU AI Act предусматривает трёхуровневую систему санкций, максимальные пределы которой значительно превышают GDPR (максимум 20 млн евро или 4 % оборота) (Регламент ЕС 2024/1689, ст. 99).

Нарушения запрещённых практик ИИ по статье 5 наказываются штрафами до 35 млн евро или 7 % мирового годового оборота. Это касается социального скоринга, манипулятивного ИИ, недопустимой биометрической идентификации и других запрещённых систем.

Нарушения обязательств по прозрачности (статья 50), а также обязательств поставщиков и операторов ИИ высокого риска наказываются штрафами до 15 млн евро или 3 % мирового годового оборота.

Предоставление надзорным органам ложных, неполных или вводящих в заблуждение сведений наказывается штрафами до 7,5 млн евро или 1 % мирового годового оборота. Для МСП и стартапов на каждом уровне применяется меньшая из двух сумм (фиксированная сумма или доля оборота), что предотвращает непропорциональные санкции.

С 2 августа 2026 года начинается активное правоприменение. Надзорные органы могут наказывать за нарушения действующих с февраля 2025 года запретов и новых обязательств по прозрачности этими штрафами. В Германии надзорным органом является Федеральное сетевое агентство, которое получает полномочия по расследованию и санкционированию в соответствии с Законом о рыночном надзоре за ИИ (KI-MÜG) (LTO.de, 2026).

Разный темп в государствах-членах

Срок назначения национальных надзорных органов в сфере ИИ истёк 2 августа 2025 года. Степень реализации существенно различается. Финляндия, Бельгия и Польша уже создали действующие структуры. Франция назначила CNIL ответственным органом, но по состоянию на апрель 2026 года ещё не располагает полноценными надзорными структурами. Для компаний, работающих в нескольких странах, это означает фрагментированный надзорный ландшафт с различными интерпретациями (TÜV Consulting, 2026).

Что компаниям необходимо сделать сейчас

Перенос обязательств для ИИ высокого риска — не повод для бездействия. Обязательства по прозрачности вступают в силу 2 августа 2026 года, и надзорные органы начинают активные проверки. Особенно тем, кто только начинает работу с собственным сайтом или цифровой инфраструктурой, следует учитывать требования AI Act уже на этапе планирования.

Инвентаризация ИИ и оценка рисков

Каждая компания должна определить, какие системы ИИ она использует или предлагает. Будь то чат-бот на сайте, ИИ-инструмент для подбора персонала, автоматическая генерация текстов или обработка изображений на основе ИИ: первый шаг — составление инвентарной описи всех используемых систем ИИ с указанием области их применения.

Запрещены системы ИИ, такие как социальный скоринг, манипулятивный ИИ и биометрическое наблюдение в реальном времени в общественных местах. К ИИ высокого риска относятся системы в чувствительных областях: подбор персонала и рекрутинг, кредитный скоринг, доступ к образованию, судебные решения и критическая инфраструктура. Обязательства по ИИ высокого риска были перенесены на декабрь 2027 года, однако компании, уже использующие подобные системы, должны начать подготовку.

Ограниченный риск касается чат-ботов, генераторов дипфейков и ИИ-генераторов текстов. Для них действуют обязательства по прозрачности согласно статье 50, то есть маркировка и раскрытие (TÜV Consulting, 2026). Минимальный риск, например ИИ в видеоиграх или спам-фильтрах, остаётся нерегулируемым.

Реализация обязательств по прозрачности

Для компаний с августа 2026 года действует чёткий принцип: кто использует ИИ, должен быть прозрачным. Пользователи и зрители должны иметь возможность распознать, когда они взаимодействуют с ИИ или видят контент, созданный ИИ. Конкретно это означает: чат-бот на сайте должен быть маркирован, изображения и видео, созданные ИИ, должны быть обозначены, а ИИ-тексты на темы общественного интереса должны быть маркированы — если не было настоящего редакционного контроля.

Обучение и управление

Digital Omnibus значительно снизил требования к обязанностям по компетенции в области ИИ. Однако это не означает, что компании могут игнорировать эту тему. Недостаточное обучение может стать отягчающим обстоятельством при нарушениях и повышает риск ошибок при использовании ИИ.

Конкретно обучение должно соответствовать повседневной рабочей практике. Кто создаёт ИИ-тексты в онлайн-маркетинге, должен знать требования к маркировке. Кто обслуживает чат-бот в клиентском сервисе, нуждается в знаниях об обязательствах по прозрачности. А кто использует ИИ в подборе персонала, должен понимать правила для ИИ высокого риска, даже если они вступают в силу только в 2027 году.

Крупным компаниям следует дополнительно создать структуру управления ИИ (AI Governance). Это не требует отдельного «ответственного за ИИ», но предполагает чёткое распределение обязанностей по соблюдению EU AI Act. Сюда входят стандартизированные процедуры оценки рисков, документирование всех систем ИИ и регулярная проверка актуальных правовых требований.

Упрощения для МСП и среднего бизнеса

Ещё первоначальный AI Act предусматривал упрощения для МСП, такие как сниженные штрафы и приоритетный доступ к регуляторным песочницам. Digital Omnibus on AI значительно расширил это разграничение и добавил новую категорию: Small Mid-Caps. Компании, не достигающие 750 сотрудников или 200 млн евро годового оборота, получают те же преимущества, что и традиционные МСП (Deloitte, 2026).

Помимо классического определения МСП (менее 250 сотрудников, менее 50 млн евро оборота) теперь существует новая категория: Small Mid-Caps. Она охватывает компании с менее чем 750 сотрудниками или менее 200 млн евро годового оборота. Для них действуют упрощённые формы для технической документации и снижены требования к оценке соответствия (Orrick, 2026).

МСП и стартапы платят на каждом уровне штрафов меньшую из двух сумм (фиксированная сумма или доля оборота), получают приоритетный доступ к регуляторным песочницам и могут использовать упрощённые формы для технической документации ИИ высокого риска. При разработке веб-приложений требования AI Act следует учитывать уже на этапе планирования.

Что ещё впереди

2 декабря 2027 года начнут действовать обязательства для автономных систем ИИ высокого риска (Приложение III), 2 августа 2028 года — обязательства для ИИ, интегрированного в продукты (Приложение I). Государственные органы получают отсрочку до 2 августа 2030 года. Digital Omnibus дополнительно предусматривает создание поисковой системы для зарегистрированных систем ИИ высокого риска, что делает рынок ИИ более прозрачным для компаний и потребителей (Gibson Dunn, 2026).

Связанные статьи

• BFSG: Распространяется ли обязательство по обеспечению доступности на мой сайт?
• Доступный сайт: Руководство для компаний
• Разработка веб-приложений: Как создаётся ваше индивидуальное веб-приложение
• Индивидуальный веб-дизайн: преимущества и процесс работы с агентством
• Руководство по онлайн-маркетингу: стратегия, сайт, данные

Источники

• Европейская комиссия: Руководства по обязательствам прозрачности для поставщиков и операторов систем ИИ (2026)
• Европейская комиссия: FAQ по обязательствам прозрачности согласно статье 50 AI Act (2026)
• Регламент (ЕС) 2024/1689, статья 99 — Штрафы
• Gibson Dunn: EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes (2026)
• TÜV Consulting: EU AI Act 2026 — Промежуточный итог (2026)
• Deloitte: EU AI Act — Digital Omnibus (2026)
• TÜV Consulting: Обязательства по прозрачности в EU AI Act — Статья 50 (2026)
• artificialintelligenceact.eu: Transparency Rules — Article 50 Guide (2026)
• LTO.de: Надзор за ИИ — Закон за AI Act вступает в силу (2026)
• artificialintelligenceact.eu: Small Businesses Guide to the AI Act (2024)
• Orrick: EU's Digital Omnibus on AI — 7 Key Changes You Need to Know (2026)