Чек-лист соответствия AI Act ЕС: классифицируйте свои ИИ-системы и закройте пробелы
AI Act ЕС (Регламент 2024/1689) регулирует ИИ по классу риска: запрещённые практики, системы высокого риска с обширными обязательствами, системы с обязанностями прозрачности и системы минимального риска. Он обязывает и провайдеров, и пользователей, а его охват включает компании из-за пределов ЕС, чей ИИ размещён на рынке ЕС или чьи результаты используются там. Обязательства вводятся поэтапно по фиксированному графику — запреты уже действуют, за ними следуют требования к высокому риску.
Для большинства компаний практическая работа не экзотична: знать, какие ИИ-системы вы реально эксплуатируете, определить свою роль и класс риска для каждой и построить документацию и надзор, которых требует класс. У пользователей повседневного ИИ обязанности легче, чем у провайдеров систем высокого риска, но «легче» не значит «нет» — а случаи применения в HR, кредитовании и в сферах, связанных с безопасностью, попадают в высокий риск быстрее, чем ожидают команды. Приведённый ниже чек-лист структурирует программу.
Ihre Checkliste
- 1Проведите инвентаризацию всех ИИ-систем: каталогизируйте ИИ в продуктах, внутренних инструментах и стороннем ПО — включая встроенные ИИ-функции в SaaS, который вы применяете, — с указанием владельца, назначения и затрагиваемых лиц.
- 2Проверьте на запрещённые практики: сверьте инвентарь с запрещёнными практиками AI Act (например, определённые виды манипуляции, социальный скоринг и определённые биометрические применения) и прекратите всё совпадающее — эти запреты уже действуют.
- 3Классифицируйте риск по каждой системе: определите, какие системы относятся к высокому риску по приложениям AI Act о случаях применения (например, трудоустройство, кредит, существенные услуги) и какие несут обязанности прозрачности, и зафиксируйте обоснование.
- 4Определите свою роль: установите по каждой системе, являетесь ли вы провайдером, пользователем, импортёром или дистрибьютором — обязанности принципиально различаются, а модификация или ребрендинг системы может перевести вас в роль провайдера.
- 5Выполняйте обязанности прозрачности: маркируйте ИИ-взаимодействия и сгенерированный или изменённый ИИ контент там, где это требуется, чтобы пользователи знали, что имеют дело с ИИ.
- 6Постройте комплаенс-досье для высокого риска: для систем высокого риска обеспечьте наличие и актуальность управления рисками, мер по управлению данными, технической документации, журналирования и человеческого надзора.
- 7Исправьте договоры с вендорами: требуйте от поставщиков ИИ соответствия AI Act, документации и обязанностей по сотрудничеству, чтобы вы могли выполнять свои обязанности пользователя.
- 8Обучайте персонал грамотности в области ИИ: AI Act ожидает, что организации обеспечат достаточную компетентность в области ИИ у людей, эксплуатирующих ИИ-системы от их имени.
- 9Настройте постоянное управление: назначьте ответственных, мониторьте системы в эксплуатации, обрабатывайте инциденты и переклассифицируйте всякий раз, когда меняются случаи применения или модели.
Häufige Fragen
Как узнать, относится ли одна из наших ИИ-систем к «высокому риску»?
Статус высокого риска следует главным образом из случая применения: AI Act перечисляет области, такие как трудоустройство и управление работниками, кредитный скоринг, образование, существенные публичные и частные услуги и компоненты безопасности регулируемых продуктов. Система, используемая для отбора резюме или решений о кредите, — классический кандидат в высокий риск. Классификацию и её обоснование следует документировать по каждой системе.
Каковы наши обязанности, если мы лишь применяем сторонний ИИ?
Пользователи систем высокого риска должны использовать их согласно инструкциям провайдера, обеспечивать компетентный человеческий надзор, контролировать соответствующие входные данные, мониторить работу, хранить журналы и в определённых случаях информировать затронутых лиц или проводить оценку воздействия на основные права. Для ИИ не высокого риска всё равно могут применяться обязанности прозрачности и грамотности в области ИИ.
К какому сроку нам нужно соответствовать?
AI Act вступил в силу в 2024 году и применяется поэтапно: сначала пришли запреты и обязанности грамотности в области ИИ, за ними последовали правила управления для моделей ИИ общего назначения, а основная масса обязанностей по высокому риску применяется с августа 2026 года, с некоторыми случаями, связанными с продуктами, — позже. Классификация ваших систем сейчас подскажет, какие сроки реально ваши.