Закон об ИИ и GDPR в отношении автоматизации с использованием ИИ в ЕС: какие правила применяются в таких случаях
Закон об ИИ принимается после цифрового законодательного пакета 2026 года, в рамках которого регулируется автоматизация внутренних процессов, а также с учетом принципов GDPR, к которым мы придерживаемся: минимизация данных, операторы обработки, статья 22, оценка воздействия на права человека.
Компании в ЕС, которые используют ИИ для автоматизации работы, должны соблюдать два набора правил одновременно: GDPR, действующий с мая 2018 года и касающийся персональных данных независимо от использования ИИ, и Закон об ИИ, Постановление (ЕС) 2024/1689, который вступает в силу поэтапно. Это краткое изложение инженера о том, что мы учитываем при создании систем автоматизации с использованием ИИ. Это не юридический совет; по вашему конкретному случаю обратитесь к юристу или специалисту по защите данных.
График вступления в силу Закона об ИИ по состоянию на ноябрь 2026 года
Закон об ИИ вступил в силу 1 августа 2024 года и применяется поэтапно. В июле 2026 года он был изменен Постановлением (ЕС) 2026/1744, что изменило сроки применения правил к системам с высоким уровнем риска. Текущая ситуация:
| Дата | Что применяется |
|---|---|
| 2 февраля 2025 года | Запрещенные практики использования ИИ (статья 5) и осведомленность в области ИИ (статья 4, с поправками, внесенными Законом об универсальных мерах) |
| 2 августа 2025 года | Обязанности поставщиков универсальных моделей ИИ, механизмы управления и санкции |
| 2 августа 2026 года | Общая дата вступления в силу, включая большинство требований к прозрачности |
| 2 декабря 2026 года | Крайний срок для маркировки контента, созданного с помощью ИИ, для систем, выпущенных на рынок до 2 августа 2026 года |
| 2 декабря 2027 года | Правила для систем высокого риска, перечисленные в Приложении III |
| 2 августа 2028 года | Правила для ИИ, встроенного в продукты, регулируемые законодательством Приложения I |
Дата и детали могут снова измениться в результате дальнейших поправок и рекомендаций, поэтому перед использованием информации обращайтесь к официальным источникам.
Какова роль типичной автоматизации бизнес-процессов
Закон об ИИ классифицирует системы по их назначению, а не по технологии. Большинство инструментов автоматизации внутренних процессов, таких как извлечение данных из счетов-фактур, проверка сертификатов поставщиков по списку требований или краткое изложение условий контрактов для внутреннего рецензента, не относятся к категориям высокого риска. Категории высокого риска перечислены в Приложении III и включают такие сферы, как найм и управление персоналом, оценка кредитоспособности лиц, доступ к основным услугам, образование и критическая инфраструктура.
Этот момент стоит проверить заранее. Инструмент, который ранжирует кандидатов на работу или принимает решение о предоставлении кредита, — это совершенно другой проект по сравнению с инструментом, который читает накладные, даже если код программы выглядит похоже.
Даже в условиях низкого риска существуют определённые обязанности: от компаний ожидается, что они будут способствовать повышению уровня осведомлённости сотрудников, использующих эти системы, в области искусственного интеллекта, людей следует информировать о том, что они общаются с чат-ботом, а некоторый генерируемый контент должен быть отмечен как таковой.
Что уже требует GDPR
Для большинства случаев автоматизации документов GDPR представляет наибольшую повседневную проблему, поскольку контракты, счёты-фактуры и HR-документы содержат персональные данные. Основные принципы, на которых мы строим наши решения:
- Законные основания и цели. Данные, собранные в одной цели, не могут просто быть использованы повторно для обучения или нового анализа.
- Минимизация данных. Обрабатывайте только те поля, которые необходимы для выполнения задачи; маскируйте или удаляйте остальные до того, как они попадут в модель.
Решения по проектированию, облегчающие соблюдение требований
Большинство требований правил также соответствуют принципам качественной инженерии:
- вести журнал записей о действиях системы, версии модели и лице, одобрившем результат;
- обеспечивать участие человека при принятии решений, касающихся людей, и проводить реальный аудит с возможностью просмотра исходных документов;
- запускать модели на инфраструктуре, находящейся под вашим контролем, когда данные являются конфиденциальными (см. использование локального ИИ для конфиденциальных документов);
- сохранять набор тестовых данных и измерять точность до и после каждой модификации (см. оценка и человеческий аудит);
- записывать, для чего предназначена система и в каких целях её использовать нельзя.
Официальные источники
- Закон об ИИ: Регламент (ЕС) 2024/1689 на сайте EUR-Lex
- Цифровой сборник по ИИ: Регламент (ЕС) 2026/1744 на сайте EUR-Lex
- GDPR: Регламент (ЕС) 2016/679 на сайте EUR-Lex
- Страницы закона Европейской комиссии об ИИ и рекомендации вашего национального органа по защите данных
Мы создаем системы автоматизации на основе ИИ, включающие функции логирования, проверки человеком и минимизации данных, ещё на этапе первого прототипа. Посмотрите примеры перехода от демо-версии к продакшену и агентов ИИ для проверки документов. Юридическая оценка вашего конкретного случая остается в ведении ваших юристов.