Закон про ШІ та GDPR щодо автоматизації з використанням ШІ в ЄС: що застосовується у таких випадках

Компанії в ЄС, які автоматизують роботу за допомогою ШІ, мають справу одночасно з двома наборами правил: GDPR, який діє з травня 2018 року та стосується персональних даних незалежно від того, задіяне ШІ чи ні, та Закон про ШІ, Регламент (ЄС) 2024/1689, який поступово вводиться в дію. Це узагальнення інженера щодо того, що ми проектуємо під час створення систем автоматизації на основі ШІ. Це не юридична консультація; щодо вашої конкретної ситуації зверніться до юриста чи спеціаліста з захисту даних.

Графік впровадження Закону про ШІ станом на листопад 2026 року

Закон про ШІ набув чинності 1 серпня 2024 року та діє поетапно. У липні 2026 року його було змінено за допомогою Регламенту (ЄС) 2026/1744, який змінив терміни для систем високого ризику. Текуща ситуація:

Дата та деталі можуть знову змінитися внаслідок подальших поправок та рекомендацій, тому перевіряйте офіційні джерела перед тим, як покладатися на них.

Де застосовується типова автоматизація бізнесу

Закон про ШІ класифікує системи за призначенням, а не за технологією. Більшість завдань автоматизації внутрішніх процесів, таких як збір даних з рахунків-фактур, перевірка сертифікатів постачальників за списком вимог чи узагальнення умов контрактів для внутрішнього перегляду, не належать до категорій високого ризику. Завдання з високим ризиком перелічені у Додатку III та включають такі сфери, як найм та управління працівниками, оцінка кредитоспроможності осіб, доступ до життєво важливих послуг, освіта та критична інфраструктура.

Цей момент варто перевірити якомога раніше. Інструмент, який ранжує кандидатів на роботу чи вирішує, хто отримає кредит, — це зовсім інший проект, ніж той, що аналізує накладні, навіть якщо код виглядає схожим.

Навіть поза зонами високого ризику діють певні обов’язки: від компаній очікується підтримка рівня обізнаності співробітників щодо ШІ серед тих, хто використовує ці системи, людей слід інформувати, коли вони спілкуються з чат-ботом, а певний генерований контент має бути позначений як такий.

Що вже вимагає GDPR

Для більшості сценаріїв автоматизації документів GDPR є основною щоденною проблемою, оскільки контракти, рахунки-фактури та кадрові документи містять персональні дані. Основні принципи, на яких ми будуємо наші рішення:

• Законна основа та мета. Дані, зібрані для однієї мети, не можна просто використовувати знову для навчання чи нового аналізу.
• Мінімізація даних. Обробляйте лише ті поля, які потрібні для виконання завдання; маскуйте чи видаляйте решту перед тим, як вони потраплять до моделі.

Обробники та передачі даних. Кожна зовнішня служба, яка має доступ до персональних даних, включаючи API хмарних сервісів, є обробником даних, який потребує договору про обробку даних, а передача даних за межі ЕЕЗ вимагає наявності відповідного механізму.

Автоматизовані рішення. Стаття 22 обмежує рішення, які ґрунтуються виключно на автоматизованій обробці та мають юридичні або подібно значущі наслідки для особи. Зазвичай використовується рішення, за яким справу реально переглядає людина, яка має повноваження змінити результат.

Оцінка впливу. Обробка даних, яка може призвести до високого ризику для осіб, потребує оцінки впливу на захист даних перед її початком.

Зберігання та доступ. Необроблені файли, вилучені дані та журнали потребують визначених термінів зберігання та доступу відповідно до ролей.

Вибір рішень, які полегшують дотримання вимог

Більшість вимог цих правил також є принципами хорошої інженерії:

• вести журнал дій системи, зазначаючи версію моделі та особу, яка схвалила результат;
• залучати людину до прийняття рішень щодо користувачів та забезпечувати справжній огляд з можливістю перегляду оригінального документа;
• запускати моделі на інфраструктурі, якою ви керуєте, коли дані є конфіденційними (див. локальний ШІ для конфіденційних документів);
• підтримувати набір тестових даних та вимірювати точність до та після кожної зміни (див. оцінки та людський огляд);
• записувати, для чого призначена система та в яких цілях її заборонено використовувати.

Офіційні джерела

• Закон про ШІ: Регламент (ЄС) 2024/1689 на EUR-Lex
• Цифровий омнібус про ШІ: Регламент (ЄС) 2026/1744 на EUR-Lex
• GDPR: Регламент (ЄС) 2016/679 на EUR-Lex
• Сторінки Закону про ШІ Європейської комісії та рекомендації вашого національного органу з захисту даних

Ми створюємо системи автоматизації на основі ШІ з журналізацією подій, людським переглядом та мінімізацією даних ще з першого прототипу. Дивіться демонстрацію переходу від демо-версії до продакшну та агентів ШІ для перегляду документів. Юридична оцінка вашого конкретного випадку залишається у ваших юристів.