EU AI Act в силе: чеклист для ИИ-функций, которые вы выпускаете
Правила вступили в силу 2 августа 2026. Европейская комиссия через AI Office и национальные органы теперь запрашивает документы, проверяет модели и штрафует запрещённые системы, а каждый чатбот, который говорит с человеком, обязан сказать, что перед ним машина. Высокорисковый раздел сдвинули с этого года: AI Omnibus перенёс его на 2 декабря 2027. Два срока идут одновременно, и вот пять модулей, которые я проверяю перед тем, как выпустить ИИ-функцию.
Даты напрямую из комиссии
| Дата | Что применяется |
|---|---|
| 2 февраля 2025 | Девять запрещённых практик, первые восемь действуют с этого дня |
| 2 августа 2026 | Прозрачность Article 50, полномочия AI Office, правила GPAI |
| 2 декабря 2026 | Машиночитаемая маркировка для генеративных систем уже на рынке; девятый запрет |
| 2 декабря 2027 | Обязанности high-risk для систем Annex III: найм, кредитный скоринг, проверка работ, биометрия |
| 2 августа 2028 | Обязанности high-risk для ИИ в продуктах, которые ЕС уже регулирует |
Что ваша функция должна показать сегодня
Article 50 описывает четыре ситуации и применяется независимо от того, отнесли ли вы систему к high-risk: ИИ, который разговаривает с людьми; синтетические аудио, изображения, видео и текст; распознавание эмоций или биометрическая категоризация; deepfake и ИИ-текст по вопросам общественного интереса. Если функция отвечает клиенту, она говорит, что она ИИ. Если она генерирует контент, вывод несёт машиночитаемую маркировку; у систем, вышедших на рынок до 2 августа 2026, на эту маркировку есть срок до 2 декабря 2026. 20 июля 2026 комиссия опубликовала руководство по этим обязанностям и первый список из 180 подписавших Code of Practice по прозрачности.
Цены публичны: до €35 млн или 7% мировой выручки за запрещённые практики, до €15 млн или 3% за нарушение прозрачности, каждый раз берётся большая величина.
Пять модулей, которые я проверяю перед выпуском
- Инвентарь ИИ. Каждая модель за функцией с указанием провайдера. Разворачиваете модель сами: обязанности deployer лежат на вас.
- Классификатор. Одна строка на систему: запрещено, прозрачность Article 50, high-risk по Annex III (найм, кредиты, проверка работ) или вне области. Каждая строка ссылается на статью или приложение.
- Список пробелов. Что каждая классификация должна сегодня, что должна с декабря 2027 и кто за что отвечает, в документе, который команда читает.
- Документация и логи. Техническая документация, оценка рисков, журналы действий. Мой запуск стоял три недели в 2024 году, потому что ни одна расшифровка не несла даты удаления; перестройка стала аудит-трейлом, который я описал в Почему вашему ИИ-агенту нужен комплаенс-слой.
- Непрерывный мониторинг. Регламент поправили в течение двух лет после вступления в силу, поэтому я перечитываю этот чеклист каждый квартал и слежу за дрейфом модели рядом.
Комплаенс — работа с интерфейсом
Половина Article 50 относится к тому, что видит человек: строка раскрытия, метка, человек, который одобряет исходящее сообщение. Аудит-трейл и состояние human oversight живут на экране, где оператор отвечает, кто одобрил сорок сообщений, без двухдневной реконструкции. Я строю эти состояния в продукте в Проектирую интерфейсы, которые действуют: гид по агентному UI, а вопросы аудитора о записях совпадают с теми, что поднимает регулируемая среда в Дизайн для Web3: где доверие встречается с регуляцией.
Сколько стоят платформы
Vanta и Drata в 2026 году стартуют примерно от $10 000 в год и растут вместе с дополнениями; аудит SOC 2 сверху обходится в $15 000–50 000. Обе собирают доказательства безопасности для опросников клиентов. Строка по Annex III, документ пробелов и ежеквартальное перечитывание остаются у вашей команды; ни одна подписка не отнесёт ваши функции к регламенту.
Чем я не занимаюсь
Я не юрист, и национальные органы ведут свою процедуру внутри этой рамки: считайте текст инженерным чеклистом, а не юридической консультацией. С чего я начинаю: перечислить все модели, с которыми говорит продукт, пометить, какие из них разговаривают с людьми, и написать строку раскрытия, которую показывает чатбот. Обязанности high-risk наступают 2 декабря 2027 года, и аудит-трейл, построенный пока дедлайн значится в календаре, стоит дешевле, чем собранный под допросом. Пришлите список вашего стека через страницу контактов, и я скажу, какие функции являются кандидатами по Annex III и что сломается первым под аудитом.