EU AI Act действует: что нужно иметь предприятиям, развертывающим AI

Если ваш AI работает с пользователями в ЕС, EU AI Act применяется к вам независимо от вашего местоположения. Это предусматривает самые жесткие штрафы в технологическом регулировании: до €35М или 7% глобального оборота, что выше GDPR. Обязательства по GPAI действуют с августа 2025 года, обязательства по прозрачности - с августа 2026 года. Обязательства для высокорисковых систем Annex III отложены до декабря 2027 года согласно соглашению Digital Omnibus от мая 2026 года: это облегчение только по срокам, но не по требованиям.

Акт распространяется на любой AI, предлагаемый пользователям ЕС, независимо от вашего местоположения. Подготовка к conformity assessment с нуля может занять 6–12 месяцев, поэтому позиция "разберемся позже" уже не подходит перед следующим сроком.

Уровень риска определяет все

Акт классифицирует системы по рискам: запрещенные практики (запрещены с февраля 2025 года), высокорисковые системы (серьезный уровень compliance), системы с ограниченным риском, требующие раскрытия информации, и минимальный риск. Большинство корпоративных развертываний AI попадают в категорию прозрачности или высокого риска. Типичная ошибка - неправильно классифицировать высокорисковый сценарий как ограниченный, так как обязательства, от управления рисками до контроля человека до логирования, это не то, что можно добавить за неделю перед аудитом.

Что действительно требует подготовка

Готовность - это не политический документ. Это набор функциональных возможностей, спроектированных в систему; большинство из них точно совпадают с тем, что делает развертывание AI надежным с самого начала.

• Инвентарь и классификация рисков каждой системы AI, которую вы развертываете или встраиваете, актуализированные.
• Управление данными, логирование и отслеживаемость: тот же журнал аудита, который нужен хорошим агентам в любом случае.
• Контроль человека, спроектированный в систему, с задокументированной способностью вмешиваться и останавливать.
• Прозрачность: пользователям сообщается, когда они взаимодействуют с AI, и содержимое, созданное AI, раскрывается.

Позиция HOWF

Мы строим по более строгому стандарту по умолчанию, потому что средства контроля, которые требует AI Act (классификация, логирование, контроль человека, прозрачность), это те же средства, которые держат систему AI в production вместо инцидентного отчета. Если спроектировать их с первого коммита, compliance становится отчетом, который можно запустить, а не переделкой, которую нужно финансировать. Мы помогаем предприятиям развертывать AI, который одновременно приемлем для регулятора и для клиента.