EU AI Act — это не декларация о намерениях. В 2026 году регулирование применяется в полном объёме: запрещённые практики под запретом, обязательства для GPAI-моделей действуют, а для систем высокого риска наступает финальный дедлайн. Штрафы — до €35 млн или 7% мирового оборота.
Для IT и AI-компаний, работающих на EU-рынке, 2026 год — это уже не «период подготовки», а период проверок и ответственности. Тем, кто ещё не начал приводить системы в соответствие, времени осталось критически мало.
Запрет на социальный скоринг граждан, манипулятивные AI-системы, биометрическую классификацию по чувствительным признакам, real-time remote biometric identification в публичных местах. Нарушители уже могут получить штраф.
Обязательства для провайдеров больших языковых и мультимодальных моделей (GPT-класс, Gemini, Claude, Llama и аналоги). Transparency requirements, документация, уведомление downstream-провайдеров. Для моделей с «системным риском» — дополнительный аудит.
Системы высокого риска в сферах здравоохранения, образования, занятости, критической инфраструктуры, правосудия обязаны соответствовать полному пакету требований: технической документации, оценке рисков, human oversight, регистрации в EU-базе.
Обязательства прозрачности для чат-ботов и deepfake-систем действуют без переходного периода. Minimal risk систем обязательных требований нет, но отраслевые кодексы поведения уже действуют.
AI Act применяется к любой компании, которая разрабатывает, развёртывает или использует AI-системы на территории ЕС или в отношении лиц в ЕС. Принцип тот же, что у GDPR: место регистрации компании не имеет значения.
Компания, которая создаёт AI-систему — собственную или для третьих лиц — и выводит её на рынок ЕС или в эксплуатацию.
- SaaS-компании с AI-функциями для EU-клиентов
- Стартапы, встраивающие AI в продукт
- Компании, дообучающие open-source модели
Компания, которая использует AI-систему провайдера в своих бизнес-процессах на территории ЕС.
- HR-системы с AI-скринингом резюме
- Медицинские платформы с AI-диагностикой
- Банки с AI-скорингом кредитных заявок
Компании, разрабатывающие большие базовые модели общего назначения (LLM, мультимодальные модели) с доступом для EU-пользователей.
- OpenAI, Anthropic, Google, Meta — все под AI Act
- Европейские и не-европейские компании без исключений
- Open-source модели — частичные исключения
Ваша AI-система доступна пользователям в ЕС — неважно, где расположены серверы и где зарегистрирована компания. Достаточно того, что EU-резидент может взаимодействовать с вашим продуктом. Компания из СНГ с EU-клиентами — в периметре AI Act.
Регуляторы стран ЕС (national competent authorities) уполномочены проверять иностранные компании. Для внеевропейских провайдеров обязательно назначить EU-представителя (authorized representative) — аналогично GDPR Art. 27.
AI Act классифицирует все AI-системы по четырём уровням риска. От уровня зависит объём ваших обязательств — от нулевых до полного запрета. Первый шаг для любой компании — определить, в какую категорию попадает ваш продукт.
Системы, несовместимые с европейскими ценностями и правами человека. Запрет действует с февраля 2025 года. Никаких переходных периодов нет.
Системы, влияющие на ключевые решения в жизни людей. Обязателен: технический файл, оценка соответствия, регистрация в EU-базе, human oversight, логирование, transparency для пользователей. Дедлайн августа 2026 — финальный срок для всех High Risk систем.
Системы, которые взаимодействуют с людьми. Основное требование: раскрытие факта взаимодействия с AI. Пользователь должен знать, что общается с AI, а не с человеком. Для deepfake-контента — маркировка обязательна.
Большинство коммерческих AI-приложений: рекомендательные системы, AI в играх, спам-фильтры, инструменты оптимизации контента. Обязательных требований нет, но действуют добровольные кодексы поведения. Для GPAI open-source моделей — частичные исключения из более строгих категорий.
Конкретный список действий — от немедленных до тех, на которые есть несколько месяцев. Начните с аудита: без понимания категории риска вашей системы остальные шаги не имеют смысла.
Составьте реестр AI-систем в компании. Для каждой — определите категорию: prohibited / high-risk / limited / minimal. Без этого невозможно понять объём обязательств. Это отправная точка всего AI Act compliance.
🔴 СрочноЕсли в вашем продукте есть функции, попадающие под запрет (социальный скоринг, манипулятивные механики, real-time биометрия в публичных местах) — их нужно было убрать ещё до февраля 2025. Если не убрали — это действующее нарушение.
🔴 Уже нарушение, если не сделаноОбязательная техническая документация включает: описание системы и её назначения, данные для обучения и тестирования, метрики точности и ограничения, меры human oversight, план мониторинга после вывода на рынок. Дедлайн — август 2026.
⏳ Дедлайн: август 2026Для большинства High Risk систем оценка соответствия проводится самостоятельно (self-assessment), для некоторых (биометрия, критическая инфраструктура) — обязателен нотифицированный орган. После — регистрация в EU Database of AI Systems.
⏳ Дедлайн: август 2026Любой чат-бот, AI-генератор текста или изображений обязан явно информировать пользователя о том, что он взаимодействует с AI. Deepfake-контент должен быть размечен. Это требование действует уже сейчас.
✅ Должно быть сделано ужеЕсли компания находится за пределами ЕС, но AI-система доступна EU-пользователям — обязательно назначить authorized representative в ЕС. Это юридическое лицо или физическое лицо, через которое коммуницируют с регулятором.
⏳ Необходимо до начала активности в ЕСEU AI Act — не абстрактное регулирование будущего. В 2026 году это действующий закон с работающими санкциями. Чем позже начинаете, тем дороже обходится приведение в соответствие.
С февраля 2025 запрещённые практики под запретом. Если у вас есть функции социального скоринга или манипулятивного AI — это действующее нарушение, не будущий риск.
Системы в HR, медицине, образовании, финансах должны пройти оценку соответствия и быть зарегистрированы в EU Database. Технический файл — обязателен.
Регистрация за пределами ЕС не освобождает. EU-пользователи = EU-юрисдикция. Необходим authorized representative в ЕС — как при GDPR.