EU AI Act: что нужно знать основателю AI-стартапа
Практический разбор без юридического жаргона: кто попадает под закон, что делать прямо сейчас и где реальные риски для вашего продукта.
Честный ответ: большинству AI-стартапов EU AI Act не грозит катастрофой прямо сейчас. Но это не повод его игнорировать. Главный вопрос — понять, в какой вы категории, и принять одно точное решение: действовать сейчас или следить за развитием событий.
- Productivity и B2B SaaS-инструменты
- Контент-генераторы (не чатботы)
- Рекомендательные системы
- Спам-фильтры, поиск, сортировка
- Чатботы и голосовые ассистенты
- Генераторы изображений и видео
- Системы распознавания эмоций
- AI-созданный контент для масс
- HR-инструменты оценки кандидатов
- Кредитный скоринг и финансовый AI
- Медицинская диагностика
- Образовательный assessment
Даже если ваш продукт попадает в категорию минимального риска — понять логику EU AI Act полезно. Закон вводит принцип экстерриториальности, аналогичный GDPR: достаточно одного пользователя из ЕС. Подробнее об общем контексте регулирования — в нашем обзоре «AI Law 2025: как регулируют ИИ в ЕС, ОАЭ и мире».
EU AI Act работает по тому же принципу, что и GDPR: место регистрации компании не имеет значения. Важно, куда направлен ваш продукт и кто его использует.
Принцип экстерриториальности: Если хотя бы один из трёх критериев выполнен — EU AI Act распространяется на вас, даже если ваша компания зарегистрирована в ОАЭ, Сингапуре или США. Ровно как с GDPR: нет офиса в ЕС — не значит «нас не касается». Подробнее о разных юрисдикциях — в нашем материале «AI Law 2025».
3. Четыре категории риска: где ваш продукт
Системы, несовместимые с основными правами ЕС. Абсолютный запрет без исключений.
Системы с существенным влиянием на здоровье, безопасность или права людей. Требуют документации, тестирования и регистрации.
Системы, взаимодействующие с людьми напрямую. Пользователи должны знать, что общаются с AI.
Подавляющее большинство AI-продуктов. Никаких обязательных требований, только рекомендуемые лучшие практики.
Объём работы напрямую зависит от категории риска вашего продукта. Ниже — конкретные шаги для каждой из них.
- Провести классификацию AI-системы и задокументировать, почему она относится к высокому риску Основа для всего compliance — без этого шага остальные не работают
- Разработать и внедрить систему управления рисками (Risk Management System) согласно ст. 9 EU AI Act
- Подготовить техническую документацию и зарегистрировать систему в EU AI Database
- Реализовать механизм human oversight — человек должен иметь возможность остановить или скорректировать решение AI
- Назначить EU Authorized Representative, если компания не зарегистрирована в ЕС Аналог DPR при GDPR — физическое или юридическое лицо в ЕС
- Добавить явный disclosure: «Вы общаетесь с AI-ассистентом» — до начала взаимодействия, а не мелким шрифтом в футере
- Маркировать синтетический контент (deepfakes, AI-generated images и видео) — в соответствии с требованиями ст. 50
- Проверить, нет ли в вашем UX паттернов, которые могут трактоваться как манипуляция (hidden AI persona, emotional manipulation)
- Следить за обновлением классификации: перечень высокорисковых систем может расширяться — проверяйте раз в год, не сдвинулся ли ваш продукт Особенно актуально для EdTech, HR-tech и медицины
- Добавить AI-раздел в Privacy Policy и Terms of Service — это добровольно, но укрепляет доверие и снимает вопросы при due diligence инвесторов
5. Сроки вступления в силу
EU AI Act вступил в силу 1 августа 2024 года, но обязательства вводятся поэтапно. Вот ключевые даты, которые нужно держать в голове.
| Дата | Что вступает в силу | Кого касается | Статус |
|---|---|---|---|
| 1 авг 2024 | Регламент вступил в силу, начался отсчёт переходных периодов | Все | Уже действует |
| 2 фев 2025 | Запрет на AI-системы неприемлемого риска (Глава II, ст. 5) | Все | Уже действует |
| 2 авг 2025 | Обязательства для поставщиков GPAI-моделей (GPT-4, Claude, Gemini уровня) | GPAI providers | Скоро |
| 2 авг 2026 | Полное применение: высокорисковые системы (Annex III), ограниченный риск, governance структура | High-risk и limited-risk | 2026 |
| 2 авг 2027 | Высокорисковые AI в продуктах, регулируемых отраслевым ЕС-законодательством (Annex I) | Медтех, автомотив, авиация | 2027 |
Мы подробно разбираем, как эти сроки соотносятся с регулированием в ОАЭ и других юрисдикциях, в материале «AI Law 2025: как регулируют ИИ в ЕС, ОАЭ и мире».
Мы регулярно слышим эти аргументы от клиентов — и регулярно объясняем, почему они не работают. Вот четыре самых распространённых заблуждения.
«У нас нет офиса в ЕС — нас это не касается.»
EU AI Act работает по принципу экстерриториальности — ровно как GDPR. Если у вас есть пользователи из ЕС или вы активно предлагаете продукт на рынок ЕС — регламент применяется, вне зависимости от юрисдикции регистрации. Оффис в Дубае не защищает.
«Мы B2B — нам это не нужно.»
B2B не освобождает от требований. Если ваш клиент использует ваш AI-инструмент для принятия решений о людях — в HR, финансах, образовании — вы как provider несёте часть обязательств. Понятие «deployer» (ваш клиент) не снимает ответственность с вас.
«Compliance — это потом. Сначала — product-market fit.»
Для high-risk продуктов «потом» может означать запрет доступа на рынок ЕС или дорогостоящий ретрофит архитектуры. Техническую документацию и risk assessment дешевле встраивать в процесс с нуля. Кроме того, инвесторы всё чаще задают вопросы об AI governance на due diligence. Подробнее — в нашем обзоре «Что такое управление ИИ в компании».
«Мы используем GPT / Claude — OpenAI и Anthropic отвечают за compliance.»
EU AI Act разграничивает ответственность между provider (тот, кто создаёт или разворачивает систему) и deployer (тот, кто использует в конкретном контексте). Если вы строите продукт поверх API — вы provider, и часть обязательств лежит именно на вас. OpenAI или Anthropic несут ответственность за свою GPAI-модель, но не за то, как вы её применяете.
Классифицируем ваш продукт по EU AI Act, выявляем compliance-гэпы и даём конкретный план действий — без размытых рекомендаций.
Техническая документация, оценка рисков, регистрация в EU AI Database — всё необходимое для high-risk систем под ключ.
Строим внутренние политики и процессы для долгосрочного compliance. Подробнее — об AI Governance на нашем сайте.
Важно: Для high-risk систем некоторые обязательства EU AI Act вступают в силу уже в августе 2026 года. Чем раньше начать подготовку — тем меньше придётся переделывать позже. О правах на AI-контент и IP-вопросах при разработке — в материале «Права на контент, созданный AI».
Расскажите, что делает ваш продукт — мы скажем, какая категория риска применима и что нужно сделать. Без давления и без лишних слов.
Нет срочного вопроса — можно начать с изучения нашего раздела об AI-регулировании. Мы собрали там всё, что нужно знать основателю.