Юридическая упаковка AI-платформы и ИИ-сервиса
Документы и compliance для AI-продукта: Terms с оговорками об ответственности за ИИ-выдачу, правовая база для данных обучения, обязанности прозрачности EU AI Act (действуют со 2 августа 2026) и обработка персональных данных по GDPR. Под ваш сервис — чат-бот, генеративную модель или ИИ-агента.
Что делаем для AI-сервиса
Комплект под ваш AI-продукт: документы для пользователей, правовая база для данных обучения и соответствие EU AI Act — чтобы сервис можно было легально запускать и масштабировать, в том числе на рынок ЕС.
Документы для AI-сервиса
Пользовательское соглашение с оговорками об ответственности за ИИ-выдачу, политика допустимого использования (AUP), дисклеймеры «не является профессиональным советом», Privacy Policy под обработку данных сервисом.
Обсудить →Полная упаковка под ключ
Аудит → Terms и Privacy → правовая база для данных обучения → классификация системы по EU AI Act → уведомления о прозрачности (ст. 50) → внедрение. Всё, чтобы запускаться легально.
Обсудить →Данные для обучения: правовая база
Оцениваем законность датасетов: правовое основание по GDPR для персональных данных, права и лицензии на контент, риски web-scraping. Оформляем основания и договоры на данные.
Обсудить →EU AI Act: классификация и прозрачность
Определяем риск-уровень вашей AI-системы (запрещённая / высокий риск / ограниченный / минимальный), готовим обязательные уведомления о прозрачности и дорожную карту соответствия.
Обсудить →Указана стоимость базового комплекта документов; объём полной упаковки, работы с данными и классификации зависит от продукта. Срок — обычно 1–2 недели. Точную смету даём после короткого брифа.
Не только сайт. То же делаем для мобильных приложений и SaaS с ИИ: дисклеймеры и согласия внутри приложения, требования App Store и Google Play к AI-функциям, раскрытие сторонних AI-API и SDK.
Что грозит по EU AI Act
Ответственность по ст. 99 AI Act — выше, чем по GDPR. Берётся большее из фиксированной суммы и процента от мирового годового оборота.
| Нарушение | Максимальный штраф | Что сюда попадает |
|---|---|---|
| Запрещённые практики (ст. 5) | €35 млн / 7% оборота | Манипулятивный ИИ, соц. скоринг, недопустимая биометрия |
| Нарушение прочих обязанностей | €15 млн / 3% оборота | Требования к высокому риску, прозрачность (ст. 50), обязанности GPAI |
| Недостоверные сведения регулятору | €7,5 млн / 1% оборота | Неверная или неполная информация надзорным органам |
Штраф — большее из суммы и процента мирового годового оборота; для стартапов и МСП применяется меньшая из величин. Отдельно за обработку данных возможны штрафы по GDPR (до €20 млн / 4%).
Риск-уровни по EU AI Act
От уровня риска зависит набор обязанностей. Первый шаг — правильно классифицировать вашу систему; ошибка здесь дороже всего.
Запрещённые
Манипулятивный ИИ, социальный скоринг, недопустимая биометрия. Запрещены с февраля 2025 — под них нельзя запускаться в принципе.
Высокий риск
Найм, кредитование, образование, критическая инфраструктура и др. (Annex III). Жёсткие требования; применяются с августа 2026.
Ограниченный (прозрачность)
Чат-боты, генеративный ИИ, дипфейки. Главная обязанность — прозрачность (ст. 50). Сюда попадает большинство SaaS-сервисов.
Минимальный
Большинство прочих AI-функций. Специальных обязанностей нет, но общие требования к данным (GDPR) сохраняются.
Прозрачность (ст. 50) — обязательна со 2 августа 2026
Если пользователь взаимодействует с ИИ — его нужно об этом уведомить (чат-боты, ассистенты). ИИ-сгенерированный контент, включая изображения и дипфейки, нужно маркировать как синтетический. Для систем распознавания эмоций и биометрии — отдельное информирование. Готовим корректные уведомления, дисклеймеры и формулировки в интерфейсе и Terms.
Законны ли ваши данные для обучения
Самый недооценённый риск AI-продукта. Данные обучения должны иметь правовое основание — иначе претензии и по GDPR, и по авторскому праву.
Персональные данные
Для обучения на ПДн нужно правовое основание по GDPR и информирование субъектов. Просто «нашли в интернете» — не основание.
Авторские права
Тексты, изображения, код в датасете защищены авторским правом. Нужны лицензии или законное исключение — иначе риск исков.
Web-scraping
Сбор данных с сайтов нарушает их условия и законы о данных. Оцениваем риски и выстраиваем законный источник данных.
Комплект для AI-сервиса
Документы для пользователей и внутренние документы/оценки — под ваш продукт и уровень риска.
Документы для пользователей
- Terms of Use с ответственностью за ИИ-выдачу
- Политика допустимого использования (AUP)
- Дисклеймеры и уведомления о прозрачности (ст. 50)
- Privacy Policy под обработку данных сервисом
- Согласия и информирование по обучению на данных
Внутренние документы и оценки
- Классификация системы по риск-уровню AI Act
- Правовая база и договоры на данные обучения
- Оценка воздействия (DPIA) — где нужна
- Процедуры человеческого контроля и реагирования
- Документы GPAI — если используете/строите базовую модель
Техническую сторону (оценка соответствия высокого риска, лог-система, кибербезопасность модели) при необходимости закрываем с профильными техническими специалистами.
Проекты по юридической упаковке
Реальные проекты в разных юрисдикциях и нишах — SaaS, интернет-магазины, приложения, EdTech, финансовые сервисы, НКО. Детали под NDA, клиентов не раскрываем.
Упаковка платформы бизнес-аналитики
Задача: B2B-платформа аналитики с пользователями из РФ и ЕС; документы устарели и не отражали реальную обработку данных и cookies.
Сделали: комплект 152-ФЗ + GDPR — политика, согласия, Privacy/Cookie, соглашение, cookie-баннер, уведомление РКН, внедрение с разработчиками.
Результат: обновлённая юр-инфраструктура сайта под реальные процессы, готовая к compliance-аудиту.
Комплекс документов для магазина косметики
Задача: магазин с онлайн-оплатой, доставкой по РФ и email-маркетингом; документы скачаны из интернета, не под процессы.
Сделали: политика ПДн, соглашение, публичная оферта, согласия (в т.ч. на рассылки), cookie-баннер, сверка с CRM/доставкой/кассой/платёжкой, уведомление РКН.
Результат: все пользовательские сценарии приведены в соответствие закону, документы отражают реальные процессы.
Подготовка мобильного приложения к публикации
Задача: приложение с регистрацией, push, аналитикой и сторонней авторизацией; нужно под требования сторов и фактическую обработку ПДн.
Сделали: Privacy Policy, соглашение, политика ПДн, согласия, описание SDK и сторонних сервисов, рекомендации по публикации.
Результат: комплект под функциональность приложения и требования App Store / Google Play.
Документы для образовательной онлайн-платформы
Задача: курсы с ЛК, вебинарами и тестами; регистрация физлиц и по корпоративным лицензиям; документы не учитывали разные сценарии.
Сделали: соглашение, политика конфиденциальности, политика ПДн, согласия, Cookie Policy, проверка форм, внедрение.
Результат: полный комплект под архитектуру сервиса и все категории пользователей.
Упаковка фитнес-платформы с подпиской
Задача: фитнес-платформа с помесячной подпиской (автосписание, free trial, отмена), оплата в USD, международная аудитория; документов не было.
Сделали: оферта, политика конфиденциальности, cookie-политика с баннером, условия подписки (автосписание, отмена, пробный период).
Результат: комплект под международного платёжного провайдера; клиент перешёл к реализации.
Регуляторные раскрытия сайта для AFSA-лицензиата
Задача: лицензиат AFSA хотел использовать бренд и сайт международной сети без юр-связи с лицензированным юрлицом — риск misleading перед регулятором.
Сделали: заключение по AFSA (Financial Promotions, COB), перечень обязательных раскрытий и готовые тексты для сайта, формат отдельной регуляторной страницы.
Результат: развели бренд сети и юрлицо без риска misrepresentation; заключение и тексты переданы клиенту.
Пакет по персональным данным для фонда
Задача: у фонда не было комплекта по ПДн (ни для сайта, ни ЛНА), при этом данные благополучателей, доноров и подопечных собираются через формы на сайте.
Сделали: полный комплект на одно юрлицо (14 документов): опись, политика, согласия (в т.ч. отдельным документом для веб-форм), внутренние ЛНА, документация по ИСПДн.
Результат: комплект передан; структура стала эталонной моделью для НКО и АНО.
Упаковка ПДн для гимназии с шестью системами
Задача: данные учеников, родителей и сотрудников в 6 независимых системах (CRM, кадры, бухгалтерия, LMS и др.); без пакета — высокий риск при проверке РКН.
Сделали: расширенный комплект из 45 документов на 6 ИСПДн — сайт, ЛНА, документация по каждой системе, договоры поручения, уведомление РКН.
Результат: комплект подготовлен; структура легла в основу методики расчёта объёма для учебных заведений.
Разборы по AI-праву
Полезные статьи, чтобы разобраться до обращения — по EU AI Act, данным и правам на ИИ-контент.
Частые вопросы
Нужно ли соблюдать EU AI Act, если мы не в ЕС?
Да, если ваша AI-система размещается на рынке ЕС или её результаты используются в ЕС — регламент действует экстерриториально, как и GDPR. Применение поэтапное: запрещённые практики — с февраля 2025, обязанности для GPAI — с августа 2025, обязанности прозрачности (ст. 50) и правила для большинства систем высокого риска — со 2 августа 2026.
Что такое обязанность прозрачности (ст. 50)?
Со 2 августа 2026 нужно уведомлять пользователя, что он взаимодействует с ИИ (чат-боты, ассистенты), маркировать ИИ-сгенерированный контент, включая изображения и дипфейки, как синтетический, и информировать при распознавании эмоций и биометрии. Готовим корректные уведомления, дисклеймеры и формулировки в интерфейсе и Terms.
Можно ли обучать модель на персональных данных или чужом контенте?
Для обучения на персональных данных нужно правовое основание по GDPR и информирование субъектов; для контента (тексты, изображения, код) — права или лицензии, иначе возникает риск исков по авторскому праву. Web-scraping несёт отдельные риски. Оцениваем законность датасетов и оформляем основания и договоры на данные.
Кто отвечает за ошибочную выдачу ИИ?
По умолчанию ответственность несёт поставщик сервиса. В Terms и политике допустимого использования мы прописываем оговорки об ответственности за ИИ-выдачу, дисклеймеры «не является профессиональным советом», ограничения использования и требование человеческого контроля. Полностью снять ответственность нельзя, но можно существенно ограничить риск.
Какие штрафы по EU AI Act?
До €35 млн или 7% мирового годового оборота — за запрещённые практики (ст. 5); до €15 млн или 3% — за нарушение прочих обязанностей (высокий риск, прозрачность, GPAI); до €7,5 млн или 1% — за недостоверные сведения регулятору. Берётся большее из суммы и процента (для МСП — меньшая величина). Отдельно за данные возможны штрафы по GDPR.
Упаковать AI-сервис?
Расскажите о продукте — классифицируем систему по EU AI Act, соберём документы и проверим данные для обучения. Ответим в мессенджере в течение дня.