AI Act набрав чинності поетапно: заборони неприпустимих практик діють із лютого 2025 року, а обов’язки для моделей загального призначення (GPAI) — із серпня 2025 року. З 2 серпня 2026 року додається наступний рівень, який стосується більшості компаній: прозорість для чат-ботів (ст. 50) та більшість обов’язків для систем високого ризику з Додатка III (профілювання, скоринг, рішення щодо людей — це випадки, які ми розглядаємо нижче). Шлях для продуктів, охоплених гармонізаційним правом ЄС (Додаток I, наприклад AI у медичних виробах), зобов’язує лише з 2 серпня 2027 року. Для більшості компаній це не привід для паніки, а привід навести лад — бо відповідність, додана постфактум, коштує в рази дорожче, ніж спроектована з нуля.
Два режими, які потрібно опанувати одночасно#
GDPR та AI Act — це різні режими, які частково перетинаються:
- GDPR контролює, як ви обробляєте персональні дані — правова основа, мінімізація даних, права осіб (доступ, видалення), а при ризикованій обробці — оцінка впливу (DPIA).
- AI Act контролює, якою системою AI є ваше рішення — класифікує її за рівнем ризику та додає обов’язки: технічну документацію, людський нагляд, журнали, оцінку відповідності.
В Україні нагляд за обробкою даних через AI здійснює Уповноважений із захисту даних, а частину завдань AI Act — нова комісія при Міністерстві цифрової трансформації. На практиці: одне впровадження має відповідати обом наборам вимог, а не обирати один.
Класифікація ризику: де ви знаходитесь?#
AI Act поділяє системи за рівнем ризику. Для більшості компаній важливі два рівні:
| Рівень ризику | Приклад | Ключовий обов’язок |
|---|---|---|
| Обмежений | Чат-бот «чим можу допомогти?», генератор контенту | Прозорість — користувач знає, що це AI |
| Високий | Профілювання клієнтів, скоринг, рішення щодо людей | Людський нагляд, документація, журнали, часто DPIA |
Межа практична: чат-бот, який лише відповідає на запитання, зазвичай має обмежений ризик. Той самий чат-бот, коли починає профілювати, оцінювати настрої або ухвалювати рішення щодо клієнта, переходить у категорію високого ризику та тягне за собою значно більше обов’язків — зокрема оцінку впливу (DPIA).
Для повноти: AI Act має чотири рівні — неприпустимий (заборонені практики, наприклад social scoring) та мінімальний (звичайне програмне забезпечення, без додаткових обов’язків) — це крайнощі, у які більшість бізнес-впроваджень не потрапляє; тому ми зосереджуємося на обмеженому та високому ризику (повна картина — на діаграмі вище).
Чотири речі, які робимо завжди#
Незалежно від рівня ризику, ці чотири елементи проектуємо в кожному впровадженні:
- Прозорість — асистент чітко представляється як AI та вміє в будь-який момент передати розмову людині (human-handoff). Це мінімум AI Act для систем обмеженого ризику.
- Людський нагляд — незворотні дії та важливі рішення щодо людини проходять через підтвердження (human-gate). Система не працює «взагалі» автономно — вона автономна в вузькому, визначеному діапазоні.
- Слід та підзвітність — кожен важливий крок логується, тому можна показати, що і чому зробила система. Без логів немає підзвітності, якої вимагають і GDPR, і AI Act.
- Мінімізація та локалізація даних — PII маскуємо перед відправкою в хмару, а чутливі шляхи обробляємо локально. Чутливі дані можуть не залишати країну.
«Чи має бот представлятися?» — так#
Це питання виникає найчастіше, а відповідь проста: так. Системи обмеженого ризику (чат-боти, асистенти, генератори контенту) мають відповідати вимозі прозорості — користувач має знати, що спілкується з AI або використовує згенерований нею контент. Тому наші асистенти не вдають людей: представляються як AI та пропонують переключення на людину. Це не обмежує цінність — це будує довіру.
Коли потрібен DPIA#
Оцінка впливу на захист даних (DPIA) потрібна, коли обробка може спричинити високий ризик для прав осіб — зазвичай при профілюванні у великих масштабах, обробці чутливих даних або автоматичних рішеннях щодо людей. На практиці: якщо ваша система лише відповідає на запитання з вашої бази знань, DPIA зазвичай не потрібна; якщо оцінює, профілює або ухвалює рішення — ймовірно, так. Це момент для розмови з юристом, а не для вгадування.
Відповідність — це проект, а не латка#
Найважливіше правило те саме, що й у безпеці: бар’єри та відповідність проектуються з першого рядка. Вхід фільтрується, PII маскується, дії обмежуються, кожен крок логується, прозорість вбудована. Система, спроектована так, відповідає «за природою» — а не латається в паніці перед перевіркою. Той самий підхід, який робить впровадження відповідним до GDPR при self-hosting.
Спробуй наживо#
Опиши свій випадок використання, а модель допоможе попередньо оцінити рівень ризику та обов’язки — як відправну точку для розмови з юристом, а не замість неї (playground: PII маскується, нульова ретенція):
FAQ#
Чи має мій чат-бот повідомляти, що це бот?#
Так. З серпня 2026 року AI Act вимагає прозорості для систем обмеженого ризику — користувач має знати, що спілкується з AI, а не з людиною. Наші асистенти представляються як AI та вміють передати розмову людині в будь-який момент.
Чим відрізняється AI Act від GDPR?#
Це різні режими. GDPR регулює обробку персональних даних (правова основа, права осіб, DPIA). AI Act регулює саму систему AI — класифікує її за рівнем ризику та додає технічну документацію, людський нагляд та журнали. Одне впровадження має відповідати обом, а не обирати один.
Коли потрібен DPIA при впровадженні AI?#
Коли обробка може спричинити високий ризик для прав осіб — зазвичай при профілюванні у великих масштабах, чутливих даних або автоматичних рішеннях щодо людей. Асистент, який лише відповідає на запитання з вашої бази знань, зазвичай не вимагає DPIA; система, яка профілює або ухвалює рішення — ймовірно, так.
Ми будуємо на моделі OpenAI/Claude — чи змінює це наші обов’язки?#
Постачальник моделі загального призначення (GPAI) несе власні обов’язки AI Act на своєму боці (документація моделі, навчальні дані, прозорість). Але ви залишаєтеся суб’єктом впровадження (deployer): ви відповідаєте за прозорість перед користувачем та за класифікацію ризику вашого конкретного застосування. Інакше кажучи: вибір постачальника не перекладає на нього ваших обов’язків із впровадження.
Чи мають дані, оброблені AI, залишатися в Україні?#
Не обов’язково, але можуть — і часто повинні. Маскуємо PII перед відправкою в хмару, а чутливі шляхи обробляємо локально на власній інфраструктурі, тому чутливі дані можуть не залишати країну. Локалізацію обробки підбираємо під ваші вимоги GDPR та конфіденційності.
Це юридична порада?#
Ні. Це практичний посібник, як ми проектуємо технічну відповідність. Класифікацію ризику, DPIA та формальні обов’язки завжди підтверджуйте з юристом — ми проектуємо систему так, щоб цю відповідність можна було продемонструвати.