Закон ЄС про ШІ: регуляторні рамки для гравців з України

1 серпня 2024 року набув чинності Закон ЄС про ШІ, яким вперше на глобальному рівні встановлені комплексні регуляторні рамки щодо ШІ. Закон охоплює питання введення в обіг, експлуатацію та використання систем ШІ, а також введення в обіг моделей ШІ.

Такі рамки не обмежуються ЄС, а діють транскордонно, зокрема для гравців української ІТ галузі, українських розробників моделей чи систем ШІ та розгортувачів таких систем. Для цього мають існувати наступні умови:
- такі розробники постачають свої моделі чи системи ШІ до ЄС
- в ЄС використовуються результати роботи, які згенеровані системами ШІ таких розробників або системами ШІ, що використовуються такими розгортувачами

Ключові поняття Закону

Ключовим поняттям Закону є Система ШІ — це (1) машинна система, з (2) різними рівнями автономності, яка (3) може адаптуватися та яка (4) для явно або неявно заданих цілей робить висновки на основі вхідних даних щодо того, як генерувати результати, такі як прогнози, контент, рекомендації, або рішення, які (5) можуть впливати на фізичне або віртуальне середовище.

Такі характеристики відрізняють системи ШІ від простіших традиційних програмних систем, які основані виключно на визначених людиною правилах для автоматичного виконання операцій.

Необхідним компонентом системи ШІ є модель ШІ. Хоч у Законі таке поняття і не визначено, однак, з його положень слідує, що всі вищевказані характеристики системи ШІ, окрім впливу через згенеровані результати на фізичне або віртуальне середовище, характерні й для моделі ШІ.

Залежно від рівня та характеру ризиків, які створюють моделі та системи ШІ, серед них виділені окремі категорії, для яких встановлені різні за типом і змістом правила, а саме:
- моделі ШІ загального призначення, зокрема із системним ризиком
- заборонені системи ШІ
- системи ШІ високого ризику
- системи ШІ для взаємодії з фізичними особами та створення контенту, а також систем з обробки біометричних даних

Ключові положення та дати запровадження Закону

Моделями ШІ загального призначення є моделі, що демонструють значну універсальність та здатність компетентно виконувати широкий спектр різних завдань та можуть бути інтегровані у різноманітні наступні системи та застосунки. Положення Закону щодо таких моделей почали діяти з 2 серпня 2025 року.

Підписуйтеся на наші соцмережі

Вважається що до таких моделей відносяться:
- моделі принаймні з мільярдом параметрів, які навчені на великих масивах даних, за допомогою такого методу як самонавчання у великих масштабах
- моделі з обсягом обчислень для їх навчання, виміряним у ФЛОП (операції з плаваючою комою) >10²³, модальності (типи вхідних/вихідних даних) яких включають: текст у текст, або аудіо в аудіо, або текст у зображення, чи текст у відео

На їхніх постачальників поширюються зобов’язання щодо прозорості моделей — розробити та підтримувати в актуальному стані інформацію та технічну документацію щодо моделі для надання її розробникам систем ШІ, які інтегрують такі моделі, а також Офісу ШІ (ключова структура ЄС із застосування Закону) та національним компетентним органам.

Також на них поширюються зобов’язання, спрямовані на захист прав інтелектуальної власності – запровадити політику щодо дотримання законодавства ЄС з питань авторського права і суміжних прав, а також підготувати та оприлюднити резюме щодо контенту, використаного під час навчання моделі.

Створені поза межами ЄС постачальники до виведення своїх моделей на ринок ЄС мають призначити створеного у ЄС представника. 

Серед моделей ШІ загального призначення окремо виділяються моделі ШІ загального призначення із системним ризиком. Вважається, що модель ШІ має можливості високого впливу, якщо обсяг обчислень для їхнього навчання, виміряний у ФЛОП > 10²⁵.

Для постачальників таких моделей встановлені додаткові зобов’язання, зокрема:
- проводити оцінку моделі, зокрема тестування на вразливості
- оцінювати та пом’якшувати можливі системні ризики, наприклад, запроваджувати політики управління ризиками та пост-маркетинговий моніторинг

Для демонстрації відповідності зобов’язанням передбаченим Законом постачальники моделей ШІ загального призначення можуть покладатися на Кодекс практики, розробку якого завершено 10 липня 2025 року. Постачальники, які не слідують Кодексу практики, для демонстрації відповідності, мають використовувати для цього альтернативні належні засоби, які має оцінити Європейська комісія.

Наразі діє перехідний період для запровадження положень Закону щодо моделей ШІ загального призначення.

Так, починаючи з 2 серпня 2025 року, постачальники, які вводять в обіг моделі ШІ загального призначення, хоч і мають дотримуватися встановлених Законом зобов’язань, однак протягом першого року, Європейська комісія/Офіс ШІ не зможуть вживати до них заходи правозастосування. Діяльність Офісу ШІ у цей період буде спрямована на співпрацю з такими постачальниками у пошуку шляхів для їхньої повної відповідності, а не на застосування санкцій. Основною умовою для такого підходу буде добросовісність постачальників у досягненні відповідності таким зобов’язанням, наприклад, підписання Кодексу практики та докладання сумлінних зусиль для його дотримання.

Щодо постачальників, які ввели в обіг моделі ШІ загального призначення до 2 серпня 2025 року, встановлено додатковий період, протягом якого вони мають вчинити необхідні кроки для відповідності таким зобов’язанням — до 2 серпня 2027 року.

Важливо, що встановлені у Законі зобов’язання постачальників моделей ШІ загального призначення актуальні, не лише для постачальників початкової моделі, а й за відповідних умов до її модифікаторів та постачальників систем ШІ, які інтегрують таку модель.

Також, починаючи з 2 лютого 2025 року вже діють положення щодо заборонених систем ШІ, наприклад тих, що маніпулюють людською поведінкою, оцінюють або класифікують фізичних осіб на основі їхньої соціальної поведінки чи особистих характеристик. Такі заборони стосуються як самих систем ШІ, так і використання в ЄС результатів їхньої роботи. Тому розробники та розгортувачі таких систем ШІ, мають перевірити чи не входять їхні системи до переліку заборонених.

Положення щодо систем ШІ високого ризику почнуть діяти пізніше. Зокрема до автономних систем ШІ (систем вказаних в одній із високоризикованих сфер використання, наприклад у сфері біометрії), починаючи з 2 серпня 2026 року.

Постачальникам таких систем потрібно забезпечити їхню відповідність вимогам Закону та провести оцінку такої відповідності до введення в обіг чи експлуатацію, а постачальникам створеним поза межами ЄС — призначити створеного у ЄС представника.

Положення щодо систем ШІ високого ризику, які є компонентами безпеки продукції або самі є продукцією, на яку поширюється відповідне гармонізоване законодавство ЄС, наприклад компонентами машинного обладнання, медичних приладів, починають діяти з 2 серпня 2027 року.

Залежно від обставин, вимоги Закону можуть застосовуватись безпосередньо до такої продукції, або опосередковано — за допомоги актів та заходів, які передбачені законодавством щодо такої продукції, яким інтегруються такі вимоги.

Положення щодо систем ШІ для взаємодії з фізичними особами та створення контенту, а також систем з обробки біометричних даних, якими встановлені зобов’язання щодо прозорості для постачальників та розгортувачів таких систем почнуть діяти з 2 серпня 2026 року.

Детальніше про ці та інші транскордонні аспекти Закону можна знайти в огляді від юристів Asters.