Що змінилося для AI compliance у 2026 році

Що AI Omnibus насправді змінив – і що залишив без змін

Головна зміна AI Omnibus – нові строки для high-risk AI. Для high-risk систем у визначених сферах, зокрема у рекрутингу, кредитуванні, біометрії або критичній інфраструктурі, відповідні вимоги почнуть застосовуватися з 2 грудня 2027 року. Для high-risk AI у регульованих продуктах – з 2 серпня 2028 року.

Але це не означає, що до цих дат AI Act можна не враховувати. Інші вимоги AI Act уже застосовуються.

• Прозорість. З 2 серпня 2026 року діють вимоги Article 50. Залежно від того, як використовується AI, користувачів потрібно інформувати про взаємодію з AI або про контент, створений чи змінений за допомогою AI. Для окремих генеративних AI-систем, які вже були на ринку до цієї дати, передбачений перехідний строк до 2 грудня 2026 року.
• GPAI-моделі. Правила для провайдерів general-purpose AI models діють з 2 серпня 2025 року, а з 2 серпня 2026 року Комісія може контролювати їх виконання та застосовувати передбачені AI Act заходи. Для моделей, які були на ринку до 2 серпня 2025 року, діє перехідний строк до 2 серпня 2027 року.
• AI literacy. Вимоги щодо AI literacy також продовжують застосовуватися. Провайдери та deployers мають вживати заходів для підтримки належного рівня знань і навичок осіб, які працюють з AI-системами, з урахуванням їхнього досвіду, технічних знань та контексту використання AI. Після Omnibus ця вимога стала гнучкішою та тепер компанія не повинна гарантувати конкретний рівень AI literacy кожного окремого працівника.
• Заборонені практики. Основні заборони AI Act діють з 2 лютого 2025 року. AI Omnibus додав нові заборони, пов’язані зі створенням або маніпулюванням за допомогою AI реалістичними інтимними зображеннями, відео чи аудіо людини без її згоди, а також матеріалами сексуального насильства над дітьми. Нові заборони почнуть діяти з 2 грудня 2026 року.

Перенесення строків AI Act також не впливає на інші правові режими. Якщо AI обробляє персональні дані, працює з контентом, використовується щодо працівників або взаємодіє зі споживачами, паралельно можуть застосовуватися GDPR, IP, трудове та споживче законодавство.

Паралельно Комісія поступово деталізує, як ці правила застосовувати на практиці. Фінальні Guidelines щодо transparency obligations за Article 50 вже опубліковані, а Guidelines щодо класифікації high-risk систем станом на серпень 2026 року залишаються у draft.

Тобто AI Omnibus дав бізнесу більше часу на підготовку до high-risk режиму. Але він не створив періоду, коли AI compliance можна просто поставити на паузу.

¹ Regulation (EU) 2026/1744, підписаний 8 липня 2026, опублікований 24 липня, набрав чинності 27 липня 2026:  https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng

² Commission Guidelines on Article 50, опубліковані 20 липня 2026:  https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems

З чого починається AI compliance: зрозуміти, де компанія використовує AI

Найпоширеніша ситуація, яку ми бачимо на практиці: компанія знає, що її працівники використовують ChatGPT, Claude або інші AI-інструменти, але не має повної картини, де саме вони застосовуються, для яких задач і з якими даними.

AI зараз вбудований у набагато більше місць, ніж здається. CRM із функцією предиктивного скорингу. HR-платформа, яка ранжує кандидатів. Маркетинговий інструмент, що генерує A/B-тести. Сервіс транскрибування зустрічей, куди потрапляють переговори з клієнтами. Власний SaaS-продукт, що інтегрує GPAI через API. Усе це може включати AI-функціональність, і до кожного такого інструменту потрібно ставити питання.

Сценарій 1. Працівники використовують generative AI для щоденних задач

Команда завантажує в ChatGPT або інший генеративний AI договори для аналізу, резюме кандидатів, клієнтські брифи. Питання, які треба поставити до того, як заборонити або дозволити: які дані туди йдуть? Чи є серед них персональні дані або конфіденційна інформація клієнтів? Які умови постачальника щодо навчання моделі на вхідних даних? Хто перевіряє вихід AI перед використанням? Без відповідей на них будь-яка AI-політика залишається декларацією.

Мінімальний набір інформації для кожного AI-інструменту: інструмент і постачальник; мета використання; хто в компанії його використовує; які дані туди передаються; як результат застосовується в роботі. Це не бюрократична вимога – це те, що дозволяє відповісти на будь-яке питання: юридичного відділу, аудиторів, регулятора або замовника, який запитає про вашу AI-практику в рамках due diligence.

AI inventory / register – практичний інструмент governance, а не обов’язковий документ для всіх компаній без винятку. Але відсутність навіть базового розуміння, де використовується AI, – це вже ризик, незалежно від того, чи є компанія provider або deployer.

Класифікація: high-risk – лише початок юридичного аналізу

Перша помилка у підході до AI compliance – зводити аналіз до одного питання: «це high-risk чи ні?». Відповідь «ні» не означає відсутності зобов’язань.

Повний аналіз конкретної AI-системи включає кілька питань поспіль. Що саме перед нами – AI system, GPAI model або система, побудована на GPAI? Яка роль або ролі компанії за AI Act: provider, deployer, а у відповідних випадках – downstream provider? Яким є intended purpose і чи поширюється AI Act територіально? Чи застосовуються вимоги Article 50 щодо прозорості? І тільки після цього – чи потенційно застосовується high-risk режим.

Паралельно до AI Act можуть застосовуватися інші правові режими. GDPR – якщо система обробляє персональні дані. Авторське право і IP – якщо використовується чужий контент або генерується новий. Трудове право та заборона дискримінації – якщо AI задіяний в HR. Споживче право – якщо система взаємодіє з кінцевим споживачем. Кібербезпека – залежно від сектора і типу даних.

Сценарій 2. Customer-facing chatbot або SaaS із GPAI через API

Компанія запускає чат-бот для обслуговування клієнтів або інтегрує сторонню GPAI-модель у свій SaaS. З 2 серпня 2026 Article 50 застосовується. Якщо компанія є провайдером системи для прямої взаємодії з людьми, користувача треба поінформувати про взаємодію з AI, крім випадків, коли це є очевидним для достатньо поінформованої, уважної та обачної особи. Водночас виникають питання про роль компанії, які дані клієнтів передаються в модель і на яких умовах, що написано в умовах постачальника щодо навчання на вхідних даних. Кожне з цих питань вимагає відповіді ще до запуску.

Сценарій 3. AI у рекрутингу або управлінні персоналом

Компанія використовує AI для первинного відбору резюме, оцінки кандидатів або продуктивності працівників. Такі сценарії належать до тих, які AI Act потенційно відносить до high-risk. Але не кожен HR-інструмент із AI автоматично є high-risk – значення має те, для чого саме система призначена і як вона впливає на рішення щодо кандидата або працівника. Окремо потрібно враховувати трудове та антидискримінаційне законодавство, яке застосовується незалежно від класифікації системи за AI Act.

Як виглядає AI governance всередині компанії

AI compliance – це не папка з документами. Це відповідь на питання: хто приймає рішення про те, який AI використовується, як і ким?

У більшості компаній такого рішення немає. Є окремі люди, які самостійно підключають нові інструменти, завантажують туди робочі матеріали і генерують результати без жодної перевірки. Це «shadow AI» – типовий ризик для організацій, де немає чіткого порядку.

Базова AI governance передбачає кілька елементів. По-перше – правила використання: що дозволено, що заборонено, які дані можна передавати в AI-системи, а які ні. По-друге – порядок погодження нових інструментів і нових сценаріїв використання. По-третє – рівень human review залежно від наслідків: рекомендація AI для внутрішнього звіту і рішення AI, яке впливає на клієнта чи працівника, – це різні рівні перевірки. По-четверте – розподіл відповідальності: хто в компанії відповідає за AI compliance – legal/compliance, privacy/DPO, IT, HR, product? Відповідь «всі разом» зазвичай означає «ніхто».

AI literacy – не одна лекція для всіх. Стаття 4 AI Act після Omnibus вимагає від провайдерів і deployers «вживати заходів для підтримки розвитку AI literacy» – з урахуванням технічних знань, досвіду та контексту конкретних осіб. Для юриста, який використовує AI для аналізу договорів, це один рівень. Для продакт-менеджера, який інтегрує GPAI через API, – інший.

Документація – окреме питання. Залежно від системи та ролі компанії можуть знадобитися AI register, AI Use Policy, classification/risk assessment, vendor due diligence, transparency notice, DPIA або FRIA, записи про AI literacy, incident handling. Але не кожен із цих документів є обов’язковою законодавчою вимогою для кожної AI-системи. Частина прямо передбачена законом лише для визначених випадків; інша – це compliance practice, яка знижує ризик і спрощує майбутній аудит.

Compliance не закінчується після запуску AI

AI compliance не варто сприймати як одноразовий проєкт. Провести аудит, підготувати документацію та встановити внутрішні правила недостатньо, якщо надалі система, спосіб її використання або регуляторні вимоги змінюються.

Повторна оцінка може знадобитися, зокрема, якщо змінюється призначення AI-системи або сценарій її використання, underlying model чи provider, додається нова функціональність або інтеграція, змінюються потоки даних чи рівень human review. Окремими сигналами для перегляду є інциденти, скарги, витоки даних, зміни умов постачальника або нові регуляторні вимоги.

Для практичного застосування AI Act Комісія вже запустила кілька допоміжних інструментів. AI Act Service Desk дозволяє отримувати інформацію та роз’яснення щодо застосування AI Act, Single Information Platform об’єднує офіційні матеріали в одному місці, а EU AI Act Compliance Checker допомагає провести первинну оцінку застосовних вимог. Станом на серпень 2026 року Compliance Checker працює у beta-версії, а його результати мають інформаційний характер і не є офіційною оцінкою конкретної AI-системи.

Поряд з офіційними інструментами розвиваються і професійні підходи до AI governance та аудиту. Зокрема, AIEI (AI Ethics and Integrity International Association) розробляє принципи, інструменти оцінювання та методології AI-аудиту, які можуть доповнювати внутрішні compliance-процеси компаній там, де регуляторні вимоги ще не деталізовані.

Тому AI governance потребує не лише початкової класифікації та підготовки документів, а й регулярного перегляду того, як AI фактично використовується в компанії та які вимоги до нього застосовуються.

Що робити у 2026–2027 роках: практичний roadmap

Нижче – кілька практичних кроків, з яких бізнес може почати підготовку вже зараз.

• Провести AI inventory: визначити, які AI-системи та AI-функції фактично використовуються в компанії – включно з AI, вбудованим у SaaS, CRM та HR-інструменти, а не лише очевидними generative AI.
• Визначити роль компанії щодо кожної системи: чи виступає вона provider або deployer, а у відповідних випадках – downstream provider, та провести первинну класифікацію за AI Act.
• Перевірити виконання вимог, які вже застосовуються: зокрема, transparency obligations, правила щодо персональних даних і конфіденційності, IP та умови договорів із постачальниками AI.
• Встановити внутрішні правила: хто погоджує нові AI-інструменти, які дані можна передавати AI та який рівень human review потрібен залежно від способу використання системи і можливих наслідків.
• Розподілити відповідальність: визначити конкретні ролі для legal/compliance, privacy, IT та business залежно від структури компанії.
• Для потенційних high-risk систем почати підготовку заздалегідь: визначити, які вимоги застосовуватимуться до конкретної системи та ролі компанії, провести gap assessment і запланувати необхідні зміни до процесів та документації. Для high-risk систем з Annex III відповідні вимоги почнуть застосовуватися з 2 грудня 2027 року.
• Передбачити регулярний перегляд: повертатися до оцінки AI-систем, якщо змінюється їхнє призначення, функціональність, модель, постачальник, потоки даних або регуляторні вимоги.

Найбільша помилка після AI Omnibus – сприйняти перенесення high-risk дедлайнів як дозвіл нічого не робити до 2027 року. Це не так. Частина вимог вже застосовується. Інша – потребує підготовки, на яку залишилося менше року і чотирьох місяців.

AI compliance – це не перевірка галочки у чеклисті «high-risk / не high-risk». Це система, за якої компанія знає, який AI використовує, хто за нього відповідає, які правила застосовуються – і може це підтвердити. Вибудувати таку систему зараз значно простіше, ніж робити це під тиском регулятора.