AI Act начал работать в полной мере с 2024-го, но первый год регуляторы только присматривались. К началу 2026-го - реальные штрафы, понятные требования и устоявшаяся практика. Если вы строите продукт с AI для рынков ЕС - это уже не «готовиться на будущее», а «делать сейчас».
Что фактически проверяют
- Классификация системы по уровню риска (unacceptable, high, limited, minimal). Большинство продуктов - limited risk.
- Документация обучающих данных и оценка предвзятости - для высокорисковых.
- Прозрачность: пользователь должен знать, что взаимодействует с AI.
- Логирование решений и возможность объяснения для значимых решений (одобрение кредита, отказ в страховании).
- Human in the loop для решений, которые влияют на права человека.
Какие штрафы выписывали в 2025
Громких штрафов уровня «миллионы» пока немного. Большая часть - корректирующие предписания и штрафы 50-500 тысяч евро. Самые частые причины: отсутствие чёткой маркировки AI-сгенерированного контента, отсутствие human review в значимых решениях, использование запрещённых техник (например, эмоциональное распознавание в HR).
Что мы делаем на проектах
- На старте проекта проводим AI Act assessment - определяем уровень риска и применимые требования.
- Документируем все AI-фичи в едином AI registry: модель, источник, обучающие данные, использование.
- Внедряем явные баннеры/уведомления о взаимодействии с AI.
- Логируем все значимые AI-решения с возможностью аудита.
- Для high-risk систем готовим conformity assessment.
- Прописываем процедуру human review с SLA.
- Обучаем команду заказчика - комплаенс не должен жить только в юридическом отделе.
Пересечение с GDPR
GDPR никуда не делся, и в части AI он усилился. Главные точки трения: использование персональных данных для обучения моделей, право на объяснение автоматизированных решений (статья 22), и data minimization. Мы по умолчанию не отправляем персональные данные в внешние LLM без явного согласия.
Что меняется в 2026
Ожидаем первое крупное расследование по поводу обучения на чужих данных - и его исход определит правила игры на 2-3 года вперёд. Также - расширение требований по цифровому водяному знаку для AI-сгенерированного видео и аудио. Если вы делаете продукт с генерацией медиа, готовьтесь.