EU AI Act для бизнеса: какие требования нужно учесть при использовании ИИ и чат-ботов

EU AI Act задаёт правила для компаний, которые используют ИИ в ЕС: чат-бот должен раскрывать факт автоматического взаимодействия, а системы, влияющие на работу, кредит, образование, медицину или услуги, требуют отдельного контроля.

Как EU AI Act классифицирует ИИ-системы

Регламент ЕС использует риск-ориентированный подход. ModelOp выделяет четыре категории: запрещённый, высокий, ограниченный и минимальный риск. Чем сильнее ИИ влияет на права и возможности человека, тем больше требований предъявляется к разработчику и компании, которая применяет систему.

Классификация зависит не от названия продукта и не от того, что перед пользователем чат-бот. Один интерфейс может иметь разный регуляторный профиль в зависимости от задачи. FAQ-бот на сайте обычно относится к ограниченному риску, а HR-бот, который фильтрует кандидатов или выставляет им оценки, может попасть в категорию систем ИИ высокого риска.

Проверку проекта нужно начинать с описания его функции: какие данные получает система, кому выдаёт результат и может ли этот результат изменить положение человека. После этого можно определить набор требований.

Какие требования EU AI Act действуют для обычных чат-ботов

Для чат-ботов поддержки, справочных сервисов и внутренних помощников главным требованием становится прозрачность. Если из контекста не очевидно, что пользователь общается с программой, его нужно уведомить об использовании ИИ. По данным GuruSup, такое сообщение должно быть связано с самим взаимодействием, а не спрятано только в общем документе с условиями использования.

Уведомление лучше размещать в начале диалога или в другом заметном месте интерфейса. Формулировка может быть нейтральной: «Вы общаетесь с ИИ-помощником. При необходимости передадим вопрос сотруднику». Она объясняет природу сервиса и показывает пользователю возможность обратиться к человеку.

Для бота поддержки, который создаёт обращение и передаёт его сотруднику, GetMyAI также выделяет два рабочих элемента: раскрытие факта использования ИИ и понятный порядок передачи сложного вопроса оператору. Это помогает избежать ситуации, в которой клиент принимает автоматический ответ за окончательную позицию компании.

Отдельно нужно проверить, создаёт ли система текст, изображения, аудио или другой синтетический контент. В материалах GuruSup говорится о необходимости обозначать искусственное происхождение таких материалов. Для текстовых, аудио- и визуальных данных также рассматриваются машиночитаемые метки. Конкретный способ маркировки зависит от типа контента и сценария публикации.

Когда чат-бот становится системой высокого риска

Обычная консультация сама по себе не превращает бота в высокорисковую систему. Профиль меняется, если алгоритм оценивает человека, принимает решение или существенно влияет на его доступ к важной возможности.

К таким сценариям источники относят:

Для высокорисковых решений ModelOp перечисляет управление рисками на протяжении жизненного цикла, техническую документацию, журналирование событий и человеческий контроль. Также нужны проверка качества данных, точности, устойчивости и кибербезопасности. Эти задачи затрагивают не только разработчика, но и подразделение, которое внедряет систему в конкретный процесс.

Кто отвечает за использование стороннего ИИ-сервиса

Покупка готового чат-бота не снимает с компании обязанности контролировать сценарий применения. GetMyAI разделяет роли так: поставщик отвечает за разработку и документацию системы, а компания-оператор - за корректное внедрение, пользовательский интерфейс, уведомление клиентов, контроль применения и соблюдение требований в своём процессе.

Оценивать нужно не только базовую модель. На риск также влияют промпты, подключённые базы знаний, права сотрудников, автоматические действия после ответа бота и наличие маршрута для проверки спорных случаев.

Что подготовить бизнесу до запуска

Компаниям, которые используют несколько ИИ-инструментов, стоит начать с реестра. В него нужно включить публичные чат-боты и внутренние сервисы для HR, продаж, поддержки, аналитики и обработки документов.

Минимальный набор действий:

Описать назначение каждой системы и решения, которые она принимает или поддерживает. Определить, затрагивает ли результат права, деньги, доступ к услугам, работе или образованию. Зафиксировать поставщика, используемые данные, настройки, интеграции и ответственного внутри компании. Проверить, видит ли пользователь уведомление о взаимодействии с ИИ в момент начала диалога. Настроить передачу обращения человеку и журналирование существенных действий. Установить порядок тестирования, обновления и пересмотра классификации при изменении сценария.

Если бот только отвечает на типовые вопросы, основное внимание нужно уделить прозрачности, качеству ответов и передаче обращения сотруднику. Если бот оценивает людей или влияет на доступ к существенным услугам, до запуска потребуются более глубокая проверка данных, контроль предвзятости, документация и постоянный мониторинг.

Что это значит для бизнеса

Компании стоит проверять не абстрактное использование ИИ, а каждый конкретный процесс. Уведомление нужно встроить в интерфейс, а не оставлять только в политике конфиденциальности. Для стороннего сервиса следует заранее закрепить, кто отвечает за логи, настройки, инциденты и передачу решения человеку.

При изменении функции бота, подключении новых данных или автоматизации действий классификацию нужно пересмотреть. Такой аудит помогает отделить простой FAQ-сервис от инструмента, который фактически принимает значимые решения.

Во втором случае требования к документации, тестированию и контролю могут заметно увеличить сроки запуска. Поэтому их лучше учитывать на этапе проектирования, а не после появления жалоб или ошибок.