Контролен списък за съответствие със Закона на ЕС за ИИ: ръководство FAQ стъпка по стъпка

Контролен списък за съответствие със Закона на ЕС за ИИ във вид на въпроси и отговори: обхват, оставащи срокове, класификация на риска, забранени практики, GPAI, съответствие на високорисковите системи и разпределение между доставчик и внедрител.

Това ръководство отговаря на въпросите за съответствие в реда, в който те наистина възникват: достига ли ме регламентът, какво ме обвързва още днес, кои от системите ми са високорискови, какво трябва да произведа и колко струва грешката. Всеки отговор е закотвен в правно основание, което може да се цитира във вътрешна записка.

Кой трябва да премине през този списък?

Всяка организация, която разработва, внедрява, внася или разпространява система с ИИ, използвана в ЕС — независимо къде е установена. Чл. 2 достига доставчиците и внедрителите от трети държави в момента, в който резултатът от системата се използва в Съюза: американски доставчик на SaaS с европейски клиенти попада в обхвата наравно с българска банка.

Четири въпроса определят вашия набор от задължения и са необходими и четирите, преди списъкът да има смисъл:

Последният ред убягва на повечето инвентаризации. Задълженията за прозрачност засягат системи, които изобщо не са високорискови: чатбот за обслужване на клиенти носи днес задължение, без да носи нищо от тежестта на съответствието, на която е посветена останалата част от списъка.

Какво ви обвързва вече и какво предстои?

Пет дати на прилагане са изминали; основната работа по съответствието пада през декември 2027 г. Датите по-долу следват набора от данни за сроковете, който този сайт публикува и който отразява отсрочките, въведени с Регламент (ЕС) 2026/1744.

Digital Omnibus премести четири от тези дати и преработи чл. 4; пълният регистър преди/след е публикуван на /changes/. Не премахна нито едно задължение и не създаде освобождавания, така че програма, изградена върху първоначалните дати, остава правилната програма — просто има повече време за засилване.

Стъпка 1 — Пълна ли е инвентаризацията на ИИ?

Без пълна инвентаризация нищо от следващото не е защитимо. Създайте регистър на всички системи с ИИ, до които организацията се докосва:

• Системи, които разработвате и продавате или лицензирате (вие сте доставчикът)
• Системи, които купувате или лицензирате и ползвате вътрешно (вие сте внедрителят)
• Системи, вградени в продукти, които произвеждате или внасяте
• Системи, до които достъпвате чрез API на трети страни (ИИ в облак, API на базови модели)

За всяка: наименование, функция, входни и изходни данни, контекст на употреба, въздействие на решението и засегнати лица. Отбележете системите с несигурна класификация — те изискват правна преценка, а не инженерен отговор.

Две категории системно се подценяват: функциите с ИИ, доставяни в SaaS инструменти, които компанията вече плаща, и моделите, изградени от отделни екипи извън процеса на доставки. Поискайте от финансите списъка с доставчици, а от инженерния отдел — регистъра на моделите; обединението на двете е по-близо до истината от всяко поотделно.

Стъпка 2 — Не експлоатирате ли вече нещо незаконно?

Преминете през чл. 5 преди всяка класификация на риска, защото забранена система не може да бъде поправена до съответствие. Съпоставете всяка система със списъка:

• Подсъзнателни, манипулативни или заблуждаващи техники, които съществено изкривяват поведението
• Използване на уязвимости, дължащи се на възраст, увреждане или социално и икономическо положение
• Социално оценяване, водещо до неблагоприятно третиране в несвързан контекст
• Нецеленасочено събиране на лицеви изображения за изграждане на бази за разпознаване
• Извеждане на емоции на работното място или в образованието
• Биометрично категоризиране за извеждане на чувствителни характеристики
• Дистанционна биометрична идентификация в реално време на обществени места за правоприлагане

→ Спиране или основно преработване. Тези забрани важат от 2 февруари 2025 г. и попадат в санкционното ниво от 35 милиона евро / 7 %. Ръководството за забранените практики разглежда тесните изключения при всяка от тях.

От 2 декември 2026 г. се добавя забрана за системи, генериращи материали със сексуално насилие над деца или интимни изображения без съгласие.

Стъпка 3 — Доставчик ли сте на модел с общо предназначение?

Ако организацията разработва и публикува базов модел, задълженията по глава V се прилагат от 2 август 2025 г. Три теста:

• Обучава ли се моделът чрез самонаблюдение в значителен мащаб?
• Може ли компетентно да изпълнява широк спектър от различни задачи?
• Предоставя ли се на други вместо да се използва само вътрешно?

Ако да: документация на модела за Службата по ИИ и за доставчиците надолу по веригата, политика за авторското право и достатъчно подробно публично обобщение на обучителното съдържание. Над 10²⁵ FLOPs изчислителна мощност за обучение системният риск се презумира, което добавя оценка на модела, състезателно изпитване, докладване на инциденти и киберсигурност. Вж. ръководството за задълженията GPAI.

От 2 август 2026 г. тази глава се прилага пряко от Комисията — не от националните органи — с глоби до 15 милиона евро или 3 %.

Стъпка 4 — Кои от вашите системи са високорискови?

Класифицирайте спрямо приложение III и приложение I, приложете филтъра на чл. 6, пар. 3 и запишете резултата. Приложение III изброява осем самостоятелни категории: биометрия, критична инфраструктура, образование и професионално обучение, заетост и управление на работниците, достъп до основни частни и публични услуги, правоприлагане, миграция и граничен контрол, и правораздаване. Приложение I обхваща ИИ, действащ като защѝтен компонент на продукт, който правото на ЕС за безопасност на продуктите вече урежда.

Изключението по чл. 6, пар. 3 освобождава система, която макар да попада в категория от приложение III, не поражда значителен риск: тясна процедурна задача, подобряване на резултата от завършена човешка дейност, откриване на решенчески модели без заместване на човешката преценка, или чисто подготвителна работа. Никога не важи при профилиране на физически лица. Оценката се документира преди пускането на пазара, а задължението за регистрация остава.

Решенията за класификация са най-проверяваният артефакт от този списък. Запишете разгледаната категория, разсъжденията, доказателствата, датата и отговорното лице.

Стъпка 5 — Доставчик ли сте, или внедрител?

Ролята определя около 80 % от натоварването и не се фиксира от договора за доставка. Чл. 25 ви прави доставчик на високорискова система, която не сте изградили, ако поставите името или марката си, измените я съществено или я пренасочите така, че да стане високорискова. Финото донастройване на модел на производител върху собствени данни и предлагането му под собствена марка е обичайният път към наследени, никога небюджетирани задължения на доставчик.

Ръководството доставчик срещу внедрител разглежда граничните случаи, включително вносителите и дистрибуторите, които носят задължения за проверка, а не за съответствие.

Стъпки 6–10 — Какво произвежда програмата за висок риск?

Шест артефакта в ред на зависимост. Всеки е вход за следващия, поради което програма, започваща с документацията и връщаща се назад към управлението, засяда.

1. Система за управление на качеството (чл. 17) — политики, отговорности, управление на промените, управление на данните, мониторинг след пускането на пазара и процедури при инциденти. Това органът за надзор на пазара пита първо.
2. Записи за управление на риска (чл. 9) — итеративният цикъл на идентифициране, оценяване и намаляване, воден през целия жизнен цикъл, а не подписан веднъж.
3. Доказателства за управление на данните (чл. 10) — произход, представителност, изследване и намаляване на отклоненията за обучителните, валидационните и изпитвателните набори.
4. Техническо досие по приложение IV — масивът, описан в ръководството за техническата документация, включително изпитванията спрямо изискванията за точност, устойчивост и киберсигурност по чл. 15.
5. Оценяване на съответствието и декларация — самооценка съгласно приложение VI или нотифициран орган там, където го изискват биометрията или продуктовото законодателство по приложение I. Вж. ръководството за оценяване на съответствието.
6. Регистрация, маркировка „CE“ и мониторинг — вписване в базата данни на ЕС преди пускането на пазара, маркировка „CE“ върху документацията, след което планът за мониторинг след пускането на пазара и докладването на сериозни инциденти по чл. 73.

Насочете се към 2 декември 2027 г. за самостоятелните системи по приложение III и към 2 август 2028 г. за вградените системи по приложение I. Реалистична програма за една високорискова система тече 12 до 24 месеца: старт в края на 2026 г. се вмества в прозореца без резерв, а капацитетът на нотифицираните органи ще се стеснява с приближаването на датата.

Ами ако използвате само чужд ИИ?

Вие сте внедрител и списъкът ви е кратък, но не празен. Тук стои мнозинството от организациите: нито един собствен модел, дузина функции с ИИ, ползвани през SaaS и API.

• Грамотността (чл. 4) важи сега, за всеки внедрител и на всяко ниво на риск.
• Прозрачността (чл. 50) важи сега за това, което виждат вашите потребители: уведомяване за чатбот, обозначаване на дийпфейк, маркиране на генерирани текстове, публикувани за информиране на обществеността.
• Задълженията на внедрителя (чл. 26) ще важат от 2 декември 2027 г. навсякъде, където случаят на употреба попада в категория от приложение III — подбор на кандидати, кредитни решения, управление на работниците.
• Чл. 25 е капанът: в мига, в който преетикетирате или измените съществено, наследявате набора на доставчика.

Практическият контрол е проверката на доставчика: сдобийте се с декларацията за съответствие, инструкциите за употреба и информацията, която чл. 13 задължава доставчика да предостави. Ръководството за ИИ на трети страни уточнява какво да се изисква договорно.

Какво се променя по сектори?

Задълженията са еднакви; резултатите от класификацията и застъпващите се режими — не.

• Финансови услуги — кредитният скоринг и застрахователното ценообразуване попадат в приложение III, а внедрителят там дължи оценка на въздействието по чл. 27. Управлението на ИКТ риска по DORA частично изпълнява члена за управление на риска, но не покрива специфичното за ИИ управление на данните, нито човешкия надзор. Проектирайте единен поток за докладване, който изпълнява едновременно чл. 19 от DORA и чл. 73 от AI Act. Вж. ръководството за финансовия сектор и ръководството за конвергенция DORA / NIS2.
• Здравеопазване и медицински изделия — ИИ като защѝтен компонент на изделие по MDR/IVDR попада в приложение I, приложимо от 2 август 2028 г. Съществуващото техническо досие и системата по качество ISO 13485 са основата и трябва да бъдат разширени с изискванията на глава III; вашият нотифициран орган се нуждае от отделно определяне по AI Act.
• Човешки ресурси и подбор — категорията заетост от приложение III. Изследването на отклоненията по чл. 10 е основната експозиция, прозрачността към кандидатите е задължение на внедрителя, а нито едно окончателно решение за наемане не може да почива на системата без човек, способен да го отмени.
• Публичен сектор — оценката на въздействието е задължителна, а внедрителите вписват употребата на системи по приложение III в базата данни на ЕС.

Секторните ръководства разглеждат девет отрасъла в същата структура.

Колко струва несъответствието?

Три нива, а за обичайното предприятие най-важно е средното. Чл. 99 определя 35 милиона евро или 7 % от световния оборот за забраните по чл. 5, 15 милиона или 3 % за повечето други задължения — включително прозрачността по чл. 50 и целия блок на високия риск — и 7,5 милиона или 1 % за подвеждаща информация, предоставена на органите. Малките и средните предприятия са ограничени до по-ниската сума.

Третото ниво заслужава внимание, несъразмерно на размера си: наказва лош отговор пред регулатора независимо от каквото и да е основно нарушение. Именно документацията превръща защитимата позиция в доказуема. Ръководството за санкциите развива изчисляването на експозицията.

Какво да направите през следващите 90 дни

1. Затворете празнината в инвентаризацията — списък с доставчици от финансите ∪ регистър на моделите от инженерния отдел.
2. Прекарайте целия парк през филтъра на чл. 5. Това е единствената стъпка с вече действащо ниво от 7 %.
3. Пуснете уведомленията по чл. 50 върху всичко, обърнато към потребителя; задължението е в сила, а не предстои.
4. Докажете грамотността по чл. 4: кой е обучен, по какво и кога. Ръководството за грамотност в областта на ИИ уточнява какво изисква преработеният член.
5. Класифицирайте кандидатите от приложение III и запишете разсъжденията, включително решенията по чл. 6, пар. 3.
6. За всяка потвърдена високорискова система стартирайте системата за управление на качеството. Декември 2027 г. е ограничението, а опашката при нотифицираните органи е пред вас, не зад вас.

Работни образци за инвентаризация, регистър на рисковете, техническо досие и проверка на доставчици има в комплектите за съответствие; Академията AI Act покрива същата територия като структурирано обучение със сертификация.