Если вы встроили в SaaS-продукт ИИ-функцию (чат-бот, скоринг лидов, резюме встреч), AI Act, скорее всего, касается и вас, даже если модель чужая. С 2 августа 2026 уже действуют требования прозрачности, а самые тяжелые обязанности для high-risk отложены до декабря 2027. Разбираем роли провайдера и пользователя ИИ-системы (deployer), сроки после Digital Omnibus, штрафы и чек-лист из восьми шагов.
Проверено 21 октября 2026. Нормы и источники актуальны на эту дату.
«Мы просто используем API» — это не защита
Это заблуждение. По статье 3(3) AI Act тот, кто выводит ИИ-систему на рынок под своим именем или брендом, является провайдером, независимо от того, чья базовая модель внутри. На провайдере лежит основной объем обязанностей.
Календарь изменил Digital Omnibus (Регламент (ЕС) 2026/1744, в силе с 27 июля 2026 года). Общая дата применения 2 августа 2026 осталась, но самые тяжелые обязанности для high-risk систем отложены. Прозрачность никуда не сдвинулась, и именно ее чаще всего пропускают.
Сроки AI Act после Digital Omnibus
Провайдер или деплойер
Провайдер
Разрабатывает систему или выводит ее под своим именем. Обязанностей больше: классификация, техдокументация, управление рисками, человеческий надзор, мониторинг после выпуска.
Деплойер
Использует систему в своей деятельности. Обязанностей меньше: AI-грамотность персонала, прозрачность, для high-risk еще и логи.
Если вы существенно модифицируете чужую high-risk систему, дообучаете ее или выпускаете под своим брендом, вы становитесь провайдером со всеми обязанностями.
Разберем вашу ситуацию и предложим решение под ваш проект.
Чек-лист AI Act для SaaS: 8 шагов
Составьте реестр ИИ-систем
Все, что вы разрабатываете, покупаете или встраиваете, включая функции в инструментах ваших команд. Для каждой: владелец, назначение, данные, аудитория, поставщик.
Начните здесьОпределите роль для каждой системы
Одна компания может быть провайдером одной системы и деплойером другой.
Проверьте запрещенные практики (ст. 5)
Они действуют с 2025 года и несут самые высокие штрафы. Если что-то из этого есть в продукте, это приоритет №1.
СрочноКлассифицируйте по Annex III
Чаще всего релевантны HR (скоринг кандидатов, ранжирование резюме), кредитный скоринг и страхование, образование, биометрия. Попали в Annex III — готовьте документацию к декабрю 2027.
Закройте требования ст. 50
Люди должны понимать, что общаются с ИИ, если это не очевидно. Сгенерированный контент нужно помечать машиночитаемо, дипфейки раскрывать. На практике уведомите клиентов, какие функции используют ИИ.
Действует сейчасДля high-risk подготовьте документацию Annex IV
Функции и ограничения, данные обучения, кибербезопасность, мониторинг после выпуска. Нужны также conformity assessment и регистрация в базе ЕС.
Пересоберите контракты
С поставщиками моделей: роли, гарантии соответствия, документация и инциденты. С клиентами: ответственность за ИИ-выходы и регуляторные заверения. Помогаем в рамках услуги «Договоры и документы».
Обеспечьте AI-грамотность персонала (ст. 4)
После Omnibus достаточно принимать меры по ее развитию. Но обучение, политики и инструкции стоит документировать.
Без реестра ИИ-систем нельзя определить ни роль, ни класс риска. Все остальные шаги строятся на этих двух ответах.
Разбор ситуации
SaaS-компания встраивает в свой продукт чат-помощника на базе чужого API и продает его под собственным брендом европейским клиентам. Она считает себя просто пользователем API. Разумный порядок действий: определить свою роль (поставщик или внедряющая сторона), проверить обязанности по прозрачности, обеспечить уведомление пользователя о том, что он общается с ИИ, и закрепить распределение ответственности с разработчиком API.
Сколько стоит ошибка
Максимальный штраф за запрещенные практики или 7% мирового оборота, смотря что больше. Для стартапов и SME (малый и средний бизнес) применяется меньшая из двух сумм.
Это потолки, а не автоматические штрафы: учитывается пропорциональность нарушения.
AI Act не спрашивает, хорош ли ваш ИИ. Он спрашивает, можете ли вы это доказать.Команда LegalBit
Если у вас уже есть ISO 42001 или SOC 2
Вы не начинаете с нуля: управление рисками, data governance, прозрачность и надзор частично пересекаются с AI Act.
Но сертификат не заменяет требования регламента. Остаются хранение логов не менее шести месяцев, документация Annex IV, conformity assessment и регистрация для high-risk систем. Подробнее о нашей работе: юридическая поддержка ИИ и ML-проектов.
Частые вопросы
Применяется ли AI Act, если компания не в ЕС?
Да, если ИИ-системы используются в ЕС или влияют на людей в ЕС.
Я использую API OpenAI: я провайдер или деплойер?
Если вы выводите функцию под своим брендом, как правило, вы провайдер этой ИИ-системы.
Когда начинают действовать требования для high-risk систем?
Для систем из Annex III: с 2 декабря 2027 года. Для встроенных в регулируемые продукты (Annex I): с 2 августа 2028 года.
Достаточно ли ISO 42001 для соответствия AI Act?
Нет, но она закрывает значительную часть требований и ускоряет подготовку. Специфические требования AI Act, например документация Annex IV и conformity assessment, остаются.
Смотрите также: Terms of Service и Privacy Policy: почему «скопировать и вставить» — худшая стратегия для вашего проекта; AI-контент и авторское право: кому принадлежат права на сгенерированные тексты и изображения?; Подрядчик-разработчик: кому принадлежит код. Услуги: юристы для IT и SaaS.
Эта тема — наша услуга
Подробнее о том, как мы помогаем проектам с этим вопросом:
