Вимоги до доказів для розслідувань відповідно до Закону ЄС про ШІ

1 вересня 2026 року European AI Office перейшов від розробки політики до активного правозастосування, надіславши перші офіційні запити на отримання інформації понад 30 постачальникам моделей General Purpose AI (GPAI). Згідно з юридичним аналізом цих перших перевірок (Simmons & Simmons, 2026), запити зосереджені на безпеці моделей, результатах стрес-тестування (adversarial testing) та детальних даних післяринкового моніторингу. Для власників і покупців даних це свідчить про те, що комплаєнс більше не є формальною процедурою; це складний процес збору документальних доказів.

Тягар технічної документації (Annex IV)

Згідно зі Article 11 EU AI Act, постачальники систем штучного інтелекту високого ризику та моделей GPAI повинні вести вичерпну технічну документацію. Під час розслідування European AI Office вимагатиме артефакти, перелічені в Annex IV. Це не просто резюме, а глибокий аналіз архітектури системи. Ви повинні бути готові надати:

• Специфікації дизайну: детальні описи методів і кроків, виконаних для розробки системи ШІ, включаючи логіку алгоритмів і вибір дизайну.
• Архітектура системи: документація про те, як система взаємодіє з іншим програмним забезпеченням та апаратним забезпеченням, на якому вона має працювати.
• Обчислювальні ресурси: розкриті дані про споживання енергії та обчислювальну потужність, використану для початкового навчання та тонкого налаштування.

Для покупців даних критично важливо переконатися, що ваш постачальник має ці артефакти. Вам слід надати пріоритет тому, щоб acquire rare compliant training data for the EU AI Act, які вже містять необхідні метадані для заповнення цих технічних файлів.

Управління даними та докази походження (Provenance)

Article 10 Акта вимагає суворого управління даними. У разі розслідування власник або покупець даних повинен довести цілісність наборів даних для навчання, валідації та тестування. European AI Office вимагає докази «походження даних» (data provenance), що включають походження даних, методи збору та правову основу для їх використання. Згідно з офіційним текстом AI Act (Regulation (EU) 2024/1689), документація повинна охоплювати:

• Характеристики набору даних: інформація про щільність, кількість та якість даних.
• Мінімізація упередженості: докази заходів, вжитих для виявлення та усунення потенційних упереджень, особливо тих, що впливають на здоров'я та безпеку людей або основні права.
• Очищення прав: резюме політик щодо авторського права та конкретних наборів даних, використаних для навчання моделі.

Власники даних, які прагнуть монетизувати свої активи, тепер повинні розглядати «журнали походження» (provenance logs) як основну частину продукту. Набір даних без чіткого аудиторського сліду його життєвого циклу все частіше розглядається як зобов'язання, а не як актив.

Операційні журнали та стрес-тестування (Adversarial Testing)

Однією з найсуворіших вимог для моделей GPAI із системним ризиком є надання результатів стрес-тестування (adversarial testing). Нещодавні запити European AI Office зокрема стосувалися звітів про «red-teaming». Слідчі шукатимуть докази того, що модель була протестована на предмет шкідливих підказок, спроб джейлбрейку та отруєння даних. Article 12 вимагає, щоб системи ШІ високого ризику автоматично генерували журнали протягом усього свого життєвого циклу. Ці журнали повинні забезпечувати хронологічний запис роботи системи, що дозволяє відстежувати результати до конкретних вхідних даних і етапів обробки.

Фінансові ризики та масштаби правозастосування

Ставки за ненадання цих доказів є безпрецедентними. EU AI Act встановлює рівневу структуру штрафів. Недотримання вимог щодо управління даними (Article 10) може призвести до адміністративних штрафів у розмірі до €15 мільйонів або 3% від загального річного світового обороту, залежно від того, що більше. За надання неправдивої або вводить в оману інформації регуляторам під час розслідування штраф може сягати €7.5 мільйонів або 1% від обороту (Article 99, Regulation (EU) 2024/1689). Це робить «вартість доказів» важливою статтею витрат у бюджеті будь-якого проекту ШІ.

Що це означає для вас

Для власників даних ваша стратегія монетизації тепер залежить від документації. Ви більше не просто продаєте сиру інформацію; ви продаєте «пакет відповідних даних», який включає сертифікати походження та звіти про аудит упередженості. Високоякісні, попередньо перевірені активи можуть бути розміщені в нашому dataset catalogue, щоб залучити покупців, які спеціально прагнуть мінімізувати ризики аудиту EU AI Act. Для покупців даних заходи з правозастосування від 1 вересня служать попередженням: належна обачність повинна поширюватися не лише на продуктивність моделі, а й на документальний слід даних, на яких вона була побудована. Якщо ви не можете надати журнали, ви не можете розгорнути модель.