AI Act 2026: що діє сьогодні, що відклали і що ви маєте мати з лютого 2025 року

Коротка відповідь: Липнева новела AI Act відсунула застосовність правил для високоризикових систем — для додатка III на 2. 12. 2027, для додатка I на 2. 8. 2028. Обов’язок вжити заходів для розвитку ШІ-грамотності за статтею 4 відкладено не було, і він діє з 2. 2. 2025. Він стосується не лише технологічних компаній: він поширюється на постачальників і на компанії, чиї люди використовують системи ШІ в роботі. Регламент не вимагає від вас ані сертифіката, ані якогось конкретного документа — він вимагає заходів, пристосованих до ролей і контексту використання. Правила для даних, контроль результатів і навчання за ролями — це наша рекомендована практична рамка, як такі заходи оформити й підтвердити.

Регламент (ЄС) 2024/1689, який зазвичай називають AI Act, набув чинності 1. 8. 2024, а його обов’язки набувають сили поетапно. У липні 2026 року графік змінився — частину строків відсунули на рік-два. У компаніях цю новину переклали як «отже, до 2027 року спокій». Це помилка, яку варто розібрати, бо заходи щодо ШІ-грамотності не зрушили ані на день.

Цей текст описує стан на 31. 7. 2026.

Що в липні 2026 року відклали, а що ні

Відкладення приніс Регламент (ЄС) 2026/1744, який Європейська комісія подала в листопаді 2025 року як частину «цифрового омнібуса». Він набув чинності 27. 7. 2026 і, крім строків, змінив також формулювання статті 4.

Отже, відкладення не стосується всього AI Act. Воно не торкнулося статті 4, не торкнулося заборон за статтею 5 (наприклад, соціального скорингу чи виведення емоцій на робочому місці) і тим паче не впливає на приписи, які діють незалежно від AI Act — GDPR, трудове законодавство, охорону комерційної таємниці та договірні зобов’язання перед клієнтами.

Остання група на практиці найдорожча. Коли працівник вставляє в публічний сервіс ШІ список клієнтів, чекати на AI Act не потрібно — GDPR має санкційну межу 20 мільйонів євро або 4 % світового обороту і діє з 2018 року.

Чи стосується стаття 4 і компанії з п’яти людей

Так. AI Act розрізняє не за розміром компанії, а за роллю. Більшість звичайних компаній — це «суб’єкт, що впроваджує систему ШІ» (deployer), тобто той, хто використовує чужий інструмент у своїй діяльності. Бухгалтерська контора, інтернет-магазин, проєктне бюро й сервісна компанія потрапляють до тієї самої категорії, що й корпорація.

До того ж стаття 4 адресована не лише штатним працівникам. Вона говорить про персонал та інших осіб, які займаються експлуатацією та використанням систем ШІ від імені компанії, — тобто й про зовнішніх виконавців, підробітчан і постачальників, які працюють від вашого імені.

Обов’язок типово виникає, коли люди використовують ШІ для:

• написання комерційних пропозицій, договірних матеріалів і маркетингових текстів,
• перекладів і резюмування документів,
• аналізу таблиць і клієнтських даних,
• відповідей клієнтам і транскрипції нарад,
• сортування резюме,
• генерування вихідного коду.

Європейська комісія у своїх роз’яснювальних «питаннях і відповідях» щодо ШІ-грамотності з весни 2025 року прямо зазначає, що стаття 4 поширюється й на компанію, чиї люди використовують генеративний ШІ, скажімо, для створення рекламного тексту чи перекладу. Людський контроль наприкінці не звільняє вас від обов’язку — людина, яка перевіряє, має знати, що саме слід перевіряти і проти чого.

Далі ця стаття зосереджується на графіку та впливі липневої новели. Окремий практичний порядок дій, як заходи описати й задокументувати, ви знайдете у статті ШІ-грамотність за ст. 4 AI Act на практиці.

Чого від вас вимагає стаття 4: заходів, а не сертифіката

AI Act не приписує ані єдиного навчання, ані підсумкового тесту, ані сертифіката. Не приписує й кількості годин. Після липневої новели стаття 4 вимагає заходів для розвитку ШІ-грамотності з урахуванням знань, досвіду, освіти та підготовки людей, а також контексту використання. При цьому вона прямо не вимагає, щоб компанія гарантувала конкретний чи «достатній» рівень ШІ-грамотності кожної окремої особи.

Це навмисно м’яке формулювання. Регламент не визначає ані форми доказу, ані конкретних документів — тому наведений нижче перелік не є переліком законодавчих вимог, а рекомендованою практичною рамкою, якою вжиті заходи можна описати, підтримувати та в разі потреби підтвердити. Його сенс — показати систему, а не знання окремої людини:

1. Перелік використовуваних інструментів ШІ. Назва, призначення, хто його використовує, які дані до нього течуть, хто за це відповідає.
2. Правила введення даних. Працівник має заздалегідь знати, чи можна вводити персональні дані, договір, непублічний прайс-лист, вихідний код чи медичну документацію. Він не повинен вирішувати це аж тоді, коли вже має відкрите вікно чату.
3. Правила контролю результатів. Які тексти, розрахунки й рішення мають перед використанням пройти через людину і чим конкретно вони перевіряються.
4. Навчання за ролями. Маркетинг, кадровик, технік і директор мають справу з різними ризиками. Один спільний вебінар для всіх — це початок, а не мета.
5. Запис. Зміст навчання, список присутніх, внутрішня інструкція, дата останнього оновлення.
6. Порядок дій при інциденті. Кому повідомляють про витік даних, хибний результат чи використання незатвердженого інструмента.

Жоден із цих документів не є обов’язковою вимогою AI Act, і жоден сам собою не гарантує відповідності. Разом вони, однак, показують дещо інше, ніж вказівка «користуйтеся ШІ обережно» в торішньому електронному листі. До того ж Комісія в межах AI Pact веде публічне сховище практик ШІ-грамотності — це придатне натхнення, а не норма.

Що працівник після навчання має справді вміти

ШІ-грамотність — це не курс написання ефектних промптів. Це знання конкретного ризику конкретного інструмента. Три приклади, які люди запам’ятовують краще за визначення:

Модель вигадує, і то впевнено. У справі Mata v. Avianca (Нью-Йорк, 2023) адвокати подали до суду документ із цитатами рішень, які згенерував ChatGPT і яких не існувало. Суд наклав на них штраф 5 000 доларів. Перевірка чисел, цитат і правових тверджень — не формальність: галюцинація виглядає так само переконливо, як і правда.

За результат чат-бота відповідає компанія. У справі Moffatt v. Air Canada (2024) чат-бот авіакомпанії дав клієнтові хибну інформацію про знижку. Авіакомпанія доводила, що чат-бот є самостійною сутністю, відповідальною за власні висловлювання. Трибунал це відхилив і присудив відшкодування.

Deepfake — уже не теорія. У 2024 році працівник гонконгської філії інженерної компанії Arup переказав близько 25 мільйонів доларів після відеоконференції, на якій були deepfake-колеги, включно з «фінансовим директором». Навчання має містити й те, що відео та голос перестали бути доказом особи і що платіжний процес потребує підтвердження другим каналом.

До цього належить нудніша, але не менш важлива частина — налаштування інструментів:

• ChatGPT в особистому робочому просторі (Free, Plus і Pro) може використовувати нові розмови для покращення моделей, доки користувач не вимкне опцію «Improve the model for everyone». У Business, Enterprise, Edu та API вхідні й вихідні дані за замовчуванням для тренування не використовуються. Працівник із власним особистим обліковим записом — це канал, який компанії важко керувати: компанія не має ані централізованого налаштування облікового запису, ані аудиторського сліду, ані впевненості, що людина правильно налаштувала опції щодо даних.
• Microsoft 365 Copilot тримає дані всередині тенанта, але робить користувачеві доступним усе, на що той має права. Тому типова проблема при впровадженні — не модель, а накопичене за роки надмірне надання доступу в SharePoint: Copilot зробить його видимим протягом тижня. Перед упровадженням належить ревізія прав доступу, а не навчання.
• Платний тариф — це не дозвіл. Багато людей автоматично поєднують «ми за це платимо» з «нам можна туди дати будь-що». Samsung у 2023 році заборонив генеративний ШІ на корпоративних пристроях після того, як працівники вставили в ChatGPT внутрішній вихідний код.
• Походження інструмента має вагу. Чеське кібербезпекове відомство NÚKIB у 2025 році видало попередження щодо інструментів DeepSeek; що з цього випливає для чеських компаній, розбираємо у статті NÚKIB попередив про DeepSeek. Для задач, які взагалі не мають виходити з вашої мережі, рішенням є локальне розгортання — див. ШІ без хмари.

Як розпізнати, що у вас високоризикова система

Вирішує не бренд і не те, що постачальник усередині використовує велику мовну модель. Вирішують призначення та спосіб упровадження. Чернетка листа в Copilot високоризиковою не буде. Та сама технологія, застосована для бального оцінювання кандидатів на роботу, вже може потрапляти до додатка III.

Насторожтеся, якщо ШІ:

• відбирає, впорядковує чи відсіює кандидатів,
• оцінює результативність роботи, розподіляє завдання або впливає на припинення трудових відносин,
• вирішує про доступ до освіти чи до суттєвої послуги,
• працює з біометрією,
• є компонентом безпеки регульованого виробу.

Що це не академічне побоювання, показав Amazon: за репортажем агентства Reuters від 2018 року внутрішній інструмент для сортування резюме систематично штрафував резюме, що містили слово «women’s», бо навчався на десятирічних даних із галузі, де брали на роботу переважно чоловіків. Інструмент опинився в кошику. Саме такий тип системи описує додаток III.

Відкладення на 2027 і 2028 роки — це час на підготовку, а не підтвердження, що таку систему можна поки що використовувати без правил. Дискримінаційний вплив уже сьогодні врегульовують антидискримінаційне право й трудове законодавство.

Скільки коштує підготовка і що перевірити в постачальника

Закон не встановлює ані мінімальної тривалості, ані ціни навчання. Витрати залежать від кількості робочих ролей і ризиковості використання, а не від кількості голів — компанія з двадцяти людей із трьома типами роботи з ШІ є дешевшим випадком, ніж компанія з восьми людей, яка водночас займається наймом, маркетингом і розробкою.

Як робоча рамка (не законодавчий мінімум) у малій компанії має сенс спільний блок обсягом 2–4 години плюс коротша подальша частина для ролей, які працюють із персональними даними, клієнтами, наймом або автоматизованим ухваленням рішень.

Перед замовленням запитуйте, чи входить у ціну:

• аналіз інструментів, які компанія справді використовує (включно з незатвердженими),
• навчання на власних робочих ситуаціях, а не загальні приклади,
• правила для даних і перевірки результатів у письмовій формі,
• матеріал для новоприбулих,
• запис про зміст і участь,
• рекомендація, коли навчання оновлювати.

Загальний вебінар без знання вашого середовища підвищить обізнаність, але не створить правил, на які можна спертися на практиці. Якщо у вас немає ресурсу скласти це самостійно, ми робимо це як послугу — перелік інструментів, правила і навчання ШІ для компаній на ваших реальних випадках, із записом, який можна підтвердити. Можливості фінансування підсумовує огляд дотацій на навчання ШІ у 2026 році.

Що реально загрожує, якщо ви не зробите нічого

Тут потрібно бути точним, бо навколо цього ходить багато залякування. Каталог штрафів у статті 99 AI Act не встановлює за порушення статті 4 окремої автоматичної ставки в мільйонах євро. Але це не означає, що йдеться про добровільну рекомендацію. Згідно з чинними роз’яснювальними питаннями й відповідями Європейської комісії, національні органи нагляду за ринком можуть накладати пропорційні санкції та інші заходи виправлення відповідно до національного права; наглядові та примусові правила застосовуються з серпня 2026 року. Тому конкретний чеський орган, порядок і санкцію потрібно перевірити за регулюванням, чинним на момент перевірки.

Проте практичний ризик виникає раніше й в іншому місці:

• працівник вставить непублічні дані в недозволений сервіс — це справа GDPR і комерційної таємниці, а не AI Act,
• компанія надішле клієнтові вигадану інформацію і відповідає за неї (див. Air Canada),
• результат ШІ стане підставою для кадрового рішення, а компанія не вміє його обґрунтувати,
• за будь-якого спору чи перевірки позиція компанії, яка не навчила людей і не має правил, є значно слабшою за позицію компанії, яка має датовану внутрішню інструкцію й документально підтверджену участь у навчанні.

Сертифікат із написом «AI Act compliant» від постачальника інструмента цього не змінить. Відповідальність за спосіб використання у власній компанії на виробника перекласти не можна.

Контрольний перелік для власника компанії

Це не перелік законодавчих вимог — це практичний порядок дій, як дійти до пропорційних заходів:

• Складіть перелік інструментів ШІ, які компанія затвердила.
• З’ясуйте, що люди використовують без затвердження — зазвичай це відрізняється.
• До кожного інструмента опишіть призначення, дані й відповідальну особу.
• Відокремте звичайну підтримку роботи від найму, оцінювання людей та інших чутливих рішень.
• Встановіть письмово, що не можна вставляти в публічні сервіси ШІ.
• Навчіть людей за ролями і збережіть як зміст, так і участь.
• Перегляньте права доступу в SharePoint і на спільних дисках, перш ніж запустите Copilot.
• Перевірку повторюйте при впровадженні нового інструмента або зміні процесу.

Часті запитання

Чи має кожна компанія обов’язкове навчання ШІ?

Якщо компанія надає системи ШІ або використовує їх у своїй діяльності, вона має вжити пропорційних заходів щодо ШІ-грамотності. Регламент не приписує ані формату курсу, ані тривалості чи підсумкового іспиту — він приписує, що заходи мають відповідати ризикам і контексту використання.

Чи стосується AI Act і використання ChatGPT або Copilot?

Так. Якщо працівники використовують інструмент від імені компанії — для маркетингу, перекладів, аналізу даних чи спілкування з клієнтами, — компанія має вжити пропорційних заходів щодо їхньої ШІ-грамотності. Конкретну форму, тобто, наприклад, правила для даних, контроль результатів і навчання за ролями, вона обирає сама; регламент їй цього не приписує.

Чи було обов’язок ШІ-грамотності відкладено на 2027 рік?

Ні. Відкладено було окремі обов’язки для високоризикових систем. Стаття 4 застосовується з 2. 2. 2025.

Чи потрібен нам сертифікат або корпоративний AI officer?

Ні. Для виконання статті 4 AI Act не вимагає ані сертифіката, ані конкретної організаційної функції. Але компанія має вміти підтвердити, яких заходів і коли вона вжила.

Коли почнуть діяти правила для високоризикового ШІ?

Для сфер за додатком III, наприклад для деяких систем у наймі та працевлаштуванні, — з 2. 12. 2027. Для ШІ як компонента безпеки регульованих виробів за додатком I — з 2. 8. 2028.

Первинні джерела щодо чинного графіка

• Регламент (ЄС) 2024/1689 — AI Act
• Регламент (ЄС) 2026/1744 — AI Omnibus
• Європейська комісія: AI Omnibus набув чинності
• Європейська комісія: питання та відповіді щодо ШІ-грамотності

Де нас знайти

ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.

Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).