Специалист по обеспечению соответствия Закону ЕС об искусственном интеллекте

Практические навыки, указанные в статье Регламента (ЕС) 2024/1689. Три решения, отсутствие исполнительной стратегии в области ИИ:

1. К какому уровню относится данная система ИИ? — запрещенная (статья 5) / высокорисковая (статья 6 + приложение III) / с ограниченным риском и требованием прозрачности (статья 50) / с минимальным риском
2. Для систем с высоким уровнем риска: каков порядок оценки соответствия и комплект документации? — Статья 43, модуль A против модуля H + техническая документация согласно Приложению IV
3. Каковы обязательства в зависимости от организационной роли? — матрица поставщика / внедренца / импортера / дистрибьютора / уполномоченного представителя в соответствии со статьями 16, 22, 25, 26

Данная должность НЕ является должностью главного советника по искусственному интеллекту (CAIO). CAIO принимает решение о том, выпускать ли функцию ИИ вообще, и принимает на себя бизнес-риск. Данная должность отвечает за работу по обеспечению соответствия, которая превращает решение «мы это выпустим» в артефакты, соответствующие требованиям статей.

Данная должность НЕ является юридической заменой. Закон является обязательным к исполнению нормативным актом. В новых случаях (является ли это моделью GPAI? Применимо ли исключение, предусмотренное статьёй 6(2)? Является ли тонкая настройка базовой модели «существенным изменением»?) следует привлекать квалифицированного внешнего юрисконсульта. Данная квалификация ссылается на статьи и приложения, а также использует интерпретации, опубликованные Комиссией/Европейским комитетом по защите данных (EDPB), но не предоставляет юридического заключения, имеющего обязательную силу.

Данный навык НЕ является GDPR. Многие системы ИИ также подпадают под действие GDPR (обучающие данные, обработка результатов). См. ra-qm-team/skills/gdpr-dsgvo-expert/ для работы с DPIA и правовыми основаниями. Законы взаимодействуют между собой (преамбула 10, статья 10 в отношении обучающих данных с высоким риском).

Ключевые слова

Закон ЕС об ИИ, Регламент ЕС об ИИ, Регламент 2024/1689, Закон об ИИ, Регламент об ИИ в Европе, ИИ с высоким уровнем риска, запрещённый ИИ, статья 5 Закона об ИИ, статья 6 Закона об ИИ, статья 9 Закона об ИИ, статья 50 Закона об ИИ, приложение III, приложение IV, оценка соответствия, маркировка CE для ИИ, уполномоченный орган по ИИ, модуль A, модуль H, техническая документация по ИИ, мониторинг ИИ после вывода на рынок, оценка воздействия на основные права, FRIA, GPAI, модель ИИ общего назначения, системный риск GPAI, Управление по ИИ, ENISA по ИИ, EDPB по ИИ, график реализации Закона об ИИ, штрафы по Закону об ИИ, поставщик в соответствии с Законом ЕС об ИИ, оператор в соответствии с Законом ЕС об ИИ, импортер в соответствии с Законом ЕС об ИИ, дистрибьютор в соответствии с Законом ЕС об ИИ, штрафы по Закону ЕС об ИИ, грамотность в области ИИ

Быстрый старт

# Решение A: Классификация системы ИИ в соответствии с Законом
python scripts/ai_system_risk_classifier.py                       # встроенный пример с 5 системами
python scripts/ai_system_risk_classifier.py path/to/systems.json

# Решение B: План оценки соответствия для системы с высоким уровнем риска
python scripts/conformity_assessment_planner.py                   # встроенный пример системы с высоким уровнем риска
python scripts/conformity_assessment_planner.py path/to/system.json

# Решение C: Система отслеживания обязательств по организационным ролям
python scripts/ai_act_obligation_tracker.py                       # встроенный пример (поставщик + внедряющая сторона)
python scripts/ai_act_obligation_tracker.py путь/к/roles.json

Ключевые вопросы (задавайте их в первую очередь)

• Подпадает ли данная система ИИ под действие статьи 5 (запрещённые практики)? Социальное оценивание, распознавание эмоций на рабочем месте/в образовании, манипулятивные подсознательные приёмы, удалённая биометрическая идентификация в режиме реального времени в общественных местах — всё это категорически запрещено.
• Подпадает ли она под Приложение III (категории высокого риска)? 8 категорий: биометрия, критически важная инфраструктура, образование, занятость, жизненно важные услуги, правоохранительная деятельность, миграция, правосудие. Применение Приложения III влечет за собой применение статьи 6(2) — за исключением случаев, когда действуют исключения, предусмотренные статьей 6(3).
• Какую организационную роль играет компания? Поставщик (выводит на рынок), оператор (использует по собственному усмотрению), импортер (выводит систему из третьей страны на рынок ЕС), дистрибьютор (обеспечивает доступность в цепочке поставок). Многие компании одновременно являются и поставщиками, и операторами.
• Является ли это моделью ИИ общего назначения? Для моделей ИИ общего назначения предусмотрен отдельный порядок (статьи 51–55) с более строгими правилами при вычислительной мощности обучения свыше 10²⁵ ФЛОП (системный риск, предусмотренный статьёй 51).
• Для систем с высоким риском: провели ли мы управление рисками в соответствии со статьёй 9 И оценку воздействия на основные права(FRIA) в соответствии со статьёй 27? Статья 9 касается управления рисками на протяжении жизненного цикла; статья 27 — оценки воздействия на основные права для внедряющих организаций государственного сектора и в сфере жизненно важных услуг.
• Каков модуль оценки соответствия согласно статье 43? Модуль A (внутренний контроль, возможен для большинства систем, указанных в Приложении III) против модуля H (полная система управления качеством + уполномоченный орган, требуется для биометрических систем и иногда для других).

Основные обязанности

1. Классификация рисков систем ИИ

Концептуальная основа: Закон использует подход, основанный на оценке рисков (пункт 26 преамбулы). Каждая система ИИ относится ровно к одному из четырёх уровней:

Важные исключения (статья 6(3)): система, описанная в Приложении III, НЕ относится к категории высокого риска, если она (a) выполняет узкую процедурную задачу, (b) улучшает результат ранее выполненной человеческой деятельности, (c) выявляет закономерности принятия решений, не заменяя при этом оценку человека, (d) выполняет подготовительную задачу. Предупреждение: профилирование физических лиц всегда относится к категории высокого риска по Приложению III, независимо от исключений.

Запустите скрипт ai_system_risk_classifier.py с характеристиками системы. Инструмент сначала проверяет запреты, предусмотренные статьёй 5, затем категории Приложения III, далее исключения, предусмотренные статьёй 6(3), затем требования к прозрачности, предусмотренные статьёй 50, и, наконец, по умолчанию — категорию «минимальный риск».

См. фа йл references/eu_ai_act_titles.md для полного пошагового руководства по каждой статье.

2. Оценка соответствия + техническая документация по Приложению IV

Нормативно-правовая база (статья 43 + Приложения VI/VII): в случае систем ИИ с высоким уровнем риска поставщик должен подтвердить их соответствие требованиям перед выпуском на рынок. Существуют два пути:

• Модуль A — Внутренний контроль (Приложение VI): поставщик проводит самооценку на соответствие требованиям. Применяется к большинству систем, перечисленных в Приложении III, в которых поставщик внедрил гармонизированные стандарты.
• Модуль H — Полная система управления качеством + техническая документация (Приложение VII): участие уполномоченного органа. Требуется для биометрических систем (статья 43(1)).

Необходимые документы в соответствии с Приложением IV — Техническая документация:

1. Общее описание системы ИИ (предполагаемое назначение, идентификация, версия)
2. Подробное описание элементов системы (архитектура, обучающие данные, процедуры валидации)
3. Информация о мониторинге, функционировании и контроле
4. Описание системы управления рисками (статья 9)
5. Описание изменений после вывода на рынок
6. Перечень применённых гармонизированных стандартов (или альтернативных)
7. Декларация о соответствии ЕС (статья 47)
8. Описание системы мониторинга после вывода на рынок (статья 72)

Запустите скрипт «conformity_assessment_planner.py», чтобы выбрать модуль и сгенерировать контрольный список по Приложению IV для данной системы высокого риска.

См. файл references/high_risk_systems_annex_iii.md, чтобы узнать, для каких систем требуется какой путь оценки соответствия.

3. Система отслеживания обязательств по ролям

Нормативно-правовая база (статьи 16, 22, 23, 24, 25, 26): Закон проводит разграничение между обязательствами поставщика (большинство) и обязательствами последующих участников цепочки (оператор, импортер, дистрибьютор, уполномоченный представитель). Одна компания может одновременно выполнять несколько ролей.

Важно: в соответствии со статьей 25 оператор, который существенно модифицирует систему ИИ с высоким уровнем риска или размещает ее на рынке под собственным именем, становится поставщиком и принимает на себя обязательства поставщика.

Запустите скрипт ai_act_obligation_tracker.py с файлом JSON, содержащим роли, чтобы сгенерировать матрицу обязательств, отсортированную по срокам выполнения.

См. фа йл references/gpai_obligations.md для отдельного отслеживания статей 51–55 GPAI.

Рабочие процессы

Рабочий процесс 1: Вводная экспертиза системы ИИ (на каждую систему, ~2 часа)

Цель: классифицировать систему, определить обязательства, определить объем работ по обеспечению соответствия.

# 1. Задокументировать характеристики системы: назначение, пользователи, данные, степень автономности, контекст развертывания
# 2. Запустить классификатор
python scripts/ai_system_risk_classifier.py systems.json
# 3. В случае высокого риска: запустить планировщик
python scripts/conformity_assessment_planner.py system.json
# 4. Определить выполняемые организацией роли (поставщик / развертывающий / и то, и другое)
python scripts/ai_act_obligation_tracker.py roles.json
# 5. Сверка с результатами оценки воздействия на защиту данных (DPIA) в соответствии с GDPR (gdpr-dsgvo-expert), если речь идет о персональных данных
# 6. Сверка с доказательствами соответствия требованиям стандарта ISO 42001 (AIMS) (compliance-team-iso42001)
# 7. Результат: меморандум о классификации + план обеспечения соответствия + перечень обязательств

Рабочий процесс 2: Составление технической документации по Приложению IV (для каждой системы с высоким риском, 2–4 недели)

Цель: сформировать пакет документов для Приложения IV до проведения оценки соответствия.

# 1. Запустить планировщик оценки соответствия для получения контрольного списка
python scripts/conformity_assessment_planner.py system.json
# 2. Собрать: описание системы, архитектуру, обучающие данные, валидацию, управление рисками
# 3. Ссылаться на доказательства по ISO 42001 там, где они соответствуют пунктам Приложения IV
# 4. Ссылаться на доказательства по ISO 27001 в отношении мер безопасности
# 5. Запустить жизненный цикл управления рисками в соответствии со Статьёй 9
# 6. Подписать декларацию о соответствии ЕС (статья 47) ПОСЛЕ успешного прохождения оценки
# 7. Нанести маркировку CE (статья 48)
# 8. Зарегистрироваться в базе данных ЕС (статья 71) — системы с высоким риском, указанные в Приложении III

Рабочий процесс 3: Аудит обязательных требований перед внедрением (для каждой системы, до запуска)

Цель: подтвердить, что все действующие обязательства выполнены до размещения продукта на рынке ЕС.

# 1. Убедиться, что классификация по-прежнему верна (повторно запустить классификатор, если система изменилась)
# 2. Убедиться, что оценка соответствия завершена (если система относится к категории высокого риска)
# 3. Убедиться в соблюдении требований к прозрачности (статья 50) — для чат-ботов, дипфейков, систем распознавания эмоций
# 4. Убедиться, что система мониторинга после вывода на рынок (статья 72) работает
# 5. Убедиться, что процедура уведомления о серьезных инцидентах (статья 73) задокументирована
# 6. Для операторов: проведена оценка рисков для работников (FRIA) (статья 27, если применимо); работники проинформированы (статья 26(7))
# 7. Для поставщиков искусственного интеллекта (GPAI): выполнены обязательства по статьям 51–55, если применимо

Рабочий процесс 4: Ежегодное обновление данных о соответствии (для каждой организации, ежегодно)

Цель: повторная проверка классификаций и обязательств по мере поэтапного введения Закона в действие.

1. Составить перечень всех систем ИИ, представленных на рынке ЕС или планируемых к выпуску на рынок ЕС
2. Запустить классификатор для каждой системы — список запрещённых систем по статье 5 может расширяться посредством делегированных актов
3. Запустить систему отслеживания обязательств — сроки сдвигаются по мере постепенного вступления в силу Раздела III (2025 → 2026 → 2027)
4. Для каждой системы с высоким уровнем риска: проверить поток данных мониторинга после вывода на рынок + возможности по уведомлению о серьезных инцидентах
5. Обновить техническую документацию в Приложении IV в соответствии с постоянным требованием статьи 11
6. Совместить с анализом эффективности системы управления в соответствии с ISO 42001 (пункт 9.3), если применяются оба стандарта

Выходные стандарты

**Итог:** [одно предложение — классификация + наиболее значимое обязательство]
**Ссылка на статью:** [номер статьи + номер пункта; не перефразируйте без указания источника]
**Решение:** [одно из следующих: классификация | путь обеспечения соответствия | объем обязательств]
**Доказательства:** [ссылки на статьи и приложения; степень уверенности в классификации]
**Действия:** [3 конкретных следующих шага с ответственным лицом + сроки, согласованные с этапами реализации]
**Ваше решение:** [необходимость обращения к специалисту по обеспечению соответствия или юрисконсульту — споры по классам риска, нестандартные случаи, определение пороговых значений GPAI]

Связанные навыки

• ra-qm-team/skills/gdpr-dsgvo-expert/ — Оценка воздействия на защиту данных (DPIA) в рамках GDPR + правовые основания (большинство систем искусственного интеллекта также подпадают под действие GDPR)
• ra-qm-team/compliance-team-iso42001/ — ISO 42001 AIMS (добровольная система управления, удовлетворяющая частим требованиям статьи 17 по системе управления качеством для поставщиков)
• ra-qm-team/skills/information-security-manager-iso27001/ — ISO 27001 в отношении требований к кибербезопасности (статья 15)
• ra-qm-team/skills/risk-management-specialist/ — Управление рисками по стандарту ISO 14971 (ссылка на ИИ, являющийся компонентом безопасности, в соответствии со статьёй 6(1))
• ra-qm-team/skills/mdr-745-specialist/ — MDR 2017/745 (пересечение с ИИ в медицинских устройствах)
• compliance-os/ — Мета-оркестратор для программ, охватывающих несколько фреймворков
• c-level-advisor/chief-ai-officer-advisor/ — Стратегия ИИ на уровне руководства

Ссылки

• eu_ai_act_titles.md — Пошаговое руководство по статьям разделов I–XII с разбивкой обязательств по внедрителю/поставщику/импортеру/дистрибьютору
• high_risk_systems_annex_iii.md — Приложение III: подробное описание 8 категорий + взаимодействие со статьями 6(2)–(3) + тест на исключение
• gpai_obligations.md — Статьи 51–55: направление GPAI + порог системного риска + правила прозрачности + статус Кодекса практики
• cross_framework_mapping_ai_act.md — Сопоставление уровней контроля между Законом об ИИ ↔ ISO 42001 ↔ NIST AI RMF ↔ GDPR

Версия: 1.0.0 Статус: Готов к внедрению