Акт на ЕС за ИИ: класифицирайте случаите на употреба и планирайте доказателствата

Управлението на ИИ започва със знанието кои системи организацията предоставя, внедрява или по друг начин прави достъпни. Списък с имена на модели не е достатъчен: предвидената цел, условията на внедряване и вашата роля определят задълженията, които трябва да бъдат разгледани.

За ръководството класификацията е решение за разпределение на ресурси, а не само правна оценка. Тя определя кои проекти се нуждаят от специализиран преглед, какво трябва да докажат доставчиците и какви доказателства трябва да съществуват преди пускането в употреба. Инструмент за подбор на персонал и вътрешен асистент за писане могат да използват един и същ модел, но да изискват много различни оценки.

Полезният резултат е прегледан регистър на случаите на употреба, свързан със собственици, изисквания, доказателства и решения за промени, а не общ за цялата компания етикет „ИИ с нисък риск“.

Установете обхвата и отговорността, преди да определяте риска

Актът на ЕС за изкуствения интелект е регламент със задължения, които зависят от дейността, системата и оператора. Териториалният му обхват включва доставчиците, които пускат системи на пазара на ЕС или ги пускат в действие, внедрителите, установени или намиращи се в ЕС, както и определени доставчици и внедрители извън ЕС, когато резултатите от системата се използват в ЕС. Гражданството само по себе си не е критерият.

Възложете на правни и технически проверяващи да установят дали приложението отговаря на определението на Акта за система с ИИ и дали се прилагат съответни изключения от обхвата. Не приемайте, че всеки скрипт за автоматизация е ИИ или че услуга, хоствана външно, е извън вашите отговорности.

След това запишете своята роля:

• Доставчик: разработва система или възлага разработването ѝ и я пуска на пазара или в действие със собственото си име или търговска марка.
• Внедрител: използва система под свой контрол в професионален контекст.
• Вносител или дистрибутор: въвежда съответните системи на пазара на ЕС или ги предоставя чрез веригата на доставки, със свързаните задължения за проверка.
• Производител на продукт или упълномощен представител: има отговорности, произтичащи от конкретната договореност за продукта или от писменото пълномощно.

Една организация може да заема различни роли в своето портфолио. Закупуването на API не определя ролята на крайното приложение. Пребрандирането, съществената промяна или промяната на предвидената цел могат да задействат отговорности на доставчик при приложимите условия. Затова фината настройка е повод за преглед, а не автоматично правно заключение.

Разграничавайте модела на ИИ с общо предназначение от системата, изградена около него. Задълженията на доставчика на модела и задълженията за системите надолу по веригата са свързани, но не са взаимозаменяеми.

Изградете опис на случаите на употреба, който подкрепя решенията

Инвентаризирайте бизнес функциите, а не само доставчиците. Интервюирайте отделите за снабдяване, HR, продукти, операции и ИТ: ИИ може да пристигне като нова функция на съществуващ доставчик, а не чрез специална покупка.

За всеки случай на употреба записвайте:

Записвайте реалните работни процеси наред с предвидената цел. Инструмент, описан като „помощ за специалистите по подбор“, може на практика да изключва кандидати, ако служителите преглеждат само неговия кратък списък. Писмена политика, която изисква човешки преглед, не доказва, че прегледът се извършва.

Резултатът е версиониран запис за всеки случай на употреба. Нерешените класификации трябва да остават видимо нерешени, със собственик и краен срок за решение, вместо по подразбиране да попадат в най-малко взискателната категория.

Оценявайте отделно забраните, пътищата към висок риск и прозрачността

Познатото описание с четири нива – забранени, с висок риск, свързани с прозрачност и с по-нисък риск – е полезно въведение. То не е пълно дърво за вземане на решения. Задълженията за прозрачност могат да се припокриват със задълженията за системите с висок риск, а задълженията за грамотност в областта на ИИ не се ограничават до системите с висок риск.

Първо проверете за забранени практики

Член 5 забранява определени практики при спазване на подробните условия и изключения в разпоредбата. Съответните въпроси за проверка включват дали системата използва вредна манипулация или експлоатира уязвимости, извършва забранено социално оценяване, създава бази данни за разпознаване на лица чрез нецеленасочено извличане или извършва забранена биометрична категоризация.

Основаното на ИИ извеждане на емоции от биометрични данни на работното място и в образователните институции също е забранено, освен по определени медицински причини или съображения за безопасност. Анализът на настроения само в текст не попада в тази забрана само защото оценява емоционалния тон. За определени биометрични употреби в правоприлагането има строго ограничени правила; „всяко разпознаване на лица е забранено“ не е точен заместител на оценката.

Ескалирайте възможна забранена практика преди снабдяването или внедряването. Доказателствата трябва да описват функционалността и правната обосновка, а не просто да повтарят изявлението на доставчика за „етичен ИИ“.

Проверете и двата пътя към класификация като система с висок риск

Пътят на регулираните продукти, член 6, параграф 1: проверете дали ИИ сам по себе си е продукт или защитен елемент на продукт, обхванат от съответното законодателство в Приложение I, и дали този продукт изисква оценяване на съответствието от трета страна. И двете условия имат значение. Използвайте изменения правен текст за конкретния режим на продукта; вграждането на ИИ само по себе си не установява статус на висок риск.

Пътят по Приложение III, член 6, параграф 2: проверете дали предвидената функция съответства на изброен случай на употреба. Осемте области са широки рубрики, а не правила, които правят всяко приложение в даден отрасъл високорисково.

Прочетете подробните точки и изключения. Например откриването на финансови измами се разграничава от изброената употреба за кредитоспособност, а проверката на документи за пътуване е изключена от съответната точка за идентификация при миграцията. Административната организация на кампания не е равностойна на влияние върху избирателите.

Оценявайте прозрачността дори когато правилата за висок риск не се прилагат

Член 50 урежда определени взаимодействия и резултати. В зависимост от ролята и обстоятелствата задълженията се отнасят до информирането на хората, че взаимодействат с ИИ, машинночетимото маркиране на синтетични резултати, оповестяването на дълбинни фалшификати и определени генерирани от ИИ текстове от обществен интерес. За употребите за разпознаване на емоции и биометрична категоризация, когато са разрешени, също има разпоредби за оповестяване.

Не свеждайте това до „маркирайте всеки документ, изготвен с помощта на ИИ“. Определете коя разпоредба се прилага, кой трябва да действа и дали е относимо някое изключение. Пазете формулировката на уведомленията, разположението им, договореностите за маркиране на резултатите и резултатите от тестовете като доказателства.

Третирайте изключението по член 6, параграф 3 като документирана оценка

Някои системи по Приложение III могат да попаднат извън класификацията като високорискови съгласно член 6, параграф 3. Това не е общо освобождаване за инструменти, при които някъде в процеса участва човек.

Оценката трябва да разгледа дали системата създава значителен риск от вреда за здравето, безопасността или основните права, включително дали влияе съществено върху резултата от вземането на решения. Разпоредбата посочва обстоятелства, свързани с тесни процедурни задачи, подобряване на резултата от предходно извършена човешка дейност, откриване на модели или отклонения при определени условия за преглед и подготвителни задачи. Позоваването на изключението изисква изпълнение на поне едно от тези условия и установяване, че системата не създава посочения значителен риск.

Доставчик, който се позовава на това изключение, трябва да документира оценката, преди да пусне системата на пазара или в действие, и да изпълни приложимото задължение за регистрация. Важно е, че система по Приложение III, която извършва профилиране на физически лица, остава високорискова; това не означава, че всяка система за профилиране във всеки контекст автоматично става високорискова.

Доказателствата трябва да обясняват каква информация използва системата, как резултатите влияят на проверяващите и дали уж подготвителната задача определя кой ще бъде разгледан по същество. Включете наблюдения на работния процес и представителни резултати. Изречението „човек взема окончателното решение“ е недостатъчно, ако класирането, филтрирането или препоръките на практика определят това решение.

Планирайте според актуалните дати на прилагане

Към проверката на 7 октомври 2026 г. актуалният преглед и график на Европейската комисия за Акта за ИИ посочва следните етапи:

Проверете изменения правен текст и конкретните преходни разпоредби, които се отнасят до вас. Съществуващите системи, датите на пускане на моделите на пазара, промените и конкретните договорености на операторите може да изискват допълнителен анализ. По-старите ръководства може все още да показват по-ранни дати за системите с висок риск.

Не тълкувайте актуализирания график за системите с висок риск като отлагане на целия Акт. Предвидете отделен бюджет за вече приложимите задължения и за подготовката за съответния режим за системите с висок риск. Регистърът ви трябва да посочва приложимия етап и източника, използван за установяването му.

Превърнете класификацията в план за доказателствата

Отговорностите на доставчика и на внедрителя са различни. Ръководството трябва да изисква план, специфичен за ролята, вместо да възлага всяко задължение на всеки екип.

Ако предоставяте система с висок риск

Изискванията за системите с висок риск и задълженията на доставчиците обхващат управлението на риска, управлението на данните, техническата документация, водене на записи, информацията за внедрителите, човешкия надзор, точността, устойчивостта, киберсигурността и управлението на качеството. Приложимите процеси за оценяване на съответствието, декларация, маркировка, регистрация, мониторинг след пускането на пазара и инциденти също трябва да бъдат планирани.

Превърнете ги в резултати:

• Оценка на риска през жизнения цикъл с мерки за смекчаване, остатъчни рискове и решения за одобрение.
• Записи за произхода, пригодността и качеството на данните, когато са относими към системата.
• Техническа документация, посочваща целта, дизайна, зависимостите, ограниченията и методите за оценка.
• Резултати от тестове, свързани с критериите за приемане и контекста на внедряване.
• Инструкции за надзора, обясняващи намесата, отмяната и ескалацията.
• Спецификации за логването, договорености за мониторинг и процедури при инциденти.
• План за работата по съответствието, посочващ приложимия път и изискваните записи.

Не всяка система с висок риск следва един и същ път на оценяване. Не планирайте бюджет за универсален одит от трета страна и не третирайте сертификат за сигурност като доказателство за съответствие с Акта за ИИ.

Ако внедрявате система с висок риск

Съсредоточете се върху използването на системата съгласно инструкциите, възлагането на компетентен надзор, наблюдението на употребата ѝ и поддържането на изискваните записи. Обърнете внимание на пригодността на входните данни, когато контролирате тези данни, и на приложимите изисквания за информиране на работниците или засегнатите лица.

Поискайте от доставчиците съответните инструкции, ограничения, изисквания за надзор и информация за съответствието. Установете какво не могат да предоставят и кой ще отстрани пропуска. Декларация за увереност от доставчика не установява, че вашата локална конфигурация е подходяща.

Преценете дали за вашата категория внедрител и случай на употреба се изисква оценка на въздействието върху основните права. Тя не е универсална за всички внедрявания. Когато са засегнати лични данни, оценете отделно изискванията на ОРЗД; оценката на въздействието върху защитата на данните и оценката по Акта за ИИ служат на различни правни цели, дори когато доказателствата се припокриват.

За всеки резултат посочете собственик, проверяващ, краен срок, местоположение на източника и критерий за приемане. „Политиката е качена“ не е равностойно на „контролът е доказан“.

Практически пример: един модел, две бизнес решения

Илюстративни допускания: работодател в ЕС използва езиков модел на трета страна за вътрешен асистент за писане и за отделно приложение за подбор на персонал. Приложението за подбор оценява кандидатите спрямо критериите за длъжността и представя класиран кратък списък. Работодателят използва и двете вътрешно; точните му роли като оператор изискват преглед.

За асистента за писане запишете разрешените задачи по изготвяне на текстове, ограниченията за данните, прегледа на резултатите и евентуалните приложими изисквания за прозрачност. Обичайното вътрешно изготвяне на текстове не става високорисково само защото използва ИИ. Разширяването към оценяване във връзка с трудовите правоотношения би наложило преоценка.

За подбора на персонал точката за заетост в Приложение III е пряко относима. Прегледайте оценяването и профилирането на кандидатите, а не само описанието на интерфейса. Ако специалистите по подбор разглеждат само кандидатите от краткия списък, системата съществено определя достъпа до заетост. Човешкото одобрение на окончателното назначение не премахва това влияние.

Следователно решението на ръководството е различно за всяко приложение. Асистентът за писане може да продължи с пропорционални контроли след преглед. Проектът за подбор на персонал се нуждае от план за готовност за системи с висок риск, доказателства от доставчика, обучен надзор, оценка на локалната употреба и документирано решение за пускане в употреба.

Ако екипът предложи функцията за подбор да бъде променена в планиране на графика за интервюта, оценете наново тази нова цел и работния процес. Планирането може да е тясна процедурна задача, но запазването на оценяването на кандидатите зад кулисите би подкопало преразгледаната обосновка. Версионирайте решението, вместо да презаписвате първоначалния запис.

Направете отговорността видима в оперативните решения

Определете бизнес собственик, който може да обясни целта и да одобри ресурси, технически собственик, който може да обоснове поведението на системата, и правен проверяващ или проверяващ по съответствието, който може да оспори класификацията. Одобрението от изпълнителното ръководство трябва да решава въпросите за финансирането, ограниченията при пускането в употреба и нерешените рискове, а не да замества специализирания анализ.

Като практическа препоръка преглеждайте класификацията, когато се променят целта, потребителите, данните, интеграциите, автономността или влиянието върху съществени решения. Свържете този преглед с подновяването на договори за снабдяване и с издаването на нови версии на продуктите. Само актуализация на модела може да не промени класификацията, но може да обезсили доказателствата от оценката или оперативните допускания.

Честите грешки включват приемане на класификации, валидни за целия доставчик, допускането, че човешкият преглед автоматично създава изключение, пренебрегване на вече приложимите задължения за грамотност и прозрачност и събиране на документи без тестване на локалната работа. Система за управление по ISO/IEC 42001 може да подкрепи управлението, но сертифицирането не установява автоматично съответствие с Акта за ИИ.

Secani може да подкрепи процеса за доказателства, като свързва изисквания, контроли, изходни материали, собственици, задачи и прегледани решения. Започнете с един процес, свържете доказателствата с това, което доказват, и пазете коментарите, одобренията и времевите отметки заедно със съществените заключения. Третирайте предложенията с помощта на ИИ като чернови за човешки преглед, а не като правни определения. Нашето ръководство за управление на ИИ агенти предлага практически контроли за правата и прегледа.

Следващата полезна стъпка е фокусиран семинар за класификация: изберете най-значимите действащи случаи на употреба, поканете техните бизнес и технически собственици и изгответе прегледани записи с нерешените въпроси и задачите за доказателства. Това дава на ръководството защитима основа да реши какво може да продължи, какво изисква условия и какво се нуждае от допълнителна оценка.