ISO 42001 и Регламент ЕС об ИИ для грузинских экспортёров программного обеспечения
Регламент ЕС об искусственном интеллекте распространяется на системы ИИ, выведенные на рынок ЕС или используемые в ЕС, независимо от того, где находится разработчик. Для грузинских компаний, создающих функции ИИ для клиентов из ЕС, ISO/IEC 42001 является практичным способом организовать эту работу.
Почему это касается грузинской компании
Регламент об ИИ (Регламент (ЕС) 2024/1689) вступил в силу 1 августа 2024 года. Он распространяется на поставщиков, выводящих системы ИИ на рынок ЕС, на эксплуатантов, использующих ИИ в ЕС, а также на поставщиков и эксплуатантов за пределами ЕС, если результаты работы системы используются в ЕС. Команда в Тбилиси, которая разрабатывает инструмент отбора кандидатов для немецкого клиента или модель кредитного скоринга для литовского кредитора, попадает в сферу его действия через отношения с клиентом, хотя Грузия и не является членом ЕС.
На практике клиенты из ЕС переносят требования Регламента в договоры и опросники для поставщиков. Грузинский поставщик должен уметь сказать, какую роль он выполняет, к какой категории риска относится система и какие доказательства он может предоставить.
Сроки по состоянию на октябрь 2026 года
- 2 февраля 2025 года. Начали действовать запреты на отдельные практики ИИ, например социальный рейтинг и манипулятивные техники.
- 2 августа 2025 года. Начали действовать обязательства поставщиков моделей ИИ общего назначения.
- 2 августа 2026 года. Начали действовать обязательства по прозрачности по статье 50, например сообщать людям, что они взаимодействуют с системой ИИ, и маркировать созданный ИИ контент. Для генеративных систем, выведенных на рынок до этой даты, срок выполнения требования о маркировке продлён до 2 декабря 2026 года.
- 2 декабря 2027 года. Начинают действовать обязательства для систем высокого риска из приложения III (например, в сферах занятости, кредитного скоринга, образования, доступа к основным услугам). Этот срок перенесён с августа 2026 года пакетом упрощающих поправок по ИИ (так называемым «цифровым омнибусом»), принятым ЕС в середине 2026 года.
- 2 августа 2028 года. Обязательства для систем ИИ высокого риска, которые являются компонентами безопасности продукции, подпадающей под законодательство ЕС о продукции из приложения I.
Отсрочка для систем высокого риска это время на подготовку, а не повод ждать. Клиенты уже сейчас спрашивают в тендерах о классификации рисков и управлении ИИ.
Что такое ISO/IEC 42001
ISO/IEC 42001:2023 устанавливает требования к системе менеджмента искусственного интеллекта. Он построен по той же структуре, что ISO/IEC 27001 и ISO 9001: среда организации, лидерство, планирование, обеспечение, деятельность, оценка результатов и улучшение. Помимо этого, он требует оценки рисков ИИ, оценки воздействия систем ИИ на отдельных людей и общество и набора мер из приложения А по данным, прозрачности, человеческому надзору, жизненному циклу системы ИИ и третьим сторонам.
Сертификацию по ISO/IEC 42001 проводят аккредитованные органы по сертификации. Сама по себе она не доказывает соответствие Регламенту об ИИ. Но она даёт управляемый процесс, который формирует значительную часть доказательств, ожидаемых Регламентом.
Как они сочетаются
- Перечень и роль. Составьте список всех систем и моделей ИИ, которые вы создаёте или используете, и зафиксируйте, выступаете ли вы по каждой из них поставщиком, эксплуатантом, импортёром или дистрибьютором. Система менеджмента ИИ требует такого перечня, а применение Регламента от него зависит.
- Классификация рисков. Отнесите каждую систему к одной из категорий Регламента: запрещённые, высокого риска, ограниченного риска с обязательствами по прозрачности или минимального риска. Зафиксируйте обоснование.
- Оценка воздействия. Оценку воздействия по ISO/IEC 42001 можно выстроить так, чтобы она охватывала и то, чего Регламент ожидает от управления рисками для систем высокого риска.
- Управление данными. Источники обучающих, валидационных и тестовых данных, проверки качества и тестирование на предвзятость, задокументированные в одном месте.
- Техническая документация и журналы. Меры управления жизненным циклом в системе менеджмента ИИ могут формировать записи, которые обязан вести поставщик системы высокого риска.
- Человеческий надзор и прозрачность. Инструкции по применению, уведомления для пользователей и меры надзора, определённые для каждой системы.
- Контроль поставщиков. Если вы строите решения на сторонних моделях, система менеджмента ИИ управляет тем, что вы о них знаете и что передаёте клиентам.
Персональные данные и безопасность
Проекты в области ИИ почти всегда связаны с персональными данными. К субъектам данных из ЕС применяется GDPR, а к обработке в Грузии Закон Грузии «О защите персональных данных», включая оценку воздействия для обработки с высоким риском. Безопасность моделей, конвейеров данных и инфраструктуры для работы моделей обычно лучше всего обеспечивать в рамках действующей СМИБ по ISO/IEC 27001, добавив к ней систему менеджмента ИИ. См. нашу страницу о GDPR и статью «ISO 27001 для IT-компаний».
Чем помогает BALTUM
Мы начинаем с перечня систем ИИ, определения ролей и классификации рисков по Регламенту об ИИ, затем проводим оценку несоответствий относительно ISO/IEC 42001. Мы помогаем разработать политику в области ИИ, методику оценки воздействия и меры управления жизненным циклом, интегрировать их с вашей СМИБ, если она есть, обучить продуктовые и инженерные команды и провести внутренний аудит перед сертификацией в аккредитованном органе. План и продолжительность определяются после первичной оценки. Подробнее на нашей странице ISO 42001.
Эта статья носит общий информационный характер и не является юридической консультацией. Чтобы обсудить ваши продукты с ИИ, воспользуйтесь формой на этом сайте или напишите на info@baltum.org.
Частые вопросы
Распространяется ли Регламент ЕС об ИИ на компанию, зарегистрированную в Грузии?
Может распространяться. Регламент применяется к поставщикам, выводящим системы ИИ на рынок ЕС, и к поставщикам за пределами ЕС, результаты работы систем которых используются в ЕС, независимо от места регистрации компании.
Достаточно ли сертификата ISO 42001 для соответствия Регламенту об ИИ?
Нет. Сертификат ISO/IEC 42001 показывает, что у вас действует проверяемая аудитом система менеджмента ИИ. Для соответствия Регламенту, особенно в отношении систем высокого риска, действуют собственные конкретные требования, хотя значительную часть доказательств даёт система менеджмента ИИ.
