Продакт-менеджер впервые открывает Закон ЕС об ИИ, находит в статье 6 «высокий риск», решает, что её инструмент для найма явно не относится к высокому риску, выпускает его и лишь позже обнаруживает, что подбор персонала и отбор кандидатов прямо названы в Приложении III — списке видов использования с высоким риском. В её чтении не было ничего ленивого. Она просто прочитала одну статью в отрыве от остального, и именно так почти все начинают изучать регулирование ИИ, и именно поэтому многие заканчивают курс по этому предмету, так и не научившись классифицировать собственную систему.
Тема обманчиво огромна: Закон ЕС об ИИ, Указ Президента США об ИИ, Принципы ОЭСР по ИИ, Рекомендация ЮНЕСКО по этике ИИ, ISO/IEC 42001, Рамки управления рисками ИИ NIST, Рамочная конвенция Совета Европы об ИИ. Каждый из них — документ разного рода с разной юридической силой. Самая распространённая ошибка — не незнание какого-то одного из них, а отношение к ним как к одной большой куче «правил об ИИ» и изучение их в неправильном порядке.
Ошибка первая: заучивание документов вместо понимания, что это за документ
Вот различие, которое всё меняет и которое новички обычно пропускают. Закон ЕС об ИИ — это регламент: обязательный, с обязанностями и санкциями. Указ Президента США — инструмент исполнительной политики: он адресован федеральным агентствам, а не создаёт обязанностей, за нарушение которых вас можно напрямую привлечь к суду. Принципы ОЭСР по ИИ и Рекомендация ЮНЕСКО — мягкое право: они формируют ожидания, язык закупок и государственную политику, но никто не штрафует за них. ISO/IEC 42001 — сертифицируемый стандарт системы менеджмента, то есть проверяемый способ выстраивания управления ИИ. Рамки управления рисками ИИ NIST — добровольное руководство, построенное вокруг направляй, описывай, измеряй и управляй.
Почему это важно на практике? Потому что план соответствия, построенный на неверной категории документа, либо перегружен (месяцы на контроли, которых никто не требует), либо недостаточен (вы говорите совету директоров «мы следуем принципам ОЭСР», когда к вашему продукту применяется обязательный регламент). Первый навык в регулировании ИИ — сортировать документы по юридической силе, а не заучивать их содержание. Подробнее — в статье «Юридические аспекты IT и комплаенс: что разработчики понимают неправильно в GDPR, лицензиях и интеллектуальной собственности — и как выбрать свой путь».
Ошибка вторая: классифицировать технологию, а не способ использования
Люди спрашивают: «Относится ли наша модель к высокому риску?» Вопрос неверен. По Закону ЕС об ИИ риск привязан к назначению и контексту использования, а не к размеру или архитектуре модели. Одна и та же языковая модель имеет низкий риск как помощник по маркетинговым текстам и высокий риск, когда она отбирает соискателей, оценивает кредитоспособность или поддерживает медицинскую сортировку.
Разбор делает это наглядным. Представьте команду, которая строит внутреннего помощника для резюмирования обращений в поддержку. Шаг первый: запишите назначение одним предложением — «резюмировать входящие обращения для операторов». Шаг второй: сверьте это назначение с категориями Приложения III (биометрия, критическая инфраструктура, образование, занятость, основные услуги, правоприменение, миграция, правосудие). Резюмирование обращений в списке отсутствует. Шаг третий: проверьте, питает ли результат решение о человеке — здесь нет; резюме читает оператор. Шаг четвёртый: проверьте обязанности по прозрачности — если бы система взаимодействовала с конечными пользователями напрямую, могли бы применяться требования о раскрытии информации. Ответ не «наша модель — это X», а «это использование, в этом контексте, с таким результатом — это Y».
Измените одну переменную — позвольте тому же помощнику автоматически составлять письма с отказом — и классификация сдвинется, потому что теперь он затрагивает решение о трудоустройстве. Та же модель, другое использование, другие обязанности. Вот механизм, и именно его курс по регулированию ИИ должен отрабатывать, а не просто описывать.
Ошибка третья: читать Закон ЕС об ИИ без карты других рамок
Практик, работающий с глобальным продуктом, редко сталкивается с одним режимом. Полезная мысленная модель многослойна:
| Слой | Примеры | Что регулирует |
|---|---|---|
| Обязательное право | Закон ЕС об ИИ, GDPR, законы штатов США об ИИ | Обязанности, санкции |
| Политическое направление | Указ Президента США об ИИ | Приоритеты агентств, федеральная позиция |
| Стандарты (сертифицируемые) | ISO/IEC 42001 | Система менеджмента, проверяемость |
| Стандарты (добровольные) | NIST AI RMF | Проектирование процесса управления рисками |
| Этические принципы | Принципы ОЭСР по ИИ, Рекомендация ЮНЕСКО | Ценности, закупки, общественные ожидания |
Ошибка — начинать снизу этой таблицы (этика) и надеяться, что это удовлетворит верх (право). Не удовлетворит. Другая ошибка — начинать сверху и игнорировать середину, где ISO/IEC 42001 оправдывает своё существование, потому что система менеджмента — это способ воспроизводимо доказывать, что вы управляете ИИ, а не просто заявляете об этом.
Если ваш продукт также несёт маркировку CE в соответствии с техническими регламентами ЕС, файл соответствия переписывается Законом об ИИ так, что это удивляет команды, считавшие эти две вещи несвязанными..
Ошибка четвёртая: путать управление ИИ с информационной безопасностью
Команды с привычкой к ISO 27001 полагают, что управление ИИ — то же животное с новой биркой. Это не так. ISO 27001 защищает информационные активы — конфиденциальность, целостность, доступность. ISO/IEC 42001 регулирует то, как организация разрабатывает и использует ИИ: оценку рисков систем ИИ, роли и обязанности, управление данными, прозрачность, мониторинг поведения модели во времени. Пересечение реально (оба требуют документированных процессов и анализа со стороны руководства), но объекты различны. Компания может быть прекрасно сертифицирована по ISO 27001 и всё равно не иметь ответа на вопрос: «Кто утвердил назначение этой модели?»
Именно здесь самообучение обычно застревает. Стандарты читаемы, но соответствие между ними не очевидно из какого-либо одного текста, и некому проверить, верно ли вы его выстроили..
Ошибка пятая: учиться в одиночку и никогда не проверять классификацию с кем-то ещё
Схема повторяется. Кто-то читает Закон, строит таблицу, классифицирует свои системы и чувствует уверенность — пока коллега не задаст вопрос, вскрывающий пробел: а как насчёт модели общего назначения, которую мы дообучали, а как насчёт системы поставщика, которую мы интегрируем, а как насчёт пилота, который мы запускали в прошлом квартале и закрыли? Регулирование полно ситуаций, которые выглядят как крайние случаи, пока вы с ними не столкнётесь.
Конкретный пример того, где одиночное обучение ломается: команда интегрирует сторонний инструмент для найма. Кто является провайдером, а кто — развёртывающим лицом по Закону? Ответ полностью меняет обязанности, и его нельзя надёжно вывести за один день работы с текстом. Обратная связь по вашей собственной классификации — вот узкое место, а не доступ к информации.
Какой путь обучения действительно вам подходит
Есть три реалистичных маршрута, и они различаются тем, что вы платите и что получаете.
Самообучение. Бесплатно или дёшево. Вы читаете официальные тексты, стандарты и публичные руководства. Вы получаете широту и ощущение словаря. Вы платите временем и отсутствием коррекции: никто не скажет вам, что ваша классификация неверна, пока это не сделает аудитор.
Практика внутри реального проекта по соответствию. Самая быстрая кривая обучения, самые высокие ставки. Вы учитесь на деле, с коллегами, которые проверяют вашу работу, — но этот маршрут возможен, только если такой проект есть там, где вы работаете, и ошибки совершаются на живых продуктах.
Структурированный курс. Средний путь: кто-то уже выстроил документы по юридической силе, проходит классификацию с примерами и даёт вам место проверить свои рассуждения. Цена — деньги и дисциплина следовать чужому порядку, а не собственному любопытству.
Разумная последовательность для большинства: сначала получить словарь из структурированного источника, затем применить его к своему продукту, затем использовать самообучение, чтобы углубиться в тот единственный режим, который действительно вас обязывает. Делать в обратном порядке — углубляться в Закон до понимания того, как он связан с ISO/IEC 42001 и NIST AI RMF, — это как люди тратят недели и всё равно не могут ответить на вопрос совета директоров.
Кому это подходит, а кому нет
Этот путь вознаграждает тех, кто действительно будет им пользоваться: продакт- и комплаенс-менеджеров компаний, развёртывающих ИИ в ЕС или продающих клиентам в ЕС, основателей, готовящихся к закупочным анкетам, инженеров, которым нужно знать, какая документация требуется их системе, и сотрудников юридических или риск-подразделений, переходящих в сферу ИИ.
Он меньше подходит вам, если вы хотите строить модели, а не управлять ими, — техническая глубина здесь об обязанностях, а не об архитектурах. Он также меньше подходит, если в вашей организации нет систем ИИ и нет планов их внедрять; материал плотный, а ценность в применении. И если вам нужен только однострочный ответ на вопрос «применяется ли к нам Закон?», курс избыточен — прочитайте положения о сфере действия и двигайтесь дальше.
Что сделать на этой неделе
Выберите одну систему ИИ, которую вы действительно используете или строите. Запишите её назначение одним предложением. Сверьте это предложение с категориями Приложения III. Отметьте, питает ли результат решение о человеке. Затем спросите, кто является провайдером и развёртывающим лицом. Если вы можете ответить на все четыре без оговорок, вы уже мыслите как практик. Если нет, этот пробел и есть весь смысл структурированного обучения — и именно его закрывает курс, проходя классификацию на проработанных примерах и позволяя вам проверять свои рассуждения по обратной связи, а не по собственной уверенности.
Курс Регулирование ИИ: Закон ЕС об ИИ и мировые стандарты охватывает Закон ЕС об ИИ, Указ Президента США, Принципы ОЭСР по ИИ, Рекомендацию ЮНЕСКО, ISO/IEC 42001, NIST AI RMF и Рамочную конвенцию Совета Европы об ИИ, с уроками, адаптированными к вашему уровню. Начните с одной системы на вашем столе и классифицируйте её как следует.