← News
ANNOUNCEMENT · 2026-05-07
EU AI Act: с августа 2026 года вступают в силу полномочия по принуждению GPAI
2 августа 2026 года AI Office Европейской Комиссии получает полные полномочия по принуждению в отношении провайдеров general-purpose AI (GPAI) моделей, включая штрафы до 3% глобального оборота или EUR 15 миллионов. Модели до 2025 года имеют срок до 2 августа 2027 года для соответствия.
Что на самом деле открывает milestone 2 августа 2026 года
Сами обязательства GPAI вступили в действие **2 августа 2025 года**, но провайдерам дали год переходного окна, прежде чем Европейская Комиссия могла начать осуществлять надзор и принуждение. Это окно закрывается **2 августа 2026 года**, когда вступают в силу enforcement-полномочия AI Office по Главе V.
*Эта статья — общие рекомендации, не юридический совет. Консультируйтесь с квалифицированными EU-юристами по решениям compliance.*
С этой даты AI Office может формально запрашивать документацию и информацию, проводить оценки моделей, требовать мер соответствия (включая снижение рисков, ограничение рынка, отзыв или изъятие) и налагать штрафы по **Статье 101** Регламента. Максимальные штрафы для провайдеров GPAI — **до 3% глобального годового оборота или EUR 15 миллионов, в зависимости от того, что выше**, за умышленные или небрежные нарушения. Более узкий тир Статьи 99 — до EUR 35 миллионов или 7% оборота — применяется к запрещённым AI-практикам, не к обязательствам GPAI. 2 августа 2026 года, таким образом, не дата новых обязательств; это дата, когда существующие обязательства становятся напрямую enforceable Комиссией.
Кто считается провайдером GPAI (и порог системного риска)
General-purpose AI модель определяется как модель, обученная на широких данных, демонстрирующая значительную общность и способная компетентно выполнять широкий диапазон отличающихся задач независимо от способа размещения на рынке. Провайдер — это сущность, которая разрабатывает или поручает разработку модели и размещает её на рынке EU под своим именем или торговой маркой.
Вторая, более узкая категория — **GPAI-модели с системным риском** — триггерит более тяжёлые обязательства Статей 55 и 56. По **Статье 51** модель презюмируется обладающей high-impact capabilities, когда совокупный compute, использованный для обучения, превышает **10^25 floating-point operations (FLOPs)**. Это опровержимая презумпция: по Статье 52(2) провайдер выше порога может представить обоснованные аргументы, что модель фактически не представляет системного риска, и Комиссия может также назначить модели ниже порога на основании других критериев. Комиссия может обновлять порог делегированным актом.
Критически, руководящие указания Комиссии от июля 2025 года уточнили, что **downstream actor становится новым провайдером GPAI, когда training compute, использованный для модификации, превышает одну треть оригинального training compute**. Незначительный fine-tuning не переворачивает роль; крупномасштабный продолженный pretraining — может.
Обязанности по прозрачности, авторскому праву и downstream-документации
Все провайдеры GPAI, независимо от статуса системного риска, несут четыре базовые обязанности по **Статье 53**:
1. **Техническая документация (Annex XI)**, описывающая дизайн модели, процесс обучения, датасеты, энергопотребление, intended tasks, архитектуру и лицензирование, поддерживаемая и доступная AI Office по запросу.
2. **Downstream-документация (Annex XII)**, предоставляющая интеграторам информацию, необходимую для понимания возможностей и ограничений модели, intended uses и ограничений интеграции.
3. **Политика авторского права**, согласованная с законом об авторском праве EU, включая Directive 2019/790 text-and-data-mining opt-outs. Это значит уважение машиночитаемых rights reservations (таких как robots.txt) во время веб-краулинга и избегание законно недоступных источников.
4. **Публичное резюме обучающего контента** по обязательному шаблону AI Office, достаточно широкое, чтобы rights-holders и публика понимали, какие категории контента использовались.
Полностью свободные и open-source модели, не представляющие системного риска, освобождены от обязанностей 1 и 2, но **не** от политики авторского права или публичного резюме обучения.
Льготные сроки для моделей до 2025 года
Регламент различает модели, размещённые на рынке после 2 августа 2025 года (которые должны быть compliant с первого дня), и **legacy-модели, размещённые на рынке до 2 августа 2025 года**, у которых есть срок до **2 августа 2027 года**, чтобы привести документацию и политики в соответствие.
Этот льготный период узок в двух смыслах. Во-первых, он не задерживает принуждение в отношении post-August-2025 моделей, которое AI Office может преследовать немедленно, как только его полномочия активируются в августе 2026 года. Во-вторых, он применяется к *модели* в том виде, в каком она существовала до перехода. Существенная пост-cutoff модификация, особенно любая переобучка, превышающая one-third compute trigger, описанный выше, может затянуть legacy-модель в режим post-2025 и сбросить счётчик.
Провайдеры, полагающиеся на legacy-окно, всё равно должны ожидать неформального engagement от AI Office в течение 2025-2027 годов. Комиссия сигнализировала, что добросовестное сотрудничество в переходный период — фактор того, как будет осуществляться enforcement-дискреция, когда Статья 101 станет доступной.
GPAI Code of Practice: выгоды и риски opt-in
**General-Purpose AI Code of Practice**, опубликованный **10 июля 2025 года**, — это добровольный инструмент, составленный независимыми экспертами через multi-stakeholder процесс. У него три главы: **Transparency** и **Copyright** применяются ко всем провайдерам GPAI; **Safety and Security** применяется только к провайдерам с системным риском.
Подписание Code даёт **презумпцию соответствия** с corresponding обязательствами AI Act: signatories выигрывают от более лёгкой административной нагрузки в оценках и большей юридической определённости. По состоянию на середину 2025 года **26 организаций** подписали, включая Amazon, Anthropic, Cohere, Google, IBM, Microsoft, Mistral AI и OpenAI. **Meta отказалась подписать.** xAI подписала только главу Safety and Security, что означает, что она должна демонстрировать соответствие по transparency и copyright через альтернативные средства, подлежащие оценке AI Office.
Сторона рисков реальна. Signatories принимают структурированные обязательства, такие как стандартизированная Model Documentation Form, назначенные copyright contact points и постоянную cadence отчётности. Non-signatories не несут дополнительных обязательств, но также теряют conformity-презумпцию и могут столкнуться с более пристальным вниманием, когда Комиссия начнёт осуществлять полномочия Статьи 101 в августе 2026 года.
Практический compliance-чек-лист для downstream deployers
Использование compliant GPAI-модели **не** освобождает от downstream-обязательств. Провайдеры AI-*систем*, построенных на GPAI-модели, несут собственные обязанности, особенно если результирующая система — high-risk по Annex I или III, или если применимы Article 50 transparency-обязательства (например, к чат-ботам, deepfakes или emotion-recognition системам).
Реалистичный чек-лист deployer'а:
- **Запросите и архивируйте Annex XII информационный пакет** от каждой GPAI-модели, которую интегрируете; верифицируйте Chapter V compliance-позицию upstream-провайдера.
- **Замапьте intended use cases против Annex III**, чтобы определить, является ли ваша система high-risk; если да, подготовьте доказательства conformity-оценки по Chapter III.
- **Включите upstream model card и ограничения в собственную техническую документацию**, оценку рисков и план post-market мониторинга.
- **Реализуйте Article 50 уведомления о прозрачности**, где генеративные или интерактивные выводы видимы пользователю.
- **Поддерживайте audit-логи и human-oversight контроли** пропорционально риску системы; обязательства AI literacy по Article 4 применяются с февраля 2025 года.
Deployer-обязательства независимы от статуса провайдера модели, так что неполная или расплывчатая upstream model card — *ваша* проблема для эскалации, а не повод задержать собственную документацию.
Почему self-hosted и BYOK-пути упрощают audit-trail
Deployer-обязанности предполагают, что вы можете по требованию ответить на два вопроса: *какая модель произвела этот output, под какой конфигурацией, на чьей инфраструктуре* и *какие данные покинули вашу среду, чтобы туда попасть*. Общие multi-tenant inference-эндпоинты делают оба вопроса сложнее, потому что поверхность логирования, retention и роутинга принадлежит третьей стороне, чьи раскрытия могут совпадать или не совпадать с вашим Annex XII пакетом.
Self-hosted инференс и bring-your-own-key (BYOK) deployment-паттерны сужают поверхность полезным образом. Когда модель работает в инфраструктуре, которую вы контролируете, вы владеете inference-логами, позицией резидентности данных и audit-trail, который enforcement-запрос в итоге будет требовать. Когда BYOK маршрутизирует вызовы напрямую из вашего тенанта к upstream-провайдеру по вашим контрактным условиям, metadata-путь аудируется end-to-end. Платформы, спроектированные вокруг этого паттерна, такие как **osFoundry**, трактуют audit-логи, контроли резидентности данных и privacy-first дефолты как часть слоя оркестрации, а не как add-ons.
Ничего из этого не заменяет существенные обязательства Article 53 на upstream-провайдере, но материально сокращает evidence chain, которую вам придётся собрать, когда регуляторы спросят.
Frequently asked questions
- Когда правила EU AI Act GPAI становятся реально enforceable?
- Существенные обязательства для провайдеров general-purpose AI моделей по Chapter V EU AI Act вступили в действие 2 августа 2025 года. Однако enforcement-полномочия Европейской Комиссии, включая полномочие запрашивать информацию, проводить оценки, предписывать corrective-меры и налагать штрафы по Article 101, становятся осуществимыми только 2 августа 2026 года. Провайдеры GPAI-моделей, размещённых на рынке до 2 августа 2025 года, имеют более длинную compliance-разбежку и должны быть приведены в соответствие к 2 августа 2027 года.
- Каков порог системного риска для GPAI-моделей?
- По Article 51(2) EU AI Act general-purpose AI модель презюмируется обладающей high-impact capabilities и, следовательно, представляющей системный риск, когда совокупный compute, использованный для её обучения, превышает 10^25 floating-point operations (FLOPs). Презумпция опровержима: провайдер выше порога может представить обоснованные аргументы по Article 52(2), что модель фактически не представляет системного риска. Комиссия может также назначать модели ниже порога и обновлять сам порог делегированным актом по мере эволюции state of the art.
- Нужно ли мне подписывать GPAI Code of Practice?
- Нет. Code of Practice, опубликованный 10 июля 2025 года, добровольный. Подписание даёт презумпцию соответствия с relevant Article 53 и (для провайдеров системного риска) Article 55 обязательствами, что снижает административное трение во время оценок AI Office. По состоянию на середину 2025 года 26 организаций подписали, включая Anthropic, Google, Microsoft и OpenAI. Meta отказалась подписать. Non-signatories должны демонстрировать соответствие через альтернативные адекватные средства и могут ожидать более пристального внимания, когда начнётся принуждение по Article 101.
- Каковы максимальные штрафы за non-compliance GPAI?
- По Article 101 EU AI Act Европейская Комиссия может штрафовать провайдеров GPAI-моделей до 3% их глобального годового оборота или EUR 15 миллионов, в зависимости от того, что выше, за умышленные или небрежные нарушения GPAI-обязательств или за непредоставление запрошенной информации. Это отдельно от более широких тиров Article 99, которые включают до EUR 35 миллионов или 7% оборота за запрещённые AI-практики. SME и стартапы capped'ятся на меньшем из процента или абсолютной суммы.
Sources