EU AI Act для СМБ: що означає €35M / 7% обігу для вашої дорожньої карти сумісності

Коли заступник керівника 40‑осібної логістичної команди розповів, що вони створювали AI‑агента для оптимізації маршрутів, але зупинилися, коли почули про штрафи згідно з Законом ЄС про штучний інтелект, я зрозумів, що справжньою перешкодою був не сам закон — а незрозумілість того, що він насправді вимагає.

Що активує правило €35M / 7%?

Цей поріг застосовується до постачальників загального призначення AI‑моделей (наприклад, фундаментальних моделей), коли їхній AI‑пов'язаний доход перевищує €35M або становить 7% від загального річного обороту. Для більшості СМБ, які використовують готові або спеціалізовані AI‑рішення (наприклад, агенти для обробки рахунків або внутрішні боті знаннями), це не стосується. Однак, якщо ви розробляєте або налаштовуєте модель, яка використовується у кількох клієнтів або внутрішніх продуктах, слід окремо стежити за AI‑пов'язаним доходом.

Крок 1: Зробіть інвентаризацію AI — не гадайте

Перед оцінкою ризиків створіть список усіх AI‑систем, які ваша компанія розробляє, розгортає або використовує. Включіть:

• LLM, які використовуються для rédigування контрактів або підтримки клієнтів
• ML‑моделі для прогнозу попиту або оцінки лідів
• Вбудований AI у сторонніх інструментах (наприклад, CRM з предиктивною аналітикою)

Підказка інструменту (AIAdvisoryBoard.me): Запустіть 7‑денну діагностику, щоб побачити, що насправді автоматизують ваші команди — а не те, що ви припускаєте. Це створює базу Plan → Fact → Gap для інвентаризації AI. Дивіться, як працює 7‑денна діагностика.

Крок 2: Класифікуйте ризик — більшість AI у СМБ — обмежений або мінімальний ризик

Закон будує піраміду ризиків:

• Неприйнятний ризик (заборонений): соціальне скоринґ, розпізнавання обличчя в реальному часі в публічних місцях, маніпулятивний AI.
• Високий ризик: системи з додатку III (наприклад, AI для найму, керування персоналом, оцінка кредитоспроможності).
• Обмежений ризик: чат-боти, системи розпізнавання емоцій — вимагають прозорості (розкриття використання AI).
• Мінімальний ризик: фільтри спаму, AI‑угрові гри — без зобов'язань.

Більшість внутрішньої автоматизації (наприклад, сортування резюме в HR або оцінка лідів у продажах) потрапляє у високий або обмежений ризик залежно від випадку використання. AI‑агент, який пропонує кандидатів на вакансії? Високий ризик. Один, який створює листки відмови? Обмежений ризик — але тільки якщо ви розкриваєте, що він AI‑генерований.

Підказка інструменту (AIAdvisoryBoard.me): Використайте безкоштовний інструмент для будування оргструктури, щоб розкласти рутинну роботу за відділами — це покаже, де AI вже впливає на рішення, що можуть спричинити перегляд сумісності. Введіть ваш сайт та кількість працівників — отримайте візуальну карту за 30 секунд.

Приклад для менеджера (2‑хвилинне підсумовування)

• CEO: Переглядає AI‑агента для порівняння вендорських контрактів — позначено як обмежений ризик (потрібна прозорість)
• COO: Оцінює модель прогнозу попиту — внутрішнє використання, але впливає на закупівлі → оцінювати як високоризикову, якщо пов'язана з государственними тендерами
• Голова відділу продажів: Використовує AI для оцінки лідів — якщо він впливає на ціни або кредитні умови, traktуйте як високоризиковий
• Лідер HR: Тестує інструмент для сортування резюме — високоризиковий за додатком III (заняття)
• Фінансова команда: Агент для зверстки рахунків — мінімальний ризик (без впливу на окремих осіб)
• Лідер підтримки: Чат-бот для FAQ — обмежений ризик (повинен розкривати використання AI у вікні чату)

Мікро-кейс (що змінюється через 7–14 днів)

Компанія SaaS на 60 осіб створювала внутрішній AI‑агент для пріоритизації заявок техпідтримки. Після запуску діагностики вони виявили, що агент використовує історичні дані заявок для виведення емоційного стану клієнта та ескалації до менеджерів — функція профілювання. Хоча агент не був спрямований на клієнтів, логіка торкнулася поведінкового виведення. Вони додали примітку про прозорість у внутрішньому інструменті та записали джерела тренувальних даних. Не було штрафів, не потрібного перепроектування — лише ясність щодо того, що потребує документування.

Примітка до цього кейсу: Цей приклад ілюстративний — базується на типових патернах, які ми спостерігаємо у компаніях з 30–500 працівників, а не на одному конкретному клієнті. Конкретні числа — округлені наближення поширених діапазонів, а не гарантії.

FAQ

Чи потрібно призначати відповідальну особу за AI згідно з Законом ЄС про штучний інтелект? Тільки якщо ви є постачальником високоризикових AI‑систем та задовольняєте певним масштабовим критеріям. Большість СМБ, які використовують AI внутрішно, не потребують окремого функціонера — але хтось повинен володіти інвентаризацією AI та класифікацією ризиків.

Що робити, якщо я використовую сторонній AI‑інструмент, який є високоризиковим (наприклад, платформа для найму)? Якщо ви є користувачем (дисплейером), ви відповідаєте за використання системи згідно з інструкціями, моніторинг продуктивності та ведення журналів. Вам не потрібно повторно проводити оцінку відповідності, але ви повинні перевірити наявність позначки CE та документації у постачальника.

Чи діє Закон, якщо мій AI не обробляє персональні дані? Так. Klasifikatsiya riziku залежить від мети та наслідків системи (наприклад, біометрична ідентифікація, соціальне скоринґ), а не лише від типу даних. AI, який оцінює голосове напруження в інтерв'ю при наймі, є високоризиковим навіть якщо дані анонімізовані.

Як часто потрібно оновлювати інвентаризацію AI? Квартально — або кожного разу, коли ви розгортаєте нову модель, інтегруєте нову AI‑функцію або змінюєте призначення існуючої. Трактуйте це як реєстр активів безпеки.

Де можна знайти офіційний список високоризикових AI‑систем? Додаток III до Закону ЄС про штучний інтелект доступний на EUR-Lex. Пошук за запитом «додаток III високоризикові AI‑системи» — він включає вісім категорій, від біометрики до правопорядку.

Висновок

Закон ЄС про штучний інтелект не є загальним заборонним на використання AI для СМБ — це цільова рамка, яка залишає більшість внутрішньої автоматизації поза зобов'язаннями. Ваш перший крок — не юридичний огляд, а видимість. Знайдіть, яке AI у вас є, де воно приймає рішення, і чи потрапляє воно в додаток III. Відтуда сумісність стає завданням на документування, а не на перепроектування.

Що робити сьогодні

Витратьте 30 хвилин на створення списку кожного AI‑підтримуваного процесу в вашій компанії — навіть якщо це просто запит у ChatGPT, який використовується тижнево. Цей інвентар — ваша основа.

Якщо ви хочете мати систему, яка автоматично будує план → факт → пробіл — кожного дня, по всій компанії — подивіться, як працює 7‑денна діагностика.