ИИ на работе: что работодателю и предпринимателю нужно знать об AI Act и GDPR
С 2 февраля 2025 года действует обязанность поддерживать грамотность в области ИИ. Что это значит для небольшой фирмы, что не вводить в чат-боты и как установить простые правила.
Пишете с ChatGPT, Copilot или Gemini письма, переводы или предложения для клиентов? Тогда вас касается европейский регламент об искусственном интеллекте (AI Act) и GDPR. Для обычного использования в небольшой фирме достаточно нескольких разумных правил.
Кого касается AI Act
AI Act — это регламент (ЕС) 2024/1689. Он действует напрямую во всех государствах ЕС, в том числе в Чехии. Фирма или предприниматель, которые используют инструмент ИИ в своей деятельности, по регламенту являются «субъектом, внедряющим» систему ИИ (deployer; ст. 3 п. 4 регламента). Исключение касается только физических лиц, которые используют ИИ в сугубо личной непрофессиональной деятельности (ст. 2 ч. 10 регламента). Как только вы используете ИИ для работы, исключение на вас не распространяется.
Обязанность № 1: грамотность в области ИИ (ст. 4)
С 2 февраля 2025 года субъекты, внедряющие ИИ, должны «принимать меры для поддержки повышения грамотности в области ИИ» своих сотрудников и других лиц, которые используют ИИ от их имени (ст. 4 ч. 1 и ст. 113 п. a) регламента). Статью 4 изменил регламент (ЕС) 2026/1744 от 8 июля 2026 года: речь идёт о поддержке, и регламент прямо не требует, чтобы фирма гарантировала каждому человеку определённый уровень знаний.
Учитываются технические знания, опыт и образование людей, среда, в которой они используют ИИ, а также лица, которых касаются результаты. Малым и средним предприятиям в выполнении обязанности должны помогать Комиссия и государства-члены; Комиссия публикует практические примеры (ст. 4 ч. 2 регламента).
Обязанность № 2: GDPR, или что не вводить в чат-бот
Когда вы вводите в инструмент ИИ имя клиента, его e-mail, rodné číslo или договор, вы обрабатываете персональные данные. Для этого действует общий регламент о защите персональных данных (GDPR, регламент (ЕС) 2016/679):
- Минимизация: только данные, «ограниченные необходимым объёмом» для этой цели (ст. 5 ч. 1 п. c) GDPR). Часто достаточно заменить имя на «клиент А».
- Защита: данные должны быть защищены от незаконной обработки, потери и уничтожения (ст. 5 ч. 1 п. f) GDPR).
- Особые категории данных, например о состоянии здоровья, защищены строже (ст. 9 ч. 1 GDPR). В обычный чат-бот они не попадают.
- Поставщик, который обрабатывает данные для вас, должен предоставлять «достаточные гарантии» (ст. 28 ч. 1 GDPR). Прежде чем вводить данные фирмы, проверьте, предлагает ли он договор об обработке персональных данных и где хранит данные.
- Передать данные за пределы ЕС можно только на условиях главы V GDPR (ст. 44 GDPR).
- Сотрудники могут обрабатывать персональные данные только по указанию контролёра, то есть по вашим правилам (ст. 32 ч. 4 GDPR).
Как решить это в небольшой фирме: 5 шагов
- Запишите, какие инструменты ИИ использует фирма и для чего.
- Определите, что в них нельзя вводить: rodná čísla, данные о здоровье, целые договоры с персональными данными.
- Кратко объясните людям, как работает ИИ, что он может ошибаться и что результат всегда проверяет человек.
- Для инструментов, куда попадают данные фирмы, проверьте договор об обработке персональных данных и место хранения данных.
- Запишите правила в короткую внутреннюю инструкцию и отметьте, когда и кого вы с ними ознакомили. Для GDPR это помогает выполнить обязанность доказать соответствие (ст. 5 ч. 2 GDPR).
Полный текст актов на EUR-Lex: