ШІ на роботі: що роботодавцю й підприємцю треба знати про AI Act і GDPR
З 2 лютого 2025 року діє обов'язок підтримувати грамотність у галузі ШІ. Що це означає для малої фірми, що не вводити в чат-боти і як встановити прості правила.
Пишете з ChatGPT, Copilot чи Gemini листи, переклади або пропозиції для клієнтів? Тоді вас стосується європейський регламент про штучний інтелект (AI Act) і GDPR. Для звичайного використання в малій фірмі вистачить кількох розумних правил.
Кого стосується AI Act
AI Act — це регламент (ЄС) 2024/1689. Він діє безпосередньо в усіх державах ЄС, зокрема в Чехії. Фірма чи підприємець, які використовують інструмент ШІ у своїй діяльності, за регламентом є «суб'єктом, що впроваджує» систему ШІ (deployer; ст. 3 п. 4 регламенту). Виняток стосується лише фізичних осіб, які використовують ШІ в суто особистій непрофесійній діяльності (ст. 2 ч. 10 регламенту). Щойно ви використовуєте ШІ для роботи, виняток на вас не поширюється.
Обов'язок № 1: грамотність у галузі ШІ (ст. 4)
З 2 лютого 2025 року суб'єкти, що впроваджують ШІ, мають «вживати заходів для підтримки підвищення грамотності в галузі ШІ» своїх працівників та інших осіб, які використовують ШІ від їхнього імені (ст. 4 ч. 1 і ст. 113 п. a) регламенту). Статтю 4 змінив регламент (ЄС) 2026/1744 від 8 липня 2026 року: ідеться про підтримку, і регламент прямо не вимагає, щоб фірма гарантувала кожній людині певний рівень знань.
Враховуються технічні знання, досвід і освіта людей, середовище, у якому вони використовують ШІ, а також особи, яких стосуються результати. Малим і середнім підприємствам у виконанні обов'язку мають допомагати Комісія та держави-члени; Комісія публікує практичні приклади (ст. 4 ч. 2 регламенту).
Обов'язок № 2: GDPR, або що не вводити в чат-бот
Коли ви вводите в інструмент ШІ ім'я клієнта, його e-mail, rodné číslo чи договір, ви обробляєте персональні дані. Для цього діє загальний регламент про захист персональних даних (GDPR, регламент (ЄС) 2016/679):
- Мінімізація: лише дані, «обмежені необхідним обсягом» для цієї мети (ст. 5 ч. 1 п. c) GDPR). Часто вистачить замінити ім'я на «клієнт А».
- Захист: дані мають бути захищені від незаконної обробки, втрати й знищення (ст. 5 ч. 1 п. f) GDPR).
- Особливі категорії даних, наприклад про стан здоров'я, захищені суворіше (ст. 9 ч. 1 GDPR). У звичайний чат-бот вони не потрапляють.
- Постачальник, який обробляє дані для вас, має надавати «достатні гарантії» (ст. 28 ч. 1 GDPR). Перш ніж вводити дані фірми, перевірте, чи пропонує він договір про обробку персональних даних і де зберігає дані.
- Передати дані за межі ЄС можна лише на умовах глави V GDPR (ст. 44 GDPR).
- Працівники можуть обробляти персональні дані лише за вказівкою контролера, тобто за вашими правилами (ст. 32 ч. 4 GDPR).
Як це вирішити в малій фірмі: 5 кроків
- Запишіть, які інструменти ШІ використовує фірма і для чого.
- Визначте, що в них не можна вводити: rodná čísla, дані про здоров'я, цілі договори з персональними даними.
- Коротко поясніть людям, як працює ШІ, що він може помилятися і що результат завжди перевіряє людина.
- Для інструментів, куди потрапляють дані фірми, перевірте договір про обробку персональних даних і місце зберігання даних.
- Запишіть правила в коротку внутрішню інструкцію й позначте, коли і кого ви з ними ознайомили. Для GDPR це допомагає виконати обов'язок довести відповідність (ст. 5 ч. 2 GDPR).
Повний текст актів на EUR-Lex: