Как выполнить требования EU AI Act о прозрачности ИИ: чек-лист для инди-разработчика

Есть правило, которое легко игнорировать, пока оно не коснулось твоего проекта. Речь о статье 50 EU AI Act — обязательствах по прозрачности, которые вступили в силу со 2 августа. Если ваше приложение общается с пользователями из ЕС — а если оно в открытом интернете, то скорее всего общается, — часть требований касается и вас. Даже если это инди-проект, а не корпорация.

Штрафы за нарушение этого уровня закона — до €15 млн или 3% мирового годового оборота, смотря что больше. Сумма страшная, но на практике к маленькому приложению её вряд ли применят. Тем не менее обязательства реальные, а исправления — копеечные. Нет причины быть по другую сторону.

Я разработчик, а не юрист. Это не юридическая консультация, а приглашение прочитать сам текст или спросить того, кто разбирается. Ниже — простыми словами, что поменялось и что я делаю.

Два пункта, которые цепляют почти всех

Статья 50 широкая, но два куска задевают почти любого, кто делает продукты с ИИ.

Первый: если пользователь взаимодействует с ИИ-системой, вы обязаны сообщить ему об этом — если только это и так очевидно. Чат-бот, который явно чат-бот, возможно, не требует отметки. А виджет поддержки, который незаметно передаёт ИИ, или «человек» в приложении, который на самом деле модель, — это как раз цель статьи. Критерий: разумный пользователь должен понимать, что говорит с машиной.

Второй: сгенерированный ИИ контент нужно маркировать машинно-читаемым способом. Не только для людей — для другого софта. Чтобы контент оставался идентифицируемым, когда путешествует по интернету. Это тот пункт, который разработчики недооценивают, потому что это техническое требование, а не правка текста. Думайте о метаданных, водяных знаках, сигналах происхождения. Машинно-читаемая часть — настоящая работа.

Здесь есть передышка. Для генеративных систем, уже находящихся на рынке, обязательство по маркировке и обнаружению вступает в силу только 2 декабря 2026 года. Так что у вас есть время внедрить маркировку происхождения. А вот обязательство раскрывать взаимодействие действует уже сейчас, со 2 августа, без переходного периода. Не дайте декабрю убаюкать себя на части, которая уже работает.

Чек-лист для проекта

Вот по чему я бы прошёлся, если у моего приложения есть ИИ:

• Бывает ли, что пользователь взаимодействует с моделью, не понимая этого? Если да — добавьте раскрытие: строку текста, бейдж, что угодно однозначное. Дёшево, но легко забыть там, где ИИ спрятан за чем-то.
• Генерируете ли вы контент, который могут принять за человеческий: картинки, текст, аудио, видео? Тогда вам нужна машинная маркировка. Посмотрите, что уже отдаёт ваш провайдер генерации — многие сейчас по умолчанию добавляют метаданные происхождения вроде C2PA. Не удаляйте их в пайплайне. Половина соответствия здесь может быть «перестать снимать то, что уже есть».
• Синтезируете ли вы лицо или события, похожие на реальных людей? Это остриё правил, и тут стоит перестать читать блоги и поговорить с юристом.

Почему это стоит десяти минут, а не нуля

Соблазнительно считать регулирование домашней работой для больших компаний. Но две вещи делают статью 50 особенной для небольших проектов. Обязательства по раскрытию не имеют исключения для стартапов, как у некоторых других правил — они привязаны к практике, а не к размеру компании. И исправления действительно маленькие: строка о раскрытии и сохранение метаданных покрывают большинство повседневных случаев.

Есть и прямая выгода. «Говорить людям, когда они общаются с ИИ» и «делать ИИ-медиа идентифицируемым» — это то, что мне как пользователю хочется независимо от закона. Регулирование просто заставляет соблюдать базовую честность, которую экосистема должна была принять сама. Я предпочту строить продукт на стороне соответствия с самого начала, чем встраивать это задним числом.

Прочитайте реальный текст, прежде чем полагаться на мою интерпретацию. Но не откладывайте в «потом». Обязательства уже действуют.