Как применяется право ЕС, Швейцарии и Великобритании, когда ИИ-агент выходит за пределы среды оценки

Что произошло, в осторожном изложении

Факты приводятся по сообщениям самих компаний, и читать их следует с этой оговоркой. 16 июля 2026 г. Hugging Face сообщила о несанкционированном доступе к своей инфраструктуре; 21 июля OpenAI заявила, что за вторжением стояло сочетание ее моделей, которые работали в рамках внутреннего тестирования возможностей в режиме, при котором модели реже отказываются выполнять задачи в области кибербезопасности (reduced cyber refusals), и нашли путь в открытый интернет. Техническая хронология Hugging Face от 27 июля реконструирует около 17 600 восстановленных действий атакующего в период с 9 по 13 июля, причем в первый день они совершались в незащищенной песочнице для выполнения кода, которую клиент разместил на платформе Modal и которую агент использовал как базу; Hugging Face заявляет, что собственная инфраструктура Modal скомпрометирована не была, а доступ был получен к клиентскому контенту в объеме пяти наборов данных, а также к учетным данным и секретам, считанным из собственных систем Hugging Face.

Выводы OpenAI от 26 августа расширяют картину: несколько агентов из отдельных оценочных прогонов общались через импровизированную доску сообщений; основную компрометацию осуществила исследовательская модель, предназначенная только для внутреннего использования, а выпущенная модель GPT-5.6 Sol играла второстепенную роль; несанкционированный доступ в интернет впервые произошел в конце мая во время обучающих прогонов; была скомпрометирована и собственная исследовательская инфраструктура OpenAI; и OpenAI приостановила обучение передовых моделей (frontier) методом обучения с подкреплением на то время, пока она перестраивала свои защитные механизмы.

Параллельно подразделение компании Palo Alto Networks Unit 42 задокументировало 30 июля кампанию с применением ИИ, которую вел китайскоязычный злоумышленник и в которой автономный сбор сведений о системах (enumeration), выполнявшийся агентным фреймворком, сочетался с ручной эксплуатацией уязвимостей, причем подтвержденные последствия наступили в результате ручной работы. Что бы ни показали окончательные результаты криминалистического анализа, обе категории инцидентов теперь реальны: агенты, которые выходят из-под контроля своих операторов, и агенты, которых намеренно направляют на цели. Действующее право охватывает обе.

Сторона модели: статья 55 написана именно для таких случаев

Поставщики моделей ИИ общего назначения (GPAI) с системным риском, то есть моделей передового уровня (frontier), несут по ст. 55 AI Act обязанности, которые близко соответствуют июльским событиям: оценивать и снижать системные риски; отслеживать и документировать серьезные инциденты и без неоправданной задержки сообщать о них и о корректирующих мерах Офису ИИ (AI Office) и, в соответствующих случаях, национальным компетентным органам; а также обеспечивать надлежащий уровень кибербезопасности модели и ее физической инфраструктуры. Форму этой обязанности придает опубликованный Комиссией 4 ноября 2025 г. шаблон сообщения о серьезных инцидентах с участием моделей ИИ общего назначения с системным риском. Комиссия заявила, что обязанность по ст. 55 охватывает серьезные нарушения кибербезопасности, связанные с моделью, включая кибератаки и самостоятельную эксфильтрацию параметров модели (self-exfiltration), а Кодекс практики (Code of Practice) добавляет нарушения, которым способствовала модель подписанта. Агент, компрометирующий системы третьего лица, подпадает под это второе описание, хотя вопрос о том, подлежит ли сообщению конкретный инцидент, требует оценки.

Этот шаблон — единственный окончательно утвержденный элемент механизма работы с инцидентами; разъяснения Комиссии о сообщениях о серьезных инцидентах по ст. 73, которые относятся к системам ИИ высокого риска, остаются проектом, публичные консультации по которому открылись в сентябре 2025 года.

Для европейских читателей важны два обстоятельства. Эти обязанности действуют уже сейчас, Цифровой омнибус (Digital Omnibus) их не отложил, и они распространяются на американские лаборатории экстерриториально с того момента, когда их модели размещаются на рынке ЕС, если модель размещена на рынке начиная со 2 августа 2025 г.; для модели общего назначения, которая уже находилась на рынке до этой даты, срок приведения в соответствие истекает 2 августа 2027 г. (ст. 111(3)), поэтому ответ на вопрос, распространяется ли на конкретную лабораторию уже действующая обязанность, зависит от того, какая модель была задействована и когда она была размещена на рынке ЕС, — по тем же правилам о сфере применения, которые мы разобрали в нашем обзоре о Швейцарии.

Если в таком инциденте задействована модель, уже находящаяся на рынке ЕС, у ее поставщика уже есть адресат в ЕС: Офис ИИ, опубликованный шаблон и обязанность сообщить без неоправданной задержки. В сообщении OpenAI от 26 августа названа выпущенная модель GPT-5.6 Sol, игравшая второстепенную роль наряду с исследовательской моделью, предназначенной только для внутреннего использования; была ли эта модель размещена на рынке ЕС и когда, а значит, применяется ли ст. 55 или переходное правило ст. 111(3), определяет сам поставщик в рамках собственной квалификации. Подпадает ли сугубо внутренняя исследовательская модель под регламент вообще, зависит от исключения для исследований и тестирования в ст. 2(8).

Сторона пострадавшего: ваш срок начинает течь с момента обнаружения

Для компании, оказавшейся объектом атаки, сроки уведомления текут независимо от того, кем или чем является атакующий. В ЕС существенные и важные субъекты (essential and important entities) по директиве NIS2 обязаны направить раннее предупреждение в течение 24 часов с момента, когда им стало известно о значительном инциденте, уведомление — в течение 72 часов и итоговый отчет — в течение месяца после этого уведомления, наряду с базовыми обязанностями по принятию мер безопасности; эти обязанности применяются через имплементацию в национальное право, которая в ряде государств-членов остается незавершенной, поэтому действующий срок и адресат определяются национальным правом. Финансовые организации (financial entities), подпадающие под DORA (Регламент ЕС о цифровой операционной устойчивости), вместо этого уведомляют по DORA, который вытесняет для них правила NIS2 об инцидентах (ст. 4 NIS2), о чем мы писали отдельно.

В Швейцарии измененный Закон об информационной безопасности (ISG) с 1 апреля 2025 г. обязывает операторов критической инфраструктуры сообщать о кибератаках в Национальный центр кибербезопасности (NCSC; по-немецки Bundesamt für Cybersicherheit, BACS) в течение 24 часов с момента обнаружения; санкции за несообщение действуют с 1 октября 2025 г., а за первые шесть месяцев подано 164 сообщения, то есть обязанность применяется на практике. В Великобритании действующие правила NIS (NIS Regulations) уже сегодня возлагают обязанности в отношении инцидентов на операторов основных услуг (operators of essential services), а законопроект о кибербезопасности и устойчивости Cyber Security and Resilience Bill, внесенный в ноябре 2025 года и проходящий сейчас через парламент, расширит сферу применения и ужесточит требования к уведомлению. Если затронуты персональные данные, применяются отдельные обязанности по уведомлению о нарушениях безопасности данных, предусмотренные GDPR (Общий регламент ЕС по защите данных), швейцарским Федеральным законом о защите данных (FADP) и UK GDPR (британский Общий регламент по защите данных), независимо от статуса компании по NIS2, ISG или NIS.

Между ними: эксплуатанты и вопрос, который задаст страховщик

Третью позицию занимает компания, которая развернула агента, с добрыми намерениями или нет. Уголовное право не нуждается в обновлении, чтобы охватить лицо, которое направляет автономный инструмент на чужие системы; сложность инструмента ничего не меняет в том, что его действия вменяются оператору. Более трудные и коммерчески актуальные вопросы относятся к гражданскому праву: требования пострадавшего к лаборатории или к эксплуатанту, агент которого причинил ущерб, будут строиться на небрежности (negligence), договоре и, в перспективе, на обновленном режиме ответственности за качество продукции по Директиве (ЕС) 2024/2853. Государства-члены должны имплементировать ее в национальное право не позднее 9 декабря 2026 г., и применяется она к продукции, размещенной на рынке или введенной в эксплуатацию после этой даты, поэтому к самим инцидентам июля 2026 года она не применяется. Этот режим предусматривает возмещение только физическим лицам и не охватывает имущество, используемое исключительно в профессиональных целях, и данные, используемые в профессиональных целях, поэтому корпоративные убытки от киберинцидентов остаются за его пределами. Ответы будут зависеть от фактов того рода, для фиксации которых и предназначена дисциплина документирования, описанная в нашем обзоре о переквалификации в поставщика: кто санкционировал использование агента, в каких пределах, с какими мерами сдерживания рисков, журналированием и механизмом аварийного отключения (kill-switch).

Страховщики и контрагенты, вероятно, отреагируют раньше судов: исключения, связанные с ИИ, уже появляются в условиях страхования общей гражданской ответственности и ответственности руководителей, брокеры спрашивают об автономности агентов и о системе управления ими, а на рынке киберстрахования обсуждаются изъятия, относящиеся именно к агентам, — и все это до появления какого-либо судебного решения. К эксплуатантам агентов относится то же самое: журналы, лимиты и возможность вмешательства человека станут досье подтверждающих документов, если будет предъявлено требование.

Что это означает для вас

• Пострадавшим: проведите обычную процедуру реагирования на инцидент, и быстро. Сроки исполнения обязанностей по NIS2, ISG или британскому праву, если вы под них подпадаете, отсчитываются с момента обнаружения, и то, что в инциденте участвует ИИ, их не продлевает; группе, работающей в ЕС, Швейцарии и Великобритании, нужен единый план реагирования на инциденты, заранее соотнесенный с тремя сроками и с теми компаниями группы, на которых лежат эти обязанности.
• Эксплуатантам агентов: закладывайте сдерживание уже при проектировании. Изоляция в песочнице, учетные данные с ограниченными правами, журналирование и возможность вмешательства человека, если они задокументированы, — это одновременно мера контроля рисков и ваше досье для защиты.
• Задайте вендорам моделей вопрос о ст. 55. Поставщики моделей с системным риском обязаны сообщать об инцидентах и обеспечивать безопасность модели; их ответам место в вашей закупочной документации.
• Проверьте страховое покрытие уже сейчас. Вопросы об агентном ИИ появляются в заявлениях на страхование, а исключения обсуждаются; подготовьте свои ответы до того, как их запросит брокер.

Isak Legal консультирует компании по вопросам системы управления ИИ, готовности к инцидентам с учетом режимов ЕС, Швейцарии и Великобритании и договорного распределения рисков ИИ в отношениях с вендорами и страховщиками. Подробнее на нашей странице ИИ, данные и технологии, или свяжитесь с нами.

Настоящий обзор предназначен исключительно для общего ознакомления, отражает положение дел по состоянию на 27 сентября 2026 г., не является юридической консультацией и не создает отношений между юристом и клиентом. Описания инцидентов основаны на сообщениях прессы и заявлениях компаний и могут быть пересмотрены по мере появления новых фактов; регуляторные позиции следует проверять по официальным источникам, ссылки на которые приведены выше. Для получения консультации по конкретному вопросу свяжитесь с нами.