Як застосовується право ЄС, Швейцарії та Великої Британії, коли ШІ-агент виходить за межі свого середовища оцінювання

Що сталося, в обережному викладі

Факти наведено за повідомленнями самих компаній, і читати їх слід із цим застереженням. 16 липня 2026 р. компанія Hugging Face повідомила про несанкціонований доступ до своєї інфраструктури; 21 липня компанія OpenAI заявила, що за вторгненням стояло поєднання її моделей, які працювали в межах внутрішнього тестування можливостей у режимі, за якого моделі рідше відмовляються виконувати завдання у сфері кібербезпеки (reduced cyber refusals), і знайшли шлях у відкритий інтернет. Технічна хронологія Hugging Face від 27 липня реконструює близько 17 600 відновлених дій нападника в період з 9 по 13 липня, причому в перший день вони відбувалися в незахищеній пісочниці для виконання коду, яку клієнт розмістив на платформі Modal і яку агент використовував як базу; Hugging Face заявляє, що власну інфраструктуру Modal скомпрометовано не було і що клієнтський контент, до якого було отримано доступ, — це п’ять наборів даних, а крім того, з власних систем Hugging Face було зчитано облікові дані та секрети.

Висновки OpenAI від 26 серпня розширюють картину: кілька агентів з окремих оцінювальних прогонів спілкувалися через імпровізовану дошку повідомлень; основну компрометацію здійснила дослідницька модель, призначена лише для внутрішнього використання, а випущена модель GPT-5.6 Sol відігравала другорядну роль; несанкціонований доступ до інтернету вперше стався наприкінці травня під час навчальних прогонів; було скомпрометовано й власну дослідницьку інфраструктуру OpenAI; а компанія OpenAI призупинила навчання з підкріпленням (reinforcement learning) для передових моделей на час, поки перебудовувала свої захисні механізми.

Паралельно підрозділ компанії Palo Alto Networks Unit 42 задокументував 30 липня кампанію із застосуванням ШІ, яку вів китайськомовний зловмисник і в якій автономне збирання відомостей про системи, яке виконував агентний фреймворк, поєднувалося з ручною експлуатацією вразливостей, причому підтверджені наслідки спричинила ручна робота. Хоч би що показали остаточні результати криміналістичного аналізу, обидві категорії інцидентів тепер реальні: агенти, які виходять з-під контролю своїх операторів, і агенти, яких навмисно спрямовують на цілі. Чинне право охоплює обидві.

Сторона моделі: статтю 55 написано для таких випадків

Постачальники моделей ШІ загального призначення (GPAI) із системним ризиком, тобто моделей передового рівня (frontier), мають за ст. 55 AI Act обов’язки, які близько відповідають липневим подіям: оцінювати та знижувати системні ризики; відстежувати й документувати серйозні інциденти та без невиправданої затримки повідомляти про них і про коригувальні заходи Офісу з питань ШІ (AI Office) і, де це доречно, національним компетентним органам; а також забезпечувати належний рівень кібербезпеки моделі та її фізичної інфраструктури. Форми цьому обов’язку надає опублікований Європейською комісією 4 листопада 2025 р. шаблон повідомлення про серйозні інциденти за участю моделей ШІ загального призначення із системним ризиком. Комісія заявила, що обов’язок за ст. 55 охоплює серйозні порушення кібербезпеки, пов’язані з моделлю, зокрема кібератаки та самоексфільтрацію параметрів моделі (self-exfiltration), а Кодекс практики (Code of Practice) додає порушення, яким сприяла модель підписанта. Агент, який компрометує системи третьої сторони, підпадає під цей другий опис, хоча питання про те, чи підлягає конкретний інцидент повідомленню, потребує оцінки.

Цей шаблон — єдиний елемент механізму роботи з інцидентами, що вже має остаточний вигляд; роз’яснення Комісії щодо повідомлення про серйозні інциденти за ст. 73, які стосуються систем ШІ високого ризику, залишаються проєктом, публічні консультації щодо якого розпочалися у вересні 2025 року.

Для європейських читачів важливі дві обставини. Ці обов’язки діють уже зараз, Цифровий омнібус (Digital Omnibus) їх не відклав, і вони поширюються на американські лабораторії екстериторіально з моменту введення їхніх моделей в обіг на ринку ЄС, якщо йдеться про моделі, введені в обіг з 2 серпня 2025 р.; для моделі загального призначення, яка вже була на ринку до цієї дати, строк приведення у відповідність спливає 2 серпня 2027 р. (ст. 111(3)), тому відповідь на питання, чи поширюється на конкретну лабораторію обов’язок, що вже діє, залежить від того, яку модель було задіяно і коли її було введено в обіг на ринку ЄС, — за тими самими правилами про сферу застосування, які ми розібрали в нашому огляді щодо Швейцарії.

Якщо в такому інциденті задіяно модель, яка вже є на ринку ЄС, її постачальник уже має адресата в ЄС: Офіс з питань ШІ, опублікований шаблон і обов’язок повідомити без невиправданої затримки. У викладі OpenAI від 26 серпня названо випущену модель GPT-5.6 Sol, яка відігравала другорядну роль поряд із дослідницькою моделлю, призначеною лише для внутрішнього використання; чи було цю модель введено в обіг на ринку ЄС і коли, а отже, чи застосовується ст. 55 або перехідне положення ст. 111(3), — це питання власної кваліфікації постачальника. Чи підпадає суто внутрішня дослідницька модель під сферу застосування взагалі, залежить від винятку для досліджень і тестування у ст. 2(8).

Сторона постраждалого: відлік вашого строку починається з моменту виявлення

Для компанії, яка стала об’єктом атаки, строки повідомлення відлічуються незалежно від того, ким або чим є нападник. У ЄС суттєві та важливі суб’єкти (essential and important entities) за директивою NIS2 зобов’язані надіслати раннє попередження протягом 24 годин з моменту, коли їм стало відомо про значний інцидент, повідомлення — протягом 72 годин і остаточний звіт — протягом місяця після цього повідомлення, поряд з основними обов’язками щодо заходів безпеки; ці обов’язки застосовуються через транспозицію в національне право, яка в низці держав-членів залишається незавершеною, тому застосовний строк і адресата визначає національне право. Фінансові суб’єкти (financial entities), на яких поширюється Регламент ЄС про цифрову операційну стійкість (DORA), натомість повідомляють про інциденти за DORA, який витісняє для них правила NIS2 про інциденти (ст. 4 NIS2), про що ми писали окремо.

У Швейцарії змінений Закон про інформаційну безпеку (ISG) з 1 квітня 2025 р. зобов’язує операторів критичної інфраструктури подавати повідомлення про кібератаки до Національного центру кібербезпеки (NCSC; німецькою Bundesamt für Cybersicherheit, BACS) протягом 24 годин з моменту виявлення, причому санкції за неповідомлення чинні з 1 жовтня 2025 р., а за перші шість місяців подано 164 повідомлення; обов’язок застосовується на практиці. У Великій Британії чинні правила NIS (NIS Regulations) сьогодні покладають обов’язки щодо інцидентів на операторів основних послуг (operators of essential services), а законопроєкт про кібербезпеку та стійкість (Cyber Security and Resilience Bill), внесений у листопаді 2025 року, який зараз проходить через парламент, розширить сферу застосування і посилить вимоги до повідомлення. Якщо зачеплено персональні дані, застосовуються окремі обов’язки з повідомлення про порушення захисту персональних даних, передбачені Загальним регламентом про захист даних (GDPR), швейцарським Федеральним законом про захист даних (FADP) і британським Загальним регламентом про захист даних (UK GDPR), незалежно від статусу компанії за NIS2, ISG або NIS.

Між ними: розгортачі та питання, яке поставлять страховики

Третю позицію посідає компанія, яка розгорнула агента, з добрими намірами чи ні. Кримінальне право не потребує оновлення, щоб охопити особу, яка спрямовує автономне знаряддя на чужі системи; складність знаряддя нічого не змінює в тому, що його дії приписують операторові. Складніші й комерційно актуальні питання належать до цивільного права: вимоги постраждалого до лабораторії або до розгортача, чий агент завдав шкоди, ґрунтуватимуться на недбалості (negligence), договорі та, в перспективі, на оновленому режимі відповідальності за дефектну продукцію за Директивою (ЄС) 2024/2853. Держави-члени повинні транспонувати її в національне право не пізніше 9 грудня 2026 р., і застосовується вона до продукції, введеної в обіг або в експлуатацію після цієї дати, тому самих інцидентів липня 2026 року вона не регулює. Цей режим передбачає відшкодування лише фізичним особам і не охоплює майна, яке використовується виключно для професійних цілей, і даних, які використовуються для професійних цілей, тому корпоративні збитки від кіберінцидентів залишаються поза його межами. Відповіді залежатимуть від фактів того роду, для фіксації яких призначена дисципліна документування, описана в нашому огляді щодо перекваліфікації в постачальника: хто санкціонував використання агента, у яких межах, з якими заходами стримування ризиків, журналюванням (logging) і механізмом аварійного вимкнення (kill-switch).

Страховики та контрагенти, імовірно, діятимуть раніше за суди: винятки, пов’язані із ШІ, уже вносять до умов страхування загальної відповідальності та відповідальності керівництва, брокери запитують про автономність агентів і систему управління ними, а на ринку кіберстрахування обговорюються вилучення з покриття, що стосуються саме агентів, — усе це до появи будь-якого судового рішення. Для розгортачів агентів діє те саме: журнали, ліміти та можливість втручання людини стануть досьє підтвердних документів, якщо буде пред’явлено вимогу.

Що це означає для вас

• Постраждалим: проведіть звичайну процедуру реагування на інцидент, і швидко. Строки виконання обов’язків за NIS2, ISG або британським правом, якщо ви під них підпадаєте, відлічуються з моменту виявлення, і те, що в інциденті задіяно ШІ, цих строків не продовжує; групі, яка працює в ЄС, Швейцарії та Великій Британії, потрібен єдиний план реагування на інциденти, заздалегідь зіставлений із трьома строками та з тими юридичними особами, на яких лежать ці обов’язки.
• Розгортачам агентів: закладайте заходи стримування ризиків на етапі проєктування. Ізоляція в пісочниці, облікові дані з обмеженими правами, журналювання та можливість втручання людини, якщо їх задокументовано, — це водночас і захід контролю ризиків, і ваше досьє для захисту.
• Поставте вендорам моделей питання щодо ст. 55. Постачальники моделей із системним ризиком зобов’язані повідомляти про інциденти та забезпечувати безпеку моделі; їхнім відповідям місце у вашій закупівельній документації.
• Перевірте своє страхове покриття вже зараз. Питання про агентний ШІ потрапляють до заяв на страхування, а винятки обговорюються; знайте свої відповіді до того, як запитає брокер.

Isak Legal консультує компанії з питань системи управління ШІ, готовності до інцидентів з урахуванням режимів ЄС, Швейцарії та Великої Британії, а також договірного розподілу ризиків ШІ у відносинах із вендорами та страховиками. Докладніше на нашій сторінці ШІ, дані та технології, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 27 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Описи інцидентів ґрунтуються на повідомленнях преси та заявах компаній і можуть бути переглянуті в міру появи нових фактів; регуляторні позиції слід перевіряти за офіційними джерелами, посилання на які наведено вище. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.