Коли розгортач ШІ (deployer) стає постачальником за Регламентом ЄС про ШІ (AI Act)

Чому роль важливіша за інструмент

AI Act розподіляє обов’язки за ролями, незалежно від технології. Розгортачі (deployers) систем ШІ високого ризику мають за ст. 26 реальні, але посильні обов’язки: використання систем відповідно до інструкцій, нагляд з боку людини, якість вхідних даних, моніторинг, а для систем із Додатка III, крім систем критичної інфраструктури з підп. 2, також оцінка впливу на основоположні права за ст. 27, якщо розгортач є публічно-правовим органом або приватною організацією, що надає публічні послуги, а для систем кредитного скорингу та систем ціноутворення у страхуванні життя та здоров’я з підп. 5(b) і (c) — для кожного розгортача. Постачальники мають повну програму обов’язків постачальника: управління ризиками, управління даними, технічна документація, оцінка відповідності, реєстрація, постринковий моніторинг. Різниця у витратах і відповідальності велика, тому правилам про перекваліфікацію зі ст. 25 місце не лише в додатку про комплаєнс, а й у комерційних рішеннях. Тригери — звичайні комерційні дії: поставити ім’я на продукт, змінити його, використати його для нової мети.

Три тригери ст. 25

Брендування. Якщо ви ставите своє ім’я або торговельну марку на систему ШІ високого ризику, уже введену в обіг, ви є її постачальником. Тригером є випуск інструмента вендора під власним логотипом (white-labelling). Той самий результат настає й без ст. 25, якщо ви замовляєте розроблення системи для себе або створюєте її самі та вводите в експлуатацію під власним іменем, зокрема для внутрішнього використання: це звичайне визначення постачальника у ст. 3(3), і воно застосовується сьогодні. Стаття 25(1)(a) застосовується без шкоди для договірних домовленостей, які передбачають інший розподіл обов’язків, тож роботу можна перерозподілити договором.

Проте договір не може залишити за первісним постачальником його роль: ст. 25(2) у редакції Регламенту (ЄС) 2026/1744 передбачає, що первісний постачальник більше не вважається постачальником цієї конкретної системи ШІ, але повинен тісно співпрацювати з новим постачальником і надавати необхідну інформацію, технічний доступ, якого можна розумно очікувати, та іншу допомогу, потрібну для дотримання вимог, зокрема технічну документацію, достатню для оцінки відповідності вимогам ст. 16, інформацію про відомі обмеження та види відмов, а також цільовий технічний доступ для тестування й валідації. Цей обов’язок не застосовується, якщо первісний постачальник чітко зазначив, що його систему не можна перетворювати на систему високого ризику.

Істотна модифікація. Визначення технічне, але ідея проста: це зміна, якої не передбачала первісна оцінка відповідності та яка впливає на відповідність вимогам або на призначення, для якого систему оцінювали. Повторне навчання на ваших даних, зміна порогових значень для ухвалення рішень, додавання функцій: у кожному із цих випадків питання потрібно поставити письмово та звірити з визначенням.

Перепрофілювання для застосування високого ризику. Якщо взяти систему, яка не була системою високого ризику, зокрема систему загального призначення, і надати їй цільове призначення високого ризику, наприклад перепрофілювати чат-бот для відбору кандидатів під час найму або спрямувати скорингову систему на кредитні рішення, то отримана система високого ризику — ваша.

Що вже діє, а що ні

Строки слід викладати обережно, бо Цифровий омнібус їх змінив. Стаття 25 міститься в секції 3 глави III, а Регламент (ЄС) 2026/1744, тобто Цифровий омнібус щодо ШІ, чинний із 27 липня 2026 р., відклав застосування секцій 1, 2 і 3 глави III, тобто статей з 6 по 27: правил класифікації, вимог і обов’язків операторів (operators), включно із самим правилом про перекваліфікацію. Дати такі: 2 грудня 2027 р. для систем, класифікованих як системи високого ризику за ст. 6(2) і Додатком III, і 2 серпня 2028 р. для систем, класифікованих так за ст. 6(1) і Додатком I; в останньому випадку потрібно водночас, щоб система була компонентом безпеки продукту, на який поширюється законодавство з Додатка I, або сама була таким продуктом і щоб продукт підлягав оцінці відповідності третьою стороною (ст. 113 зі змінами). Дати фіксовані й не залежать від появи гармонізованих стандартів.

Для машин та обладнання маршрут змінився: Регламент (ЄС) 2026/1744 переніс регламент про машини та обладнання, Регламент (ЄС) 2023/1230, із секції A до секції B Додатка I. Машини та обладнання із ШІ зберігають класифікацію як системи високого ризику за ст. 6(1), але за ст. 2(2) до них застосовуються лише ця класифікація, стаття про тестування в реальних умовах і положення AI Act про управління; матеріальні вимоги мають бути перенесені до самого регламенту про машини та обладнання делегованими актами, які повинні почати застосовуватися не пізніше 2 серпня 2028 р.

До систем високого ризику, уже введених в обіг або в експлуатацію до цих дат, Регламент за ст. 111(2) зі змінами застосовується, лише якщо згодом система зазнає значних змін у конструкції, а системи, призначені для використання органами публічної влади, у будь-якому разі повинні відповідати вимогам не пізніше 2 серпня 2030 р. Компанії, яка після дати початку застосування випускає наявну систему під власним брендом або істотно її модифікує, не слід припускати, що вона успадкує цей перехідний захист.

Два напрями регулювання постачальників уже діють. По-перше, згідно з настановами Комісії для постачальників ШІ загального призначення від 18 липня 2025 р. компанія, яка проводить донавчання (fine-tuning) моделі ШІ загального призначення (GPAI) або модифікує її в інший спосіб, стає постачальником моделі, лише якщо модифікація спричиняє значну зміну універсальності, можливостей або системного ризику моделі; орієнтовний критерій настанов — обсяг обчислень, витрачених на модифікацію, який перевищує одну третину обсягу обчислень, витрачених на навчання первісної моделі. Крім того, модифікована модель має бути введена в обіг на ринку ЄС; за тлумаченням, яке Комісія дає п. 97 преамбули, це охоплює інтеграцію моделі у власну систему ШІ компанії, яку надають на ринку або вводять в експлуатацію, але не охоплює суто внутрішнього використання, яке не має суттєвого значення для продукту чи послуги для третіх сторін, якщо це не зачіпає прав фізичних осіб і модель не несе системного ризику.

Якщо цю межу перетнуто, обов’язки постачальника прив’язані до модифікації: технічна документація та інформація для наступних учасників ланцюга, обмежені тим, що було змінено; політика у сфері авторського права та публічне резюме контенту, використаного для навчання, обмежені даними, на яких здійснено модифікацію; уповноважений представник для осіб, які модифікують модель і засновані за межами ЄС; а якщо первісна модель несла системний ризик, то й обов’язки, пов’язані із системним ризиком, і повідомлення до Комісії. Винятки для моделей із відкритим вихідним кодом доступні лише за певних умов і ніколи не поширюються на моделі із системним ризиком. Звичайне донавчання нижче цього порога саме собою статусу постачальника не надає.

По-друге, компанія, яка вводить генеративну систему в обіг під власним брендом, має обов’язки щодо машиночитаного маркування за ст. 50(2), розглянуті в нашому огляді щодо ст. 50, з 2 серпня 2026 р., а якщо систему вже було введено в обіг до цієї дати, то з 2 грудня 2026 р. (ст. 111(4)), незалежно від того, чи отримано базову модель від вендора. Отже, питання про постачальника має наслідки вже зараз, а для його наслідків, пов’язаних із високим ризиком, установлено фіксовані дати.

Залишитися розгортачем або свідомо стати постачальником

Обидва результати правомірні; ризик у тому, щоб дійти до одного з них випадково. Щоб залишитися розгортачем, потрібна дисципліна у трьох місцях. Дисципліна щодо бренду: рішення поставити свою марку на функцію ШІ є юридичним рішенням, і підписати його має хтось поза маркетингом. Система управління модифікаціями: контрольний етап у процесі розроблення, на якому перед будь-яким повторним навчанням чи функціональною зміною придбаної системи з’ясовують, чи є зміна істотною в розумінні ст. 25, і фіксують відповідь. Документування призначення: письмові описи цільового призначення для кожної розгорнутої системи, щоб перепрофілювання було видимим рішенням і ніколи не відбувалося поступово й непомітно.

Стаття 25(4) дає вам і договірний важіль: якщо третя сторона постачає систему ШІ, модель ШІ, інструменти, послуги, компоненти чи процеси, які використовуються в системі високого ризику або інтегровані в неї, постачальник і ця третя сторона повинні письмовою угодою визначити інформацію, можливості, технічний доступ та іншу допомогу, потрібні постачальникові для дотримання вимог. Обов’язок взаємний і не застосовується до того, що зроблено загальнодоступним за вільною ліцензією з відкритим вихідним кодом, причому цей виняток не поширюється на моделі ШІ загального призначення; Офіс з питань ШІ (AI Office) може опублікувати добровільні типові договірні умови для таких угод (ст. 25(4)).

Четвертий шлях передбачено ст. 25(3) для виробників: якщо система ШІ високого ризику є компонентом безпеки продукту, на який поширюється законодавство із секції A Додатка I, і її вводять в обіг або в експлуатацію під іменем чи торговельною маркою виробника продукту, постачальником є виробник. Це договірне застереження має бути у вашому стандарті закупівель уже зараз, причому в обох напрямках: для вас як покупця і, якщо ваша роль колись зміниться, для вас як постачальника, який має право на співпрацю власних контрагентів.

А для компаній, які обирають статус постачальника свідомо, бо це виправдано маржею white-label або продуктовими амбіціями, таке рішення означає перелік завдань із кінцевим терміном 2 грудня 2027 р. для систем із Додатка III і 2 серпня 2028 р. для систем із Додатка I (для системи, яку вже було введено в обіг до цих дат, обов’язки починають діяти, щойно її конструкція значно зміниться, і в будь-якому разі не пізніше 2 серпня 2030 р., якщо вона призначена для органів публічної влади); цього часу якраз достатньо, якщо бюджет закласти вже зараз. Цей аналіз стосується і швейцарських компаній через тригери, які ми описали в нашому огляді щодо Швейцарії: швейцарська компанія, яка працює на ринку ЄС за моделлю white-label, змінює роль так само.

Що це означає для вас

• Інвентаризуйте свою роль щодо кожної системи. Одна організація може бути розгортачем десяти систем, модифікувати дві та бути постачальником однієї; обов’язки визначаються окремо для кожної системи.
• Зробіть брендування етапом погодження. Ваш логотип на функції ШІ може означати перекваліфікацію; проводьте його через юридичне погодження так само, як гарантію.
• Пропускайте модифікації через письмову перевірку. Односторінкова оцінка істотності модифікації для кожної зміни фіксує відповідь раніше, ніж питання поставить регулятор.
• Складіть описи призначення й підтримуйте їх в актуальному стані. Перепрофілювання відбувається поступово й непомітно; письмовий опис цільового призначення робить його рішенням.
• Упорядкуйте договори в обох напрямках. Застереження про співпрацю вендорів за ст. 25 і ясність щодо того, хто яку роль виконує, потрібні до настання кінцевих термінів для систем високого ризику.

Isak Legal консультує компанії з питань аналізу ролей за AI Act, стратегій white-label і модифікації, договорів із вендорами та системи управління ШІ в ЄС і Швейцарії. Докладніше на нашій сторінці ШІ, дані та технології, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 27 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Строки для систем високого ризику наведено за Регламентом (ЄС) 2026/1744, тобто Цифровим омнібусом щодо ШІ, опублікованим в Офіційному віснику ЄС 24 липня 2026 р. і чинним із 27 липня 2026 р.; визначення істотної модифікації міститься у ст. 3(23), поза ст. 25, а умови, за яких особа, що проводить донавчання моделі загального призначення, стає її постачальником, викладено в настановах Комісії, які не мають обов’язкової сили, тоді як обов’язки, що застосовуються в такому разі, випливають зі статей з 53 по 55 самого AI Act. Чинне формулювання слід звіряти з консолідованим текстом Регламенту (ЄС) 2024/1689. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.