Як Велика Британія регулює ШІ без закону про ШІ

Вибір моделі регулювання

Британська система регулювання спирається на білу книгу (white paper) 2023 року та на відповідь уряду щодо підходу, сприятливого для інновацій: горизонтального закону немає, натомість діє набір міжгалузевих принципів, не закріплених у законі (безпека, прозорість, справедливість, підзвітність, можливість оскарження), які наявні регулятори застосовують у межах своєї компетенції. Ставку зроблено на інституції: ICO, FCA, CMA (Управління з питань конкуренції та ринків), Ofcom (Управління з питань комунікацій) та інші регулятори знають свої галузі краще, ніж їх знав би новий орган з питань ШІ, а проблеми координації вирішуються через Digital Regulation Cooperation Forum (DRCF, форум співпраці цифрових регуляторів), на базі якого регулятори ведуть спільні сервіси для новаторів у сфері ШІ. Уряди, що змінювали один одного, зберегли цю модель, але зробили керування нею чіткішим: у січні 2026 року міністри офіційно попросили ICO опублікувати план сприяння безпечним інноваціям на основі ШІ, і ICO відповіло в травні 2026 року, причому тепер від регуляторів очікують, що вони публікуватимуть такі плани та щороку звітуватимуть про них. Загальний напрям — більше координації та більше підзвітності регуляторів; закон, адресований компаніям, поки що не з’явився.

Хто регулює ваш ШІ у Великій Британії

Для більшості компаній чинний звід правил у Великій Британії — це британський Загальний регламент про захист даних (UK GDPR) і Закон про захист даних (Data Protection Act 2018, DPA), а роз’яснення ICO щодо ШІ та захисту даних перекладають їх мовою ШІ: правова підстава для навчання та розгортання, справедливість і упередженість, прозорість щодо фізичних осіб, права у зв’язку з автоматизованим ухваленням рішень (ADM) і документація, що підтверджує підзвітність. Правила, які пояснено в цих роз’ясненнях, змінилися: з 5 лютого 2026 р. ст. 80 Закону про використання даних і доступ до них (Data (Use and Access) Act 2025) (DUAA) замінила ст. 22 UK GDPR статтями з 22A по 22D, тож значуще рішення, ухвалене виключно автоматизованими засобами, тепер може спиратися на будь-яку правову підставу, зокрема на законні інтереси, за умови, що забезпечено гарантії, передбачені ст. 22C (інформування, можливість висловити свою позицію, втручання людини, спосіб оскаржити рішення); рішення, що ґрунтуються на даних особливих категорій, і далі допускаються лише за явно вираженої згоди або на договірній чи законній підставі, і жодне з них не може спиратися на нову підставу визнаних законних інтересів (recognised legitimate interests). Роз’яснення ICO щодо ШІ позначено як такі, що переглядаються у зв’язку з цими змінами, а оновлені роз’яснення щодо автоматизованого ухвалення рішень очікуються взимку 2026 року.

Стратегічний підхід ICO і план роботи на 2026/27 рік ідуть далі, а центральний елемент тепер закріплено в законі: ст. 92(2) Data (Use and Access) Act 2025 додала до Data Protection Act 2018 статтю 124A, а підзаконний акт (statutory instrument) SI 2026/425, чинний з 12 травня 2026 р., зобов’язує Комісара з питань інформації (Information Commissioner) підготувати кодекс практики щодо обробки персональних даних під час розроблення та використання ШІ й автоматизованого ухвалення рішень. Обов’язок підготувати кодекс чинний; сам кодекс розробляється, і за опублікованим графіком ICO остаточна редакція очікується в першій половині 2028 року, після чого кодекс на 40 днів подається до парламенту й набирає чинності через 21 день після видання (ст. 125). Після набрання кодексом чинності суди, трибунали та Комісар повинні враховувати його у відповідних випадках, а відступ від нього сам собою не є порушенням (ст. 127); саме це й дає кодекс практики за відсутності закону про ШІ.

Паралельно розробляються окремі роз’яснення щодо агентного ШІ: публічні консультації очікуються у вересні 2026 року, а остаточна редакція — навесні 2027 року; вони матимуть значення для кожної компанії, яка розгортає автономних асистентів.

Для фінансових фірм FCA опублікувало свій підхід до ШІ, що ґрунтується на принципах і прив’язаний до наявних режимів — режиму вищих керівників (Senior Managers regime), Consumer Duty (обов’язок перед споживачами, встановлений FCA), операційної стійкості, — без планів запроваджувати спеціальні правила щодо ШІ; у той самий бік вказує план упровадження ШІ у сфері фінансових послуг (Financial Services AI Adoption Plan) від 14 липня 2026 р. — незалежний звіт урядових «чемпіонів ШІ» (AI Champions), адресовані уряду рекомендації якого Міністерство фінансів Великої Британії (HM Treasury) прийняло: упровадження в межах наявного периметра, а точкові заходи зарезервовано для нових питань. На практиці питання комплаєнсу у Великій Британії звучить як «який регулятор відповідає за мій сценарій використання», тоді як у ЄС — «під який додаток я підпадаю»: зазвичай це ICO, якщо йдеться про персональні дані, плюс ваш галузевий наглядовий орган, а паралельно діють авторське право, законодавство про рівність, про захист прав споживачів і про безпечність продукції, дотримання яких забезпечують здебільшого суди.

Законопроєкт про передові моделі (frontier), якого досі немає

Над моделлю з опорою на регуляторів стоїть заявлена урядом позиція на користь точкових обов’язкових вимог до розробників моделей ШІ загального призначення з високими можливостями; це формулювання трапляється в офіційних документах від часу відповіді на білу книгу і станом на 25 вересня 2026 р. залишається наміром без законопроєкту. Натомість Тронна промова короля (King’s Speech) від 13 травня 2026 р. оголосила законодавство іншого типу: законопроєкт Regulating for Growth Bill, який, як заявляє уряд, створив би AI Growth Lab з повноваженнями щодо регуляторних пісочниць для всієї економіки, що дають змогу тимчасово не застосовувати або змінювати регуляторні вимоги для тестування ШІ-продуктів у реальних умовах під наглядом. Це оголошене законодавство, яке ще не стало законом, і воно віддаляє від закону про ШІ: законодавчу енергію спрямовано на послаблення периметра для контрольованого тестування. Огляд виконання плану AI Opportunities Action Plan показує, куди спрямовано зусилля уряду: упровадження, інфраструктура та стандарти, зокрема стратегія цифрових стандартів до 2030 року.

Відтоді подія у сфері безпеки сталася, а законопроєкту так і немає: у заяві міністра з питань ШІ від 7 вересня 2026 р. повідомлялося про низку літніх інцидентів, у яких ШІ-агенти вийшли за межі намірів своїх операторів, а відповідь уряду полягала у фінансуванні кібербезпеки, роз’ясненнях NCSC (Національний центр кібербезпеки Великої Британії) та законопроєкті Cyber Security and Resilience Bill. Для цілей планування вважайте британський законопроєкт про передові моделі питанням для спостереження без графіка, а кодекс практики ICO — тим передбаченим законом інструментом, на який слід орієнтуватися в плануванні: після його видання суди, трибунали та Комісар повинні його враховувати (ст. 127 DPA 2018), а за графіком ICO остаточна редакція кодексу очікується в першій половині 2028 року.

Погляд із Цюриха та Брюсселя

Трикутник тепер замкнено, і три його сторони різняться за самим задумом. ЄС створив кодифікований акт із ролями, рівнями ризику та механізмом оцінки відповідності, що ми розібрали в нашому огляді щодо ст. 50 та в огляді про перекваліфікацію в постачальника. Швейцарія ухвалює галузеве законодавство на основі міжнародного договору, а проєкт для публічних консультацій очікується наприкінці 2026 року, про що йдеться в нашому огляді щодо Швейцарії. Велика Британія регулює через своїх регуляторів, а законодавство про захист даних фактично виконує роль закону про ШІ там, де обробляються персональні дані.

Для транскордонних груп із цього випливають три наслідки. По-перше, у Великій Британії немає механізму оцінки відповідності для ШІ: для системи, якій потрібна оцінка відповідності за AI Act ЄС, у Великій Британії немає спеціального аналога такої оцінки для ШІ, а це змінює послідовність виведення продуктів на ринок; якщо ж сам продукт є регульованим, наприклад програмне забезпечення як медичний виріб, застосовується власна британська оцінка відповідності (UKCA у Великій Британії без Північної Ірландії (Great Britain), CE за правилами ЄС у Північній Ірландії). По-друге, британське правозастосування реальне в будь-якому разі: ICO вже зараз забезпечує дотримання UK GDPR щодо розгортань ШІ, і аргумент «ми дотримувалися AI Act» не є захистом у разі порушення британського законодавства про захист даних; ці режими вимірюють різне. По-третє, ефективна архітектура — та, яку ми рекомендуємо в усіх цих оглядах: одна система управління, зіставлена з кожним із трьох режимів (аналіз ролей і ризиків у ЄС, зіставлення з регуляторами у Великій Британії, швейцарський галузевий рівень), щоб докази, зібрані один раз, слугували всім трьом перевіркам, а рішення, специфічні для кожної юрисдикції (заборонені види використання, автоматизовані рішення, прозорість, правила щодо продукції), було винесено в додатки. Британська компанія й сама підпадає під дію AI Act, якщо її системи потрапляють на ринок ЄС або результати їх роботи використовуються там.

Що це означає для вас

• Не сприймайте «закону немає» як «правил немає». UK GDPR і DPA 2018 — чинний британський звід правил для ШІ, що зачіпає персональні дані; роз’яснення ICO щодо ШІ пояснюють, як їх застосовувати, і переглядаються після DUAA, а ICO вже зараз забезпечує дотримання цього законодавства; зіставте кожен сценарій використання з ICO та з вашим галузевим наглядовим органом — це британський аналог класифікації ризиків у ЄС.
• Фінансовим фірмам: працюйте в межах опублікованого периметра. FCA спирається на наявні структури відповідальності й не планує спеціальних правил щодо ШІ; план упровадження, підготовлений AI Champions і прийнятий Міністерством фінансів Великої Британії в частині, адресованій уряду, вказує в той самий бік.
• Стежте за передбаченим законом кодексом практики ICO та за роз’ясненнями щодо агентного ШІ. Кодекс, щойно його буде видано на підставі ст. 124A і 125 DPA 2018 (остаточна редакція за графіком ICO очікується в першій половині 2028 року), повинні будуть враховувати суди, трибунали та Комісар; роз’яснення щодо агентного ШІ очікуються навесні 2027 року; AI Growth Lab і законопроєкт про передові моделі — справа віддаленішої перспективи.
• Ведіть одну систему на весь трикутник. Обов’язки в ЄС, Великій Британії та Швейцарії перетинаються за змістом і різняться формою, сферою застосування та рішеннями, яких вони вимагають; єдине ядро системи управління з трьома зіставленнями дешевше, і його легше відстояти, ніж три програми.

Isak Legal консультує компанії з питань системи управління ШІ з урахуванням режимів ЄС, Великої Британії та Швейцарії, зіставлення сценаріїв використання з регуляторами, внутрішніх політик розгортання ШІ та транскордонної продуктової стратегії. Докладніше на наших сторінках ШІ, дані та технології і Велика Британія, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 26 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Британська система регулювання розвивається через публікації регуляторів і точкове законодавство; перш ніж діяти, перевірте актуальний стан справ за офіційними джерелами, посилання на які наведено вище. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.