ИИ в вашем продукте:

10 договорных рисков для работы с клиентами в ЕС

Кто такие provider и deployer? Можно ли загрузить документы клиента в чат-бот? Кому принадлежит сгенерированное и что написать в договоре с подрядчиком? Ответы на такие вопросы следует знать до конца этой недели.

Вимоги прозорості 

2 серпня 2026 року — дата, якою вже два роки лякають бізнес: мовляв, саме тоді AI Act запрацює на повну. Тим часом на початку липня Брюссель підписав «цифровий омнібус», який переніс найважчі вимоги — для систем високого ризику — на грудень 2027-го і серпень 2028 року. Здавалося б, можна видихнути.

Не можна. Перенесли лише частину. Вимоги прозорості за ст.50 — повідомляти людей про взаємодію із ШІ і маркувати згенерований контент — набирають чинності, як і планувалося, вже наприкінці цього тижня — з 2.08.2026.

Українську компанію це стосується напряму, бо AI Act — екстериторіальний: якщо результат роботи системи ШІ використовується в ЄС або ваш замовник — європейська компанія, регламент дотягується і до вас. Штрафи за найтяжчі порушення — до 35 млн євро або 7% світового обороту.

Втім, для більшості українських сервісних компаній головний ризик не регуляторний, а договірний: клієнт з ЄС, який сам зобов’язаний дотримуватися AI Act, перекладе свої вимоги на вас. AI Act не забороняє використовувати штучний інтелект. Він забороняє робити це мовчки і без правил.

Спочатку з’ясуйте, хто ви

Регламент розрізняє ролі. Provider — той, хто розробляє систему ШІ або виводить її на ринок під власним брендом. Deployer — той, хто використовує систему у професійній діяльності: агенція, що генерує клієнтські тексти, юрфірма з AI-асистентом, HR-компанія зі скринінгом резюме. Distributor та importer — ланки постачання. Особисте побутове використання під регламент не підпадає взагалі.

Більшість українських компаній — deployers, й їхні обов’язки найлегші. Але є пастка: хто бере чужу систему високого ризику і продає її під власною торговою маркою, за ст.25 AI Act сам стає провайдером — з усім тягарем обов’язків. «Ми лише обгортка над GPT» — аргумент, який працює до першого власного логотипа на продукті.

Десять договірних ризиків

1. Мовчазне використання ШІ. Пряме зобов’язання розкриття стосується чат-ботів і синтетичного контенту. Але договірний вимір ширший: якщо клієнт платить за ручну експертизу, а отримує генерацію, це претензія до якості і привід розірвати договір. Використання ШІ у клієнтських продуктах — предмет договору, а не внутрішня кухня виконавця.

2. Помилка ШІ в продукті. Галюцинація моделі в юридичному висновку, фінансовій моделі чи рекламній кампанії — це ваша помилка, а не «збій технології». Перед клієнтом відповідає виконавець за договором, а регрес до-постачальника ще треба було передбачити. Людська перевірка результату має бути процесом, а не гаслом.

3. Договір з AI-постачальником без гарантій. Постачальник може змінити модель, тарифи чи політику даних одним оновленням умов. Фіксуйте письмово: відповідність AI Act, повідомлення про зміну моделі, заборону навчання на ваших даних, компенсацію за порушення прав третіх осіб. Орієнтир існує — модельні AI-клаузули ЄС (MCC-AI) в редакції березня 2025 року.

4. Права на згенероване. Умови провайдерів різняться, а класичне авторське право захищає лише твори з людським внеском. В Україні для машинних результатів діє право особливого роду (sui generis) — ст.33 закону «Про авторське право і суміжні права». У договорі з клієнтом треба прямо записати, які права і на що саме йому переходять.

5. Персональні дані. GDPR ніхто не скасовував: уведення даних клієнта в модель — це обробка, яка потребує підстави, договору про обробку і зрозумілих ролей контролера та процесора. Додайте питання транскордонної передачі, якщо сервери моделі — поза ЄС.

6. Конфіденційність. Публічні версії чат-ботів можуть використовувати введене для навчання. Завантажити договір клієнта в таку систему без його згоди — потенційне порушення NDA з усіма наслідками. Безпечний стандарт: корпоративні екземпляри з вимкненим навчанням плюс письмовий дозвіл клієнта.

7. Ланцюг підрядників. Ваша AI-політика може бути ідеальною, але субпідрядник про неї не чув. Якщо він завантажив матеріали клієнта в публічний чат-бот, перед клієнтом відповідаєте ви. Вимоги щодо ШІ мають спускатися вниз по всьому ланцюгу — окремою клаузулою в кожному договорі підряду.

8. Персонал без правил. Обов’язок дбати про AI-грамотність персоналу діє ще з лютого 2025 року; омнібус пом’якшив формулювання, але не скасував суть. Мінімум: перелік дозволених систем, заборонені категорії даних, обов’язкова перевірка результатів, відповідальна особа.

9. Маркування контенту. З 2.08.2026 синтетичний контент має позначатися, зокрема машиночитано, а діпфейки — розкриватися. Для систем, що вже на ринку, омнібус дав відстрочку щодо машиночитаного маркування до 2.12.2026. Якщо робите контент для клієнта з ЄС, питання «хто маркує» має стояти в договорі.

10. High-risk сюрприз. Скринінг кандидатів, оцінювання в освіті, кредитний скоринг — це додаток III, зона високого ризику. Строк для неї перенесено на 2.12.2027, але обсяг вимог такий, що готуватися варто вже зараз: європейські клієнти почнуть вимагати відповідності раніше за регулятора.

AI-клаузула та AI policy: мінімальний захист

У договорі з підрядником достатньо однієї клаузули, яка відповідає на чотири питання: чи дозволено ШІ взагалі; які саме системи і в якому режимі; що заборонено завантажувати; хто відповідає за результат і маркування.

Внутрішня AI policy закриває решту. Мінімальний склад:

перелік дозволених систем і режимів роботи;

категорії даних, які заборонено вводити;

обов’язкова людська перевірка результатів;

правила маркування і розкриття використання ШІ;

відповідальна особа і навчання персоналу.

Це — не бюрократія. Це документи, які ви покажете клієнту з ЄС, коли він надішле свій AI-опитувальник перед підписанням договору. А він надішле.

Головний висновок

Омнібус переніс частину дедлайнів AI Act, і багато хто прочитав це як дозвіл нічого не робити. Для українських компаній із клієнтами в ЄС правильне прочитання інше: прозорість і маркування стартують 2.08.2026, а договірні вимоги європейських замовників уже сьогодні жорсткіші за регламент.

Дедлайни можна перенести. Відповідальність за те, що ваш ШІ зробив клієнту, — ні.

Закон і Бізнес