Digital Omnibus ЄС: як змінюється AI Act і що це означає для українського бізнесу
‼️ Європарламент 26 березня 2026 року ухвалив позицію щодо змін до AI Act у межах пакету Digital Omnibus (569 голосів “за”). Це не відмова від регулювання, а його адаптація: частина правил для high-risk AI отримує новий графік застосування, більш передбачувану логіку та менше дублювання з іншими секторальними режимами.
🔑 Ключові зміни
High-risk AI: Annex III системи (біометрія, критична інфраструктура, освіта, зайнятість, правоохоронна сфера, правосуддя, міграція) — застосування з 2 грудня 2027 року.
AI у продуктах, що регулюються секторальним законодавством (medtech, machinery, toys, radio equipment) — з 2 серпня 2028 року.
Це означає, що компанії отримують календар для планування compliance, але не «паузу».
Заборона “nudifier” систем: AI, що створює або змінює реалістичний інтимний контент без згоди особи, буде прямо заборонений. Виняток — системи з ефективними запобіжниками.
Маркування AI-контенту: дедлайн для синтетичного аудіо-, відео-, текстового контенту — 2 листопада 2026 року. Це окремий compliance-трек навіть для non-high-risk продуктів.
Small mid-cap enterprises: для компаній, що переросли статус SME, але ще не мають ресурсів великого enterprise, передбачено пом’якшення адміністративних вимог.
Bias detection: дозволено обробку спеціальних категорій персональних даних для виявлення та виправлення bias, але лише за суворих safeguards (DPIA, access control, retention limits).
Sectoral laws: AI Act інтегрується з MDR, IVDR, machinery regulation тощо, щоб уникнути дублювання. Для medtech це означає інтеграцію AI risk management у вже існуючі процеси сертифікації.
📌 Висновки для українського бізнесу
SaaS та IT: потрібно класифікувати use cases. Якщо система використовується в HR, фінансах, освіті чи essential services — вона може бути high-risk. Навіть генеративні продукти мають перевіряти transparency obligations.
Medtech: відстрочка до 2028 року не скасовує потреби інтегрувати AI-controls у MDR/IVDR документацію, QMS та post-market monitoring.
Defense-tech: крім AI Act, діють export controls, dual-use classification та вимоги до контрактів із державними замовниками.
Стартапи: отримують «вікно» для підготовки до інвестиційного due diligence. Інвестори вимагатимуть доказовий пакет уже зараз, а не у 2027 році.
🛠 Що робити вже зараз
AI inventory — зафіксувати всі AI-компоненти (власні моделі, third-party APIs, embedded AI).
Класифікація use cases — оцінити ризики: low risk, potential high-risk, sectoral product AI.
Оновити data governance — інтегрувати GDPR та AI Act у єдину модель.
Перевірити контракти — прописати AI disclosures, allocation of responsibility, audit rights.
Підготувати доказовий пакет — risk assessment, технічна документація, system description, human oversight, cybersecurity controls.
⚠️ Ризики
- Неправильна класифікація → затримка продажів, неправильний compliance-budget.
- Відсутність data governance → GDPR-ризики, слабка позиція в due diligence.
- Немає технічної документації → клієнт не допускає продукт до закупівлі.
- Відсутність misuse controls → репутаційний і регуляторний ризик для generative AI.
- Непрописані контракти → спори з клієнтом після інциденту.
📌 Висновок: Digital Omnibus не знімає вимоги AI Act, а лише робить їх більш прогнозованими.
Для українських компаній це означає: час на підготовку є, але чекати не можна. Уже зараз потрібно провести AI audit, оновити data governance, класифікувати use cases та закріпити відповідальність у договорах. Це дозволить уникнути ризиків і бути готовими до європейських вимог ще до 2027 року.
Поставити питання юристам | AdvoCats 🤔😎
