Правовий ландшафт ЄС зараз переживає фундаментальну трансформацію, і його опорами стають Закон про штучний інтелект (AI ACT) та Директива NIS2 (впроваджена в Польщі як поправка до Закону про національну систему кібербезпеки – UKSC). Ці зміни, які повністю набули чинності в польській правовій системі у квітні 2026 року, накладають безпрецедентні зобов'язання на підприємства щодо управління ризиками та цифрової стійкості. Ключовим висновком з аналізу обох законів є те, що їхні вимоги застосовуються не лише до систем штучного інтелекту з високим рівнем ризику, але й охоплюють широкий спектр технологій та процесів, що використовуються ключовими та важливими суб'єктами.
Універсальна сфера регулювання:
Фундаментальним неправильним тлумаченням Закону про штучний інтелект є переконання, що цей регламент застосовується лише до вузької групи систем, класифікованих як високоризикові. Насправді, правова база ЄС спрямована на охоплення майже всієї екосистеми . Директива NIS2 застосовує горизонтальний підхід «всіх небезпек», що означає, що кожна ІТ-система (включаючи ті, що базуються на штучному інтелекті), що використовується для надання критично важливих послуг, повинна відповідати суворим стандартам безпеки. Тому, якщо компанія, наприклад, у секторах енергетики, транспорту чи охорони здоров'я, впроваджує інструменти ШІ для оптимізації процесів, незалежно від того, чи вважається система високоризиковою згідно із Законом про ШІ, вона стає невід'ємною частиною мереж та ІТ-систем, на які поширюється дія Директиви NIS2. Це, у свою чергу, вимагає впровадження адекватних та пропорційних технічних, операційних та організаційних заходів, таких як аналіз ризиків, управління інцидентами та забезпечення безперервності бізнесу.
Ключові та важливі сектори:
Поправка до UKSC значно розширила перелік суб'єктів господарювання, що працюють у галузях, на які поширюються нові вимоги, розділивши їх на 19 ключових та важливих секторів. До ключових суб'єктів, тобто тих, що підлягають найсуворішому нагляду, належать державне управління, космічний сектор, а також постачальники хмарних послуг та послуг центрів обробки даних. До важливих секторів, у свою чергу, належать виробництво хімічних речовин, продуктів харчування, медичних виробів та управління відходами.
Для суб'єктів господарювання, що працюють у цих галузях, інтеграція Закону про штучний інтелект з NIS2 вимагатиме систематичних оцінок ризиків, що враховують специфіку інструментів штучного інтелекту. NIS2 розглядає штучний інтелект як інноваційну технологію, яка, підтримуючи виявлення атак, також може створювати нові вразливості в ланцюжку поставок.
Точка контакту – Безпека ланцюга поставок:
Одним із найважливіших питань NIS2 є безпека ланцюга поставок. Тому компанії повинні перевіряти не лише власні системи, але й стандарти безпеки своїх постачальників продуктів або послуг ІКТ. У контексті штучного інтелекту це означає, що постачальник моделі ШІ стане критично важливою ланкою в усій архітектурі безпеки даної організації.
Закон про штучний інтелект та пов'язаний з ним CRA (Закон про кіберстійкість) запроваджують вимоги «безпеки за проектом» та зобов'язання управляти вразливостями протягом усього життєвого циклу продукту (від проектування, до виробництва і навіть після його вилучення з ринку). Компанії, на які поширюється дія NIS2 та які використовують або впроваджують технології штучного інтелекту, повинні застосовувати процедури належної перевірки, включаючи право проводити аудит постачальників та перевіряти політику безпеки постачальників. В іншому випадку відсутність нагляду за постачальником програмного забезпечення для штучного інтелекту може розглядатися як порушення законодавчих зобов'язань, що відкриє шлях до суворих санкцій.
Правління та його відповідальність:
Однак, значною зміною в корпоративній «культурі» є пряма та особиста відповідальність управлінського персоналу, що встановлюється NIS2. Відповідно до статті 20 Директиви NIS2, ради директорів зобов'язані затверджувати заходи з управління ризиками та контролювати їх впровадження. Таким чином, незнання специфіки систем штучного інтелекту в компанії не звільняє керівництво від відповідальності за потенційні інциденти. Крім того, поправка UKSC, у поєднанні зі статтею 20(2) NIS2, також запроваджує вимогу щодо обов'язкового та періодичного навчання з кібербезпеки для керівників підрозділів. Метою цього є підвищення обізнаності про те, що безпека ІТ-систем (включаючи ті, що базуються на ШІ) є стратегічною відповідальністю бізнесу, а не виключно сферою діяльності ІТ-відділів.
Санкції та штрафи:
Невиконання зобов'язань, що випливають з NIS2 та Закону про штучний інтелект, може призвести до серйозних фінансових санкцій, за зразком тих, що діють у GDPR. Для ключових суб'єктів штрафи можуть сягати 10 мільйонів євро або 2% від загального річного світового обороту. Однак у випадках найсерйозніших порушень, наприклад, загрози національній безпеці, обороні, громадському порядку або життю та здоров'ю людей, передбачені штрафи до 100 мільйонів злотих відповідно до статті 73(5) UKSC.
Важливим елементом нагляду є система S46, в якій ключові та важливі суб'єкти господарювання повинні зареєструватися до 3 жовтня 2026 року. Ця система використовується для багатоетапного повідомлення про серйозні інциденти (24 години для раннього попередження, 72 години для повного звіту), які, наприклад, у разі збою систем штучного інтелекту, що потребують швидкого реагування, стануть ключовим операційним викликом.
Підсумовуючи, поєднання Закону про штучний інтелект з директивою NIS2 створює узгоджений правовий режим, що змушує компанії переходити від реактивного до проактивного управління ризиками. Компанії в секторах, що охоплюються цим регламентом, повинні розуміти, що безпека технологій штучного інтелекту нерозривно пов'язана із загальною кіберстійкістю організації. Час поблажливості до затримок у впровадженні цих стандартів минув, і ставка полягає не лише в уникненні багатомільйонних штрафів, але й, перш за все, у забезпеченні безперервності бізнесу та довіри в цифровій комерції.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 22 липня 2026 року.
автор / редактор серії:
