ЕС изменил то, как соотносятся два его крупнейших цифровых свода правил. Регламент (ЕС) 2026/1744, известный как AI Omnibus, вносит поправки в AI Act и смещает границы его пересечения с GDPR. Это руководство с объяснением поправок к AI Act и GDPR проходит по тому, что выделяет анализ источника: новая статья 4a о данных для обнаружения предвзятости, оценки воздействия на фундаментальные права (FRIA), которые могут повторно использовать оценки воздействия на защиту данных (DPIA) по GDPR, смягчённые обязанности по ИИ-грамотности и новые механизмы надзора.

Исходный материал представляет собой краткое резюме, поэтому этот пост ограничивается этими ключевыми изменениями и избегает домыслов о деталях, которые в нём не изложены. Там, где важен мелкий шрифт, мы об этом говорим.

Что AI Omnibus изменил в AI Act

Согласно резюме, Регламент (ЕС) 2026/1744 «перестроил» пересечение AI Act и GDPR. Выделяются четыре изменения:

  • Данные для обнаружения предвзятости (ст. 4a): новое положение, касающееся обработки данных для выявления предвзятости в системах ИИ.
  • FRIA с повторным использованием DPIA: оценки воздействия на фундаментальные права могут опираться на DPIA, которые организации уже проводят в соответствии с GDPR.
  • Смягчённая ИИ-грамотность: обязанности в отношении ИИ-грамотности ослаблены.
  • Новый надзор: изменения в организации надзора.

Более широкий контекст — стремление упростить цифровые правила ЕС. Если вам нужна эта более широкая картина, наш разбор что меняет Цифровой омнибус ЕС для cookies, GDPR и ИИ подробнее освещает пакет упрощения.

Данные для обнаружения предвзятости по статье 4a: что это значит для ваших персональных данных

Тестирование на предвзятость — реальная точка напряжения. Чтобы проверить, не относится ли система ИИ к группам несправедливо, разработчикам часто нужны данные о таких характеристиках, как этническая принадлежность, здоровье или иные чувствительные атрибуты. GDPR устанавливает жёсткие ограничения на обработку таких данных. Статья 4a — это ответ AI Act: она допускает обработку данных для обнаружения предвзятости в рамках правовой базы ИИ.

Для обычных людей практический вопрос заключается в том, могут ли ваши данные использоваться для тестирования системы ИИ. Резюме подтверждает наличие этого положения, но не излагает гарантии, условия или ограничения, связанные с ним. Эта деталь важна. Ограничение цели, минимизация данных и безопасность — это те меры защиты, которые следует искать в тексте регламента и в том, как организации описывают свою практику.

Намерение — аудит ИИ на предмет дискриминации — законно. Риск для приватности заключается в том, является ли разрешение узким и хорошо контролируемым или широким и слабо регулируемым. Читателям следует рассматривать это как открытый вопрос, пока они не ознакомились с действующей формулировкой.

Как FRIA и DPIA по GDPR теперь работают вместе

DPIA — это оценка по GDPR, которую организация проводит, когда обработка данных вероятно создаёт высокий риск для прав людей. FRIA — это оценка по AI Act того, как высокорисковая система ИИ может повлиять на фундаментальные права. До изменения организация могла столкнуться с двумя пересекающимися бумажными процедурами.

В соответствии с AI Omnibus FRIA могут повторно использовать DPIA. Проще говоря, работа, проделанная для одной оценки, может питать другую, что должно сократить дублирование.

Есть плюсы и оговорки:

  • Плюс: одна хорошо выполненная оценка может обслуживать оба режима, что может стимулировать более тщательную работу, а не двойную формальную проверку.
  • Оговорка: DPIA сосредоточена на рисках защиты данных. FRIA призвана смотреть шире, включая дискриминацию и другие права. Повторное использование DPIA помогает только в том случае, если более широкие вопросы по-прежнему действительно задаются.

Что получают и теряют пользователи, заботящиеся о приватности

Вероятные приобретения

  • Более чёткие правила тестирования на предвзятость, что может помочь выявить дискриминационный ИИ до того, как он повлияет на вас.
  • Меньше дублирующей работы по оценке, что может позволить организациям сосредоточиться на качестве.
  • Сохранение прав по GDPR. Резюме описывает скорректированное пересечение, а не отмену GDPR.

Возможные потери или неопределённости

  • Новый правовой путь для обработки чувствительных данных в целях обнаружения предвзятости, с гарантиями, которые нуждаются в проверке.
  • Смягчённые обязанности по ИИ-грамотности, что может означать меньше обязательного обучения для сотрудников, использующих инструменты ИИ.
  • Новые механизмы надзора, влияние которых на правоприменение и обработку жалоб в источнике не детализировано.

Что это значит для вас

Ничто в резюме не указывает на то, что ваши основные права по GDPR, такие как доступ, удаление и возражение, исчезли. Изменился механизм вокруг систем ИИ: как данные могут использоваться для их тестирования, как объединяются оценки рисков и кто за ними наблюдает.

Если вы взаимодействуете с системами ИИ, используемыми в найме, кредитовании, образовании или государственных услугах, новые правила могут повлиять на то, как ваши данные используются для проверки на справедливость и насколько тщательно оцениваются ваши права. Детали будут зависеть от полного текста регламента и от того, как национальные органы будут его применять.

Практические выводы

  • Читайте уведомления о приватности на предмет языка об ИИ. Ищите, указывает ли организация, что использует персональные данные для тестирования или улучшения ИИ, включая обнаружение предвзятости.
  • Спрашивайте об оценках. Вы можете спросить компанию, проводила ли она DPIA или FRIA для систем ИИ, которые на вас влияют, и как они соотносятся.
  • Используйте свои права по GDPR. Запросы на доступ, возражение и удаление остаются доступными.
  • Ждите деталей. Рассматривайте ключевые изменения как отправную точку и проверяйте текст регламента на предмет гарантий по статье 4a.

Чтобы продолжать выстраивать контекст, начните с нашего разбора Цифрового омнибуса, затем изучите, как организации, хранящие ваши данные, описывают свои практики в отношении ИИ и оценки воздействия. С этим объяснением поправок к AI Act и GDPR вы лучше подготовлены, чтобы задавать правильные вопросы.