ЄС змінив те, як його два найбільші цифрові звóди правил узгоджуються між собою. Регламент (ЄС) 2026/1744, відомий як ШІ-омнібус, вносить зміни до AI Act і зміщує межі його перетину з GDPR. Цей посібник зі змінами до AI Act і GDPR роз'яснює те, що висвітлює аналіз джерела: нову статтю 4a щодо даних для виявлення упередженості, оцінки впливу на фундаментальні права (FRIA), які можуть повторно використовувати оцінки впливу на захист даних (DPIA) за GDPR, пом'якшені обов'язки щодо обізнаності зі ШІ та нові механізми нагляду.

Джерельний матеріал є коротким резюме, тому цей допис зосереджується на цих головних змінах і уникає здогадок щодо деталей, які в ньому не викладені. Там, де дрібний шрифт має значення, ми це зазначаємо.

Що ШІ-омнібус змінив в AI Act

Згідно з резюме, Регламент (ЄС) 2026/1744 «перебудував» перетин між AI Act і GDPR. Вирізняються чотири зміни:

  • Дані для виявлення упередженості (ст. 4a): нове положення, що стосується обробки даних для виявлення упередженості в системах ШІ.
  • FRIA з повторним використанням DPIA: оцінки впливу на фундаментальні права можуть ґрунтуватися на DPIA, які організації вже проводять за GDPR.
  • Пом'якшена обізнаність зі ШІ: обов'язки щодо обізнаності зі ШІ було послаблено.
  • Новий нагляд: зміни в тому, як організовано нагляд.

Ширший контекст — це прагнення спростити цифрові правила ЄС. Якщо вам потрібна ця ширша картина, наш роз'яснювач про те, що змінює Цифровий омнібус ЄС для файлів cookie, GDPR і ШІ розкриває пакет спрощення глибше.

Дані для виявлення упередженості за статтею 4a: що це означає для ваших персональних даних

Тестування на упередженість є реальною точкою напруги. Щоб перевірити, чи система ШІ ставиться до груп несправедливо, розробникам часто потрібні дані про такі характеристики, як етнічна належність, здоров'я або інші чутливі атрибути. GDPR встановлює жорсткі обмеження на обробку такого роду даних. Стаття 4a — це відповідь AI Act: вона дозволяє обробку даних для виявлення упередженості в межах рамок ШІ.

Для пересічних людей практичне питання полягає в тому, чи можуть ваші дані використовуватися для тестування системи ШІ. Резюме підтверджує, що положення існує, але не викладає гарантій, умов або обмежень, пов'язаних із ним. Ця деталь має значення. Обмеження мети, мінімізація даних і безпека — це ті види захисту, які слід шукати в тексті регламенту та в тому, як організації описують свою практику.

Намір — аудит ШІ на дискримінацію — є законним. Ризик для приватності полягає в тому, чи дозвіл є вузьким і добре контрольованим, чи широким і слабко наглянутим. Читачам слід ставитися до цього як до відкритого питання, доки вони не побачать чинне формулювання.

Як FRIA та DPIA за GDPR тепер працюють разом

DPIA — це оцінка за GDPR, яку організація проводить, коли обробка, ймовірно, становитиме високий ризик для прав людей. FRIA — це оцінка за AI Act того, як високоризикова система ШІ може вплинути на фундаментальні права. До зміни організація могла зіткнутися з двома паперовими вправами, що перекриваються.

За ШІ-омнібусом FRIA можуть повторно використовувати DPIA. Простими словами, робота, виконана для однієї оцінки, може живити іншу, що має зменшити дублювання.

Є плюси та застереження:

  • Плюс: одна добре виконана оцінка може обслуговувати обидва режими, що може заохочувати ретельнішу роботу, а не подвійне проставлення галочок.
  • Застереження: DPIA зосереджується на ризиках для захисту даних. FRIA покликана дивитися ширше, включаючи дискримінацію та інші права. Повторне використання DPIA допомагає лише тоді, коли ширші питання все ще справді ставляться.

Що отримують і втрачають користувачі, які дбають про приватність

Ймовірні здобутки

  • Чіткіші правила тестування на упередженість, що може допомогти виявити дискримінаційний ШІ до того, як він вплине на вас.
  • Менше дубльованої роботи з оцінювання, що може звільнити організаціям час для зосередження на якості.
  • Збережені права за GDPR. Резюме описує скоригований перетин, а не скасування GDPR.

Можливі втрати або невизначеності

  • Новий правовий шлях для обробки чутливих даних для виявлення упередженості, із гарантіями, що потребують ретельної перевірки.
  • Пом'якшені обов'язки щодо обізнаності зі ШІ, що може означати менше обов'язкового навчання для персоналу, який використовує інструменти ШІ.
  • Нові механізми нагляду, чий вплив на правозастосування та розгляд скарг не деталізовано в джерелі.

Що це означає для вас

Ніщо в резюме не свідчить про те, що ваші основні права за GDPR, як-от доступ, видалення та заперечення, зникли. Що змінилося — це механізми навколо систем ШІ: як дані можуть використовуватися для їх тестування, як поєднуються оцінки ризиків і хто за ними наглядає.

Якщо ви взаємодієте із системами ШІ, що використовуються в наймі, кредитуванні, освіті чи публічних послугах, нові правила можуть впливати на те, як ваші дані використовуються для тестування на справедливість і наскільки ретельно оцінюються ваші права. Деталі залежатимуть від повного тексту регламенту та від того, як національні органи його застосовують.

Практичні висновки

  • Читайте повідомлення про приватність на предмет мови про ШІ. Шукайте, чи зазначає організація, що використовує персональні дані для тестування або вдосконалення ШІ, зокрема для виявлення упередженості.
  • Запитуйте про оцінки. Ви можете запитати компанію, чи проводила вона DPIA або FRIA для систем ШІ, що впливають на вас, і як ці дві пов'язані.
  • Користуйтеся своїми правами за GDPR. Запити на доступ, заперечення та стирання залишаються доступними.
  • Зачекайте на деталі. Ставтеся до головних змін як до відправної точки й перевіряйте текст регламенту щодо гарантій для статті 4a.

Щоб і далі накопичувати контекст, почніть із нашого роз'яснювача про Цифровий омнібус, а потім перегляньте, як організації, що зберігають ваші дані, описують свою практику щодо ШІ та оцінок впливу. З цим роз'ясненням змін до AI Act і GDPR ви краще підготовлені, щоб ставити правильні запитання.