Відповідність ШІ вимогам: керування системами ШІ та використання ШІ в роботі з комплаєнсу

Комплаєнс у сфері ШІ означає дві речі: постійну роботу над тим, щоб системи ШІ, які ваша організація створює або використовує, відповідали чинним законам, стандартам і внутрішнім політикам, а також використання ШІ для рутинної масової роботи з комплаєнсу.

У цій статті розглянуто обидва значення: ризики, які усуває комплаєнс у сфері ШІ, основні рамкові документи, побудову програми комплаєнсу, засоби контролю для агентів ШІ та те, де ШІ допомагає командам з комплаєнсу. Наостанок наведено питання, які варто поставити перед купівлею інструмента для комплаєнсу.

Що таке комплаєнс у сфері ШІ?

Комплаєнс у сфері ШІ охоплює дві речі: забезпечення відповідності систем ШІ правилам, установленим регулюванням ШІ, і використання ШІ для роботи з комплаєнсу.

У першому значенні комплаєнс у сфері ШІ гарантує, що система ШІ дотримується законів, нормативних актів, етичних стандартів і внутрішніх політик протягом усього життєвого циклу ШІ — від навчальних даних до продуктивності та використання.

Наприклад, Місцевий закон № 144 міста Нью-Йорк вимагає від роботодавців, які використовують автоматизований інструмент ухвалення рішень щодо працевлаштування, провести аудит цього інструмента на упередженість не раніше ніж за рік до його використання, оприлюднити інформацію про аудит і повідомити працівників або кандидатів на посаду.

Робота із забезпечення відповідності ШІ регуляторним вимогам триває постійно, адже застосунки ШІ оновлюються, дані, з якими вони працюють, змінюються, а регулювання розвивається.

У другому значенні команди з комплаєнсу використовують ШІ для рутинної масової роботи, як-от моніторинг транзакцій, перевірка документів і відстеження змін у регулюванні.

Наприклад, деякі фінансові установи використовують ШІ, щоб перевіряти транзакції та зменшувати кількість хибнопозитивних спрацювань у сповіщеннях моніторингу транзакцій, перш ніж аналітики вирішать, для яких із них потрібен звіт про підозрілу діяльність.

Комплаєнс у сфері ШІ, врядування ШІ та управління ризиками ШІ: у чому різниця

Ці три терміни перетинаються, але охоплюють різні сфери: врядування встановлює правила, управління ризиками виявляє, що може піти не так, а комплаєнс гарантує дотримання правил.

Чому комплаєнс у сфері ШІ важливий

Досягнення відповідності вимогам у сфері ШІ обмежує ризик штрафів, захищає конфіденційність людей, чию інформацію обробляє ваш ШІ, і дає змогу вашій організації звітувати про використання систем ШІ в разі аудиту.

• Регуляторні санкції: Відповідно до Закону ЄС про ШІ використання забороненої практики ШІ, як-от визначення емоцій працівників на робочому місці, може коштувати до 35 млн євро або 7% світового річного обороту. Постачальникам і суб’єктам розгортання за порушення Закону загрожують штрафи до 15 млн євро або 3%.
• Захист даних: Система ШІ, що обробляє персональні дані, підпадає під дію законів про захист даних, як-от GDPR в ЄС. Це стосується навчальних даних, промптів і результатів, які містять персональні дані.
• Готовність до аудиту: Записи про те, які системи ШІ ви використовуєте, хто їх схвалив і як ви їх контролюєте, дають змогу звітувати перед регуляторами, аудиторами та клієнтами.

Основні ризики, які усуває комплаєнс у сфері ШІ

Комплаєнс у сфері ШІ усуває п’ять основних ризиків: алгоритмічну упередженість, брак пояснюваності, галюцинації в регульованих процесах, порушення конфіденційності та витік даних, а також тіньовий ШІ.

Розгорнути

Ось як проявляються основні ризики, а також приклади засобів контролю, які допомагають їх стримувати:

• Алгоритмічна упередженість: Модель відтворює закономірності з навчальних даних, які ставлять певні групи в невигідне становище. Наприклад, інструмент для найму може присвоювати кандидатам нижчий рейтинг на основі непрямої ознаки віку чи етнічного походження, як-от року закінчення навчального закладу або поштового індексу. Виявити такі закономірності допомагають аудити на упередженість, які порівнюють результати в різних демографічних групах.
• Брак пояснюваності: Організація не може показати, як модель дійшла рішення. Якщо кредитор не може пояснити, чому модель відмовила в кредиті, він не може обґрунтувати цей результат. Організації запобігають цьому, документуючи вхідні дані моделі й логіку ухвалення рішень та обираючи моделі з простежуваними результатами.
• Галюцинації в регульованих процесах: Інструмент генеративного ШІ впевнено стверджує щось хибне. Наприклад, адвокат може попросити інструмент ШІ знайти судову практику на підтримку аргументу й отримати посилання на судові рішення, яких не існує. Такі помилки дає змогу виявити вимога наводити джерела для кожного результату та їх перевірка кваліфікованою особою.
• Порушення конфіденційності та витік даних: Конфіденційна інформація або дані клієнтів потрапляють до інструмента, який організація не контролює. Наприклад, працівник може вставити записи про клієнтів у публічний інструмент ШІ, який зберігає вхідні дані для навчання майбутніх моделей. Ризик зменшує використання лише схвалених інструментів із договірними обмеженнями щодо навчання та зберігання даних.
• Тіньовий ШІ: Працівники використовують інструменти ШІ, які організація не схвалила або не бачить. В опитуванні Compliance Week 2026 року 42% учасників повідомили про некероване використання ШІ працівниками. Серед можливих рішень — список схвалених інструментів у поєднанні зі швидким процесом схвалення інструментів ШІ, а також вебшлюзи.

Ключові рамкові документи з комплаєнсу у сфері ШІ

Комплаєнс у сфері ШІ спирається на обов’язкові рамкові документи із врядування ШІ, як-от Закон ЄС про ШІ, і на добровільні, як-от Рамкова програма NIST з управління ризиками ШІ та ISO/IEC 42001, які допомагають організаціям виконувати обов’язкові вимоги.

Закон ЄС про ШІ

Закон ЄС про ШІ (Регламент (ЄС) 2024/1689) застосовує до регулювання ШІ ризик-орієнтований підхід: деякі практики повністю заборонено, на системи з високим ризиком накладено суворі обмеження, а для інших діють лише м’які правила прозорості. Він поширюється на постачальників і суб’єктів розгортання будь-де, «якщо результати, отримані системою ШІ, використовуються в Союзі».

Обов’язки за Законом ЄС про ШІ залежать від ролі організації:

• Ті, хто розробляє систему ШІ з високим ризиком або виводить її на ринок під власною назвою (постачальники), мають пройти оцінювання відповідності, нанести маркування CE, зареєструвати систему, вести технічну документацію та здійснювати її моніторинг після випуску.
• Ті, хто використовує систему, створену кимось іншим (суб’єкти розгортання), мають дотримуватися інструкцій постачальника, доручати нагляд людям, які мають «необхідну компетентність, підготовку та повноваження», зберігати журнали щонайменше шість місяців, а також інформувати працівників та інших осіб, на яких впливають її рішення.

Розгорнути

Закон запроваджується поетапно. Правила щодо заборонених практик, грамотності у сфері ШІ та ШІ загального призначення діють з 2025 року, тоді як обов’язки щодо систем із високим ризиком набувають чинності 2 грудня 2027 року, а для ШІ, вбудованого в продукти, на які поширюється законодавство ЄС про безпечність продукції, — 2 серпня 2028 року.

EN 18286:2026 щодо систем управління якістю — перший європейський стандарт на підтримку Закону. Вважається, що постачальники, які його дотримуються, відповідають вимозі Закону щодо управління якістю.

Рамкова програма NIST з управління ризиками ШІ

NIST AI RMF (Рамкова програма з управління ризиками), опублікована в січні 2023 року, — це добровільна рамкова програма США, побудована навколо чотирьох функцій: Govern (врядування), Map (картування), Measure (вимірювання) і Manage (управління).

Її Профіль генеративного ШІ, випущений у липні 2024 року, застосовує рамкову програму до ризиків генеративного ШІ.

ISO/IEC 42001

ISO/IEC 42001 — це міжнародний стандарт для систем управління ШІ, що охоплює політики, ролі та процеси, які регулюють відповідальну розробку й використання ШІ. Сертифікація добровільна, її здійснюють незалежні органи сертифікації, а не сама ISO.

Сертифікат поширюється на систему управління організації, а не на конкретний продукт ШІ.

Правила США та галузеві правила, що застосовуються до ШІ

У США немає єдиного федерального закону про ШІ. Правила встановлюють міста, штати, а також чинні закони й нормативні акти, що застосовуються до ШІ.

Наприклад, закон штату Колорадо SB26-189, який набирає чинності 1 січня 2027 року, регулює технології автоматизованого ухвалення рішень, а закони про конфіденційність, як-от Закон Каліфорнії про конфіденційність споживачів (CCPA) або HIPAA, застосовуються щоразу, коли ШІ обробляє захищені дані.

Як побудувати програму комплаєнсу у сфері ШІ

Побудова програми комплаєнсу у сфері ШІ складається із шести кроків: проведіть інвентаризацію систем ШІ, класифікуйте їх за рівнем ризику, зіставте засоби контролю з чинними правилами, призначте відповідальних, задокументуйте кожну систему та здійснюйте її моніторинг, ведучи записи, які може перевірити аудитор.

Розгорнути

Кожен із наведених нижче кроків завершується створенням відповідного запису:

1. Проведіть інвентаризацію всіх систем ШІ. Складіть список систем, які ваша організація створює, купує або використовує, зокрема функцій ШІ в наявному програмному забезпеченні та інструментів, які працівники почали використовувати без схвалення. Зафіксуйте, що робить кожна система, хто нею користується і з якими даними вона працює.
   Результат: Перелік систем ШІ.
2. Класифікуйте кожен сценарій використання за рівнем ризику. Оцініть кожну систему за шкодою, яку вона може завдати, використовуючи таку схему, як рівні ризику Закону ЄС про ШІ. Наприклад, інструмент, що визначає розмір страхових внесків зі страхування життя, згідно із Законом належить до систем із високим ризиком, а інструмент, що підсумовує внутрішні наради, — ні.
   Результат: Реєстр ризиків.
3. Зіставте засоби контролю із застосовними правилами. Перелічіть закони, стандарти й внутрішні політики, що застосовуються до кожної системи, а також засіб контролю, який задовольняє кожну вимогу комплаєнсу. Наприклад, задокументована перевірка людиною допомагає виконати вимоги Закону ЄС про ШІ щодо людського нагляду за системами з високим ризиком і рекомендацію NIST AI RMF щодо задокументованих процесів людського нагляду.
   Результат: Карта засобів контролю.
4. Призначте відповідальних і точки людського нагляду. Визначте відповідального за кожну систему та вирішіть, де людина перевіряє її результати. Наприклад, юридичний відділ і відділ комплаєнсу відповідають за зобов’язання, служба безпеки — за технічні засоби контролю, бізнес-власники — за свої сценарії використання, а один керівник вищої ланки несе загальну відповідальність. Подбайте про те, щоб люди в усій організації були поінформовані, і налагодьте чіткі канали комунікації.
   Результат: Призначені відповідальні за кожну систему.
5. Задокументуйте кожну систему. Зафіксуйте призначення, навчальні дані, тестування та відомі обмеження кожної системи у таких форматах, як картки моделей і оцінки впливу. Постачальники систем із високим ризиком також мають підготувати технічну документацію, передбачену додатком IV до Закону ЄС про ШІ.
   Результат: Комплект документації системи.
6. Здійснюйте моніторинг, ведіть журнали та зберігайте докази. Від самого початку проєктуйте журнали як докази для аудиту, щоб показувати, що зробила система і хто її перевірив. Закон ЄС про ШІ вимагає, щоб системи з високим ризиком автоматично реєстрували події протягом усього строку експлуатації. Аудиторський слід має фіксувати:
   • Модель і версію, що використовуються
   • Вхідні та вихідні дані або визначену їх вибірку
   • Дані для навчання або донавчання
   • Точки перевірки людиною та їхні результати
   • Дії, які виконав агент, і дозволи, які він використав
   • Строк зберігання кожного запису

Результат: Записи моніторингу та аудиторський слід.

Спеціалізовані інструменти для комплаєнсу у сфері ШІ, як-от IBM watsonx.governance і OneTrust AI Governance, можуть узяти на себе частину цієї програми, зокрема перелік систем ШІ, оцінювання ризиків відповідно до Закону ЄС про ШІ та документування.

Як схвалювати інструменти ШІ для працівників

Перш ніж схвалити інструмент ШІ, перевірте чотири речі:

• Доступ до даних: Які файли, системи та підключені бази знань може читати інструмент і чи містять вони персональні дані, які він може розкрити.
• Навчання на вхідних даних: Чи використовує постачальник промпти, файли або результати для навчання своїх моделей і чи забороняє це ваш договір із постачальником.
• Зберігання: Як довго постачальник зберігає промпти, файли та історію розмов і чи можете ви скоротити цей строк.
• Хостинг і передавання даних: Де постачальник зберігає та обробляє дані, зокрема чи передає їх за межі вашого регіону.

Засоби контролю комплаєнсу для агентів ШІ

Агентам ШІ потрібно більше засобів контролю, ніж чат-інструментам, оскільки вони самостійно визначають свої кроки й діють за допомогою наданих інструментів і дозволів. Тримати їх під контролем допомагають три засоби:

• Доступ за принципом найменших привілеїв: Надавайте агенту лише ті інструменти й дозволи, які потрібні для його завдання. Надмірна автономність (Excessive Agency), коли агент може робити більше, ніж вимагає його завдання, — один із найбільших ризиків безпеки згідно з OWASP Top 10 for LLM Applications 2026.
• Журнал усіх дій: Записуйте кожен виклик інструмента, дані, до яких було отримано доступ, і використані дозволи, щоб відстежувати, що зробив агент і для кого.
• Схвалення людиною дій зі значним впливом: Вимагайте, щоб людина підтверджувала кроки, які передають дані за межі організації, переказують кошти або які неможливо скасувати.

Як ШІ використовують у роботі з комплаєнсу

Команди з комплаєнсу та управління ризиками використовують ШІ, щоб моніторити засоби контролю, оцінювати ризики, відстежувати зміни в регулюванні, перевіряти документи та сортувати сповіщення про фінансові злочини.

В опитуванні Compliance Week 2026 року серед 193 керівників у сферах комплаєнсу, етики, ризиків та аудиту понад 83% заявили, що використовують ШІ, а майже 40% — що їхні компанії розгорнули його для оцінювання та моніторингу ризиків.

Поширені сценарії використання ШІ в комплаєнсі:

• Безперервний моніторинг комплаєнсу та збирання доказів: ШІ виконує перевірки та збирає підтвердження того, що засоби контролю працюють (наприклад, виявляє прострочені перевірки безпеки обладнання на заводі).
• Оцінювання та пріоритизація ризиків: ШІ ранжує бізнес-підрозділи або третіх осіб за рівнем ризику (наприклад, постачальників із новими санкційними чи судовими ризиками).
• Моніторинг змін у регулюванні: ШІ відстежує публікації регуляторів і підсумовує зміни (наприклад, оновлені настанови щодо протидії хабарництву, які знижують ліміт вартості подарунків у політиці щодо витрат).
• Перевірка документів і політик: ШІ порівнює договори та політики з вимогами (наприклад, виявляє договори з постачальниками без положення про право на аудит).
• Перевірка на фінансові злочини: ШІ сортує сповіщення моніторингу транзакцій і перевірки клієнтів (наприклад, збіги імен у санкційних списках, які насправді стосуються іншої особи).

ШІ, який використовується для комплаєнсу, потребує такого ж врядування, як і інші системи ШІ. Як заявило британське Управління з фінансової поведінки (FCA) у жовтні 2026 року, «фірми несуть відповідальність за системи ШІ, які вони розробляють, закуповують і розгортають, — зокрема за їхні результати та наслідки», і застерегло від перетворення перевірки людиною на «формальність „для галочки“».

На практиці інструменти ШІ можуть виконувати рутинні завдання, як-от збирання доказів або позначення змін у регулюванні, але не ухвалювати рішення, які тягнуть за собою юридичну відповідальність, наприклад, чи повідомляти про підозрілу діяльність або як розробляти політики.

Керування даними в Perplexity Enterprise

Perplexity Enterprise надає адміністраторам засоби керування навчанням на вхідних даних, доступом до даних і їх зберіганням:

• Жодного навчання на ваших даних: Perplexity ніколи не використовує корпоративний контент для навчання своїх моделей ШІ, а угоди Perplexity зі сторонніми постачальниками моделей забороняють їм навчати на ньому свої моделі.
• Контроль доступу: SSO, SCIM і рольові дозволи визначають, хто може завантажувати файли й ділитися відповідями.
• Зберігання даних і журнали аудиту: Файли, прикріплені до сеансів, видаляються через сім днів. Організації з 50 або більше місцями чи принаймні одним місцем Enterprise Max також можуть налаштовувати строк зберігання сеансів і отримувати журнали аудиту дій користувачів.
• Сертифікації: Perplexity має сертифікацію SOC 2 Type II, відповідає вимогам GDPR і дозволяє працювати із захищеною медичною інформацією лише за наявності підписаної угоди з бізнес-партнером (Business Associate Agreement).

Щоб детально ознайомитися з цими засобами керування, зверніться до нашого відділу продажів і заплануйте персональну демонстрацію.

Часті запитання

Що таке відповідність вимогам ЄС щодо ШІ?

Відповідність вимогам ЄС щодо ШІ означає виконання зобов’язань за Законом ЄС про штучний інтелект (EU AI Act) відповідно до вашої ролі (постачальник чи суб’єкт розгортання) і рівня ризику кожної системи. Зобов’язання запроваджуються поетапно, а обов’язки щодо систем високого ризику починають діяти з 2 грудня 2027 року.

Що таке ШІ, сумісний із HIPAA?

ШІ, сумісний із HIPAA, — це інструмент, який використовують у межах передбачених HIPAA заходів захисту медичної інформації. Якщо постачальник зберігає або обробляє цю інформацію, Міністерство охорони здоров’я та соціальних служб США вимагає спершу підписати угоду з бізнес-партнером (Business Associate Agreement).

Чи поширюється Закон ЄС про ШІ на компанії зі США?

Так. Закон про ШІ поширюється на компанії зі США, які розміщують системи ШІ на ринку ЄС, а також на ті, чиї результати роботи ШІ використовуються в ЄС.

Чи може ШІ замінити фахівців із комплаєнсу?

ШІ не може замінити фахівців із комплаєнсу. Організації відповідають за свою роботу, а технології ШІ можуть помилятися, тож фахівцям із комплаєнсу все одно потрібно ретельно перевіряти й затверджувати результати роботи ШІ.