Нові регуляції ЄС щодо штучного інтелекту та програмного забезпечення: обов'язки ІТ-компаній стосовно PLD.
З 9 грудня в Європейському Союзі вступає в дію нова Директива, що регулює відповідальність за продукцію, яка також охоплює ІТ-продукти. У колонці для AIN Сергій Барбашин, експерт з інтелектуальної власності та керуючий партнер Barbashyn Law Firm, спільно з Андрієм Барбашиним, керівником відділу ІТ-права цієї ж компанії, пояснюють, які зміни чекають на бізнес.
Уявіть собі таку ситуацію. Ваш SaaS продукт має вразливість, про яку ви знаєте, але патч постійно відкладається через випуск, терміни або просто через брак часу. І ось, користувач з ЄС втрачає дані через цю недоліку. Раніше для того, щоб довести вашу відповідальність, їм потрібно було показати, що ви вели себе недбало, усвідомлюючи проблему, і не вжили заходів для її усунення. Але тепер все інакше. З 9 грудня 2026 року достатньо буде довести лише три речі: що ваш продукт має дефект, що це призвело до шкоди, і що між цими двома фактами існує причинний зв'язок. Докази вашої провини вже не потрібні.
Це безпосередній результат нової Директиви про відповідальність за продукцію (ЄС) 2024/2853, яку в Європейському Союзі також називають оновленою Директивою про відповідальність за продукти (PLD). Вперше в історії вона визнає програмне забезпечення та штучний інтелект як товар.
Сергій Барбашин (ліворуч) та Андрій Барбашин (праворуч)
Що сталося
Стара директива щодо відповідальності за продукцію була затверджена ще в 1985 році і зосереджувалася переважно на традиційних фізичних товарах, таких як пральні машини та дитячі іграшки. Програмне забезпечення взагалі не було враховано в цій нормі. Однак нова директива суттєво розширює цю область, визначаючи термін "продукт" як програмне забезпечення (будь то інтегроване, автономне або у вигляді SaaS чи хмарних сервісів), а також системи штучного інтелекту та цифрові файли, що використовуються у виробництві.
Фактично, це означає, що режим суворої відповідальності, який раніше стосувався фізичних товарів, тепер поширюється і на ваш ІТ чи ШІ продукт у Європейському Союзі. Основна зміна полягає в тому, що відповідальність за доведення лежить на вас.
Три аспекти, які повинні враховувати підприємці.
Вразливості в сфері кібербезпеки в даний час розглядаються як недолік.
Якщо у продукті існує відома вразливість, що підлягає експлуатації, це вважається дефектом. Якщо ви мали зобов'язання випустити патч безпеки, але не виконали його, це також є дефектом. Ваша політика оновлень стає не лише внутрішнім регламентом, а й юридично значущим документом.
Складнощі не на вашому боці.
Раніше ви могли використовувати аргумент "це складна модель, ніхто не зможе довести". Однак зараз ситуація змінилася: якщо позивач не може підтвердити наявність дефекту через технічну складність продукту, суд може самостійно припустити його існування. Отже, концепція чорного ящика більше не слугує захистом.
Процес розкриття доказів триває.
Позивач, який надав достатньо фактів і доказів для обґрунтування своєї вимоги, має право звернутися до суду з проханням зобов'язати відповідача надати відповідні документи, які є в його володінні. Серед таких матеріалів можуть бути звіти про оцінку ризиків, журнали інцидентів, а також листування щодо відомих вразливостей. У разі, якщо ці документи виявляться неорганізованими або суперечливими, це лише підсилить позицію позивача в процесі.
Що ми спостерігаємо у реальному житті
Найкраще починається, коли теорія зустрічається з реальними ситуаціями клієнтів. Дещо з моментів, які ми дізналися з нашої роботи.
Ми є експертами Українського фонду стартапів у проєкті Sandbox і консультуємо команди, які потребують юридичної оцінки використання ШІ. І перше, на що майже всі стикаються, це навіть не відповідальність, а базове питання: що таке компанія з погляду регулювання? Як постачальник, розробник, впроваджувач або користувач чужого рішення?
Це не просто теоретичне питання, а цілком реальний випадок. Компанія заявляє, що є творцем своєї унікальної системи штучного інтелекту, але насправді використовує сторонні моделі, такі як Chat GPT, Gemini та Grok. Спосіб, яким ця модель інтегрується, покращується та надається кінцевому користувачеві, визначає її правовий статус і, відповідно, обсяги відповідальності. При цьому команди, відповідно до цієї класифікації, часто помиляються або навіть завдають шкоди власним інтересам.
Друге -- це гроші. Документація ШІ все частіше стає умовою для фінансування. Коли ми дивилися на компанії, що працюють із великими міжнародними гравцями (обробка вимог у бізнес-відносинах із Warner Bros), стало зрозуміло: клієнт підприємства не задовольняється тим, що ви дотримуєтеся закону, вони це знають. Вони мають власні внутрішні правила для ШІ, і постачальник повинен адаптувати свої процеси та матеріали до них. Те саме стосується грантів та інвестицій. Грантодавці й інвестори звертають увагу не лише на використання ШІ, а й на те, чи має компанія належну документацію та чи ефективно організоване управління відповідальністю і даними. І для них це не тільки вимога, але й частина їхньої власної відповідальності.
І тут все складається в єдину картину: коли підприємства діють за визначеними стандартами, одна сторона може передати іншій чітко структуровану інформацію про систему (включаючи її функції, ризики та механізми контролю), що дозволяє останній використовувати ці дані у своїй документації. Процеси дью ділідженс, укладання контрактів та інтеграція продуктів стають набагато легшими. Адже документація, пов'язана з штучним інтелектом, не лише вимагає ресурсів, але й відкриває нові горизонти.
Досліджуйте також: Угоди щодо ІТ-товарів: як здійснити передачу прав за минулі періоди та організувати подальший процес передачі? Погляд юриста.
То як виходити на ринок ЄС
Українські компанії стикаються з унікальними труднощами. Ви прагнете впровадити систему штучного інтелекту на європейському ринку, але у вас немає зареєстрованого юридичного представництва в ЄС. Згідно з новими вимогами PLD, якщо виробник знаходиться за межами ЄС, відповідальність може перейти до імпортера або уповноваженого представника. Якщо таких осіб немає, то відповідальність можуть нести постачальники послуг або навіть онлайн-платформи. Це означає, що ваш "відповідач" у Європі може стати вашим партнером, а згодом пред'явити вам регресний позов.
Отже, необхідно заздалегідь призначити уповноважену особу в Європейському Союзі та чітко зафіксувати відповідальність у контрактах до того, як трапиться перший інцидент, замість того щоб реагувати вже після його настання.
Чому PLD і Закон про штучний інтелект слід розглядати разом?
Між цими двома ініціативами існує чітка взаємозв'язок, який важко ігнорувати. Недотримання вимог Закону про штучний інтелект, що стосується прозорості, документації та, зокрема, людського контролю для систем, які вважаються високим ризиком, може негативно вплинути на оцінку дефектності за PLD. Іншими словами, якщо ваш продукт штучного інтелекту не відповідає вимогам Закону про ШІ, це може посилити позицію позивача у випадку судового розгляду через завдану шкоду.
Не показали користувачеві, що він взаємодіє з ШІ, хоча це не було очевидним, і це може враховуватися при оцінці безпеки продукту. Відома вразливість без необхідного патчу також може свідчити про дефектність. Відповідність Закону про ШІ є не просто бюрократичною вимогою, а практичним захистом від претензій за PLD.
Ось важлива подія, яку багато людей могли не помітити серед новин про послаблення регуляцій. Цифровий Омнібус, прийнятий 8 липня 2026 року, дійсно переніс кілька термінів для систем з високим ризиком на 2027 і 2028 роки відповідно. Проте, зобов'язання щодо прозорості, зафіксовані в статті 50 Закону про штучний інтелект, не були відкладені. Користувачів, які взаємодіють із системами штучного інтелекту, все ще потрібно інформувати про це. Дедлайн 2 серпня 2026 року залишається в силі. За недотримання цих вимог можливі штрафи до 15 мільйонів євро або до 3% від світового річного доходу компанії.
П’ять дій, які варто виконати негайно.
Не відкладайте на потім "доки все не стане на свої місця", адже деякі з цих моментів можуть бути корисними в будь-який час.
Ознайомтеся також з: Кодекс ШІ ЄС: як підприємства налаштували свою діяльність відповідно до нових європейських настанов — стаття.
Висновок
Зважаючи на це, головне питання вже не в тому, чи використовуєте ви ШІ. Воно полягає в іншому: чи можете ви довести, що ваш продукт є безпечним, а документація послідовною, якщо справа дійде до суду?
Починаючи з 9 грудня 2026 року, документи, що стосуються продуктів, які були введені в обіг або експлуатацію після 8 грудня 2026 року, можуть відігравати ключову роль у вирішенні спорів. Ті, хто підтримує порядок у своїй документації, мають надійний захист. Натомість, якщо документи не в належному стані, це може призвести до того, що суд визнає продукт дефектним, поки виробник не зможе спростувати це припущення.
Чудова новина: ви можете почати діяти вже сьогодні, не чекаючи на імплементацію директиви у законодавствах різних країн. Організації, які вживають заходів заздалегідь, отримають перевагу не лише в судових спорах, а й у переговорах з інвесторами та великими замовниками.
Матеріал має інформаційний характер і не є юридичною консультацією. Для оцінки конкретної ситуації рекомендуємо звернутися за індивідуальним аналізом.
