Еврокомиссия начинает применять требования к поставщикам моделей ИИ общего назначения на практике

В августе случилось сразу несколько важных событий, которые подтолкнули ИИ-регулирование к новому большому шагу – от создания законодательства к его фактическому применению.

Во-первых, несмотря на то что глава V Регламента ЕС по ИИ начала применяться ещё год назад, со 2 августа 2025 года, фактически правоприменение началось только со 2 августа 2026 года, когда у органов власти появились соответствующие полномочия. Кстати, Еврокомиссия обновила обзор о правоприменении, где собраны сроки и распределение компетенции между AI Office, национальными органами надзора за рынком и EDPS. Документ разъяснительный, Регламент он не заменяет, а лишь наглядно показывает, как тот работает.

Таким образом, бизнесу дали год без риска штрафа на то, чтобы подготовиться, а для моделей, размещённых на рынке до 2 августа 2025 года, срок и вовсе продлён до 2 августа 2027 года. Для упрощения этой работы подготовлены Кодекс практик для ИИ общего назначения и разъяснения Комиссии по соблюдению требований. Однако даже подписание Кодекса и его добросовестное соблюдение не означают, что регулятор не будет проверять, как требования исполняются на самом деле.

Во-вторых, самой громкой новостью последних недель стало то, что передовые модели сразу нескольких ИИ-компаний, таких как Anthropic, OpenAI, Meta, при тестировании показали, что они могут заниматься не совсем подконтрольными вещами (надеюсь, опасность собственных моделей не станут использовать в маркетинговых целях).

У OpenAI в июле около 1200 агентов, запущенных на киберполигоне ExploitGym и изолированных друг от друга, нашли общий канал связи, скоординировались, и 700 из них атаковали Hugging Face, получив доступ к его серверам. У Anthropic и Meta ошибки в настройке испытательной среды у внешнего подрядчика дали моделям выход в интернет, после чего они получили доступ к системам сторонних организаций.

Эти события подтолкнули Еврокомиссию к конкретным действиям: на прошлой неделе, по данным Euractiv, запросы в рамках ст. 91 Регламента были направлены более чем в тридцать компаний, создающих передовые модели. Запросы затрагивают вопросы обеспечения безопасности моделей и состава обучающих данных. Запрос сам по себе не означает предъявления какого-то обвинения, но за отказ отвечать, неполный или недостоверный ответ компании может грозить серьёзный штраф на сумму до 15 млн евро или 3 % мирового годового оборота (что больше).

Если вы подробно интересуетесь этим вопросом, то советую почитать результаты независимого расследования METR и Redwood Research. А также можно посмотреть свежий выпуск подкаста Дваркеша Пателя, в котором данная проблема обсуждается с Аджеей Котрой, одним из трёх авторов расследования.

Если хотите узнать более подробно про требования к поставщикам моделей ИИ общего назначения, то год назад мы с коллегами проводили на эту тему подробнейший вебинар 🐱.