Ситуация на «Компасе»
Внутри «Компаса» построено многое: RMS живёт как процесс, technical file растёт, oversight встроен в UX, логи пишутся, due diligence по модели проведён. Но комплаенс существует только тогда, когда его можно доказать снаружи. Регулятор не заходит читать ваш код; аудитор и корпоративный клиент смотрят на артефакты и заявления. Эта глава — про машину доказательства: как «Компас» заверяет соответствие, маркирует и регистрирует систему, и что будет, если не заверить.
Параллельно давит рынок, а не только закон: европейские клиенты в RFP спрашивают сертификат ISO/IEC 42001 раньше, чем регулятор постучится с проверкой. Доказательство нужно двум аудиториям сразу.
Что говорит норма
Conformity assessment (Art. 43). Для большинства высокорисковых систем из Annex III — включая HR — предусмотрена внутренняя оценка соответствия (self-assessment) по Annex VI, без обязательного участия внешнего нотифицированного органа. Это облегчение по процедуре, но не по существу: ответственность за корректность оценки — на provider'е.
EU Declaration of Conformity + CE-маркировка (Art. 47–48). Provider составляет заявление о соответствии и наносит маркировку CE, обозначающую соответствие AI Act.
Регистрация в базе ЕС (Art. 49). Высокорисковые системы регистрируются в публичной базе данных ЕС до вывода на рынок — прозрачность для регулятора и общества.
Гармонизированные стандарты и presumption of conformity. Соответствие официально принятому гармонизированному стандарту даёт презумпцию соответствия закону — это главный практический механизм. Но на сентябрь 2026 стандарты в значительной части ещё в разработке, поэтому опереться на презумпцию в полном объёме пока нельзя.
ISO/IEC 42001 (AI Management System, опубликован в декабре 2023) — сертифицируемый стандарт governance. Он не гармонизирован под AI Act и потому presumption of conformity не даёт, но де-факто стал требованием B2B-RFP в ЕС и сертифицируемым доказательством зрелости governance. NIST AI RMF — добровольный несертифицируемый фреймворк, удобный мост к ISO 42001.
Штрафы (Art. 99), три яруса: до €35 млн или 7% мирового оборота (запрещённые практики Art. 5); до €15 млн или 3% (нарушение обязательств, в т.ч. по high-risk); до €7,5 млн или 1% (предоставление недостоверной информации регулятору). Для SME и стартапов — по нижней из величин (сумма или процент).
Даты (актуально на сентябрь 2026). Art. 5 + GPAI — с 02.08.2025; прозрачность Art. 50 и надзорные структуры (AI Office) — с 02.08.2026; stand-alone high-risk (Annex III) сдвинут Digital Omnibus (Regulation (EU) 2026/1744, в силе с 27.07.2026) на 02.12.2027; embedded high-risk (Annex I) — на 02.08.2028.
Как это ложится на продукт
«Компас» проходит внутренний conformity assessment по Annex VI, оформляет Declaration of Conformity и наносит CE, регистрируется в базе ЕС до вывода high-risk функции на рынок.
Отдельным треком «Компас» заводит ISO/IEC 42001 — не ради presumption (её этот стандарт не даёт), а как рыночный пропуск: без него часть европейских сделок просто не начнётся.
Артефакт главы — compliance dossier: досье, которое не пишется заново, а собирается из артефактов глав 1–7 (applicability memo, classification record, RMS, technical file по Annex IV, transparency map, due diligence модели) в предъявляемый комплект.
Где ломается
Стандарты не готовы. Пока гармонизированные стандарты не финализированы, презумпцию соответствия не на что опереть полностью — приходится доказывать соответствие «по существу», что дороже и субъективнее.
Self-assessment соблазняет халтурой. Внутренняя оценка без внешнего органа — это доверие, которое легко проесть: «сами себе поставили галочку». До первой серьёзной проверки или инцидента такая оценка выглядит пройденной; после — разваливается.
Сдвиг дат создаёт ложное спокойствие. Перенос high-risk дедлайна на конец 2027 читается как «время есть». Но реальный дедлайн — не дата вступления статьи, а срок, за который можно подготовить данные, RMS и документацию; а это годы, а не месяцы.
Что делать инженеру/продакту
Собирать досье инкрементально из артефактов предыдущих глав по ходу разработки, а не авралом к дате аудита. Тогда «доказательство» — побочный продукт нормальной работы, а не отдельный проект.
Не откладывать подготовку из-за сдвига сроков: датой готовности управляет подготовка данных и живой RMS, а не календарь вступления статьи в силу. Раньше начатое досье — дешевле законченное.
Провокация
Соответствие, собранное вручную к дате аудита, — это театр; соответствие, которое само собирается из артефактов, накопленных по ходу разработки, — это доказательство. А сдвиг сроков вступления в силу — не отсрочка работы, а ловушка: он отменяет ощущение срочности, не отменяя того факта, что подготовить высокорисковую систему за оставшееся время успевает только тот, кто начал до того, как это стало срочно.
Читать дальше
Ставите ИИ-продукт под регуляторным риском?
Разбор вашего продукта по EU AI Act: класс риска, роль в цепочке поставки, обязательства и досье — как проектное ограничение на входе, а не проверка юриста в конце.
Написать на почтуДвижок перехода
Next Move Engine — система, которая доводит команду до автономного цикла доставки.
Next Move Engine →