{"title":"AI Act и GDPR простыми словами: что меняется для продукта, редакции и бизнеса","url":"https://verapointmedia.com/guides/ai-act-i-gdpr-prostymi-slovami/","markdownUrl":"https://verapointmedia.com/guides/ai-act-i-gdpr-prostymi-slovami.md","language":"ru","category":"guides","publishedAt":"2026-05-14T10:01:57.000Z","updatedAt":"2026-05-14T10:01:57.000Z","references":["https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=en","https://eur-lex.europa.eu/eli/reg/2016/679/oj","https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# AI Act и GDPR простыми словами: что меняется для продукта, редакции и бизнеса\n\n- Site: VeraPoint News\n- Section: Гайды\n- Date: 2026-05-14\n- Canonical: https://verapointmedia.com/guides/ai-act-i-gdpr-prostymi-slovami/\n- Markdown: https://verapointmedia.com/guides/ai-act-i-gdpr-prostymi-slovami.md\n- Summary: Простой разбор, чем отличаются GDPR и AI Act, где возникают реальные риски для медиа, малого бизнеса и AI-продуктов, и что сделать до первого серьёзного запуска.\n- SEO title: AI Act и GDPR простыми словами: что нужно знать бизнесу и редакции\n- SEO description: Простой разбор AI Act и GDPR: чем отличаются эти правила, где риски для AI-продуктов, медиа и малого бизнеса.\n- Target queries: ai act что это; eu ai act что это; ai act простыми словами; gdpr и искусственный интеллект; закон об искусственном интеллекте ес\n- Tags: #verapoint #ai-regulation #ai-security #gdpr #ai-act\n- Image: https://verapointmedia.com/static/content-assets/guides/ai-act-i-gdpr-prostymi-slovami/cover.webp\n\n## Sources\n\n- https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=en\n- https://eur-lex.europa.eu/eli/reg/2016/679/oj\n- https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai\n\n---\n\n## Короткий ответ\n\nGDPR отвечает за персональные данные, а AI Act — за риски AI-систем. Для бизнеса и редакции это не одно и то же: можно соблюдать GDPR и всё равно попасть в вопросы по AI Act, если продукт влияет на людей, принимает решения или работает в чувствительной области.\n\n![](https://verapointmedia.com/static/content-assets/guides/ai-act-i-gdpr-prostymi-slovami/slide-01.webp)\n\n\nЕсли коротко: **GDPR отвечает за персональные данные**, а **AI Act — за риски и обязанности вокруг AI-систем**. Это не одна и та же рамка. Поэтому команда может одновременно быть аккуратной по данным и при этом ошибаться по AI-рискам, или наоборот.\n\nС AI Act и GDPR есть удобная путаница: всё звучит как «европейская бюрократия про AI». На деле это две разные полки. Я специально держу рядом оба документа, потому что бизнес чаще всего ошибается именно здесь: данные проверили, а риск системы забыли. Или наоборот.\n\nЯ не буду изображать юриста в шляпке и обещать, что один текст заменит консультацию. Но как редакционный фильтр это работает: сначала понять, про что риск — про данные, про AI-систему или про оба слоя сразу.\n\nНиже — версия без юридического тумана. На дату подготовки материала, 5 мая 2026 года, это выглядит так: где реально появляются обязательства, что критично для медиа и малого бизнеса, и какие первые шаги стоит сделать уже сейчас.\n\n## GDPR и AI Act: в чём разница\n\n![](https://verapointmedia.com/static/content-assets/guides/ai-act-i-gdpr-prostymi-slovami/slide-02.webp)\n\n\n**GDPR** нужен, когда вы собираете, храните, анализируете или передаёте **персональные данные**: имя, email, IP-адрес, ID сотрудника, биометрические данные, поведенческие профили и т. д. Ключевой вопрос здесь: на каком основании вы обрабатываете данные, зачем, сколько храните и кто к ним имеет доступ.\n\n**AI Act** смотрит не на все данные подряд, а на **систему ИИ и уровень её риска**. Важны назначение системы, сценарий использования и то, может ли она затронуть права, безопасность или доступ человека к важным решениям.\n\nПрактический вывод простой: если вы используете AI-инструмент, вам часто нужно проверять **сразу две плоскости** — данные и риск использования модели.\n\n## Где это бьёт по продукту, редакции и бизнесу\n\n### Медиа\n\nДля редакции чаще всего всплывают такие вопросы:\n\n- можно ли загружать в AI-сервис тексты, черновики, контакты героев, внутренние заметки;\n- сохраняет ли сервис запросы и промпты;\n- не утекают ли персональные данные в стороннюю систему;\n- есть ли проверка человеком перед публикацией.\n\nЕсли AI помогает с расшифровкой интервью, суммаризацией или подбором заголовков, это не автоматически «высокий риск» по AI Act. Но GDPR и внутренняя политика данных всё равно остаются в силе.\n\n### Малый бизнес\n\nУ малого бизнеса типовой риск не в «сложной юриспруденции», а в хаосе:\n\n- данные клиентов лежат в разных местах;\n- никто не знает, куда уходит информация из формы сайта;\n- подрядчик подключил AI-сервис без оценки условий;\n- нет документации, кто и зачем что-то проверял.\n\nЗдесь часто хватает базовой операционной гигиены: инвентаризация данных, понятные роли, доступы, журналирование и проверка договоров с поставщиками.\n\n### AI-продукты\n\nЕсли вы делаете продукт, который сам использует AI, важно определить:\n\n- что именно делает система;\n- кто конечный пользователь;\n- где может возникать вред;\n- не попадает ли кейс в чувствительные зоны.\n\nЧем ближе сценарий к решениям о человеке, тем выше требования к документации, человеческому контролю и проверке поставщика/модели.\n\n## Высокорисковые зоны, где нельзя действовать «на глазок»\n\n![](https://verapointmedia.com/static/content-assets/guides/ai-act-i-gdpr-prostymi-slovami/slide-03.webp)\n\n\nВ европейской логике AI-регулирования особенно чувствительны сценарии, где система влияет на права, безопасность или доступ человека к важным услугам:\n\n- **HR** — найм, скоринг кандидатов, увольнения, оценка персонала;\n- **биометрия** — распознавание лица, идентификация, в некоторых сценариях эмоции;\n- **образование** — отбор, тестирование, оценка;\n- **доступ к важным услугам** — кредит, социальная поддержка, страхование, другие решения с последствиями для человека;\n- **безопасность и инфраструктура** — контроль доступа, наблюдение, предиктивные оценки;\n- **здоровье** — решения, влияющие на диагностику, триаж или доступ к помощи; здесь часто нужны ещё и отдельные медицинские/юридические проверки.\n\nИменно здесь нужно намного строже смотреть на назначение системы, документацию, качество данных, контроль ошибок и возможность оспорить результат.\n\nСм. также наш разбор о том, как [AI-HR-системы в Европе принимают непрозрачные решения о найме и увольнениях](https://verapointmedia.com/investigations/kak-ai-hr-sistemy-v-evrope-prinimayut-neprozrachnye-resheniya-o-nayme-i-uvolneniyah/).\n\n## Что делать уже сейчас\n\nВот практический минимум, который полезен и без глубокой юркоманды:\n\n1. **Сделать инвентаризацию данных.** Какие данные вы собираете, где храните, кому передаёте.\n2. **Понять источники.** Откуда данные пришли: форма, CRM, партнёр, пользователь, внешняя база.\n3. **Проверить правовое основание.** Для персональных данных важно не «можно ли вообще», а «на каком основании и с какой целью».\n4. **Включить проверку человеком там, где есть последствия для человека.** Автоматический результат не должен быть последним словом в чувствительном кейсе.\n5. **Документировать решения.** Кто выбрал инструмент, кто проверил поставщика, кто разрешил сценарий использования.\n6. **Ограничить доступ и хранение.** Не держать лишнее дольше, чем нужно.\n\nЕсли AI-сервис используется для чужих персональных данных, проверьте, есть ли у вас понятные договоры, роли и ограничения на использование данных для обучения модели.\n\n## Где хватает здравого смысла, а где нужен юрист или DPO\n\n![](https://verapointmedia.com/static/content-assets/guides/ai-act-i-gdpr-prostymi-slovami/slide-04.webp)\n\n\n### Обычно хватает операционной дисциплины\n\n- AI помогает переписать текст или сделать резюме без передачи чувствительных данных;\n- внутренний инструмент только сортирует уже разрешённые документы;\n- вы проверили, что в сервис не уходит лишняя персональная информация;\n- есть понятный human review перед публикацией или отправкой клиенту.\n\n### Нужна юридическая проверка\n\n- вы обрабатываете чувствительные персональные данные;\n- AI влияет на найм, увольнение, доступ к услугам, обучение, здоровье или безопасность;\n- вы не понимаете, на каком основании собираете и храните данные;\n- поставщик AI-сервиса хочет использовать ваши данные для обучения;\n- есть трансграничная передача данных или неясные договорные условия.\n\nЕсли сомневаетесь, задайте вопрос юристу или DPO до запуска, а не после инцидента.\n\n## Короткая развилка Веры\n\n**1. Используете AI-систему?**\n- Нет → смотрите только обычные требования к данным и контенту.\n- Да → идём дальше.\n\n**2. Система видит персональные данные?**\n- Нет → проверяйте риски, безопасность и документацию.\n- Да → применяются требования GDPR.\n\n**3. Сценарий влияет на человека в HR, образовании, здоровье, безопасности или биометрии?**\n- Да → нужна более строгая проверка, human review и часто юрист/DPO.\n- Нет → можно ограничиться операционной гигиеной, но всё равно документировать решение.\n\n**4. Вы уверены, что поставщик не использует данные неожиданным образом?**\n- Нет → стоп и проверка условий.\n- Да → можно двигаться дальше, но с регулярным пересмотром.\n\n## Мой вывод для VeraPoint\n\nПосле этой проверки я бы держала в голове одну простую развилку: для продукта и редакции главный смысл не в том, чтобы выучить все статьи закона, а в том, чтобы **не смешивать два разных риска**:\n\n- GDPR — про данные;\n- AI Act — про риск системы и сценарий применения.\n\nЕсли команда понимает это различие, она быстрее видит, где нужен юрист, а где достаточно нормальной дисциплины: инвентаризации, прозрачных источников, проверки человеком и документации.\n\n## Где я могу ошибаться\n\nЕсть и пределы у такого «простого» подхода. Один и тот же AI-инструмент может быть безопасным в одном процессе и проблемным в другом. Кроме того, тонкие детали зависят от роли компании, типа данных, страны, поставщика и фактического сценария использования.\n\nПоэтому этот материал — не юридическая консультация. Если вы работаете с чувствительными данными, HR, биометрией, сценариями в здравоохранении или системами, которые принимают решения о людях, нужен юрист или DPO.\n\n## Что почитать дальше\n\n- [Регулирование искусственного интеллекта](/topics/ai-regulation/)\n- [Безопасность AI-систем](/topics/ai-security/)\n- [Права доступа для AI-агентов: что нельзя отдавать модели](https://verapointmedia.com/guides/prava-dostupa-dlya-ai-agentov/)\n## Частые вопросы\n\n### Что такое AI Act простыми словами?\n\nAI Act — это европейский закон о регулировании AI-систем по уровню риска: от запрещённых практик до требований к высокорисковым системам.\n\n### Чем AI Act отличается от GDPR?\n\nGDPR регулирует персональные данные, а AI Act — риски AI-систем, их прозрачность, назначение и влияние на людей.\n\n### Кому нужно думать об AI Act?\n\nAI-продуктам, компаниям, которые внедряют AI в процессы, и редакциям/сервисам, где AI может влиять на людей или решения.\n\n### Что сделать в первую очередь?\n\nОписать, где используется AI, какие данные обрабатываются, кто принимает решение и можно ли объяснить результат человеку.\n\n\n## Источники\n\n- EUR-Lex: Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=en\n- EUR-Lex: Regulation (EU) 2016/679 (GDPR) — https://eur-lex.europa.eu/eli/reg/2016/679/oj\n- European Commission: Regulatory framework for AI — https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai\n"}