Регулирование ИИ в ЕС и Испании: AI Act, сроки, классы риска, штрафы и стоимость для бизнеса

AI Act — Регламент ЕС 2024/1689 — делит системы ИИ по уровню риска: запрещённые, высокого риска, с обязанностью прозрачности и все остальные.

Запреты действуют с февраля 2025 года, прозрачность — с августа 2026-го, а требования к высокому риску перенесены на декабрь 2027 года.

Штраф — до 35 млн € или 7 % оборота. В Испании надзор ведёт AESIA.

Ниже — кого касается закон ЕС об искусственном интеллекте, какие сроки действуют на ноябрь 2026 года после пакета Digital Omnibus, как определить класс риска своей системы, что делает Испания: агентство AESIA, регуляторная песочница и национальный законопроект.

Вторая половина статьи — финансовая: сколько стоит соответствие, какой штраф грозит стартапу и крупной компании в евро, как AI Act меняет due diligence и оценку ИИ-стартапа и как заложить его в финансовую модель.

Договоры, оценку соответствия и представительство перед регулятором ведёт юрист; здесь — то, что нужно знать собственнику и финансовому директору.

Что такое AI Act и кого он касается

AI Act — это Регламент (ЕС) 2024/1689 от 13 июня 2024 года о гармонизированных правилах в сфере искусственного интеллекта.

Он вступил в силу 1 августа 2024 года и, как любой регламент ЕС, действует во всех странах Союза напрямую, без переноса в национальный закон.

Поэтому испанская компания обязана соблюдать его уже сейчас, даже если собственный испанский закон об ИИ ещё не принят.

Закон распределяет обязанности по ролям.

Поставщик (provider) — тот, кто разрабатывает систему ИИ и выводит её на рынок под своим именем: на нём основная нагрузка — документация, управление качеством, оценка соответствия.

Пользователь (deployer) — компания, которая применяет чужую систему в своей работе: банк со скоринговой моделью, сеть магазинов с ИИ для подбора персонала.

Есть ещё импортёры и дистрибьюторы. Регламент применяется и к компаниям вне ЕС, если их система или её результаты используются в Евросоюзе.

Для бизнеса важна не только разработка.

Стартап, который встроил чужую языковую модель в продукт для отбора кандидатов, становится поставщиком системы высокого риска, хотя модель писал не он.

Компания, которая просто купила такой продукт, — пользователем со своими обязанностями.

Как ИИ помогает и мешает стартапу в работе, мы разбирали в статье «ИИ для стартапов: инструмент или ловушка»; эта статья — о правилах.

Сроки применения AI Act на ноябрь 2026 года

По исходному тексту (ст. 113) регламент вводился ступенями: общие положения и запреты — со 2 февраля 2025 года; правила для моделей общего назначения, органы надзора и санкции — со 2 августа 2025 года; основная часть — со 2 августа 2026 года; правила для ИИ в регулируемых продуктах — со 2 августа 2027 года.

Эти даты изменились.

Пакет Digital Omnibus on AI принят как Регламент (ЕС) 2026/1744 от 8 июля 2026 года, опубликован в Официальном журнале ЕС 24 июля 2026 года и действует с 27 июля 2026 года.

Он не отменяет обязанности, а переносит самые тяжёлые и упрощает часть требований.

Многие обзоры в интернете до сих пор пишут, что высокий риск начал действовать в августе 2026 года, — это уже не так.

Для финансового планирования из таблицы следуют две вещи.

Если продукт попадает в высокий риск, у компании чуть больше года до 2 декабря 2027 года — это срок одного-двух циклов разработки и одного раунда финансирования.

А если продукт генерирует тексты, изображения или голос, обязанности прозрачности уже действуют, и откладывать их некуда.

Классы риска: что запрещено и что относится к высокому риску

Регламент делит системы ИИ на четыре группы. Запрещённые практики перечислены в ст. 5.

Системы высокого риска — это ИИ в регулируемых продуктах (приложение I) и системы из перечня приложения III.

Система из приложения III не считается высокорисковой, если выполняет узкую процедурную или подготовительную задачу и не влияет существенно на решение, но система, которая составляет профиль человека, — всегда высокий риск; своё заключение поставщик документирует и регистрирует систему в базе ЕС.

Для чат-ботов и генеративного ИИ действуют обязанности прозрачности, для остального — только общее требование обучать персонал.

Пользователи систем кредитного скоринга и страховой оценки физлиц, а также госорганы и частные компании, оказывающие публичные услуги, до запуска оценивают влияние системы на основные права человека; после Digital Omnibus эту оценку можно опирать на оценку воздействия по GDPR, а AI Office готовит для неё шаблон-опросник.

Для испанского банка, финтеха или страховщика это отдельная статья расходов, даже если модель купили у поставщика.

Обязанность обучать персонал (AI literacy) после Digital Omnibus смягчена: поставщики и пользователи принимают меры, чтобы сотрудники, работающие с ИИ, понимали его, но гарантировать определённый уровень знаний закон не требует.

Обязанность при этом осталась и касается любой компании, где сотрудники пользуются ИИ.

Поставщики моделей общего назначения — больших языковых и мультимодальных моделей — ведут техдокументацию и политику по авторскому праву; модель, на обучение которой ушло больше 10²⁵ операций с плавающей точкой, считается моделью с системным риском.

Штрафы для них назначает Еврокомиссия: до 15 млн € или 3 % мирового оборота.

Испанский стартап, который строит продукт на чужой модели через API, обычно поставщиком модели не является — эти обязанности на её разработчике.

Регулирование ИИ в Испании: AESIA, песочница и законопроект

AESIA. Испанское агентство по надзору за искусственным интеллектом (Agencia Española de Supervisión de la Inteligencia Artificial) работает по уставу, утверждённому Королевским указом 729/2023 от 22 августа 2023 года; штаб-квартира — в Ла-Корунье.

Испания создала национального надзорного органа одной из первых в ЕС.

Песочница. Королевский указ 817/2023 от 8 ноября 2023 года создал пилотную регуляторную песочницу.

Конкурс объявили в декабре 2024 года; в песочницу отобрали 12 систем высокого риска двенадцати испанских компаний.

По её итогам в декабре 2025 года правительство опубликовало практические гиды: два вводных и тринадцать по техническим требованиям, с чек-листами самопроверки.

Песочница завершена, отчёт о результатах опубликован на сайте Минцифры.

Гиды не обязательны, но это лучший бесплатный ориентир, как испанский регулятор понимает требования: управление качеством, данные, кибербезопасность, надзор человека, инциденты.

Законопроект. Правительство одобрило проект закона о надлежащем использовании и управлении ИИ в марте 2025 года и 28 мая 2026 года внесло в Конгресс проект органического закона (номер 121/000096).

Срок поправок закончился 6 октября 2026 года, но в тот же день был опубликован указ о роспуске Кортесов и выборах 29 ноября 2026 года, и 4 ноября 2026 года Конгресс официально признал инициативу утратившей силу. Новому правительству придётся вносить закон заново.

Проект назначал AESIA главным надзорным органом и оператором национальной песочницы, Банк Испании — органом надзора за кредитным скорингом физлиц в банках и финансовых организациях, а штрафы строил по ступеням регламента: до 35 млн € или 7 % оборота, до 15 млн € или 3 %, до 7,5 млн € или 1 % и за лёгкие нарушения — до 500 000 € или 0,5 %.

Скорее всего, следующий текст сохранит эту архитектуру, потому что она повторяет регламент ЕС.

Но пока закона нет, порядок санкций в Испании формально не установлен — это повод готовиться, а не расслабляться: требования регламента действуют, а клиенты и инвесторы проверяют их уже сейчас.

Штрафы по AI Act: сколько это в евро

Регламент задаёт три потолка штрафа: за запрещённые практики — до 35 млн € или 7 % мирового годового оборота за прошлый год; за нарушение обязанностей поставщика, пользователя, импортёра, дистрибьютора и правил прозрачности — до 15 млн € или 3 %; за ложные или неполные сведения регулятору — до 7,5 млн € или 1 %.

Для крупной компании берётся большая из двух сумм, для малого и среднего бизнеса и стартапов — меньшая.

Digital Omnibus распространил правило «меньшей суммы» на компании малой средней капитализации (SMC), но только для второго и третьего потолка.

SMC — новая категория ЕС: компания, которая уже не относится к малому и среднему бизнесу, но имеет меньше 750 работников и оборот до 150 млн € или баланс до 129 млн €.

Для SMC и SME регламент теперь предусматривает упрощённую форму техдокументации и систему управления качеством, соразмерную размеру компании.

Как это выглядит в деньгах — расчёт на трёх условных компаниях:

Это потолки, а не тарифы: при назначении штрафа учитывают тяжесть, длительность, число пострадавших и сотрудничество с регулятором.

Но для стартапа штраф — не главный риск.

Дороже обходятся остановка продаж, отказ крупного клиента, который сам отвечает как пользователь системы, и дисконт в следующем раунде.

Сколько стоит соответствие AI Act

Официальных цифр после 2024 года нет; есть оценки, сделанные для Еврокомиссии по проекту закона. Их стоит знать как порядок величин.

• Оценка воздействия Еврокомиссии (2021): максимум около 10 000 € на одну систему ИИ у поставщика — данные, документация, информирование, — а с учётом того, что часть работы компании делают и без закона, около 6 000–7 000 €, или примерно 4–5 % средней стоимости разработки системы в 170 000 €. Проверка документации нотифицированным органом — ещё 3 000–7 500 €. Надзор человека у пользователя — около 7 764 € в год на систему.
• Исследование CEPS для Еврокомиссии (2021): создать с нуля систему управления качеством — 193 000–330 000 €, плюс около 71 400 € в год на её поддержку. Компании, у которых уже есть ISO 9001 или медицинская сертификация, тратят заметно меньше.
• appliedAI (2023): из 106 корпоративных систем ИИ к высокому риску отнесли 18 %, к низкому — 42 %, а по 40 % однозначного ответа не было. Расходы на юридическую классификацию — это первые деньги, которые тратит компания, ещё до разработки.

Разрыв между 6 000 € и 330 000 € объясняется тем, что считали. Первая цифра — добавочные расходы на одну систему у компании, где процессы уже выстроены.

Вторая — построить управление качеством с нуля.

Для стартапа с одним продуктом высокого риска реалистичен второй сценарий в облегчённом виде, для банка — первый, умноженный на число моделей.

Условный пример: бюджет AI Act в финансовой модели стартапа

Испанская SL разрабатывает ИИ-сервис фильтрации резюме для работодателей — это высокий риск по приложению III.

Выручка (ARR) — 4 млн €, компания закрывает раунд серии A на 8 млн € при оценке до денег 32 млн € (8 годовых выручек), расход после раунда — 400 000 € в месяц.

Все цифры условные; расходы — ориентир для небольшой команды без готовой системы качества.

Разовые расходы плюс два года поддержки — 490 000 €: 6,1 % раунда, или 1,2 месяца расхода компании. Ежегодная часть — 3 % выручки.

Если закрыть раунд в январе 2027 года, до 2 декабря 2027 года останется около 10,6 месяца — значит, деньги на соответствие идут в первые кварталы плана, а не «потом».

Что будет, если бюджет не заложить.

Инвестор, увидевший на due diligence высокий риск без плана, может вычесть стоимость соответствия из оценки: 32 млн € минус 490 000 € — это 31,51 млн €, всего на 1,5 % меньше.

Но чаще он просит удержание (escrow) или поэтапный транш: при 5 % раунда это 400 000 €, которые компания не может тратить до выполнения условия.

А если делать соответствие в спешке, когда крупный клиент требует документы к тендеру, разовые расходы растут условно на 40 %, до 350 000 €, и полгода задержки продаж, при которых срывается четверть новых сделок, стоят около 500 000 € выручки.

Готовый бюджет в финансовой модели обходится дешевле любой из этих сделок.

Как строится модель с такими статьями, мы показываем на странице «Финансовая модель».

AI Act в due diligence и оценке ИИ-стартапа

Фонды и покупатели бизнеса уже включают AI Act в проверку, хотя основной срок — декабрь 2027 года. Вопросы обычно такие:

• Роль и класс риска. Поставщик или пользователь, есть ли продукт в приложении III, письменно ли обоснован вывод «не высокий риск». Если обоснования нет, инвестор закладывает худший сценарий.
• Бюджет и график. Есть ли в финансовой модели расходы на соответствие и успеет ли компания к сроку при текущем расходе денег.
• Данные. Права на обучающие данные, согласия по GDPR, проверка на смещения. Проблемы с данными часто дороже, чем сам AI Act, и всплывают одновременно с ним.
• Зависимость от поставщика модели. Что будет с продуктом, если провайдер базовой модели сменит условия или не выполнит свои обязанности.
• Договоры с клиентами. Кто отвечает за инциденты и штрафы, есть ли ограничение ответственности. Для этого нужен юрист; инвестор смотрит на итог — сколько риска остаётся на компании.

На оценку AI Act влияет тремя путями. Через денежный поток — расходы на соответствие снижают EBITDA и удлиняют путь к безубыточности.

Через ставку дисконтирования или дисконт к мультипликатору — неясный статус воспринимается как дополнительный риск.

И через условия сделки — заверения и гарантии, escrow, поэтапное финансирование.

У зрелой компании с готовой документацией обратный эффект: соответствие AI Act становится аргументом в продажах крупным клиентам ЕС, которые сами отвечают как пользователи.

Как это учитывать в расчёте, разобрано в статье «Оценка стоимости стартапа»; проверку проекта со стороны инвестора мы делаем в рамках услуги «Проверка проектов для инвесторов», а при покупке компании — due diligence.

Условия на случай, если обещанное соответствие не выполнено, фиксируют в соглашении с инвестором.

Песочница — тоже финансовый инструмент.

Участие в ней не освобождает от закона, но даёт ранний диалог с регулятором и документы, которые снижают неопределённость для инвестора.

Национальная песочница по регламенту должна заработать к августу 2027 года; следите за новым конкурсом AESIA.

Другие государственные программы для стартапов собраны в статье «Программы поддержки стартапов в Испании».

Что проверить компании: шаги и типичные ошибки

1. Составьте перечень систем ИИ. Включая встроенные в CRM, сервисы найма и скоринга, которыми пользуются сотрудники.
2. Определите роль по каждой системе. Поставщик, пользователь, импортёр; при доработке чужой системы под своим именем компания может стать поставщиком.
3. Определите класс риска. Сверьтесь с приложением III и гидами AESIA; вывод «не высокий риск» оформите письменно.
4. Оцените разрыв. Что уже есть — ISO, оценка воздействия по GDPR, журналы, — а что строить с нуля.
5. Заложите бюджет и график в финансовую модель и план раунда: разовые расходы до 2 декабря 2027 года, ежегодные — дальше.
6. Ведите документы и мониторинг. Техдокументация, журналы, инциденты, обучение персонала.

Типичные ошибки:

• Считать, что раз испанского закона нет, AI Act не действует. Регламент ЕС применяется напрямую.
• Планировать по августу 2026 года для высокого риска или, наоборот, считать, что Digital Omnibus всё отменил. Высокий риск перенесён на декабрь 2027 года, прозрачность уже действует.
• Считать себя только пользователем, когда продукт продаётся под своим брендом на чужой модели.
• Не учитывать расходы пользователя: надзор человека и оценка влияния на права в банке или страховой — это ежегодные затраты.
• Показывать инвестору модель без строки на соответствие, а в рисках писать «регулирование ИИ» без суммы.

Частые вопросы

Что такое AI Act простыми словами?

Это Регламент ЕС 2024/1689 — первый общий закон об искусственном интеллекте. Он запрещает опасные практики, вводит строгие требования к системам высокого риска, например в найме и кредитовании, и обязанности прозрачности для чат-ботов и генеративного ИИ. Действует напрямую во всех странах ЕС, включая Испанию.

Когда AI Act вступает в силу?

Регламент вступил в силу 1 августа 2024 года и применяется ступенями. Запреты действуют с февраля 2025 года, правила для моделей общего назначения — с августа 2025-го, прозрачность — с августа 2026-го. Требования к высокому риску после Digital Omnibus применяются со 2 декабря 2027 года, для ИИ в регулируемых продуктах — со 2 августа 2028 года.

Что изменил Digital Omnibus в AI Act?

Регламент 2026/1744 перенёс сроки для систем высокого риска на декабрь 2027 и август 2028 года, смягчил обязанность обучать персонал, распространил облегчения малого бизнеса на компании малой средней капитализации, добавил запрет на интимные дипфейки без согласия и перенёс срок национальных песочниц на август 2027 года.

Какие штрафы предусматривает AI Act?

До 35 млн € или 7 % мирового оборота — за запрещённые практики, до 15 млн € или 3 % — за нарушение обязанностей и прозрачности, до 7,5 млн € или 1 % — за ложные сведения регулятору. Крупной компании назначают большую из двух сумм, малому и среднему бизнесу — меньшую.

Есть ли в Испании свой закон об искусственном интеллекте?

На ноябрь 2026 года нет. Проект органического закона внесли в Конгресс в мае 2026 года, но после роспуска Кортесов он утратил силу. Регламент ЕС действует напрямую, надзор ведёт AESIA, а закон новому правительству предстоит вносить заново.

Сколько стоит стартапу соответствие AI Act?

Зависит от класса риска. Для минимального риска — почти ничего, кроме обучения персонала. Для высокого риска Еврокомиссия оценивала добавочные расходы в 6 000–7 000 € на систему, а построение системы управления качеством с нуля — в 193 000–330 000 € по исследованию CEPS. В нашем условном примере — 250 000 € разово и 120 000 € в год.

Что такое регуляторная песочница ИИ в Испании?

Контролируемая среда, где компании тестируют системы ИИ вместе с регулятором до выхода на рынок. Пилот Испании по указу 817/2023 прошли 12 систем высокого риска, по его итогам опубликованы гиды. Постоянную национальную песочницу по AI Act страна должна запустить к августу 2027 года.

Главное о регулировании ИИ в ЕС и Испании

• AI Act действует в Испании напрямую; отсутствие национального закона не освобождает от требований.
• На ноябрь 2026 года действуют запреты, обучение персонала, правила для моделей общего назначения и прозрачность; высокий риск — со 2 декабря 2027 года.
• Штраф — до 35 млн € или 7 % оборота, но для стартапа и SME — меньшая из сумм; главный финансовый риск — потерянные продажи и дисконт в раунде.
• Соответствие для продукта высокого риска — от нескольких тысяч евро при готовых процессах до сотен тысяч при строительстве с нуля; эту строку нужно видеть в финансовой модели.
• Инвесторы уже проверяют класс риска, бюджет и данные; готовая документация превращает AI Act из риска в аргумент в продажах.

Источники

• Регламент (ЕС) 2024/1689 (AI Act) — EUR-Lex.
• Регламент (ЕС) 2026/1744 (Digital Omnibus on AI) — EUR-Lex, OJ L 24.07.2026; Рекомендация (ЕС) 2025/1099 об определении SMC — EUR-Lex.
• Королевский указ 729/2023 (устав AESIA) — BOE; песочница ИИ — Минцифры Испании; гиды по итогам песочницы — La Moncloa, 11.12.2025.
• Проект органического закона 121/000096 — Конгресс депутатов, текст — BOCG A-97-1; Королевский указ 806/2026 о роспуске Кортесов — BOE.
• Оценка воздействия Еврокомиссии SWD(2021) 84 — EUR-Lex; CEPS о стоимости системы качества — CEPS, 2021; appliedAI, классификация рисков — appliedAI, 2023.