У ЄС запрацювали правила прозорості ШІ: чат-боти мають попереджати про себе, а дипфейки — маркуватися

З 2 серпня 2026 року в Європейському Союзі набула чинності стаття 50 Акта про штучний інтелект (AI Act). Вона зобовʼязує розробників проєктувати системи так, щоб людина розуміла, що спілкується з машиною, наносити машинозчитувані позначки на згенерований контент, а тих, хто цей контент оприлюднює, — помітно маркувати дипфейки та ШІ-тексти на суспільно важливі теми. За порушення передбачені штрафи до 15 млн євро або 3% світового річного обороту.

Фінальні настанови щодо застосування статті 50 Європейська комісія ухвалила 20 липня 2026 року — менш ніж за два тижні до старту норм. Документ на 51 сторінку не є юридично обовʼязковим, проте саме на нього орієнтуватимуться національні наглядові органи, коли перевірятимуть компанії.

Мета правил, як пояснює Комісія, — зміцнити довіру та цілісність інформаційної екосистеми. Людина має розуміти, коли вона взаємодіє зі штучним інтелектом або бачить згенерований ним матеріал: це дозволяє ухвалювати поінформовані рішення, тверезо оцінювати, наскільки можна покладатися на технологію, і не стати жертвою дезінформації чи обману.

Чотири ситуації, у яких прозорість стала обовʼязковою

Стаття 50 розподіляє обовʼязки між двома ролями. Постачальник (provider) — це той, хто розробляє систему ШІ й виводить її на ринок ЄС під власним іменем чи торговою маркою. Той, хто застосовує систему (deployer), — компанія, установа або фізична особа, що використовує ШІ у професійній діяльності.

Постачальники зобовʼязані:

• проєктувати системи, які безпосередньо взаємодіють із людьми — чат-боти, ШІ-агенти, аватари, — так, щоб користувач від початку першої взаємодії розумів, що спілкується зі штучним інтелектом (стаття 50(1));
• забезпечити, щоб результати роботи генеративних систем — аудіо, зображення, відео, текст — містили машинозчитувану позначку, за якою їх можна розпізнати як згенеровані або змінені ШІ (стаття 50(2)).

Ті, хто застосовує системи, зобовʼязані:

• повідомляти людей про роботу систем розпізнавання емоцій і біометричної категоризації (стаття 50(3));
• чітко маркувати дипфейки, а також ШІ-тексти, оприлюднені для інформування суспільства з питань суспільного інтересу, якщо вони не пройшли людської перевірки чи редакційного контролю (стаття 50(4)).

Правила діють екстериторіально. Як розʼяснює Комісія, постачальники, зареєстровані або розташовані поза межами ЄС, теж підпадають під дію Акта, якщо результат роботи їхньої системи використовується в Євросоюзі.

Машинозчитувана позначка і видиме маркування — це різні вимоги

Перша вимога технічна й невидима для читача: постачальник вбудовує у файл метадані або водяний знак, що дозволяє програмним інструментам виявити штучне походження контенту. Друга — візуальна чи звукова: той, хто публікує матеріал, має показати людині позначку, зрозумілу без жодних технічних засобів.

Комісія окремо наголошує, що ці вимоги не взаємозамінні: покладатися лише на машинозчитувану позначку, вбудовану розробником, недостатньо для виконання обовʼязку щодо розкриття дипфейку.

Що ЄС вважає дипфейком

Визначення закріплене у статті 3(60) Акта. Щоб контент вважався дипфейком, мають одночасно виконуватися три умови:

• схожість — високий рівень подібності між згенерованим матеріалом і тим, що він імітує;
• існування — імітовані особи, обʼєкти, місця, субʼєкти чи події мають існувати, могти правдоподібно існувати або правдоподібно існувати в минулому;
• хибне враження достовірності — здатність матеріалу ввести людину в оману щодо його справжності.

Оцінюючи третій критерій, настанови дозволяють враховувати контекст: очікування аудиторії, ймовірні сценарії розповсюдження та зміст самого матеріалу. Наприклад, згенеровані фонові сцени чи спецефекти у стандартному кінематографічному виробництві навряд чи створять хибне враження достовірності. Про механіку самої технології ми докладно писали в матеріалі «Діпфейки: чому це так небезпечно?».

Які тексти доведеться маркувати

Обовʼязок маркувати ШІ-текст спрацьовує лише за одночасного виконання трьох умов: текст оприлюднено, він призначений інформувати широку аудиторію і стосується питань суспільного інтересу. До останніх Комісія відносить політику й демократичні процеси, державне управління та послуги, правосуддя й правоохоронну діяльність, основоположні права, громадську безпеку, охорону здоровʼя, захист довкілля, безпеку споживачів, а також економічні, фінансові, наукові та культурні події, що можуть стати предметом суспільної дискусії.

Ключовий виняток — редакційний контроль. Якщо текст пройшов свідому змістовну перевірку людиною з відповідною кваліфікацією або контроль редакційного органу, який має право затвердити, змінити чи відхилити матеріал, маркування не потрібне — але за умови, що конкретна особа чи компанія несе юридичну відповідальність за публікацію. Поверхневі, суто формальні перевірки на кшталт перевірки орфографії редакційним контролем не вважаються.

Європейські піктограми: три варіанти, застосування добровільне

Разом із правилами ЄС оприлюднив набір піктограм, якими автори, видавці та інші користувачі генеративних систем можуть позначати ШІ-контент. Кожна доступна в чотирьох варіантах — чорному, білому та двох напівпрозорих — у форматах SVG і PNG.

• Базова піктограма «AI» — коли ШІ був залучений до створення дипфейку (зображення, аудіо, відео) або опублікованого тексту, а також коли поруч розміщено власний текстовий підпис чи інтерактивний другий шар.
• Піктограма «AI-Generated» — коли матеріал повністю згенерований штучним інтелектом без створених людиною елементів і без редакційного контролю (крім самого промпту). Приклади від регулятора: цілком синтетичні відео з політиками або вигаданими подіями, повністю згенерована ШІ музика чи зображення, ШІ-зведення новин.
• Піктограма «AI-Modified» — коли створений людиною матеріал частково змінили за допомогою ШІ й він перетворився на дипфейк або текст на суспільно важливу тему. Наприклад, обличчя на справжній світлині замінили обличчям політика або меблювали за допомогою ШІ фотографію порожньої квартири.

Піктограми безкоштовні й не потребують згадки авторства Комісії. Проте важливо не сплутати добровільність інструмента з добровільністю самої вимоги: використання піктограм необовʼязкове, а от маркування за статтею 50 — ні. Саме лише розміщення значка також не гарантує відповідності: той, хто публікує матеріал, залишається відповідальним за те, щоб розкриття справді відповідало вимогам Акта.

Тестування з користувачами показало, що впізнаваність зростає, коли піктограму супроводжує текстовий підпис. Позначка має бути помітною щонайпізніше в момент першого контакту людини з контентом, розміщуватися там, де її не перекривають інші елементи інтерфейсу, і залишатися видимою після репосту чи завантаження файлу.

Винятки, відтермінування та зворотна сила

• Особисте використання. Якщо людина створює дипфейки й поширює їх у соцмережах у приватній якості, це особиста діяльність поза сферою дії Акта. Але якщо на цьому регулярно заробляють або це частина підприємницької чи фрилансерської роботи, особа вважається користувачем системи з усіма обовʼязками.
• Мистецькі й сатиричні твори. Якщо дипфейк є частиною очевидно художнього, творчого, сатиричного чи вигаданого твору, розкриття має бути таким, щоб не заважати сприйняттю роботи.
• Дозволене законом. Обовʼязок розкриття не діє, коли використання дипфейків чи текстів дозволене законом для виявлення, запобігання, розслідування або переслідування кримінальних правопорушень.
• Стандартне редагування. Позначати не потрібно, якщо система виконує допоміжну функцію стандартного редагування й суттєво не змінює вхідні дані чи їхній зміст.
• Поза сферою дії. Короткі послідовності цифр, символів чи літер, вихідний код, результати, призначені виключно для машинної обробки без контакту з людиною, а також матеріали, що використовуються в замкнених промислових циклах, — усе це під маркування не підпадає.
• Пільговий період. Для генеративних систем, виведених на ринок до 2 серпня 2026 року, обовʼязок машинозчитуваного маркування починає діяти з 2 грудня 2026 року.
• Без зворотної сили. Контент, створений до 2 серпня 2026 року, ретроспективно маркувати не потрібно, хоча Комісія рекомендує це робити там, де можливо.

Штрафи і хто перевірятиме

Санкції за порушення статті 50 сягають 15 млн євро або 3% сукупного світового річного обороту компанії за попередній фінансовий рік. Для установ, органів і агенцій ЄС максимум становить 750 тис. євро. Для малих і середніх підприємств, а також невеликих компаній середньої капіталізації враховується принцип пропорційності.

Наглядом займатимуться переважно національні органи ринкового нагляду держав-членів. Бюро ЄС зі штучного інтелекту має обмежену роль: воно контролює лише системи, побудовані на базових моделях, якщо той самий субʼєкт постачає і модель, і систему, або якщо систему інтегровано у дуже велику онлайн-платформу чи пошуковик за Актом про цифрові послуги. Європейський інспектор із захисту даних відповідає за системи, які використовують установи ЄС.

Кодекс практики підписали близько 190 організацій

Паралельно з настановами діє Кодекс практики щодо прозорості ШІ-контенту — добровільний інструмент, який Комісія та Рада зі штучного інтелекту визнали адекватним способом підтвердити відповідність вимогам маркування. Станом на кінець липня 2026 року його підписали близько 190 компаній та організацій.

Кодекс складається з двох розділів: перший стосується маркування та виявлення контенту постачальниками, другий — маркування дипфейків і текстів тими, хто їх публікує. Компанії, які кодекс не підписали, повинні доводити відповідність альтернативними засобами — і, ймовірно, частіше отримуватимуть запити від регуляторів.

Комісія отримала право штрафувати розробників базових моделей

Друга подія, що припала на 2 серпня 2026 року, стосується розробників універсальних моделей (general-purpose AI). Самі обовʼязки — вести технічну документацію, оприлюднювати зведення про дані для навчання, впроваджувати політику дотримання авторського права — діють ще з 2 серпня 2025 року. Чого бракувало, так це механізму примусу: повноваження Комісії та Бюро ЄС зі штучного інтелекту щодо нагляду й санкцій свідомо відклали на рік.

Тепер регулятор може вимагати документацію, проводити власні оцінювання моделей, зобовʼязувати впроваджувати заходи зниження ризиків, обмежувати або вилучати модель із ринку ЄС і накладати штрафи. Тут наглядає саме Комісія, а не мережа національних органів.

Критика галузі й відтермінування «високоризикових» норм

Технологічна індустрія послідовно критикує європейське регулювання ШІ як надмірне навантаження, що гальмує інновації. Частково ці аргументи вплинули на регуляторний порядок денний: у листопаді 2025 року Комісія запропонувала пакет Digital Omnibus, який привʼязав дати застосування норм щодо високоризикових систем до готовності гармонізованих стандартів і допоміжних інструментів. Пакет набув чинності 27 липня 2026 року, і найважчі вимоги зсунулися на 2 грудня 2027 та 2 серпня 2028 років.

Позиція самої Комісії полягає в тому, що єдиний набір гармонізованих правил спрощує роботу розробникам, бо замінює 27 різних національних режимів одним ринком, і водночас закриває ризики для здоровʼя, безпеки та основоположних прав людей. Показово, що дата 2 серпня 2026 року, попри відтермінування «високоризикового» блоку, залишилася без змін.

Що це означає для України

Україна поки що працює за моделлю саморегуляції. Як повідомило Міністерство цифрової трансформації, держава свідомо обрала підхід «знизу вгору»: спершу підготувати ринок, а вже потім запроваджувати законодавчі межі. За цей час опубліковано Дорожню карту та Білу книгу з регулювання ШІ, розроблено 11 рекомендацій щодо безпечної роботи з алгоритмами, запущено регуляторну пісочницю SandBox, яка за рік отримала 90 заявок на тестування ШІ-продуктів, а 15 рішень уже пройшли аудит.

Наступний крок — профільний закон. Протягом 2026 року робоча група при Мінцифрі має розробити євроінтеграційний закон про штучний інтелект, синхронізований із правилами ЄС. Про це повідомляли українські медіа після першого засідання робочої групи в червні 2026 року.

Практичний висновок для українського бізнесу простий: чекати на національний закон, щоб почати готуватися, немає сенсу. Якщо ваш продукт має користувачів у ЄС або результати роботи вашої системи використовуються в Євросоюзі, вимоги статті 50 стосуються вас уже зараз — незалежно від того, де зареєстрована компанія. Це саме та логіка екстериторіальності, яку український ринок уже пройшов із GDPR і про яку ми писали в матеріалі про регуляторні рамки ЄС у сфері захисту даних.

Окремий контекст додає війна. Росія системно застосовує згенеровані ШІ матеріали в інформаційних операціях проти України — від підроблених звернень посадовців до синтетичних «новин». Обовʼязкове маркування в ЄС не зупинить зловмисників, які його свідомо ігноруватимуть, але воно змінює базове очікування аудиторії: немаркований матеріал сумнівного походження стає підозрілим за замовчуванням.

Часті запитання

З якої дати діють нові правила прозорості ШІ в ЄС?

Стаття 50 Акта про штучний інтелект застосовується з 2 серпня 2026 року. Для генеративних систем, виведених на ринок до цієї дати, обовʼязок машинозчитуваного маркування починає діяти з 2 грудня 2026 року.

Чи мусить український бізнес виконувати ці вимоги?

Так, якщо система виводиться на ринок ЄС або результати її роботи використовуються в Євросоюзі. Акт діє екстериторіально й поширюється на постачальників, зареєстрованих поза межами ЄС.

Чим відрізняється машинозчитувана позначка від видимого маркування?

Машинозчитувана позначка вбудовується розробником у файл і виявляється програмними інструментами. Видиме маркування розміщує той, хто публікує матеріал, і воно має бути зрозумілим людині без технічних засобів. Одне не заміняє інше.

Чи обовʼязково використовувати європейські піктограми?

Ні. Піктограми — добровільний інструмент. Обовʼязковим є саме маркування, а спосіб його реалізації компанія обирає сама, за умови що розкриття відповідає вимогам статті 50.

Які штрафи передбачені за порушення?

До 15 млн євро або 3% сукупного світового річного обороту компанії за попередній фінансовий рік. Для установ та органів ЄС — до 750 тис. євро. Для малих і середніх підприємств діє принцип пропорційності.