ЕС отложил сроки для «высокорисковых» ИИ-систем — но не саму обязанность их контролировать

24 июля 2026 года в официальном журнале ЕС был опубликован регламент «Digital Omnibus» (2026/1744), вступивший в силу три дня спустя. Его главный эффект — перенос обязательного соответствия для «высокорисковых» ИИ-систем: для самостоятельных систем (Annex III) срок сдвинулся с 2 августа 2026 года на 2 декабря 2027-го, а для ИИ, встроенного в продукты, уже регулируемые другим европейским законодательством по безопасности (Annex I), — на 2 августа 2028-го. Формальная причина — государства-члены не успели назначить национальные надзорные органы, а гармонизированные стандарты для оценки соответствия всё ещё не готовы.

Важная деталь, которую легко упустить за заголовками про «отсрочку»: не все обязательства сдвинулись. Требования к прозрачности и маркировке ИИ-контента (статья 50) вступили в силу точно по графику — 2 августа 2026 года, как и запрет отдельных практик (действует с февраля 2025-го) и обязанности провайдеров универсальных ИИ-моделей (действуют с августа 2025-го).

Для компаний, которые работают с ЕС-рынком или используют модели зарубежных провайдеров, это хороший повод не путать «перенос дедлайна» с «можно подождать». Именно такую путаницу мы чаще всего видим на аудитах по COBIT: формальный срок отодвигается, а внутренняя работа — кто отвечает за ИИ-решения, как это задокументировано, что происходит с данными — как будто тоже откладывается, хотя часть обязательств уже действует. Мы помогаем клиентам разделить эти два процесса на ретейнер-поддержке: то, что регулятор перенёс, и то, что нужно делать уже сейчас.