Copilot и Закон ЕС об ИИ

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Разберитесь, какие обязанности Copilot и Закон ЕС об ИИ возлагают на вас: обязанности оператора системы, управление, управление рисками, прозрачность и человеческий контроль.

Automatically translated with AI from the original post. Read the English original

Можно подумать, что раз уж решение изначально соответствует требованиям (Compliant by Design), то можно расслабиться. Но такой подход может подставить вашу организацию. Закон ЕС об ИИ возлагает на вас реальную ответственность. Поставщик отвечает не только он. Многие руководители ИТ и комплаенса беспокоятся из-за ИИ-ассистентов. Они опасаются, что ИИ может показать данные тем, кому их видеть не следует. В Microsoft Copilot 365 используются надежные role-based access controls. Эти функции помогают, но это только начало. Подумайте о пользователе, который просит Copilot подвести итоги по секретным файлам. Вы уверены, что ваши настройки надежно защищают все данные?

Главное

• Изучите многоуровневую шкалу рисков Закона ЕС об ИИ. Ваш сценарий использования ИИ определяет ваш уровень соответствия требованиям. Поставщик не решает это за вас.

• Используйте функции соответствия требованиям в Copilot. Убедитесь, что вы настроили их правильно. Параметры по умолчанию могут не соответствовать правилам ЕС.

• Фиксируйте каждый шаг при использовании ИИ. Хорошие записи помогут доказать, что вы соблюдаете правила. Это может помочь избежать крупных штрафов.

• Обучайте свою команду безопасности и соответствию требованиям при работе с ИИ. Каждый должен знать, что делать, и знать правила использования ИИ-инструментов.

• Регулярно проверяйте и обновляйте свой план соответствия требованиям. Следите за новыми правилами. Это поможет продолжать соблюдать закон.

Многоуровневая шкала рисков Закона ЕС об ИИ: пояснение

Категории рисков и сценарии использования

Прежде чем внедрять любой ИИ-инструмент, нужно понять многоуровневую шкалу рисков Закона ЕС об ИИ. Закон делит системы ИИ на четыре уровня риска. Для каждого уровня действуют свои правила, которые вам нужно соблюдать. Вот простая таблица, которая показывает, как работает эта шкала:

По мере подъема по шкале ваши обязанности растут. Если вы используете Copilot или ChatGPT для простых задач, например для составления писем, вы попадаете в категорию минимального или ограниченного риска. Если же вы используете эти инструменты для найма, кредитного скоринга или медицинских рекомендаций, вы оказываетесь в зоне высокого риска. Тогда нужно соблюдать больше правил и вести более подробные записи.

Почему сценарий использования важнее поставщика

Можно считать, что уровень риска определяет поставщик или модель. Это не так. Уровень риска задается тем, как вы используете ИИ. Вам нужно разработать четкие сценарии использования и требования. Документируйте, какую задачу вы хотите решить, и проверяйте, подходит ли для нее ИИ. Также оцените риски результатов и меры контроля качества. Спросите себя, как вы будете использовать результаты работы ИИ и что может пойти не так.

Вот несколько примеров:

• Если вы используете Copilot для подведения итогов заметок с собраний, риск у вас ограниченный.

• Если вы используете ChatGPT, чтобы решать, кому одобрить кредит, риск у вас высокий.

• Если вы создаете собственный ИИ для социального скоринга, риск у вас недопустимый.

Фокусируйтесь на сценарии использования, а не только на бренде или модели. Функции Compliant by Design помогают, но вам все равно нужно правильно отнести свое использование ИИ к нужному уровню риска и соблюдать правила.

Compliant by Design: встроенная опора соответствия требованиям в Copilot

Встроенные функции для соответствия требованиям

Когда вы используете Copilot в Microsoft 365, вы получаете хорошую основу. Платформа предоставляет множество инструментов, которые помогают защищать ваши данные. Вместе они помогают соблюдать правила. Основные инструменты перечислены в таблице ниже:

Эти инструменты помогают Copilot поддерживать подход Compliant by Design. Они помогают управлять данными, контролировать, кто их видит, и отслеживать происходящее. Всё создавать самостоятельно не нужно. Эти инструменты можно использовать как основу для вашего плана соответствия требованиям.

Совет: Copilot не использует ваши запросы и ответы для обучения своих моделей. Это помогает сохранить конфиденциальность данных и снижает риски.

Что деплойерам ещё нужно настроить

Нельзя ограничиваться настройками по умолчанию. Нужно внести изменения, чтобы Copilot соответствовал требованиям EU AI Act. Compliant by Design помогает начать, но работу нужно довести до конца. Регуляторам нужны доказательства, а не обещания.

Чтобы повысить уровень соответствия требованиям, выполните следующие шаги:

1. Проверьте и исправьте разрешения в SharePoint, OneDrive и Teams до включения Copilot. Удалите доступ, который людям не нужен.

2. Применяйте принцип наименьших привилегий. Проверьте списки групп и настройки общего доступа. Открывайте людям доступ только к тому, что нужно для работы.

3. Подумайте о лицензиях E5, если вам нужна более надёжная защита данных для пользователей, работающих с персональными данными.

4. Обучайте пользователей. Объясните им, что Copilot соблюдает правила работы с данными вашей организации. Убедитесь, что все понимают, что Copilot может и чего не может делать.

Для Copilot необходимо настроить метки конфиденциальности Purview и правила DLP. Нужно задать сроки хранения данных и проверять журналы аудита. Поиск в SharePoint стоит ограничить, чтобы не допустить избыточного обмена данными. Обязательно документируйте проверки рисков и ведите записи о выполненных действиях.

Compliant by Design не означает, что работа завершена. Вы должны показать, как использовали эти инструменты в своей инфраструктуре. Регуляторы хотят видеть доказательства. Нужно продемонстрировать, что вы настроили, контролировали и задокументировали шаги по соблюдению требований.

ChatGPT и Azure OpenAI – «Свой собственный» менеджмент управления

Пробелы в соответствии требованиям при использовании публичного ChatGPT

Использование публичного ChatGPT создаёт серьёзные трудности. Copilot имеет встроенные средства контроля, а ChatGPT — нет. Правила и проверки безопасности придётся создавать самостоятельно. Многие организации усвоили это на собственном горьком опыте.

Посмотрите на случай с муниципалитетом Тромсё. Чиновники использовали ИИ для написания большей части отчёта. Никто не проверил достоверность фактов перед публикацией. В отчёте оказалась недостоверная информация. Эта ошибка нанесла ущерб репутации и привела к проблемам на работе. Без строгих правил контроль легко потерять.

Вот некоторые распространённые проблемы, которые необходимо устранить:

• Автоматической записи запросов и ответов не существует.

• Встроенных средств для предотвращения утечки данных или маркировки конфиденциальной информации нет.

• Предупреждений или пометок для контента, созданного ИИ, нет.

• Проверки важных результатов человеком не предусмотрено.

• Понятного способа ограничить доступ или контролировать место хранения данных нет.

Эти проблемы придётся решать самостоятельно. EU AI Act требует показать, как вы управляете рисками, документировать свои решения и вести учёт.

Azure OpenAI как промежуточный вариант

Azure OpenAI даёт больше контроля, чем публичный ChatGPT. Можно использовать рабочие учётные записи, определять, кто может им пользоваться, и отслеживать действия пользователей. Записи ведутся лучше, а данные можно хранить внутри организации. Эти инструменты помогают выполнить часть требований EU AI Act.

Но основная работа всё равно остаётся за вами. Необходимо:

1. Проводить оценку воздействия на защиту данных (DPIA) для каждого способа использования.

2. Вести реестр деятельности по обработке данных.

3. Настроить правила предотвращения утечек и определить сроки хранения данных.

4. Проверять журналы и выборочно анализировать результаты.

5. Обучать пользователей безопасной работе с ИИ и соблюдению правил.

Azure OpenAI помогает начать, но работу нужно довести до конца. Необходимо подтверждать соответствие понятными записями и проверками. EU AI Act не принимает обещаний. Нужно показать, что именно вы сделали.

Памятка деплойера по EU AI Act

Для соблюдения требований EU AI Act нужен простой план. Эта памятка поможет организовать работу. Она содержит понятные шаги, инструменты и советы для Copilot, ChatGPT и Azure OpenAI. Используйте её, чтобы защитить свою организацию и показать регуляторам, что вы серьёзно относитесь к соответствию требованиям.

Классификация рисков и документирование

Начните с перечня ваших систем ИИ и способов их использования. Нужно знать, где применяется ИИ и что делает каждая система. Чтобы классифицировать риски и задокументировать их, выполните следующие шаги:

1. Составьте список всех инструментов и моделей ИИ, которые ваша организация использует, разрабатывает, импортирует или продаёт в Европе.

2. Определите, является ли ваша организация поставщиком, деплойером, импортёром или дистрибьютором для каждой системы.

3. Проверьте, распространяется ли на каждую систему или модель действие EU AI Act.

4. Присвойте каждому сценарию использования ИИ уровень риска: недопустимый, высокий, ограниченный или минимальный.

5. Изучите договоры и проверьте сведения о сервисах ИИ.

6. Создайте или обновите план управления ИИ с учетом требований EU AI Act.

7. Ведите записи обо всех изменениях, которые вносите в системы ИИ или модели.

Фиксируйте каждый шаг. Если вести записи плохо, можно получить крупные штрафы.

Организации-развертыватели, которые не документируют свои действия по EU AI Act, могут серьезно пострадать. Например, за неполное предоставление информации регуляторам грозят штрафы в размере 7,5 млн евро, даже если их решения о рисках были верными.

Настройка Purview, DLP и доступа

Необходимо выстроить надежные средства контроля, чтобы защитить данные. Используйте Purview, Data Loss Prevention (DLP) и средства контроля доступа, чтобы соответствовать требованиям EU AI Act. В таблице ниже показано, что нужно сделать:

Сгруппируйте правила DLP так, чтобы они покрывали типовые сценарии. Убедитесь, что в правилах в первую очередь используются самые строгие действия. Регулярно проверяйте журналы аудита и отчеты DLP, чтобы понимать, соблюдаются ли правила.

Журналирование, прозрачность и контроль со стороны человека

Необходимо отслеживать использование ИИ и поддерживать прозрачность. Регуляторы хотят видеть, как вы контролируете свои системы и следите за ними. Используйте следующие рекомендации:

Добавляйте четкие пометки ко всему, что создано ИИ. Используйте колонтитулы или водяные знаки, чтобы показать, что ИИ участвовал в создании файла или сообщения. Требуйте, чтобы люди проверяли важные решения, особенно связанные с наймом или кредитным скорингом.

Обучение и внутренние политики

Необходимо обучить сотрудников безопасной работе с ИИ. Разработайте понятные правила и программы обучения для всех. Убедитесь, что все работники знают свои обязанности и правила.

• Проводите обучение с учетом должности каждого сотрудника: для бизнес-пользователей, администраторов и специалистов по соблюдению требований.

• Расскажите, какие сценарии использования ИИ допустимы, а какие нет.

• Используйте промпты и настройки, которые помогают соблюдать требования, например просьбу к Copilot показывать источники или добавлять примечания для проверки.

• Обновляйте правила по мере изменения EU AI Act.

Вы можете использовать встроенные инструменты, чтобы помочь пользователям освоить свою работу. Подготовьте руководства, которые объясняют разницу между моделями ИИ общего назначения и системами. Предложите стартовые наборы с шаблонами и списками для упрощения соблюдения требований.

План действий на 30/60/90 дней и внутренние коммуникации

Вам нужен график для завершения работ по соблюдению требований. Вот простой план действий:

Первые 30 дней:

• Составьте список всех систем ИИ и сценариев их использования.

• Назначьте роли и определите уровни риска.

• Начните документировать DPIA и RoPA.

Следующие 60 дней:

• Настройте Purview, DLP и средства контроля доступа.

• Включите аудит и мониторинг.

• Начните обучение основных команд.

Последние 90 дней:

• Проверьте и обновите правила.

• Проверьте механизмы контроля со стороны человека и четкость пометок.

• Подготовьте подтверждения для регуляторов.

Передайте команде следующее сообщение:

Мы используем инструменты ИИ по подходу Compliant by Design. Всем необходимо соблюдать наши новые правила и проходить обучение. Мы будем отслеживать, проверять и фиксировать каждый шаг, чтобы соответствовать требованиям EU AI Act.

Используйте этот набор, чтобы построить надежный план соблюдения требований. Так вы защитите свою группу и поможете всем использовать ИИ правильно.

Не стоит просто полагаться на «compliant by design». Нужно подтверждать, что вы соблюдаете правила. EU AI Act возлагает на вас четкие обязанности. Если правила не соблюдаются, можно получить крупные штрафы. Штрафы могут достигать 15 млн евро или 3% от общего годового оборота компании.

Управление ИИ важно. Нужно следить за тем, как вы используете ИИ. Нужен ответственный человек и повторяемые шаги. Регулярно проверяйте свои инструменты ИИ. Настройте средства соответствия требованиям и фиксируйте все свои действия. Используйте правила, чтобы люди доверяли вашей компании, а ИИ оставался безопасным.

Часто задаваемые вопросы

Что означает «соответствие по замыслу» (compliant by design) для Copilot?

«Соответствие по замыслу» означает, что в Copilot есть встроенные инструменты, которые помогают выполнять требования законодательства. Вам всё равно нужно настроить, проверить и подтвердить соответствие. Полагаться только на функции поставщика нельзя.

Нужно ли проводить DPIA для Copilot или ChatGPT?

Да. Для каждого сценария использования ИИ нужно провести оценку воздействия на защиту данных (DPIA). Это помогает выявить риски и показать регуляторам, что вы серьёзно относитесь к конфиденциальности.

Как подтвердить соответствие Закону ЕС об ИИ (EU AI Act)?

Нужно вести записи, настроить средства контроля и хранить журналы. Регуляторы хотят видеть доказательства, а не обещания. В качестве подтверждения используйте журналы аудита, документы о рисках и записи об обучении.

Можно ли использовать публичный ChatGPT для задач высокого риска?

Нет. В публичном ChatGPT нет встроенных средств контроля для задач высокого риска. Нужно добавить собственные проверки безопасности. Для чувствительных сценариев выбирайте инструменты с мощными функциями соответствия требованиям.

Какая самая распространённая ошибка тех, кто внедряет ИИ?

Многие думают, что одних инструментов поставщика достаточно для соответствия требованиям. Нужно настроить, контролировать и документировать всё. Доказательства важнее обещаний.

Также послушайте

Если вы изучаете тему EU AI Act и Microsoft Copilot, эти выпуски добавят практического контекста по внедрению, архитектуре, безопасности и управлению:

• Управление Microsoft Teams – иллюзия контроля — Узнайте, как владение, политики и решения о жизненном цикле определяют надёжную работу Microsoft 365.
• Microsoft AI Agent Harness – simply explained — Разберитесь в оркестрации, защитных ограничениях, оценке и наблюдаемости для рабочих процессов с ИИ.
• Azure AI Foundry – Simply Explained — Узнайте, как создаются, оцениваются, развёртываются и управляются корпоративные решения на базе ИИ.
• Microsoft Defender XDR – Simply Explained — Связывайте решения по внедрению с возможностями видимости, расследования и реагирования в области безопасности.