Copilot і Акт ЄС про ШІ

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Розберіться в обов'язках щодо Copilot і Акту ЄС про ШІ, зокрема в обов'язках розгортача, управлінні, управлінні ризиками, прозорості та людському нагляді.

Automatically translated with AI from the original post. Read the English original

Можна подумати, що концепція Compliant by Design дає підстави розслабитися. Але ця ідея може поставити вашу групу під загрозу. Акт ЄС про ШІ покладає на вас реальну відповідальність. Постачальник — не єдиний, хто відповідає. Багато керівників ІТ і комплаєнсу хвилюються через ШІ-асистентів. Вони думають, що ШІ може показати дані людям, які не повинні їх бачити. Microsoft Copilot 365 використовує потужні role-based access controls. Ці функції допомагають, але це лише початок. Уявіть, що користувач просить Copilot підсумувати секретні файли. Ви впевнені, що ваші налаштування захищають усі дані?

Головне

• Вивчіть шкалу ризиків Акту ЄС про ШІ. Ваш сценарій використання ШІ визначає рівень відповідності. Постачальник за вас цього не вирішує.

• Використовуйте функції відповідності Copilot. Переконайтеся, що налаштували їх правильно. Типові параметри можуть не відповідати правилам ЄС.

• Фіксуйте кожен крок під час використання ШІ. Належні записи допоможуть довести, що ви дотримуєтеся правил. Це може допомогти уникнути великих штрафів.

• Навчайте свою команду безпеці та відповідності вимогам у роботі зі ШІ. Кожен має знати, що робити, і знати правила користування інструментами ШІ.

• Регулярно перевіряйте та оновлюйте свій план відповідності. Стежте за новими правилами. Так ви зможете й надалі дотримуватися закону.

Пояснення шкали ризиків Акту ЄС про ШІ

Категорії ризиків і сценарії використання

Перш ніж розгортати будь-який інструмент ШІ, потрібно зрозуміти шкалу ризиків Акту ЄС про ШІ. Акт поділяє системи ШІ на чотири рівні ризику. Кожен рівень має свої правила, яких ви маєте дотримуватися. Ось проста таблиця, що показує, як працює шкала ризиків:

Ваші обов'язки зростають, коли ви піднімаєтеся сходинкою вище. Якщо ви використовуєте Copilot або ChatGPT для простих завдань, як-от складання листів, ви потрапляєте в категорію мінімального або обмеженого ризику. Якщо ж ви використовуєте їх для найму, кредитного скорингу чи порад щодо здоров'я, ви опиняєтеся в зоні високого ризику. Тоді доведеться дотримуватися більше правил і вести кращу документацію.

Чому сценарій використання важливіший за постачальника

Можна подумати, що рівень ризику визначає постачальник або модель. Це не так. Спосіб, у який ви використовуєте ШІ, і визначає рівень ризику. Вам потрібно сформулювати чіткі сценарії використання та вимоги. Задокументуйте, яку проблему хочете вирішити, і перевірте, чи ШІ є правильною відповіддю. Також оцініть ризики результатів і заходи контролю якості. Поставте собі питання, як ви використовуватимете результати роботи ШІ та що може піти не так.

Ось кілька прикладів:

• Якщо ви використовуєте Copilot для підсумування нотаток з нарад, ризик обмежений.

• Якщо ви використовуєте ChatGPT, щоб вирішувати, кому дати кредит, ризик високий.

• Якщо ви створюєте власний ШІ для соціального скорингу, ризик неприйнятний.

Зосереджуйтеся на своєму сценарії використання, а не лише на бренді чи моделі. Функції Compliant by Design допомагають, але вам усе одно потрібно співвіднести використання ШІ з відповідним рівнем ризику та дотримуватися правил.

Compliant by Design – каркас відповідності Copilot

Вбудовані функції для відповідності

Коли ви використовуєте Copilot у Microsoft 365, ви отримуєте надійний старт. Платформа надає багато інструментів, які допомагають захищати ваші дані. Разом вони допомагають дотримуватися правил. Основні інструменти наведено в таблиці нижче:

Ці інструменти допомагають Copilot підтримувати підхід Compliant by Design. Вони допомагають керувати даними, контролювати, хто їх бачить, і стежити за тим, що відбувається. Не обов'язково створювати все самостійно. Ці інструменти можна використовувати як основу для вашого плану відповідності.

Порада: Copilot не використовує ваші запити чи відповіді для навчання своїх моделей. Це захищає ваші дані та знижує ризики.

Що депloyери ще мають налаштувати

Не можна просто користуватися налаштуваннями за замовчуванням. Потрібно внести зміни, щоб Copilot відповідав вимогам Закону ЄС про ШІ. Compliant by Design допомагає почати, але роботу потрібно завершити самостійно. Регулятори вимагають доказів, а не обіцянок.

Ось кроки, які посилять вашу відповідність:

1. Перевірте та виправте дозволи в SharePoint, OneDrive і Teams before увімкненням Copilot. Вилучіть доступ, який людям не потрібен.

2. Дотримуйтесь принципу найменших привілеїв. Перевірте списки груп і налаштування спільного доступу. Дозвольте людям бачити лише те, що їм потрібно.

3. Подумайте про ліцензії E5, якщо хочете краще захистити дані користувачів, які містять приватну інформацію.

4. Навчайте користувачів. Пояснюйте, що Copilot дотримується ваших правил роботи з даними. Переконайтеся, що всі розуміють, що Copilot може і чого не може робити.

Для Copilot потрібно налаштувати мітки конфіденційності Purview та правила DLP. Потрібно визначити, як довго зберігати дані, і перевіряти журнали аудиту. Варто обмежити пошук SharePoint, щоб не допустити надмірного обміну даними. Ви маєте задокументувати перевірки ризиків і вести записи про виконані дії.

Compliant by Design не означає, що роботу завершено. Потрібно показати, як ви використовували ці інструменти у власному середовищі. Регулятори хочуть бачити докази. Потрібно довести, що ви налаштували, відстежували та задокументували кроки щодо відповідності.

ChatGPT і Azure OpenAI: власна політика управління

Прогалини у відповідності публічного ChatGPT

Використання публічного ChatGPT – серйозний виклик. Copilot має вбудовані засоби контролю, а ChatGPT – ні. Вам доведеться самостійно створювати правила та перевірки безпеки. Багато організацій вивчили це на власному досвіді.

Розгляньте випадок муніципалітету Тромсе. Посадовці використали ШІ, щоб написати більшу частину звіту. Ніхто не перевірив достовірність фактів перед публікацією. У звіті були вигадані дані. Ця помилка зашкодила репутації та спричинила проблеми на роботі. Легко втратити контроль, якщо немає чітких правил.

Ось деякі типові проблеми, які потрібно виправити:

• Немає автоматичного запису запитів і відповідей.

• Немає вбудованого механізму для запобігання витоку даних або для маркування чутливих даних.

• Немає попереджень чи позначок для контенту, створеного ШІ.

• Немає перевірки важливих результатів людиною.

• Немає чіткого способу обмежити доступ або контролювати, де зберігаються дані.

Ці проблеми доведеться вирішувати самостійно. Закон ЄС про ШІ вимагає показати, як ви керуєте ризиками, задокументувати свої рішення та вести записи.

Azure OpenAI як золота середина

Azure OpenAI дає більший контроль, ніж публічний ChatGPT. Можна використовувати робочі облікові записи, визначати, хто може користуватися сервісом, і стежити за діями користувачів. Ви отримуєте кращі записи та можете зберігати дані всередині компанії. Ці інструменти допомагають виконувати деякі вимоги Закону ЄС про ШІ.

Але основна робота все одно лягає на вас. Потрібно:

1. Проводити оцінку впливу на захист даних (DPIA) для кожного способу використання.

2. Вести реєстр діяльності з обробки даних.

3. Налаштувати правила для запобігання витоку даних і визначити строки зберігання.

4. Перевіряти журнали та переглядати результати.

5. Навчати користувачів безпечно працювати зі ШІ та дотримуватися правил.

Azure OpenAI допомагає почати, але роботу потрібно завершити. Потрібні докази у вигляді чітких записів і перевірок. Закон ЄС про ШІ не приймає обіцянки. Потрібно показати, що саме ви зробили.

Набір інструментів для deployers згідно з Законом ЄС про ШІ

Потрібен простий план для виконання вимог Закону ЄС про ШІ. Цей набір допоможе організувати роботу. Він містить зрозумілі кроки, інструменти та поради для Copilot, ChatGPT і Azure OpenAI. Використовуйте його, щоб захистити свою команду та показати регуляторам, що відповідність для вас важлива.

Класифікація ризиків і документування

Почніть зі складання переліку ваших систем ШІ та способів їх використання. Потрібно знати, де застосовується ШІ і що робить кожна система. Виконайте наведені нижче кроки, щоб класифікувати ризики та задокументувати їх:

1. Складіть перелік кожного інструмента та моделі ШІ, які ваша компанія використовує, створює, імпортує або продає в Європі.

2. Визначте, чи є ваша компанія постачальником (provider), розгортачем (deployer), імпортером чи дистриб'ютором для кожної системи.

3. Перевірте, чи підпадає кожна система або модель під дію Закону ЄС про ШІ.

4. Призначте кожному випадку використання рівень ризику: неприйнятний, високий, обмежений або мінімальний.

5. Перегляньте договори та перевірте відомості про сервіси ШІ.

6. Складіть або оновіть свій план управління ШІ відповідно до вимог Акту.

7. Ведіть журнал змін, які ви вносите в системи та моделі ШІ.

Документуйте кожен крок. Якщо ви не ведете належних записів, вам можуть загрожувати великі штрафи.

Розгортачі, які не документують свої дії згідно з Актом ЄС про ШІ, можуть отримати серйозні проблеми, наприклад штрафи у розмірі 7,5 млн євро за неповне надання інформації регуляторам, навіть якщо ваші рішення щодо ризиків є правильними.

Налаштування Purview, DLP і доступу

Потрібно встановити надійні механізми контролю, щоб захистити дані. Використовуйте Purview, Data Loss Prevention (DLP) і контроль доступу, щоб відповідати вимогам Акту ЄС про ШІ. У таблиці нижче наведено, що саме потрібно:

Згрупуйте правила DLP так, щоб вони охоплювали типові потреби. Переконайтеся, що в правилах спочатку застосовуються найсуворіші дії. Регулярно перевіряйте журнали аудиту та звіти DLP, щоб бачити, чи дотримуєтеся ви правил.

Журналювання, прозорість і людський нагляд

Потрібно відстежувати використання ШІ та забезпечувати прозорість. Регулятори хочуть бачити, як ви контролюєте і спостерігаєте за своїми системами. Використовуйте такі найкращі практики:

Додавайте чіткі позначки до всього, що створено ШІ. Використовуйте нижні колонтитули або водяні знаки, щоб показати, коли ШІ допоміг створити файл або повідомлення. Вимагайте, щоб люди перевіряли важливі рішення, особливо у таких сферах, як найм або кредитний скоринг.

Навчання та внутрішні політики

Потрібно навчати команду безпечному використанню ШІ. Створіть чіткі правила та навчання для всіх. Переконайтеся, що всі працівники знають свої обов'язки і правила.

• Проводьте навчання з урахуванням посади кожного, наприклад для бізнес-користувачів, адміністраторів і фахівців з відповідності.

• Поділіться правилами щодо того, які способи використання ШІ допустимі, а які ні.

• Використовуйте підказки та налаштування, які сприяють відповідності, наприклад просіть Copilot показувати джерела або додавати примітки для перевірки.

• Змінюйте свої правила разом із змінами в Акті ЄС про ШІ.

Ви можете використовувати вбудовані інструменти, щоб допомогти користувачам освоїти свої обов'язки. Надавайте посібники, які пояснюють різницю між моделями ШІ загального призначення та системами. Пропонуйте стартові набори з шаблонами та переліками для спрощення відповідності.

План дій на 30/60/90 днів і внутрішні комунікації

Потрібен графік, щоб завершити роботу з відповідністю. Ось простий план дій:

Перші 30 днів:

• Складіть перелік усіх систем ШІ та сценаріїв їх використання.

• Призначте ролі та рівні ризику.

• Почніть складати DPIA і RoPA.

Наступні 60 днів:

• Налаштуйте Purview, DLP і контроль доступу.

• Увімкніть аудит і моніторинг.

• Розпочніть навчання для основних команд.

Останні 90 днів:

• Перегляньте та оновіть правила.

• Перевірте людський нагляд і чіткі позначки.

• Підготуйте докази для регуляторів.

Надішліть цей меседж своїй команді:

Ми використовуємо інструменти ШІ за планом Compliant by Design. Усі мають дотримуватися наших нових правил і пройти навчання. Ми відстежуватимемо, перевірятимемо та документуватимемо кожен крок, щоб відповідати вимогам Акту ЄС про ШІ.

Скористайтеся цим набором, щоб побудувати надійний план відповідності. Так ви захистите свою команду і допоможете всім правильно використовувати ШІ.

Не варто просто довіряти принципу «compliant by design». Потрібно мати докази того, що ви дотримуєтеся правил. Акт ЄС про ШІ чітко визначає ваші обов'язки. Якщо ви їх не виконуватимете, можуть бути накладені великі штрафи. Штрафи можуть сягати 15 млн євро або 3% загального річного обороту вашої компанії.

Управління ШІ є важливим. Потрібно стежити за тим, як ви використовуєте ШІ. Потрібен відповідальний за це фахівець і кроки, які можна повторювати. Регулярно перевіряйте свої інструменти ШІ. Налаштуйте інструменти відповідності вимогам і фіксуйте все, що робите. Використовуйте правила, щоб допомогти людям довіряти вашій компанії та безпечно працювати з ШІ.

Поширені запитання

Що означає «відповідність вимогам за задумом» (compliant by design) для Copilot?

«Відповідність вимогам за задумом» означає, що Copilot містить вбудовані інструменти, які допомагають дотримуватися правил. Водночас вам усе одно потрібно налаштувати, перевіряти й доводити свою відповідність. Покладатися лише на функції постачальника не можна.

Чи потрібно проводити DPIA для Copilot або ChatGPT?

Так. Для кожного випадку використання ШІ потрібно провести оцінку впливу на захист даних (DPIA). Це допомагає виявити ризики та показати регуляторам, що ви серйозно ставитеся до конфіденційності.

Як довести відповідність вимогам EU AI Act?

Потрібно вести записи, налаштувати контролі та зберігати журнали. Регуляторам потрібні докази, а не обіцянки. Як докази використовуйте журнали аудиту, документи щодо ризиків і записи про навчання.

Чи можна використовувати публічний ChatGPT для завдань з високим ризиком?

Ні. Публічний ChatGPT не має вбудованих контролів для завдань з високим ризиком. Потрібно додати власні перевірки безпеки. Для чутливих сценаріїв обирайте інструменти з сильними функціями відповідності вимогам.

Яку найбільшу помилку допускають розгорталники (deployers)?

Багато хто вважає, що самих лише інструментів постачальника достатньо для відповідності. Потрібно налаштовувати, моніторити та документувати все. Докази завжди важливіші за обіцянки.

Вам також варто послухати

Якщо ви вивчаєте EU AI Act і Microsoft Copilot, ці випуски додають практичного контексту щодо впровадження, архітектури, безпеки та управління:

• Microsoft Teams Governance – The Illusion of Control — Дізнайтеся, як рішення щодо власності, політик і життєвого циклу впливають на надійну роботу Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — Зрозумійте оркестрацію, захисні обмеження, оцінювання та спостережуваність для робочих процесів із ШІ.
• Azure AI Foundry – Simply Explained — Дізнайтеся, як створюються, оцінюються, розгортаються й керуються корпоративні рішення на основі ШІ.
• Microsoft Defender XDR – Simply Explained — Пов'яжіть рішення щодо впровадження з видимістю безпеки, розслідуванням і реагуванням.