Начало 2 августа 2026Теперь любая организация, которая разрабатывает или внедряет системы генеративного искусственного интеллекта, доступные людям в ЕС, обязана раскрывать информацию о том, что контент создан с помощью ИИ. Эта обязанность вытекает из статьи 50 Закона ЕС об ИИ и является одним из наиболее далеко идущих положений регламента.
В отличие от правил Закона, касающихся высокорискованных систем ИИ, которые применяются только к конкретным сценариям использования, таким как найм персонала или оценка кредитоспособности, статья 50 применяется практически к любой системе ИИ, которая взаимодействует с людьми, пишет для людей или предоставляет людям синтетические медиаматериалы.
Для организаций, работающих по всему миру, понимание требований ЕС к прозрачности в рамках Закона об искусственном интеллекте становится неотъемлемой частью любой стратегии управления ИИ. К счастью, такие технологии, как... C2PA Content CredentialsИспользование доверенных временных меток и утверждений об идентичности CAWG обеспечивает практическую основу для демонстрации аутентификации контента ИИ и происхождения ИИ.
Ознакомьтесь с решениями SSL для C2PA.Что представляет собой статья 50 Закона ЕС об искусственном интеллекте?
Статья 50 Закона ЕС об искусственном интеллекте (Регламент (ЕС) 2024/1689) Закон устанавливает обязательства по обеспечению прозрачности для поставщиков и разработчиков определенных систем искусственного интеллекта. Проще говоря, он требует, чтобы люди были уведомлены о взаимодействии с ИИ, и чтобы контент, созданный или измененный ИИ, можно было распознать как искусственный. Цель, как говорится в преамбуле закона, состоит в снижении риска обмана, выдачи себя за другое лицо и дезинформации, а также в сохранении доверия к информации, которую люди видят и с которой взаимодействуют в интернете.
Отличие статьи 50 от большинства положений Закона об искусственном интеллекте заключается в ее сфере применения. Основные правила Закона, касающиеся оценки соответствия, технической документации и маркировки CE, применяются только к системам искусственного интеллекта, классифицируемым как «высокорисковые».
Однако статья 50 работает не так. Она применяется к любой системе ИИ, используемой в одной из четырех конкретных ситуаций, независимо от классификации риска. Компания, не имеющая ни одной системы ИИ высокого риска, все равно может нести значительные обязательства по статье 50 просто потому, что она использует чат-бот для поддержки клиентов, публикует статьи, составленные с помощью ИИ, или использует инструмент для создания синтетических изображений.
Начиная со 2 августа 2026 года все системы искусственного интеллекта, подпадающие под действие статьи 50 и выводимые на рынок или вводимые в эксплуатацию в ЕС, должны соответствовать этим обязательствам, независимо от даты первого выпуска системы.
Как статья 50 Закона ЕС об искусственном интеллекте влияет на предприятия, использующие ИИ
Многие организации считают, что статья 50 Закона ЕС об искусственном интеллекте затрагивает только разработчиков ИИ или крупные технологические компании. В действительности же действие этого регламента распространяется на гораздо более широкий круг лиц.
Если ваша организация использует генеративный ИИ для создания или изменения контента, просматриваемого аудиторией в Европейском Союзе, у вас могут возникнуть обязательства по обеспечению прозрачности использования ИИ.
Примеры включают в себя:
- Маркетинговые команды, создающие рекламные кампании с использованием искусственного интеллекта.
- Компании, публикующие в блогах или описания товаров, сгенерированные искусственным интеллектом.
- Новостные организации используют ИИ для составления кратких обзоров статей.
- Финансовые учреждения, занимающиеся информированием клиентов
- Медицинские работники создают образовательный контент.
- Юридические фирмы разрабатывают документы с помощью искусственного интеллекта.
- Розничные продавцы, создающие синтетические изображения товаров.
- Медиаорганизации, публикующие аудио- или видеоконтент, созданный с помощью искусственного интеллекта.
В регулировании проводится различие между поставщики и развертыватели.
Провайдеры Системы генеративного искусственного интеллекта отвечают за обеспечение того, чтобы синтетические результаты включали машиночитаемую маркировку контента, создаваемого ИИ.
РазвертывателиЭто означает, что организации, профессионально использующие системы искусственного интеллекта, несут ответственность за раскрытие созданного или измененного с помощью ИИ контента, представленного общественности. Сюда входят дипфейки и определенный контент, созданный с помощью ИИ и связанный с вопросами, представляющими общественный интерес.
Оба подхода влекут за собой обязательства, хотя какие именно из них применяются, зависит от типа системы и способа ее использования. Важно отметить, что эти обязательства распространяются и на системы искусственного интеллекта с открытым исходным кодом. Для открытых моделей нет общего исключения.
Даже когда контент, созданный с помощью ИИ, проверяется людьми, организациям следует тщательно оценивать, сохраняются ли при этом обязательства по обеспечению прозрачности.
Четыре обязательства согласно статье 50
Статья 50 охватывает четыре различные категории систем искусственного интеллекта. Полезно рассматривать их как четыре отдельных правила, которые случайно оказались в одной и той же статье:
1. Информировать людей о том, что они непосредственно взаимодействуют с системой ИИ (статья 50(1))
Предположим, система искусственного интеллекта предназначена для прямого взаимодействия с человеком, например, чат-бот, виртуальный помощник, автоматизированная телефонная система или ИИ-агент. Поставщик должен разработать её таким образом, чтобы человек понимал, что общается с машиной, а не с человеком. Существует узкое исключение: если «достаточно информированному, наблюдательному и осмотрительному» человеку уже очевидно, что он имеет дело с ИИ, раскрытие информации не требуется. Нормативно-правовые рекомендации также подтвердили, что автономные ИИ-агенты подпадают под это правило, и что в тех случаях, когда поставщик не может надежно предсказать, будет ли агент взаимодействовать с человеком, более безопасным путем является разработка системы, которая раскрывает свою природу взаимодействия всякий раз, когда это возможно.
Существует отдельное исключение для систем искусственного интеллекта, разрешенных законом для выявления, предотвращения, расследования или преследования уголовных преступлений, за исключением случаев, когда система предназначена для сообщения о преступлении со стороны общественности.
2. Обеспечить наличие в созданных с помощью ИИ медиафайлах и тексте машиночитаемых пометок, идентифицирующих их как искусственные (статья 50(2))
Поставщики генеративных систем искусственного интеллекта, включая системы общего назначения, которые создают синтетические аудио, изображения, видео или текст, должны обеспечить маркировку своих результатов в машиночитаемом формате, позволяющую определить, были ли они сгенерированы или обработаны искусственно. Это правило «нанесение водяных знаков на результаты», и оно наиболее тесно связано со стандартами, такими как C2PA Content Credentials.
Крайне важно, чтобы маркировка действительно работала. Закон требует, чтобы используемые технические решения были эффективными, совместимыми, надежными и стабильными, с учетом уровня развития технологий и затрат на внедрение. Маркировка, которая исчезает в момент перекодирования изображения или создания скриншота, не соответствует требованиям.
3. Уведомлять лиц об использовании систем распознавания эмоций или биометрической категоризации (статья 50(3))
Внедряющие системы распознавания эмоций или биометрической категоризации обязаны информировать людей, работающих с ними, о принципах работы системы и порядке обработки персональных данных в соответствии с законодательством. GDPR и соответствующее законодательство ЕС о защите данныхКак и в случае с другими правилами, существует исключение для систем, которым по закону разрешено выявлять, предотвращать или расследовать уголовные преступления.
4. Четко раскрывать контент, созданный или сфальсифицированный ИИ, включая дипфейки и определенный общедоступный текст, созданный ИИ (статья 50(4))
Разработчики, использующие ИИ для генерации или манипулирования изображениями, аудио- или видеоконтентом, который квалифицируется как дипфейк, обязаны раскрывать информацию о том, что контент является искусственным. Отдельно разработчики, публикующие сгенерированный или обработанный ИИ текст специально для информирования общественности по вопросам, представляющим общественный интерес, также обязаны раскрывать информацию о том, что текст сгенерирован ИИ.
Здесь есть важное исключение: обязанность раскрывать текст не применяется, если контент прошел проверку человеком, и физическое или юридическое лицо принимает на себя редакционную ответственность за него. На практике это означает, что статья, полностью созданная с помощью ИИ, которую проверяет и контролирует редактор-человек, может не подпадать под эту конкретную обязанность раскрывать информацию, хотя другие обязательства могут по-прежнему применяться. Термин «вопросы, представляющие общественный интерес» читается достаточно широко, чтобы охватывать не только новости, но и сообщения по вопросам занятости, здравоохранения, финансов и права.
Штрафы за несоблюдение
Нарушения статьи 50 строго пресекаются. Несоблюдение может повлечь за собой штрафы в размере до 15 миллионов евро или 3% от общего годового оборота по всему миру. за предыдущий финансовый год, в зависимости от того, какой из них больше, для компаний-нарушителей. Для учреждений, органов и агентств ЕС установлен отдельный лимит в размере до 750 000 евро.
Европейская комиссия также занимается разработкой добровольный Кодекс практики по обеспечению прозрачности контента, созданного с помощью ИИНаряду с рекомендациями по внедрению, это поможет стандартизировать соблюдение компаниями требований к маркировке и этикетированию. Организации, придерживающиеся утвержденного кодекса, могут ссылаться на это как на смягчающее обстоятельство, и в результате внимание к контролю может сместиться с расследования отдельных случаев на мониторинг соблюдения кодекса.
Почему «Мы добавили этикетку» — это не то же самое, что соответствие требованиям.
Вот где большинство планов внедрения статьи 50 сталкиваются с трудностями. Соответствие статье 50(2) — это не просто нанесение видимого водяного знака на изображение или добавление надписи «сгенерировано ИИ» внизу статьи. Кодекс практики ясно дает понять, что ни один отдельный метод маркировки сам по себе не является достаточным. Надежная программа соответствия должна выдерживать реальные условия: скриншоты, перекодирование, повторная загрузка в социальные сети, преобразование форматов и преднамеренные попытки удалить маркировку.
Это означает, что работоспособный подход предполагает объединение нескольких механизмов:
- Подписанное свидетельство о происхождении (в твердом переплете): Криптографически подписанный манифест, например, учетные данные контента C2PA, привязанный к контенту и обеспечивающий защиту от несанкционированного изменения.
- Водяной знак и отпечаток пальца (мягкое крепление): Незаметный след, который можно восстановить, даже если метаданные будут удалены.
- Удобочитаемая разметка: Видимая информация, которую человек действительно видит, в идеале с использованием стандартизированного индикатора искусственного интеллекта.
- управление: Условия контракта, запрещающие удаление учетных данных, конвейеры обработки данных, сохраняющие их от начала до конца, и способ публичной проверки происхождения контента.
Учетные данные контента C2PA стали основой первого и второго уровней и фактически являются единственным широко распространенным стандартом, отвечающим требованиям Кодекса в отношении подписанных, защищенных от подделки и совместимых метаданных.
Уровень доверия: что на самом деле делает учетные данные достоверными?
Любой может сгенерировать пару ключей и подписать метаданные. Однако то, чему действительно могут доверять пользователи, платформы или регулирующие органы, — это цепочка доверия, стоящая за этой подписью. Для этого должны выполняться три условия:
Что: подпись манифеста. Манифест должен быть подписан сертификатом, который связан с центром сертификации в опубликованной сети. Список доверенных лиц C2PA Например, SSL.com. Именно это позволяет любому соответствующему стандарту верификатору автоматически проверять учетные данные без использования собственных средств проверки.
Когда: соответствующая временная метка. Независимая метка времени от центра регистрации временных меток. Список доверенных лиц C2PA TSA, Например, SSL доказывает, что контент был подписан в определенный момент времени. Это позволяет сохранять действительность учетных данных даже после истечения срока действия самого сертификата подписи. Это напрямую соответствует требованию Кодекса практики о цифровой подписи и проставлении временной метки для информации.
Кто: подтвержденная личность. CAWG (Рабочая группа по утверждениям создателя) Уровень подтверждения личности связывает проверенное юридическое лицо или физическое лицо с учетными данными. Это переводит дискуссию с вопроса «какой инструмент это создал» на вопрос «кто за этим стоит». В настоящее время только ограниченный круг центров сертификации уполномочен выдавать подтверждения личности CAWG, и Кодекс практики специально рекомендует их использование.
Если не выполнить хотя бы одно из этих трех доказательств, то учетные данные будут технически присутствовать, но на практике окажутся слабыми: их невозможно проверить, подтвердить дату или они будут анонимными.
Краткий контрольный список соответствия требованиям
Если вы создаёте программу в соответствии со статьей 50, стоит учесть несколько моментов, чтобы построить надёжную систему:
- На ваших выходных материалах присутствует машиночитаемая маркировка, а не только видимая человеку?
- Сохранится ли эта маркировка после перекодирования, создания скриншотов и загрузки на платформы?
- Ваш сертификат подписи находится в списке доверенных лиц C2PA?
- Используете ли вы центр сертификации временных меток (Time Stamp Authority) из списка доверенных организаций C2PA TSA?
- Можно ли подтвердить подлинность вашего контента с помощью утверждений CAWG?
- Есть ли у вашего провайдера подтвержденная история работы с публичным центром сертификации, подтвержденная независимыми аудитами, такими как WebTrust?
- Является ли данный поставщик активным участником организаций по стандартизации, таких как...? CA / Браузер Форум?
- Действительно ли сервис электронной подписи интегрируется в существующий конвейер обработки контента, или же его необходимо перестраивать?
Где место SSL
Правильное нанесение маркировки — это одна проблема. А вот обеспечение доверия к ней — совсем другая, и это зависит от инфраструктуры, на создание которой уходят годы: членство в списках доверенных лиц, проверенные операции и признание в рамках всей системы верификации.
SSL — это центр сертификации, соответствующий списку доверия C2PA, и центр сертификации временных меток, соответствующий стандарту C2PA, и один из ограниченного числа публичных центров сертификации, уполномоченных выдавать сертификаты подтверждения личности CAWG.
SSL объединяет все эти важнейшие компоненты доверия в рамках одной глобально заслуживающей доверия общедоступной сети. PKIЭто упрощает организациям внедрение требований статьи 50 уже сегодня, одновременно готовя их к будущему, когда контент, генерируемый искусственным интеллектом, станет надежным.
Обратитесь к команде SSL, чтобы узнать больше о сертификатах C2PA и CAWG и понять, как соответствие статье 50 вписывается в вашу существующую систему управления контентом, или изучите полный спектр услуг SSL. Решения для обеспечения подлинности контента чтобы начать работу.
