Сайт Статья 12 Закона ЕС об искусственном интеллекте требует, чтобы системы ИИ с высоким уровнем риска автоматически регистрировали события в журнале, однако журнал, который можно незаметно отредактировать задним числом, не имеет значительной доказательной силы для регулирующих органов. Что касается именно агентного ИИ, Статья 14'требование о контроле со стороны человека и Статья 3Понятие 'существенного изменения", введенное в пункте (23), создает требования к доказательствам, которым обычная вырубка леса не соответствует.
Если вы используете агентный ИИ в производственной среде, у вас уже есть журналы — пункт 12 считается выполненным, если они соответствуют требованиям. Сложность возникает в тот момент, когда регулирующий орган, аудитор или ваша собственная группа реагирования на инциденты впервые сталкивается с необходимостью точно восстановить действия агента и убедиться, что записи, подтверждающие эти действия, с тех пор не были незаметно и незаметно изменены. Большинство организаций обнаруживают разрыв между утверждением "мы регистрируем всё" и "мы можем доказать, что ничего не было изменено" только после того, как инцидент вынуждает их задаться этим вопросом. В этой статье рассказывается о том, какие требования к доказательствам предъявляет Закон ЕС об искусственном интеллекте к агентским системам, почему срок, на который ориентируются большинство команд, теперь неверный, и что уровень обоснованных доказательств выглядит так.
«Ловушка» статьи 12: записи в журнале не являются доказательством
Статья 12 требует, чтобы системы искусственного интеллекта с высоким уровнем риска технически обеспечивали автоматическую регистрацию событий на протяжении всего их жизненного цикла в объеме, достаточном для выявления возникающих рисков, обеспечения мониторинга после вывода на рынок и контроля за работой системы. Данное положение четко выражать свои намерения а если подумать о механизме — он не предписывает применение какого-либо конкретного метода защиты от несанкционированного вмешательства, а это означает, что журнал, который администратор может незаметно отредактировать задним числом, технически соответствует букве статьи 12, но при этом не представляет практически никакой ценности в тот момент, когда кому-либо понадобится отстаивать его достоверность.
Это Отсутствие контроля со стороны органов управления — это не гипотетическая проблема. Отчет Deloitte «Состояние искусственного интеллекта в 2026 году» Опрос Enterprise, в котором приняли участие 3 235 руководителей из 24 стран, показал, что лишь каждая пятая организация располагает зрелой моделью управления агентивным ИИ, хотя три четверти респондентов ожидают, что в течение года использование агентов будет варьироваться от умеренного до широкого. Опрос KPMG «AI Pulse» за 4-й квартал Оказалось, что руководители теперь считают безопасность, соблюдение нормативных требований и возможность аудита главными критериями при развертывании агентов — даже важнее скорости. На той части рынка, которая подвергается строгому регулированию, считается, что возможность аудита важнее скорости, в то время как уровень зрелости системы управления составляет примерно 21%. Ошибочно считать, что наличие системы SIEM уже является соблюдением нормативных требований: полный журнал в базе данных с правом записи свидетельствует о наличии намерения, а не о целостности данных.
Какую роль играют агенты в обеспечении доказательной базы
Автономная модель, отвечающая на запрос, представляет собой ограниченное событие. Агент, который планирует свои действия, задействует инструменты из разных систем и адаптируется во время выполнения, таковым не является — каждое из этих свойств увеличивает разрыв между тем, что было зафиксировано в журнале, и тем, что произошло на самом деле. Наиболее строгий из существующих на сегодняшний день академическое картирование агентивных систем В статье против Закона об искусственном интеллекте, опубликованной в апреле 2026 года группой исследователей, в которую вошли представители организаций ForHumanity Europe и SaferAI, содержится остроумное замечание: поскольку модели обучаются на данных, содержащих примеры уклонение от контроля, возможность того, что агент обходит контроль со стороны человека нельзя исключить одним лишь указанием — даже если это прямо запрещено.
В том же исследовании дрейф поведения во время выполнения называется самой сложной нерешенной проблемой в рамках критерия 'существенного изменения", предусмотренного пунктом 23 статьи 3. Предсказуемая адаптация — выбор инструмента из задокументированного каталога — не вызывает такого дрейфа. А вот агент, который обнаруживает новые модели использования инструментов или разрабатывает стратегии, никогда ранее не оценивавшиеся, — вызывает. Вывод статьи прямолинеен: если поставщик не может продемонстрировать, что поведение агента остается в пределах оцененных границ, и не может обнаружить отклонения за их пределами, то существенные требования к надзору и ведению журналов не выполняются — и это является текущей правовой позицией, а не будущим риском.
Какова реальная ситуация с соблюдением нормативных требований — и какие доказательства для этого требуются
После Политическое соглашение по «Цифровому омнибусу» ЕС, Европейская комиссия подтвердила, что правила в отношении перечисленных областей повышенного риска — биометрии, критически важной инфраструктуры, образования, занятости, миграции и пограничного контроля — теперь вступают в силу с 2 декабря 2027 года. Обратите внимание, что дата 2 августа 2026 года по-прежнему имеет значение, но только в отношении обязательств по обеспечению прозрачности в соответствии с Статья 50 и модель искусственного интеллекта общего назначения обязательства.
Эта "посадочная полоса" не решает проблему доказательств — она меняет само понятие «готовности». Испанский орган по защите данных опубликовал первые в ЕС рекомендации, в которых архитектура агента рассматривается как объект анализа, а постоянная память агента отмечается как область повышенного риска, требующая разделения на сегменты и технической поддержки для удаления — та же самая ограниченная, проверяемая структура и подход, обеспечивающий целостность доказательств в любом случае необходимо. На практике: относитесь к каждому элементу системы управления — оценке рисков, протоколу утверждения, конфигурации развертывания — как к объекту, которому при утверждении присваивается криптографический отпечаток и временная метка, чтобы любое последующее изменение можно было обнаружить, даже если этот элемент никогда не будет доступен извне. Цель не в том, чтобы зафиксировать систему управления в неизменном виде; политики развиваются. Цель заключается в том, чтобы при их изменении это можно было доказать, а не просто заявить. Это быстро приобретает коммерческую значимость: Прогнозы Gartner Судебные иски, связанные с искусственным интеллектом к концу 2026 года их число превысит 2 000, что в значительной степени обусловлено недостаточными механизмами защиты и отсутствием журналов аудита.
Обоснование решения на вышестоящем уровне
Ни один из этих факторов сам по себе не решает вопрос о рентабельности инвестиций — Глобальный опрос ISACA 2026 года среди более чем 3 400 специалистов в области цифрового доверия только 221 респондент из группы TP57T считают, что рентабельность инвестиций в ИИ оправдала ожидания. Решающим фактором станет представление целостности данных как того, что определяет эффективность всех остальных инвестиций в ИИ оправданное задним числом - более быстрая реконструкция событий, меньшее количество спорных результатов аудита, документально подтвержденный ответ на вопрос о том, соответствует ли запущенное ПО тому, что было одобрено. Такой аргумент легче обосновать перед руководством, чем фраза "доверьтесь нашему агенту", и именно его будет проверять ваш аудитор.
Если аудиторский след вашего агента не выдержит повторной проверки со стороны регулирующего органа уже завтра, эту проблему стоит устранить до декабря 2027 года — а не после.
.
Хотите узнать, как на практике выглядит независимая проверка честности?
Попробуйте бесплатно — без каких-либо обязательств:
Верификатор истины для создателей ИС: https://truth-verifier.com/landing
Верификатор правды для журналистов: https://truthverifier.news/landing
Свяжитесь с нами, чтобы обсудить внедрение Truth Enforcer в вашей компании: https://www.connecting-software.com/truth-enforcer-sign-up/
По адресу Франсиско РодригесМенеджер по продукции
"Я пишу о том, как программные интеграции могут адаптироваться к бизнес-среде и отвечать требованиям конкретной отрасли. Я хочу показать предприятиям путь к рационализации процессов, устранению узких мест и обеспечению соответствия нормативным требованиям путем предоставления командам и руководителям высшего звена необходимых инструментов".
Связанные чтения
Следующий кризис в сфере соблюдения нормативных требований начнётся не с кибератаки — он начнётся с файла PDF
Второй компонент цифрового доверия: почему целостность данных должна быть неотъемлемой частью кошелька EUDI
Область рисков несоблюдения нормативных требований в конвейерах искусственного интеллекта