AI compliance from idea to exit

Соблюдение требований к ИИ от идеи до выхода

Use the stage that matches your next decision. A funding round is a planning milestone. Duties can start earlier, including when the first real record enters a pilot.

Начните с ближайшего решения. Раунд финансирования помогает планировать. Обязанности могут возникнуть раньше, например при первой реальной записи в пилоте.

Английский текст остаётся на экране. Выберите второй язык.

Which records need extra care?

Каким данным нужна дополнительная защита?

A photograph and a face template used to identify someone are different. Record the Article 6 basis and, for special-category processing, the Article 9 condition. Consider health inferences, children, dependence on a carer, an unsafe address and client secrets separately. Restrict input and access, offer a human alternative and complete a required DPIA before using live records.

Различайте фотографию и биометрический шаблон для установления личности. Укажите основание по статье 6 и, для особых категорий, условие статьи 9. Отдельно оцените выводы о здоровье, положение детей, зависимость от помощника, адрес, раскрытие которого опасно, и тайну клиента. Ограничьте ввод и доступ, предложите помощь человека и заранее проведите обязательную оценку воздействия.

12 detailed data decisions (EN) · ICO-SPECIAL · EU-GDPR

If a breach happens

Если произошла утечка или иное нарушение

Stop the disclosure, preserve restricted evidence and record awareness time. A processor tells the controller without undue delay. A controller notifies the competent authority without undue delay and, where feasible, within 72 hours of awareness unless risk to people’s rights and freedoms is unlikely. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Record every personal data breach and the reasons for each decision.

Ограничьте последствия, сохраните доказательства и запишите момент, когда стало известно о нарушении. Обработчик информирует оператора без неоправданной задержки. Оператор так же уведомляет компетентный орган, по возможности в течение 72 часов, кроме случаев, когда риск для прав и свобод маловероятен. При вероятном высоком риске без неоправданной задержки уведомите людей с учётом исключений статьи 34. Зафиксируйте каждое нарушение и причины решений.

Full incident playbook and messages (EN) · ICO-REPORT · EDPB-DOORS

01 · Pre-seed · Define the use

Предпосевная стадия · Назначение

A useful idea can hide an unacceptable use. The founder names the decision, affected people and forbidden uses. Hold a live trial until a possible prohibition has been resolved.

Полезная идея может скрывать недопустимое применение. Основатель описывает решение, затронутых людей и исключённые применения. Отложите реальные испытания, пока не выяснено, действует ли запрет.

Подтверждение или ответ

One-page use case and manual alternative

Карточка применения и ручная альтернатива

Примечания об источниках / practical checks

Walk through a single item from input to output. Which person can be affected, what could they lose, and who can change the outcome?

Проследите путь одной записи от ввода до результата. Кого он может затронуть, что человек может потерять и кто вправе изменить результат?

EU AI Act: do we build or market the system under our name, deploy it for work, or change its purpose? Check territorial scope, including where an output is used. Keep the reason for each role.

Регламент ЕС об ИИ: разрабатываем или выводим ли мы систему на рынок под своим именем, используем её в работе или меняем её назначение? Учитывайте территориальную сферу, включая место использования результата. Обоснуйте каждую роль.

Screen prohibited practices before testing with people. For example, workplace emotion inference has a narrow medical or safety exception. Escalate any possible prohibition before further use.

Проверьте запрещённые практики до испытаний с участием людей. Например, для вывода об эмоциях на рабочем месте существует узкое медицинское исключение и исключение по соображениям безопасности. Перед дальнейшим использованием передайте возможный запрет на проверку.

EU-SCOPE · EU-PROHIB

02 · Formation and seed funding

Создание компании и посевные инвестиции

The company may not control code, data or designs made before incorporation. Trace each contribution and secure suitable rights before promising ownership to investors.

У компании может не быть прав на код, данные и дизайн, созданные до её регистрации. Установите каждого участника и получите права до обещаний инвесторам.

Подтверждение или ответ

Contributor and rights schedule with signed evidence

Реестр вкладов и прав с подписанными документами

Примечания об источниках / practical checks

Working alone? Wear several hats and record which one you used. Get a qualified second view for unfamiliar or serious decisions. With 2–10 people, separate the maker from the checker. With 11–50, name leads and deputies. These are suggested working arrangements.

Работаете в одиночку? Отмечайте, в какой роли действуете. Для сложного или незнакомого решения запросите второе квалифицированное мнение. В коллективе из 2–10 человек разделите исполнение и проверку. При 11–50 сотрудниках назначьте руководителей и заместителей. Это предлагаемые способы организации работы.

Compare doing nothing, a manual process and an AI-assisted process. Estimate time saved after checking, cost of errors, supplier fees and exit costs.

Сравните сохранение нынешнего порядка, работу вручную и работу с ИИ. Оцените экономию времени после проверки, цену ошибок, плату поставщику и расходы при отказе от сервиса.

UK-IP · UK-NSI

03 · Source data and suppliers

Данные и поставщики

Permission to view material may not cover training, retrieval or customer resale. Match each use to a right and check vendor reuse, subcontractors, costs and exit before uploading real records.

Разрешение на просмотр может не охватывать обучение, поиск и перепродажу. До загрузки реальных записей проверьте права на каждое действие, повторное использование, субподрядчиков, расходы и выход.

Подтверждение или ответ

Permission matrix and signed supplier decision

Матрица разрешений и подписанное решение о поставщике

Примечания об источниках / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Проследите одну запись через сбор, запросы к модели, извлечение, модель, результат, журналы, поддержку и удаление. Укажите источник, людей, страну, получателей, сроки хранения, резервные копии и того, кто проверит удаление.

Supplier check: identify processors and subprocessors, training or reuse terms, support access, contract, incidents, return or deletion, change notice and exit. Save the dated terms and unresolved questions.

Поставщик: назовите обработчиков и субобработчиков, условия обучения и повторного использования, доступ поддержки, договор, порядок при инцидентах, возврате или удалении, уведомлении об изменениях и выходе из сервиса. Сохраните датированные условия и нерешённые вопросы.

Locate each restricted transfer. Record the applicable adequacy decision or safeguard, assessment and extra protections. Check EU SCCs and UK IDTA or Addendum separately. Revisit overseas support and onward transfers.

Найдите каждую трансграничную передачу, на которую распространяются ограничения. Зафиксируйте применимое решение об адекватности или гарантию, оценку и дополнительные меры. Раздельно проверьте договорные положения ЕС (SCC) и британские IDTA или Дополнение. Проверьте зарубежную поддержку и последующую передачу.

ICO-CONTRACT · EU-TRANSFER · ICO-TRANSFER · EDPB-MODEL

04 · Build and prototype

Разработка и прототип

A model can leak another customer’s records or turn a document instruction into an action. Use synthetic test cases, separate tenants, limit permissions and test a manual override before connecting live systems.

Модель может раскрыть записи другого клиента или выполнить инструкцию из документа. Используйте синтетические тесты, изолируйте клиентов, ограничьте права и проверьте ручное вмешательство до подключения систем.

Подтверждение или ответ

Versioned test results, access map and rollback test

Результаты тестов с версиями, схема доступа и тест отката

Примечания об источниках / practical checks

Engineering and data: freeze model, prompt, dataset and settings. Test typical, unusual and misleading inputs against an agreed baseline. Keep reproducible results and known limits.

Разработка и данные: зафиксируйте версии модели, запроса, набора данных и настроек. Проверьте обычные, нестандартные и вводящие в заблуждение данные относительно согласованного ориентира. Сохраните воспроизводимые результаты и известные ограничения.

Predeclare the test: purpose, dataset origin, expected answers, baseline, sample size, thresholds, critical failures, reviewer and retest date. Include language, disability and real operating conditions where relevant.

Заранее определите цель, источник данных, ожидаемые ответы, исходный ориентир, размер выборки, пороги, критические ошибки, проверяющего и дату повторного теста. При необходимости учтите язык, инвалидность и реальные условия.

Security drill: send a harmless hostile instruction in a fictional attachment. Test a blocked export, denied permission, wrong recipient and unavailable supplier. Record what happened at each boundary.

Проверка безопасности: передайте безвредную имитацию враждебной инструкции в вымышленном вложении. Проверьте блокировку экспорта, отказ в доступе, ошибочного получателя и недоступность поставщика. Запишите результат на каждой границе.

NCSC · EU-GDPR

05 · Pilot with real users

Пилот с реальными людьми

A free or closed pilot can still harm a person. Screen before real data, set limits and enable meaningful review. Hold high-risk processing if a required impact assessment or prior consultation is incomplete.

Бесплатный закрытый пилот тоже может навредить. До реальных данных оцените риски, установите пределы и обеспечьте содержательный пересмотр человеком. Отложите обработку высокого риска, пока не выполнена обязательная оценка воздействия или консультация.

Подтверждение или ответ

Pilot protocol, DPIA decision and stop criteria

Протокол пилота, решение по DPIA и критерии остановки

Примечания об источниках / practical checks

A DPIA examines how processing personal data could harm people and how to reduce that harm. The controller must do it before likely high-risk processing begins, including a pilot using real personal data.

DPIA определяет, как обработка персональных данных может навредить людям и как уменьшить вред. Контролёр обязан провести её до начала обработки, вероятно создающей высокий риск, в том числе до пилота с реальными персональными данными.

Seek the data protection officer’s advice where designated. Where appropriate seek affected people’s views. Record objections, accessibility needs, decisions and reasons for any justified departure.

Запросите мнение специалиста по защите данных (DPO), если он назначен. В подходящих случаях выслушайте затронутых людей. Запишите возражения, требования доступности, решения и причины обоснованных отступлений.

Decide whether high risk remains despite practical measures. If so, consult the competent authority before starting the processing under Article 36. Record correspondence and response. A founder’s signature cannot replace consultation.

Определите, сохраняется ли высокий риск после практически выполнимых мер. Если да, до начала обработки проконсультируйтесь с компетентным органом по статье 36. Сохраните переписку и ответ. Подпись основателя не заменяет консультацию.

Check human oversight: can the reviewer see the evidence, disagree, correct the result and stop the next action in time? Save one override trace. A second click alone proves little.

Надзор человека: видит ли проверяющий доказательства, может ли возразить, исправить результат и вовремя остановить следующее действие? Сохраните след одного реального вмешательства. Повторное нажатие кнопки мало что доказывает.

ICO-DPIA · EU-GDPR · UK-GDPR

06 · Pre-launch · Decide whether to ship

Перед запуском · Решение о выпуске

A polished demo can outrun the evidence. Test the exact public claim, check applicable disclosures and sector approvals, and name the person who can withhold release.

Демонстрация может обещать больше, чем доказано. Проверьте точную рекламную формулировку, требуемые раскрытия и отраслевые разрешения. Назначьте человека, который может остановить выпуск.

Подтверждение или ответ

Claims-to-evidence table and dated release decision

Таблица обещаний и доказательств, датированное решение

Примечания об источниках / practical checks

Check Article 50 by actor and output. Telling people they interact with AI, machine-readable marking and disclosing a deepfake are different duties with exceptions. Record which applies and the release-date evidence.

Проверьте статью 50 с учётом роли и вида результата. Информирование о взаимодействии с ИИ, машиночитаемая маркировка и раскрытие факта использования дипфейка — разные обязанности с исключениями. Зафиксируйте применимую обязанность и подтверждение на дату выпуска.

Marketing, design and sales: substantiate claims, clear assets and check required disclosures. Save approved wording and versions. Escalate promises of exclusivity, ownership or guaranteed accuracy.

Маркетинг, дизайн и продажи: подтвердите заявления, проверьте права на материалы и обязательные раскрытия. Сохраните одобренные формулировки и версии. Передайте на проверку обещания исключительности, собственности или гарантированной точности.

Release options: approve within stated limits, approve with controls already in force, hold pending evidence, or stop. Name unresolved issues, lawful scope, approver, effective date, expiry and rollback owner.

Варианты решения: разрешить в указанных пределах, разрешить с уже работающими мерами, отложить до получения доказательств или остановить. Укажите открытые вопросы, допустимые пределы, утверждающего, даты действия и окончания, ответственного за откат.

UK-ADS · EU-MARK · EU-AIA

07 · Launch and operate

Запуск и эксплуатация

Complaints and changes in performance can reveal harm missed in testing. Give users a human route, test it, monitor errors by type and contain incidents promptly.

Жалобы и изменения качества выявляют пропущенный вред. Обеспечьте и проверьте обращение к человеку, отслеживайте ошибки по типам и быстро ограничивайте инциденты.

Подтверждение или ответ

Monitoring log, incident owner and response record

Журнал наблюдений, ответственный и протокол реагирования

Примечания об источниках / practical checks

After release: name an owner for errors, complaints, overrides, drift, security and costs. Specify sample, frequency, stop threshold and who can disable the workflow. Log changes and reapprove material ones.

После запуска: назначьте ответственных за ошибки, жалобы, вмешательства, изменение характеристик модели, безопасность и расходы. Определите выборку, частоту, порог остановки и право отключить процесс. Записывайте изменения и снова утверждайте существенные.

Incident: stop unsafe actions, preserve restricted evidence, assess people affected, activate the manual route and record notification decisions. Test a clean restore and correction before reopening.

Инцидент: остановите опасные действия, защитите доказательства, оцените последствия для людей, включите ручной режим и запишите решения об уведомлении. Перед возобновлением проверьте восстановление из чистой копии и исправление.

For UK/EU personal-data breaches, controllers notify the regulator unless risk to people’s rights is unlikely. Notify without undue delay and where feasible within 72 hours of awareness. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Processors notify controllers without undue delay.

При нарушении безопасности персональных данных в Великобритании или ЕС контролёры уведомляют надзорный орган, кроме случаев, когда риск для прав людей маловероятен. Сообщайте без неоправданной задержки и, где возможно, в течение 72 часов с момента, когда стало известно о нарушении. При вероятном высоком риске без неоправданной задержки информируйте людей с учётом исключений статьи 34. Обработчики без неоправданной задержки уведомляют контролёров.

Intake: keep a secure reference to the original words. Record first receipt, controller, jurisdiction, each right, owner, safe reply channel and accessibility or representative needs.

Приём: сохраните защищённую ссылку на исходное сообщение. Запишите момент первого получения, контролёра, юрисдикцию, каждое право, ответственного, безопасный канал ответа и потребности в доступности либо представительстве.

ICO-BGUIDE · EDPB-BREACH

08 · Scale or change the product

Рост или изменение продукта

A new market, model, customer group or automated action can change the risk and legal role. Reassess the changed scope before switching it on.

Новый рынок, модель, аудитория или автоматическое действие могут изменить риски и правовую роль. Заново оцените изменившийся объём до включения.

Подтверждение или ответ

Market and change register with fresh approval

Реестр рынков и изменений с новым одобрением

Примечания об источниках / practical checks

Check the intended purpose against Annexes I and III. Recruitment screening is a listed example. Document any claimed Article 6(3) exception and its conditions. Profiling people rules out that exception.

Сопоставьте назначение с приложениями I и III. Отбор кандидатов входит в перечень. Документируйте применение исключения статьи 6(3) и его условия. Профилирование физических лиц исключает это основание.

The revised dates for Chapter III sections 1–3, except Article 6(5), are 2 December 2027 for Annex III systems and 2 August 2028 for Annex I systems. Other provisions have their own dates.

Для разделов 1–3 главы III, кроме статьи 6(5), пересмотренные даты применения — 2 декабря 2027 года для систем приложения III и 2 августа 2028 года для систем приложения I. Другие положения имеют собственные даты.

UK significant solely automated decisions require an Articles 22A–22D review, including restrictions on special-category data and the recognised legitimate interests basis. In the EU start with Article 22 and its specific exceptions. Test real human power to reconsider.

В Великобритании для значимых решений, принятых исключительно автоматически, проверьте статьи 22A–22D, включая ограничения для специальных категорий данных и основания признанных законных интересов. В ЕС начните со статьи 22 и её конкретных исключений. Убедитесь, что человек действительно может пересмотреть решение.

EU-ROLE · EU-HIGH · UK-RIGHTS · EU-AIA

09 · Fundraise again, sell or merge

Следующий раунд, продажа или слияние

A buyer may acquire fewer rights than the pitch suggests. Separate deal-room disclosure, change of control and asset transfer. Resolve material consents and any required clearance before completion.

Покупатель может получить меньше прав, чем заявлено. Разделите раскрытие в комнате данных, смену контроля и передачу активов. Получите существенные согласия и требуемые разрешения до закрытия сделки.

Подтверждение или ответ

Diligence index, exceptions, consents and closing conditions

Индекс проверки, исключения, согласия и условия закрытия

Примечания об источниках / practical checks

List the accountable organisation for each purpose. Who chooses why and how personal data are used? Who acts on instructions? Map each supplier’s own uses separately.

Для каждой цели укажите ответственную организацию. Кто определяет, зачем и как использовать персональные данные? Кто действует по указаниям? Отдельно опишите собственные цели каждого поставщика.

For each risk write cause → event → harm to a person. Record likelihood, impact, affected group and evidence before controls. Name the control, tester, due date and risk remaining afterwards.

Для каждого риска опишите цепочку «причина → событие → вред человеку». До применения мер запишите вероятность, последствия, затронутую группу и доказательства. Укажите меру, проверяющего, срок и остаточный риск.

Your decision record: workflow and version, permitted and excluded uses, evidence IDs, decision and reasons, dissent, restrictions, owner, reviewer, review date, signature and time. Keep the previous version.

Протокол решения: процесс и версия, разрешённые и исключённые применения, ID доказательств, решение и причины, особые мнения, ограничения, ответственный, проверяющий, дата пересмотра, подпись и время. Сохраните прежнюю версию.

ICO-DEAL · UK-IP · UK-NSI

10 · Retire or close the business

Вывод из эксплуатации или закрытие

Data, keys and obligations outlive a website. Assign a custodian, return or erase data as applicable, document lawful holds, revoke access and test that restored backups do not reactivate deleted records.

Данные, ключи и обязательства переживают сайт. Назначьте хранителя, верните или удалите данные по применимым правилам, зафиксируйте законное хранение, отзовите доступ и проверьте, что восстановление копии не активирует удалённые записи.

Подтверждение или ответ

Decommissioning record, supplier evidence and remaining contact

Акт вывода, доказательства от поставщика и контакт после закрытия

Примечания об источниках / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Other rights: examine correction, erasure, restriction, portability, objection and human review separately. Record applicable conditions, exceptions, recipients to notify, and any lawful retention or dispute hold.

Другие права: отдельно проанализируйте исправление, удаление, ограничение, переносимость, возражение и пересмотр человеком. Запишите условия, исключения, получателей для уведомления и законные основания хранения или сохранения доказательств при споре.

Private filing: store completed forms, evidence and signatures with restricted access. Keep the public folder blank. Back up a versioned copy, keep an independently protected copy and test a restore. Set a retention period for each record.

Внутреннее хранение: держите заполненные формы, доказательства и подписи под ограниченным доступом. В публичной папке оставьте пустые формы. Сделайте версионную резервную копию и независимо защищённую копию, проверьте восстановление. Установите срок хранения каждой записи.

ICO-ERASE · ICO-CONTRACT

Read the full UK and EU founder’s guide (EN)

Редактируемая рабочая тетрадь · Full English handbook (Word)

Toto-Rex can make mistakes. Everything here is general information, not legal advice: check the primary source, and take advice from a qualified professional before you act.