Закон работает через людей и институты
Системы ИИ не находятся вне обычной подотчётности. Разработчики, операторы развёртывания, поставщики, должностные лица, государственные ведомства и пользователи принимают решения об обучении, доступе, интеграции и реагировании. Закон может назначать обязанности, требовать доказательств, создавать средства защиты и наделять регуляторов полномочиями вмешиваться. Его эффективность зависит от охвата, потенциала правоприменения, технической компетентности и того, достигают ли обязательства именно того субъекта, который реально способен предотвратить вред.
Регулирование автоматически не быстрее и не надёжнее общественного давления, а добровольная практика автоматически не бесполезна. Нормотворчество и судебные разбирательства могут быть медленными; стандарты и госзакупки могут действовать быстрее, но им может не хватать демократической подотчётности. Устойчивая стратегия сочетает обязывающие минимальные требования с гибкой технической реализацией и общественным контролем.
Соотнесите правило с этапом жизненного цикла
Правило обучения может требовать отчётности, безопасности или оценки для исключительно крупных или мощных циклов разработки. Правило о весах модели может налагать защиту или контролируемую публикацию там, где кража или неограниченное копирование создают серьёзный риск. Правило развёртывания может регулировать пользователей размещённого сервиса, защитные меры и мониторинг инцидентов. Правило инференса или использования может ограничивать применение в трудоустройстве, здравоохранении, кредитовании, инфраструктуре или вооружениях.
Они не взаимозаменяемы. Запрет одного развёртывания не стирает веса модели. Порог вычислительных мощностей для обучения может пропустить меньшую модель, усиленную инструментами или вычислениями во время инференса. Правило для приложения может защищать затронутых людей, не регулируя общие исследования. Хороший закон определяет субъекта, поверхность контроля, основанный на доказательствах триггер и средство защиты.
Нынешний ландшафт больше не «только добровольный»
Закон ЕС об ИИ создаёт обязывающие требования. Обязанности поставщиков ИИ общего назначения начали применяться 2 августа 2025 года, включая техническую документацию, информацию для нижестоящих поставщиков, политику в отношении авторского права и резюме обучающего контента. Поставщики моделей, классифицированных как несущие системный риск, сталкиваются с дополнительными обязанностями по оценке, смягчению рисков, отчётности об инцидентах и кибербезопасности (обзор Европейской комиссии по ИИ общего назначения). Соответствующие правоприменительные полномочия Управления по ИИ начали применяться 2 августа 2026 года (рамка правоприменения ЕС).
В США Указ 14110 был отменён в январе 2025 года, поэтому статьи не должны представлять его программу отчётности как действующую федеральную политику (указ 2025 года). Федеральная политика остаётся распределённой между существующими ведомствами, отраслевым законодательством, госзакупками, экспортным контролем и правилами штатов, а не сведена в единый всеобъемлющий закон об ИИ.
Калифорния приняла закон SB 53, требующий от охваченных им крупных передовых разработчиков публиковать системы управления рисками, учитывать пороги катастрофического риска и меры его смягчения, сообщать об определённых инцидентах и защищать охваченных законом осведомителей (руководство генерального прокурора Калифорнии по SB 53). Закон Нью-Йорка RAISE Act и поправки к нему 2026 года создали дополнительные требования прозрачности и отчётности для передовых моделей; официальная запись о законопроекте показывает, что поправка была подписана в марте 2026 года (Сенат штата Нью-Йорк, S8828). Эти законы уже, чем общая гарантия безопасности, но они опровергают утверждение, будто обязывающего управления передовыми моделями вообще не существует.
Ответственность и возмещение вреда
Ответственность может делать предотвратимый вред дорогостоящим, но лозунги о возложении всех издержек на «наиболее подходящую сторону» оставляют трудные вопросы без ответа. Разработчик может контролировать обучение и защитные меры; больница или работодатель контролирует контекст и рассмотрение человеком; нижестоящий поставщик контролирует дообучение; злонамеренный пользователь может нарушить любое правило. Ответственность может быть разделённой.
Полезные режимы определяют стандарты должной осмотрительности, сохраняют доказательства, позволяют пострадавшим людям получать объяснения или оспаривать решения, и избегают огульного иммунитета за предвидимое злоупотребление. В то же время неограниченная ответственность может отпугивать от полезных открытых исследований или концентрировать рынок среди компаний, способных застраховаться. «Безопасные гавани» могут вознаграждать документированное тестирование и оперативное реагирование на инциденты, не превращаясь в иммунитет за формальную галочку в чек-листе.
Средства защиты должны соответствовать вреду: компенсация, исправление, удаление, судебный запрет, отзыв продукта, ограничение лицензии, гражданский штраф или уголовное преследование за умышленное нарушение. Системам с высокими ставками также нужны быстрые административные апелляции, поскольку годы судебного разбирательства не могут восстановить упущенную выгоду или срочное медицинское решение.
Госзакупки способны создавать операционные стандарты
Правительства и крупные предприятия могут требовать защитных мер до совершения покупки. Руководство Административно-бюджетного управления США (OMB) по федеральным закупкам ИИ призывает к межфункциональному планированию, мониторингу результативности, учёту данных и интеллектуальной собственности, а также к управлению рисками, соразмерному воздействию (OMB M-25-22).
Надёжный контракт должен определять:
- одобренную модель и то, может ли поставщик менять её автоматически;
- соответствующие тесты перед развёртыванием и доступ к независимой оценке;
- журналы аудита, документацию, хранение данных и приватность;
- сроки уведомления об утечках и инцидентах ИИ;
- полномочия инструментов и точки одобрения человеком;
- откат, приостановку, отзыв учётных данных и безопасный вывод из эксплуатации;
- экспорт данных, совместимость и помощь при переходе;
- зависимости от субподрядчиков и облачных сервисов;
- средства защиты на случай сбоя результативности или защитных мер.
Условия госзакупок могут распространяться по рынку, поскольку поставщики повторно используют возможности для множества клиентов. Они также могут закреплять позиции уже устроившихся игроков, если требования расплывчаты, привязаны к конкретному поставщику или непропорционально дороги. Открытые стандарты, общие ресурсы для тестирования и масштабируемые обязательства помогают более мелким поставщикам конкурировать.
Аудитам нужны доступ и последствия
Аудит хорош ровно настолько, насколько широк его охват. Проверка на бумаге не может подтвердить реальное поведение системы. Аудиторам нужны релевантная развёрнутая конфигурация, документация, журналы, известные инциденты и полномочия тестировать правдоподобные сценарии сбоя. Независимость, компетентность, раскрытие конфликтов интересов и защита чувствительной информации — всё это имеет значение.
Выводы аудита должны быть связаны со сроками устранения недостатков, ограничениями развёртывания, последующими тестами и публичными резюме, соразмерными риску. Конфиденциальный полный отчёт может быть необходим по соображениям безопасности или приватности, но секретность не должна позволять компании рекламировать себя как «прошедшую аудит», не сообщая, что именно было проверено.
Регуляторам также нужны технический персонал и защищённый доступ. Требование отчётов, которые ни одно ведомство не способно интерпретировать, создаёт лишь театр соответствия требованиям. Сборы с регулируемых организаций могут финансировать надзор, если они структурированы так, чтобы сохранять институциональную независимость.
У антимонопольной политики есть реальный компромисс с безопасностью
Концентрация в чипах, облаке, данных, дистрибуции и базовых моделях может создавать привязку к поставщику, общие точки отказа и частную политическую власть. Исследование FTC 2025 года о партнёрствах облака и ИИ выявило доступ к вычислительным мощностям и талантам, издержки переключения, эксклюзивность и обмен чувствительной информацией как поводы для беспокойства о конкуренции (отчёт сотрудников FTC).
Больше конкуренции может снижать зависимость и позволять пользователям уходить от небезопасных поставщиков. Она также может усиливать гонку релизов, умножать плохо защищённые репозитории весов моделей и затруднять согласованные защитные меры. Единственный крупный поставщик может инвестировать больше в безопасность, одновременно создавая катастрофическую единую точку отказа. Поэтому антимонопольная политика должна защищать оспариваемость рынка, совместимость, мобильность рабочей силы и доступ к необходимым ресурсам, не предполагая, что самая крупная или самая мелкая структура рынка автоматически безопаснее.
Координация по вопросам безопасности между конкурентами может быть полезной — общие форматы отчётности об инцидентах, методы тестовых показателей или разведданные о безопасности, — но может также маскировать исключение конкурентов или согласование цен. Министерство юстиции и FTC запросили в 2026 году обновлённые публичные рекомендации о сотрудничестве конкурентов, прямо включив алгоритмическое установление цен и обмен информацией (запрос Минюста и FTC). Чёткие правила могут допускать подлинное сотрудничество в сфере безопасности, сохраняя при этом конкуренцию.
Реагирование на инциденты и чрезвычайные полномочия
У организаций должны быть юридические обязанности сохранять журналы, уведомлять соответствующие органы власти и затронутые стороны, локализовать вред и сотрудничать через все зависимости. Регуляторам нужны градуированные полномочия: запрашивать информацию, требовать смягчения последствий, ограничивать функцию или предписывать приостановку, когда доказательства показывают неотложную опасность.
Чрезвычайные меры нуждаются в надлежащей правовой процедуре. Они должны определять лицо, принимающее решение, порог, охват, продолжительность, пересмотр и условия восстановления. Широкое бессрочное «отключение ИИ» не является ни технически осмысленным, ни совместимым с подотчётным управлением.
Практический вывод
Правовой рычаг сильнее всего тогда, когда он конкретен. Он превращает призыв «будьте ответственны» в обязанности, привязанные к обучению, весам, развёртыванию, инференсу, госзакупкам и применению с высоким воздействием. Он даёт затронутым людям средства защиты, а операторам — чёткие полномочия проводить аудит, отзывать привилегии, откатывать системы и реагировать на инциденты.
Ни одна юрисдикция не решила проблему управления ИИ полностью. Но к сентябрю 2026 года обязывающие требования к передовым моделям на уровне ЕС и отдельных штатов, федеральные правила закупок, правоприменение в сфере конкуренции и отраслевое законодательство предоставляют реальные инструменты. Задача состоит в том, чтобы улучшить их доказательную базу, совместимость, правоприменение и демократическую легитимность, а не описывать эту область как выбор между добровольными обещаниями и драматичной конфронтацией.