С 17 августа 2026 года действует закон № 29/2026 Свода законов о торговом реестре. Он заменяет прежние правила записей и вместе с поправкой к Торговому кодексу меняет также форму ключевых корпоративных документов.

Самое частое заблуждение на практике состоит в том, что для учреждения s.r.o. или уступки доли достаточно письменного договора с официально заверенными подписями. Это уже не так. Эти действия должны быть совершены в форме нотариального акта либо документа, который составил и авторизовал адвокат.

Новое регулирование также сужает круг лиц, которые могут представлять компанию при подаче заявления, вводит резервирование фирменного наименования, ужесточает штрафные санкции и отменяет запрет на цепочку компаний с одним участником.

В статье мы рассматриваем прежде всего, (A) что изменилось при учреждении компании и уступке доли, (B) что такое авторизация адвокатом и когда она не заменяет нотариуса, (C) кто может подать заявление о регистрации, (D) чем отличается подача в суд от подачи нотариусу как регистратору и (E) какие обязанности есть у лиц, уполномоченных действовать от имени компании, после записи.

2. ПРАВОВЫЕ АКТЫ

Изменения касаются прежде всего:

(A) закона № 29/2026 Свода законов о торговом реестре и о изменении и дополнении некоторых законов (далее — «ZoOR»),

(B) постановления Министерства юстиции Словацкой Республики № 203/2026 Свода законов, которым устанавливается перечень регистрационных документов,

(C) закона № 513/1991 Свода законов, Торговый кодекс, в редакции поправки, внесенной статьей II ZoOR (далее — «Торговый кодекс»),

(D) закона № 586/2003 Свода законов об адвокатуре, в частности §§ 1a–1ac в редакции, внесенной ZoOR, и

(E) закона № 71/1992 Свода законов о судебных пошлинах в редакции, действующей с 17 августа 2026 года.

Производства, начатые и не завершенные вступившим в силу решением до 16 августа 2026 года, будут окончены по прежним правилам.

3. ФОРМА, КОТОРОЙ УЖЕ НЕДОСТАТОЧНО

До 16 августа 2026 года при учреждении s.r.o. и при уступке доли достаточно было письменной формы с официально заверенными подписями. С 17 августа 2026 года этого недостаточно.

Согласно § 57 ч. 1 Торгового кодекса компания учреждается учредительным договором в форме нотариального акта о юридическом действии либо в форме документа, авторизованного адвокатом. Учредительный акт единственного учредителя должен иметь ту же форму.

Согласно § 115 ч. 4 Торгового кодекса договор об уступке доли должен быть составлен в форме нотариального акта либо в форме договора, авторизованного адвокатом.

Практическое следствие простое. Договор, подписанный у нотариуса лишь с удостоверением подлинности подписей, или шаблон из интернета с заверенными подписями для записи, как правило, уже не подойдет. Отсутствует квалифицированная форма, которую закон для этих действий прямо требует.

4. ЧТО ТАКОЕ АВТОРИЗАЦИЯ АДВОКАТОМ

Авторизация — это не удостоверение подписи. Адвокат составляет документ, устанавливает личность сторон и их представителей и оценивает, не противоречит ли действие закону, не обходит ли закон, не противоречит ли добрым нравам и не приведет ли к возникновению ущерба. Затем он снабжает документ оговоркой об авторизации и в тот же день помещает его в непубличный реестр авторизаций, который ведет Словацкая адвокатская палата.

Закон об адвокатуре различает:

(A) авторизацию договора, в частности учредительного документа компании, договора об уступке доли, договора о передаче недвижимости и акционерного соглашения по § 220w ч. 3 Торгового кодекса, и

(B) авторизацию документа о юридическом действии, для которого Торговый кодекс или специальный закон требует форму документа, авторизованного адвокатом.

Адвокат поэтому не может лишь «проштамповать» чужой проект. Он авторизует документ, который составил сам.

Согласно § 50 ч. 4 ZoOR действует практическое преимущество: если закон требует официального удостоверения подписей на регистрационном документе, такое удостоверение не требуется, если документ составлен в форме документа, авторизованного адвокатом.

КОГДА АВТОРИЗАЦИЯ НЕ ЗАМЕНЯЕТ НОТАРИУСА

Авторизация адвокатом не является общей заменой нотариального акта. Её можно использовать только там, где закон это прямо допускает.

Как правило, её можно использовать при:

(A) учредительном документе компании,

(B) договоре об уступке доли,

(C) решении единственного участника в случаях, установленных законом, по § 132 ч. 1 Торгового кодекса и

(D) отдельных проектах трансграничных преобразований, если это допускает специальный закон.

Напротив, нотариальный акт по-прежнему необходим, например, при определенных решениях общего собрания s.r.o. по § 127a ч. 4 Торгового кодекса (назначение и отзыв директоров, изменение соотношения голосов и изменение соотношения долей при изменении уставного капитала) и при решениях общего собрания акционерного общества, для которых закон по-прежнему требует исключительно нотариальный акт.

Любой документ в форме авторизации адвокатом можно заменить нотариальным актом. Обратное не действует.

5. КТО МОЖЕТ ПРЕДСТАВЛЯТЬ КОМПАНИЮ ПРИ РЕГИСТРАЦИИ

Заявление о регистрации подается исключительно в электронной форме. Оно должно быть авторизовано, иначе на него не обращают внимания. Лицо, подающее заявление, должно иметь электронный ящик, активированный для вручения.

Если заявитель не действует лично, учитывается только доверенность, выданная

(A) адвокату,

(B) нотариусу или

(C) работнику заявителя.

Бухгалтерская фирма, «оформитель записей» или иное лицо без этого статуса уже не может представлять компанию в регистрационном производстве. При бумажной доверенности для работника подлинность подписи доверителя должна быть официально удостоверена.

Цель — ограничить некачественные посреднические услуги, которые раньше заканчивались ошибочной подачей, требованием об устранении недостатков, штрафом или незаписанным изменением.

6. СУД ИЛИ НОТАРИУС КАК РЕГИСТРАТОР

ZoOR вводит единое производство под названием регистрация. Оно охватывает первую запись, изменение записанных данных и исключение.

Заявление можно подать в регистрационный суд или в пределах, установленных законом, нотариусу как регистратору. Выбор не формален. Он влияет на возможность исправления и на защиту от отказа.

При подаче в регистрационный суд отзыв и дополнение заявления недопустимы. Недостаток можно устранить лишь возражениями против отказа в регистрации. Поэтому заявление должно быть полным уже при подаче.

При подаче регистратору нотариус может предложить заявителю дополнить заявление или устранить недостатки в срок 15 дней. Против отказа регистратора подаются квалифицированные возражения в регистрационный суд. При этом заявитель должен быть представлен адвокатом или нотариусом, иначе на них не обращают внимания.

Регистратор не осуществляет регистрацию, в частности, при преобразовании, трансграничном преобразовании, трансграничном изменении правовой формы, при заявителе, освобожденном от судебной пошлины, при подаче через единое контактное место и при исключении записанного лица.

7. ДРУГИЕ ИЗМЕНЕНИЯ, КОТОРЫЕ СТОИТ ЗНАТЬ

РЕЗЕРВИРОВАНИЕ ФИРМЕННОГО НАИМЕНОВАНИЯ

Фирменное наименование можно зарезервировать ещё до учреждения компании, максимум на 60 дней. Судебная пошлина составляет 50 евро. Реестр зарезервированных фирменных наименований ведет Окружной суд в Жилине. Резервирование снижает риск, что между подготовкой документов и записью наименование займет другое лицо.

ОТМЕНА ЗАПРЕТА НА ЦЕПОЧКУ КОМПАНИЙ

Положение § 105a Торгового кодекса исключается. Физическое лицо может быть единственным участником неограниченного числа компаний, а компания с одним участником может быть единственным участником другой компании. Ограничения по § 105b Торгового кодекса для лиц с налоговой задолженностью и лиц, указанных как должники в исполнительном производстве, сохраняются.

АВТОМАТИЧЕСКИЕ ИЗМЕНЕНИЯ И СОБРАНИЕ ДОКУМЕНТОВ

Более широкая связь со справочными реестрами должна обеспечить, что некоторые данные, например изменение места жительства участника, будут скорректированы без отдельного заявления. Прежнее собрание актов заменяется собранием документов.

СРОК 30 ДНЕЙ И ШТРАФ ДО 4 000 ЕВРО

Лицо, уполномоченное действовать от имени записанного лица, обязано подать заявление о регистрации в течение 30 дней со дня решения или юридического факта. За нарушение обязанностей регистрационный суд может наложить штраф до 4 000 евро. Если уполномоченным лицом является коллегиальный орган, его члены отвечают за уплату штрафа солидарно.

СОГЛАСОВАНИЕ ДАННЫХ

Если в реестре остался записан бывший директор или иные неактуальные данные, можно подать квалифицированное ходатайство об общем согласовании данных. Ходатайство облагается судебной пошлиной 50 евро.

8. ЧТО ЭТО ОЗНАЧАЕТ НА ПРАКТИКЕ

Перед учреждением компании, уступкой доли или сменой директора нужно сначала оценить правильную форму документа. Лишь затем имеет смысл готовить электронное заявление и регистрационные документы.

На практике рекомендуем:

(A) не оформлять уступку доли шаблоном договора с заверенными подписями,

(B) при нескольких изменениях оценить, можно ли соединить их в одном заявлении, чтобы они не блокировали друг друга,

(C) проверить, соответствует ли запись в реестре действительности, особенно в отношении директоров, места нахождения и участников,

(D) при подготовке нового бренда зарезервировать фирменное наименование ещё до составления учредительных документов и

(E) не оставлять запись лицу, которое уже не может представлять компанию в производстве.

9. ЗАКЛЮЧЕНИЕ

Новый торговый реестр — это не только смена формуляров. Он переводит корпоративные действия от административной подачи к квалифицированной правовой форме. Заверенная подпись по-прежнему полезна при многих действиях, однако при учреждении компании и уступке доли её уже недостаточно.

Компания, которая готовит изменение в s.r.o., заранее должна знать три вещи: какую форму должен иметь документ, кто может подать заявление и относится ли дело к регистрационному суду или к нотариусу как регистратору. Ошибка в любом из этих пунктов теперь исправляется труднее и может обойтись дороже.

Адвокатская контора ULC Čarnogurský готовит учредительные документы, договоры об уступке доли и решения единственного участника в предписанной форме, осуществляет их авторизацию и подает электронное заявление о регистрации.

Во многих компаниях генеративный искусственный интеллект начали использовать еще до появления внутренних правил его применения. За несколько секунд сотрудник может вставить в общедоступный инструмент проект договора, список клиентов, резюме кандидата или финансовые результаты и попросить обработать эти сведения. Однако действие, которое выглядит как обычное копирование текста, может представлять собой обработку персональных данных, раскрытие конфиденциальной информации внешнему поставщику или угрозу коммерческой тайне.

Регламент об искусственном интеллекте не устанавливает общего запрета на использование таких инструментов, как ChatGPT, Microsoft Copilot, Google Gemini или Claude. При этом он вводит для компаний новые обязанности и вместе с уже действующими правилами защиты персональных данных, трудового и авторского права формирует правовую систему, которую нельзя заменить простой инструкцией «используйте AI осторожно».

В настоящей статье мы рассматриваем прежде всего (A) когда компания считается субъектом, внедряющим систему AI, (B) какую информацию сотрудники не должны вводить в неутвержденные инструменты, (C) кто несет ответственность за ошибочный результат AI, (D) при каких условиях работодатель может контролировать использование AI сотрудниками и (E) что должно содержаться во внутренней политике использования AI.

2. ПРИМЕНИМОЕ ЗАКОНОДАТЕЛЬСТВО

Использование генеративного AI в трудовой среде регулируют прежде всего:

(A) Регламент (ЕС) 2024/1689 Европейского парламента и Совета от 13 июня 2024 года, устанавливающий гармонизированные правила в области искусственного интеллекта (далее — «Регламент об AI»), с изменениями, внесенными Регламентом (ЕС) 2026/1744 Европейского парламента и Совета (далее — «Цифровой омнибус по AI»), которым были упрощены и изменены некоторые правила Регламента об AI, а применение части обязанностей для систем высокого риска было отложено,

(B) Регламент (ЕС) 2016/679 Европейского парламента и Совета (далее — «GDPR»),

(C) Закон Словацкой Республики № 18/2018 Сб. о защите персональных данных,

(D) Закон Словацкой Республики № 311/2001 Сб., Трудовой кодекс (далее — «Трудовой кодекс»),

(E) Закон Словацкой Республики № 513/1991 Сб., Торговый кодекс (далее — «Торговый кодекс»), и

(F) Закон Словацкой Республики № 185/2015 Сб., Закон об авторском праве (далее — «Закон об авторском праве»).

Конкретный правовой режим может также зависеть от отраслевого регулирования, установленной законом обязанности соблюдать конфиденциальность или договорных обязательств компании. Более строгие требования могут применяться, например, к банкам, страховым компаниям, медицинским организациям, адвокатам, налоговым консультантам или операторам основных услуг.

3. КОМПАНИЯ КАК СУБЪЕКТ, ВНЕДРЯЮЩИЙ СИСТЕМУ AI

Регламент об AI различает несколько категорий операторов. Для обычной компании особенно важно понятие «субъект, внедряющий систему AI». Под ним понимается физическое или юридическое лицо, орган публичной власти, агентство или иной субъект, использующий систему AI под свою ответственность, за исключением использования в ходе личной непрофессиональной деятельности.

Следовательно, компании не нужно самостоятельно разрабатывать или продавать систему AI, чтобы на нее распространялся Регламент об AI. Достаточно использовать такую систему в предпринимательской деятельности или в качестве работодателя. Типичными примерами являются применение AI для подготовки деловой переписки, составления резюме документов, поддержки клиентов, предварительного отбора кандидатов или оценки результатов работы сотрудников.

Однако не каждое использование ChatGPT считается использованием системы высокого риска по смыслу Регламента об AI. Решающее значение имеют предусмотренная цель системы и конкретный способ ее внедрения. Использование AI для стилистического редактирования обычного электронного письма имеет иной правовой профиль, чем применение системы, которая ранжирует резюме, рекомендует увольнение сотрудника или распределяет задачи с учетом поведения и личных характеристик работников.

ГРАМОТНОСТЬ В ОБЛАСТИ AI

Цифровой омнибус по AI заменил первоначальную редакцию статьи 4 Регламента об AI. Поставщики и субъекты, внедряющие системы AI, должны принимать меры для развития грамотности в области AI среди своих сотрудников и других лиц, которые от их имени эксплуатируют или используют системы AI. При выборе мер необходимо учитывать технические знания, опыт, образование и подготовку работников, контекст использования систем AI, а также лиц, в отношении которых эти системы применяются.

Новая редакция прямо указывает, что компания не обязана гарантировать определенный уровень грамотности в области AI у каждого отдельного лица. Однако эту обязанность нельзя выполнить лишь посредством рассылки общего электронного письма. Объем обучения и внутренних правил должен соответствовать уровню риска. Сотруднику, который использует AI для языковой корректуры обезличенного текста, требуется иная подготовка, чем специалисту по персоналу, применяющему AI для отбора кандидатов, или работнику, обрабатывающему медицинские либо финансовые данные.

Надлежащими мерами могут быть, в частности, (A) внутренняя политика, (B) регулярное обучение, (C) перечень утвержденных инструментов и целей, (D) правила проверки результатов и (E) простой порядок сообщения об инцидентах.

ЗАПРЕЩЕННЫЕ ПРАКТИКИ

Регламент об AI запрещает определенные практики независимо от размера компании. В трудовой среде особое значение имеет запрет на использование AI для определения эмоций физического лица на рабочем месте, за исключением случаев применения в медицинских целях или целях безопасности. Манипулятивные техники и социальный рейтинг также могут быть запрещены при наличии установленных законом условий.

Поэтому компаниям следует проверять и функции инструментов, которые позиционируются лишь как решения для повышения производительности. Анализ голоса во время собеседования, автоматическая оценка мимики во время видеозвонка или определение «вовлеченности» сотрудника могут подпадать под значительно более строгий режим, чем обычная помощь при работе с текстом.

4. ЧТО СОТРУДНИК НЕ ДОЛЖЕН ВВОДИТЬ В AI БЕЗ ПРЕДВАРИТЕЛЬНОГО РАЗРЕШЕНИЯ

Не существует единого универсального перечня данных, применимого к каждой компании и каждому инструменту. Однако на практике сотруднику не следует вводить в неутвержденную внешнюю систему AI прежде всего:

(A) персональные данные доверителей, клиентов, сотрудников или кандидатов на работу,

(B) специальные категории персональных данных, например сведения о здоровье, биометрические данные, политические взгляды или данные о членстве в профсоюзе,

(C) персональные идентификационные номера, номера документов, учетные данные, пароли, платежные реквизиты или коды аутентификации,

(D) договоры, юридические заключения, внутреннюю переписку и документы, охраняемые обязанностью соблюдать конфиденциальность,

(E) бизнес-планы, информацию о ценообразовании, исходный код, техническую документацию, клиентские базы и другую коммерческую тайну,

(F) охраняемые авторским правом произведения или базы данных, на использование которых у компании нет необходимого разрешения, и

(G) сведения, раскрытие которых внешнему поставщику запрещено договором с доверителем, клиентом или деловым партнером.

Запрет не обязательно должен быть абсолютным. Обработка может быть допустима в инструменте, который компания надлежащим образом оценила, обеспечила договорными гарантиями и технически настроила для соответствующей цели. Однако сотрудник не должен самостоятельно решать, что личная учетная запись или бесплатная версия сервиса обеспечивает достаточный уровень защиты.

ПЕРСОНАЛЬНЫЕ ДАННЫЕ В ПРОМПТЕ

Ввод персональных данных в систему AI представляет собой обработку персональных данных. Контролер должен иметь правовое основание и конкретную цель обработки, соблюдать принцип минимизации данных, определить статус поставщика, заключить необходимое соглашение об обработке данных, проверить возможную передачу данных в третьи страны и принять надлежащие меры безопасности.

Использование данных только для подготовки резюме или проекта ответа не отменяет этих обязанностей. Недостаточно и простого удаления имени, если лицо можно определить по остальным сведениям. Псевдонимизированные данные остаются персональными данными, если их можно связать с конкретным лицом с помощью дополнительной информации.

При обработке специальных категорий персональных данных помимо правового основания по статье 6 GDPR должно выполняться одно из условий статьи 9 GDPR. При масштабной, систематической или иной обработке, способной повлечь высокий риск, может потребоваться оценка воздействия на защиту персональных данных в соответствии со статьей 35 GDPR.

Работодателю следует различать личную учетную запись сотрудника, корпоративную учетную запись и корпоративное решение или программный интерфейс. Условия договора, использование контента для улучшения моделей, сроки хранения, возможности административного контроля и место обработки могут различаться в зависимости от сервиса и его настройки. Поэтому одно лишь обозначение продукта как «business» не заменяет правовой анализ и оценку безопасности конкретной конфигурации.

КОММЕРЧЕСКАЯ ТАЙНА И КОНФИДЕНЦИАЛЬНОСТЬ

Согласно § 17 абз. 1 Торгового кодекса Словацкой Республики, коммерческую тайну составляют связанные с предприятием сведения коммерческого, производственного или технического характера, которые имеют действительную или потенциальную ценность, не являются общедоступными в соответствующих деловых кругах, должны сохраняться в тайне по воле их владельца и конфиденциальность которых владелец надлежащим образом обеспечивает.

Неконтролируемый ввод чувствительной информации во внешние инструменты AI может не только нарушить обязанность соблюдать конфиденциальность, но и ослабить позицию компании о том, что она надлежащим образом защищала коммерческую тайну. Внутренняя политика, управление доступом, классификация информации и документированное обучение сотрудников поэтому также являются мерами защиты коммерческой тайны.

Согласно § 81 пп. e и f Трудового кодекса Словацкой Республики, сотрудник обязан защищать имущество работодателя, не действовать вопреки его законным интересам и сохранять конфиденциальность сведений, которые в интересах работодателя нельзя сообщать другим лицам. В зависимости от обстоятельств несанкционированный ввод конфиденциальных данных во внешнюю систему может являться нарушением трудовой дисциплины и повлечь ответственность за ущерб. Однако последствия необходимо оценивать индивидуально с учетом характера данных, вины, наличия четких правил и серьезности риска или ущерба.

5. КТО ОТВЕЧАЕТ ЗА ОШИБОЧНЫЙ РЕЗУЛЬТАТ AI

Система AI не является лицом, на которое можно переложить ответственность за деловое решение. Если сотрудник направит доверителю или клиенту неверную юридическую информацию, использует в предложении несуществующий технический стандарт или примет решение на основании ошибочного расчета, созданного AI, утверждение о том, что «ошибку допустил ChatGPT», как правило, не освобождает компанию от ответственности.

Генеративный AI формирует результаты путем вероятностной обработки. Даже уверенно сформулированный ответ может содержать ссылку на несуществующее судебное решение, неверное число, устаревшую информацию или искаженное резюме исходного документа. Риск возрастает, если пользователь запрашивает ответ за пределами доступных источников или не обладает знаниями, необходимыми для его проверки.

Поэтому внутренние правила должны определять случаи, в которых проверка человеком обязательна. Без квалифицированной проверки результат AI не следует использовать, в частности, как окончательное профессиональное заключение, договорное условие, расчет, влияющий на заработную плату или цену, решение в отношении сотрудника либо информацию, на которую должен полагаться доверитель или клиент.

Проверка человеком не должна быть формальной. Проверяющее лицо должно обладать достаточными знаниями, иметь доступ к исходным материалам и реальное полномочие отклонить или изменить результат.

6. АВТОРСКОЕ ПРАВО НА ВХОДНЫЕ ДАННЫЕ И РЕЗУЛЬТАТЫ

Пользователь может ввести в систему AI текст, фотографию, исходный код или иной творческий материал, на использование которого таким способом у компании нет права. В конкретном случае это может являться воспроизведением или иным использованием произведения, требующим согласия правообладателя, если не применяется предусмотренное законом исключение.

Нельзя автоматически предполагать и то, что каждый результат AI свободен от прав третьих лиц или что компания приобрела на него исключительные авторские права. Согласно § 3 абз. 1 Закона об авторском праве Словацкой Республики, произведение является уникальным результатом творческой интеллектуальной деятельности автора. Поэтому результат, созданный полностью автоматически без достаточного творческого вклада физического лица, может не соответствовать условиям авторско-правовой охраны. В случае творчества с помощью AI, напротив, может охраняться результат творческих решений человека.

До коммерческого использования значимого результата рекомендуется проверить (A) лицензионные условия инструмента, (B) происхождение исходных материалов, (C) сходство с существующими произведениями, товарными знаками или дизайнами и (D) объем и документирование творческого вклада человека.

7. МОЖЕТ ЛИ РАБОТОДАТЕЛЬ КОНТРОЛИРОВАТЬ ИСПОЛЬЗОВАНИЕ AI?

Работодатель вправе определять, какие рабочие инструменты разрешено использовать, блокировать неутвержденные сервисы в корпоративной сети и требовать соблюдения правил безопасности. Однако контроль конкретной деятельности сотрудника должен учитывать его право на неприкосновенность частной жизни, защиту персональных данных и § 13 абз. 4 Трудового кодекса Словацкой Республики.

Без серьезных причин, обусловленных особым характером его деятельности, работодатель не вправе вмешиваться в частную жизнь сотрудника путем наблюдения или проверки рабочей электронной почты без предварительного уведомления. При введении механизма контроля работодатель обязан обсудить его объем, способ и продолжительность с представителями работников и проинформировать сотрудников об этих обстоятельствах.

Следовательно, даже законная цель предотвращения утечки данных не дает работодателю автоматического права читать все промпты и переписку сотрудников. Контроль должен быть необходимым, соразмерным и прозрачным. До начала контроля содержания следует рассмотреть менее инвазивные меры, например ограничение доступа к неутвержденным доменам, техническое предупреждение перед вводом чувствительных данных, обнаружение категорий данных без чтения всего содержимого или проверку обезличенных эксплуатационных журналов.

8. AI ПРИ ПРИЕМЕ НА РАБОТУ И УПРАВЛЕНИИ ПЕРСОНАЛОМ

Особого внимания требуют системы AI, используемые при найме и отборе кандидатов, принятии решений об условиях труда, повышении или прекращении трудовых отношений, распределении задач с учетом индивидуального поведения или личных характеристик, а также при мониторинге или оценке работников. При наличии установленных законом условий Регламент об AI относит такие системы к системам высокого риска.

Цифровой омнибус по AI отложил применение соответствующих требований и обязанностей для систем высокого риска, предусмотренных приложением III к Регламенту об AI, до 2 декабря 2027 года. Эта отсрочка не создает правового вакуума. Уже сейчас применяются GDPR, антидискриминационное законодательство, Трудовой кодекс Словацкой Республики и запрет отдельных практик по Регламенту об AI.

Если система обрабатывает персональные данные и принимает решение, основанное исключительно на автоматизированной обработке, которое влечет правовые последствия для лица или аналогичным образом существенно на него влияет, необходимо также соблюдать статью 22 GDPR. Формальное подтверждение рекомендации AI человеком может не являться реальным вмешательством человека, если проверяющий не имеет возможности или квалификации изменить решение.

До внедрения такой системы компании следует оценить прежде всего ее цель, качество и происхождение входных данных, возможные дискриминационные последствия, объяснимость результатов, надзор со стороны человека, обязанности по информированию и необходимость проведения оценки воздействия на защиту персональных данных.

9. СЕМЬ ШАГОВ ДЛЯ РАБОТОДАТЕЛЯ

ИНВЕНТАРИЗАЦИЯ

Компания должна определить, какие инструменты AI сотрудники фактически используют, для каких целей, с какими входными данными и через какие личные или корпоративные учетные записи. Запрет без инвентаризации часто лишь переводит использование AI в неконтролируемую среду.

КЛАССИФИКАЦИЯ РИСКОВ

Отдельные сценарии использования следует разделить по уровню риска. Языковая корректура обезличенного текста имеет иной правовой режим, чем обработка медицинских данных, отбор кандидатов или создание профессионального заключения для доверителя или клиента.

УТВЕРЖДЕННЫЕ ИНСТРУМЕНТЫ И ДОГОВОРЫ

Компания должна определить разрешенные инструменты и проверить их договорные условия, защиту данных, хранение входных данных и результатов, субподрядчиков, меры безопасности и возможную передачу данных. При обработке персональных данных необходимо определить роли сторон и заключить требуемые соглашения.

ВНУТРЕННЯЯ ПОЛИТИКА ИСПОЛЬЗОВАНИЯ AI

Политика должна ясно устанавливать разрешенные и запрещенные способы использования, категории данных, которые нельзя вводить, правила обезличивания, обязательную проверку человеком, маркировку контента AI, порядок утверждения новых инструментов и последствия нарушения правил.

ОБУЧЕНИЕ С УЧЕТОМ РИСКОВ

Сотрудникам необходимы практические примеры из их собственной работы. Обучение должно объяснять не только управление инструментом, но и ограничения его результатов, защиту персональных данных и коммерческой тайны, авторское право и порядок сообщения об инцидентах.

ПРОВЕРКА ЧЕЛОВЕКОМ И ДОКУМЕНТИРОВАНИЕ

Для значимых результатов следует определить ответственное лицо, объем проверки и способ ее документирования. При принятии решений в отношении людей вмешательство человека должно быть реальным, квалифицированным и эффективным.

СООБЩЕНИЕ ОБ ИНЦИДЕНТАХ

Сотрудники должны знать, кому и как сообщить о том, что они случайно ввели в систему AI персональные данные, коммерческую тайну или неверный документ. Своевременное сообщение может позволить запросить удаление данных, изменить учетные данные, выполнить возможные обязанности по уведомлению и ограничить ущерб.

10. ПРИМЕНЕНИЕ И ЗАКЛЮЧЕНИЕ

Регламент об AI применяется поэтапно. Первые его положения, в том числе правила грамотности в области AI и запреты отдельных практик, начали применяться 2 февраля 2025 года. Большинство остальных положений начали применяться 2 августа 2026 года. Однако Цифровой омнибус по AI изменил некоторые обязанности и отложил применение режима высокого риска для систем из приложения III до 2 декабря 2027 года, а для отдельных систем высокого риска, встроенных в регулируемые продукты, — до 2 августа 2028 года.

Поэтому наибольший правовой риск обычного использования ChatGPT в компании сегодня может быть связан не с самим Регламентом об AI. Часто он возникает раньше: при вводе персональных данных без правового основания, передаче коммерческой тайны неутвержденному поставщику, использовании непроверенного результата или несоразмерном контроле сотрудников.

Компании, использующей AI, недостаточно запрета или однократного обучения. Ей необходимо знать реальные сценарии использования, утверждать подходящие инструменты, устанавливать границы работы с данными и обеспечивать, чтобы за каждым значимым решением стоял конкретный квалифицированный человек.

Кибербезопасность в центре нормативных требований

В контексте действующего европейского законодательства кибербезопасность стала одной из ключевых областей соблюдения требований для финансовых учреждений и поставщиков услуг с криптоактивами. Получив этот сертификат, ULC Čarnogurský может предложить клиентам комплексные юридические и профессиональные консультации по вопросам соответствия самым строгим нормативным стандартам.

MiCA и DORA: почему кибербезопасность имеет большое значение

Положение о рынках криптоактивов (MiCA) требует от поставщиков услуг криптоактивов (CASP) внедрения надежных систем управления и кибербезопасности. Начиная с 30 декабря 2024 года, все CASP должны получить лицензию от соответствующих национальных органов и соответствовать строгим требованиям безопасности.

Параллельно с MiCA действует Положение о цифровой операционной устойчивости (DORA), которое устанавливает новые рамки ЕС для управления рисками ИКТ в финансовом секторе. DORA, вступившее в силу 17 января 2025 года, распространяет требования безопасности на все финансовые организации, включая CASP и эмитентов токенов, привязанных к активам.

Всеобъемлющие требования к безопасности

MiCA требует от CASP внедрения соответствующих технических и организационных мер безопасности, включая брандмауэры, системы обнаружения вторжений, шифрование конфиденциальных данных и регулярное обновление систем. Кроме того, DORA требует, чтобы организации разработали политику безопасности, механизмы обнаружения инцидентов, планы обеспечения непрерывности бизнеса ИКТ, а также обязательное обучение сотрудников по вопросам кибербезопасности.

Когда Вам нужен менеджер по кибербезопасности

Услуги сертифицированного менеджера по кибербезопасности актуальны для:

Соискатели лицензий MiCA — Национальные компетентные органы требуют демонстрации надежных систем безопасности в качестве условия получения лицензии CASP. Сертифицированный менеджер по кибербезопасности может обеспечить выполнение всех технических и организационных требований.

Существующие поставщики услуг в сфере криптоактивов — организации, уже работающие на рынке, должны достичь полного соответствия требованиям MiCA к январю 2026 года. Недавние действия регуляторов указывают на то, что претенденты на статус CASP должны проходить аудит кибербезопасности у независимых и квалифицированных поставщиков до получения разрешения.

Финансовые учреждения, подпадающие под действие DORA — Криптобиржи и сервисы, должны соблюдать повышенные требования к кибербезопасности, включая тестирование на проникновение, оценку рисков и отчетность об инцидентах. Менеджер по кибербезопасности будет обеспечивать комплексное управление рисками ИКТ в соответствии с DORA.

Организации с требованиями по соблюдению NIS2 — Для организаций, которые должны соблюдать требования NIS2, DORA как lex specialis заменяет эти положения в секторе финансовых услуг, но требует столь же строгих мер безопасности.

Почему ULC Čarnogurský

Сочетание юридических знаний в области криптоактивов, финансового права и слияний и поглощений с сертифицированным опытом в области кибербезопасности делает ULC Čarnogurský уникальным партнером для организаций, выходящих на регулируемый рынок цифровых активов. Фирма обладает обширным опытом в подготовке документации для лицензионных процедур, всестороннем консультировании по вопросам соответствия и внедрении нормативно-правовой базы.

Наши услуги включают:

• Подготовка и внедрение политик кибербезопасности в соответствии с MiCA и DORA
• Консультирование по процедурам лицензирования CASP
• Разработка системы управления рисками в сфере ИКТ
• Аудит соответствия требованиям кибербезопасности
• Подготовка документации для национальных компетентных органов
• Обучение и тренинги по управлению киберрисками