😵‍💫 Pattern_AI Recap: EU AI Act, что вы могли пропустить

Подборка постов за месяц.
👁‍🗨 Руководства, чеклисты и разборы — всё о новом законе об ИИ в ЕС, который уже влияет на разработку и запуск продуктов.
🔹К кому применим AI Act;
🔹Определение категорий риска систем ИИ по AI Act;
🔹Требования к дизайну интерфейсов по AI Act;
🔹Примерный чек-лист для проверки дизайна интерфейса;
🔹AI-агенты и применимость EU AI ACT;
🔹Краткий гайд по обработке ПД при внедрении ИИ;
🔹Примерный чек-лист для выявления рисков по обработке персональных данных для проекта (EU AI Act и GDPR);
🔹Дипфейки и требования маркировки контента;
🔹Требования защиты авторских прав для поставщиков и развертывателей по EU AI Act;
🔹Чек-лист по обучению сотрудников;
🔹Список курсов по AI Literacy и соответствию AI Act (EU);
🔹EU AI ACT Compliance чек-лист для компании.
Сохраните себе и делитесь с коллегами.
————
@pattern_ai

😵‍💫 Pattern_AI Recap: обзор постов за два месяца

Подборка по ключевым рубрикам:

⚖️ #LawAndDisorder

🔹Что делать бизнесу в постоянно меняющемся регуляторном ландшафте?
🔹Что говорит закон про регулирование темных паттернов и как избежать миллионных штрафов?
🔹Баланс между AI-First и правами сотрудников;
🔹Регуляторный подход к Emotion AI и как продукту соблюсти комплаенс;
🔹Примерный чек-лист по соблюдению законодательства для продуктов с Emotion AI;
🔹AI-ассистент и AI-агент: где заканчивается автоматизация и начинается правовая ответственность?
🔹AI и финансовый сектор;
🔹Использование чувствительных данных гос.сектором для обучения ИИ: пример ICDC и не только;

🔍 #UXWatch
🔹AI powered dark patterns: как ИИ учится управлять вашими решениями;
🔹Искажение выбора: как AI-оценка сбивает с пути в компанию мечты;
🔹Emotion AI превратит ваши эмоции в + 20 CTR для компании;
🔹Флирт с чат-ботом: от простой игры до манипуляции вами один шаг;
🔹НейроUX в банках против ваших интересов;
🔹Neuralink и риски цифрового принуждения;
🔹ИИ помогает людям формировать свои привычки;
🔹Как владельцам контента в ЕС отказаться от использования их данных для обучения ИИ?

👌 #BehindTheMachine
🔹RAG — новая точка входа для тёмных паттернов;
🔹Петля развития для моделей;
🔹Безопасное взаимодействие между агентами: рекомендации Google A2A и LangChain;
🔹Сравнительный анализ LLM: как часто языковые модели генерируют тёмные паттерны;
🔹Новый подход к контролю чувствительных данных в LLM;
🔹Анализ уязвимостей в ИИ и практики безопасной разработки - cмотрим, как проверить уязвимости при использованиие библиотек с открытым исходным кодом.

🎙 #TalkPrompty
🔹Как писать промпты для ИИ и нужно ли быть вежливым?
🔹Как сделать озвучку с помощью ИИ;
🔹Презентации за пару кликов;
🔹ИИ генерация видео;
🔹Сервисы и промты: от повседневных привычек до изменения мышления.

📚 #AIShelf
🔹Список бесплатных курсов по AI;
🔹Cognizant—Banking Process Transformation 2024 RadarView;
🔹NeuroUX в банковской сфере;
🔹Обучающие курсы EDPB по ИИ и защите данных;
🔹Список курсов по AI Literacy и соответствию AI Act (EU).

Читайте, пересылайте, возвращайтесь к важному.
————
@pattern_ai

Легальный веб-скраппинг для обучения ИИ возможен?
Веб-скраппинг — это автоматический сбор данных с общедоступных веб-сайтов.
Да, он пока легален, если учитывать риски и соблюдать законодательство, дискуссии и судебные баталии продолжаются (н-р, штраф Clearview на $7,5 млн. от ICO, Reddit v Anthropic, Bartz v Anthropic ).
👀 Смотрим по популярным юрисдикциям.
ЕС:
GDPR - сбор данных на законных основаниях, только необходимые, релевантные, соблюдение принципа минимизации, особые требования к чувствительным категориям данных и тп.
ePrivacy Directive (2002/58/EC) - метаданные, файлы cookies, электронная коммуникация. Может ограничивать автоматизированный сбор информации из мессенджеров и email.
Directive (EU) 2019/790 on Copyright in the Digital Single Market — запрещает копирование контента защищённого авторским правом. Исключения применимы только к научным и некоммерческим целям.
Regulation (EU) 2018/1807 on Free Flow of Non-Personal Data — важен при передаче гибридных наборов данных (личных + неличных) между странами ЕС.

В июне французский CNIL выпустил рекомендации по веб-скраппингу:
🔹Соблюдать правила robots.txt, CAPTCHA и условия использования сайтов, т.е. не собирать данные с сайтов, явно запрещающих скраппинг.
🔹Избегать сканирования сайтов, предназначенных для несовершеннолетних и содержащих чувствительные данные.
🔹Автоматически удалять персональные или чувствительные данные после сбора. Остаточный и непреднамеренный сбор конфиденциальных данных, несмотря на меры предосторожности, сам по себе не является незаконным (CJEU-136/17), как только контролеру становится известно об обработке - обеспечить немедленное удаление, по возможности используя автоматизированные средства.
🔹Обеспечивать возможность отказа (opt-out) и прозрачность.
🔹Удалять нерелевантные данные, собранные по ошибке, сразу после их обнаружения.
🔹Уважать разумные ожидания пользователя (характер отношений между субъектами данных и контролёром; явные ограничения, налагаемые веб-сайтами; характер исходного веб-сайта (например, социальные сети, форумы); тип контента (например, публикация в общедоступном блоге или публикация в социальной сети с ограниченным доступом).
Напомню, что еще в отчете EDPB ChatGPT Taskforce (2024) указывалось на то, что публичность данных не означает, что субъект данных явно сделал их публичными, необходим баланс интересов контроллера с правами пользователей, ожидания пользователя играют ключевую роль.

Великобритания
Позиция ICO:
🔹Требуется наличие законного основания (например, законный интерес).
🔹 Необходимость и соразмерность должны быть обоснованы.
🔹Требуется прозрачность и обеспечение прав субъектов данных.

США
🔹Веб-скраппинг не запрещён напрямую.
🔹 Computer Fraud & Abuse Act (CFAA) не применяется к скраппингу открытых данных (hiQ v. LinkedIn). Но сбор данных после получения уведомления о прекращении противоправных действий или обход явных блокировок (например, запретов по IP-адресам или логинам) может квалифицироваться как несанкционированный доступ (Power Ventures v. Facebook).
🔹Нарушение условий не делает скраппинг незаконным (Meta v. Bright Data).
🔹CCPA/CPRA и другие законы о защите ПД: уведомление, право на отказ, ограничение целей обработки.
🔹HIPAA, COPPA и др. при сборе данных о здоровье или детях.
🔹Законодательство о защите коммерческой тайны, защите IP.
#LawAndDisorder
———-
@pattern_ai

📌 Best practices по легальному веб-скраппингу
1. Планирование до начала сбора: чётко определить цель и правовое основание сбора. Избегать сбора избыточной информации (например, геолокация, фин.данные), если они не нужны для конкретной цели, исключить ресурсы и данные несовершеннолетних, высокочувствительные.
2. Технические меры: соблюдать robots.txt, CAPTCHA, использовать фильтры на основе NER (Named Entity Recognition) и PII (Personally Identifiable Information) для исключения чувствительных и специальных категорий данных, настроить автоматическое удаление данных, не соответствующих целям, анонимизация или псевдонимизация данных сразу после сбора.
3. Юридические меры: проводить Legitimate Interest Assessment (при использовании легитимного интереса, как основания сбора данных), DPIA (оценку воздействия на защиту данных), обеспечить прозрачность (публикация списков источников, уведомления), права на отказ (suppression list, механизмы opt-out), избегать сайтов, явно запрещающих сбор (условия использования), отслеживать законодательство, гайдлайны надзорных органов и судебную практику.
#LawAndDisorder
————
@pattern_ai

📌 Подборка инструментов для генерации и улучшения промптов

Можно на продаже промтов зарабатывать, например.
🔹PromptBase - маркетплейс готовых промптов + генератор запросов по категориям.
🔹PromptJesus - улучшает и уточняет черновые промпты, устраняет неточности и делает запрос "тяжёлым".
🔹Devplan - AI-ассистент для проработки идеи и генерации точных промптов.
🔹VibeCodex - генератор промптов в стиле “vibe coding” для AI-интерфейсов.
🔹PromptPerfect - оптимизирует промпты для GPT-4, Claude, Midjourney. Генерирует "идеальные" LLM-запросы. Поможет с маркетингом, рилсами для соц.сетей.
🔹Phraser - помогает формулировать промпты для визуальных моделей (Midjourney, DALL·E).
🔹Originality.ai - генератор текстовых промптов для AI, полезен для идей и креативных задач.
🔹WebUtility - универсальный генератор для разных AI (ChatGPT, Bard и др.).
🔹Webvizio - генерирует промпты для AI-помощников в разработке сайтов, багфиксов и UI-тестов.
🔹PromptHero - коллекция промптов для ChatGPT, Midjourney и других моделей, с фильтрами и рейтингом.
🔹AIPRM (для ChatGPT & Claude) - расширение с библиотекой промптов по SEO, маркетингу, UX, кодингу и др.

#AIShelf #TalkPrompty
————
@pattern_ai

GPAI Code of Practice опубликован Еврокомиссией. Для чего он нужен?

GPAI Code of Practice — добровольный, необязательный для исполнения документ, призванный помочь соответствовать требованиям EU AI Act, а именно обеспечить прозрачность, безопасность и соблюдения авторских прав поставщиками моделей ИИ общего назначения (GPAI), таких как GPT‑4, ChatGPT, Gemini, Claude и др.
Действует так называемая презумпция соответствия закону при проверке, если компания им руководствуется и подписывает.

🔍Рассмотрим подробнее сами главы и то, что можно взять в качестве best practices всем разработчикам.

1️⃣ Глава. Прозрачность (обязательна для всех GPAI‑моделей). Три главные меры: составление и поддержание в актуальном состоянии документации о модели, предоставление соответствующей информации, обеспечение качества, целостности и безопасности этой информации.
Предлагается заполнить стандартизированную форму документации модели, включающую:
- источники и происхождение обучающих данных;
- предполагаемые варианты использования, ограничения модели;
- лицензионная информация (детали того, как модель может быть использована и лицензирована.
- оценочные метрики, использование вычислительных мощностей и энергии;
- подлинность модели, например, путем предоставления безопасного хэша или идентификатора.
Должна обновляться по мере изменений, хранится не менее 10 лет после выхода модели на рынок. Информация должна быть доступна клиентам, которые развертывают или интегрируют модель в свою систему ИИ (downstream-провайдеры).
Предоставляется по запросу EU AI Office или национальным органам.
Open-source модели освобождаются от требований, если только не будут признаны представляющими " системный риск".

2️⃣ Глава. Безопасность и защита (только для моделей с «системным риском»).
Применяется к «передовым» моделям, способным оказать широкомасштабное влияние на общество (например, модели, использующие >10²⁵ FLOP). Объем около 40 листов, что дает возможность взять и как best practices для адаптации к своему проекту.
Внедрение комплексной системы управления системными рисками, включающей:
- оценку потенциального вреда от модели (злоупотребления, непредсказуемое поведение и пр.);
- создание уровней риска (tiers) и порогов вмешательства;
- планирование мер реагирования.
- использование современных технологий кибербезопасности и защиты от утечек;
- проведение независимых аудитов безопасности;
- непрерывный мониторинг после выпуска модели;
- документирование и оперативное сообщение об инцидентах в EU AI Office.

Разработчики должны:
- определить четкие критерии для разных уровней системного риска.
- заранее определить, какие меры безопасности потребуются по мере приближения модели к более продвинутым уровням возможностей.
- установить критерии приемлемости риска для каждого выявленного сценария.
- задокументировать дополнительные меры безопасности, которые будут реализованы, как только модель достигнет определенного уровня риска.
3️⃣Глава. Соблюдение авторских прав.
Применяется ко всем GPAI-поставщикам.
- разработка и поддержание в актуальном состоянии внутренней политики соблюдения авторских прав;
- назначение ответственных сотрудников;
- желательно публиковать краткое описание политики.

при сборе данных:
- Не обходить и не отменять технические меры, защищающие контент (н-р, DRM или paywall);
- необходимо соблюдать инструкции в robots.txt и иные машиночитаемые теги;
- необходимо исключать сайты, признанные нарушающими авторские права — ЕС создаст динамический список таких ресурсов.

Для предотвращения нарушений авторских прав:
- внедрять технические меры, предотвращающие выдачу фрагментов обучающих данных дословно (механизмы фильтрации, ограничения на запросы, пост-обработка для обнаружения и блокировки потенциально нарушающего контент);
- ограничивать в условиях использования.
- реализовать механизм подачи жалоб (назначение контактного лица для правообладателей, создание цифрового канала для подачи жалоб, их обработка в разумные сроки).

OpenAI уже официально присоединилась к Кодексу.
#LawAndDisorder
————
@pattern_ai

ИИ и защита ПД: рекомендации немецких DPA
Ч. 1
Разбор требований по защите ПД в контексте EU AI Act смотрите в предыдущих постах. Для понимания "что же хотят видеть" надзорные органы и как продемонстрировать соответствие своего продукта законодательным требованиям, необходимо обращать внимание и на рекомендательные гайдлайны.
🔍Вот один из них от DPA Германии ( июнь 2025). Применим к системам ИИ, предполагающим обработку ПД. В зависимости от этапа жизненного цикла предлагается:
1️⃣ Проектирование
🔹Полная документация (описание наборов данных, источники, система ИИ (цель, архитектура, алгоритмы), меры защиты данных).
🔹Минимизация данных:
- оцените, можно ли с помощью меньшего объема данных или альтернативных методов достичь сопоставимой производительности.
- выберите систему/алгоритмы с сопоставимой производительностью, которые используют меньше данных/ используют федеративное обучение.
- проверьте, может ли количество точек данных (потенциально: эмпирически) быть оправдано относительно целей системы ИИ.
- отдавайте предпочтение атрибутам общего характера (например, «год» вместо «день-месяц-год» в отношении даты рождения), удаляйте атрибуты, дискриминирующие/вызывающие предвзятость.
- используйте агрегированные, синтетические и анонимные данные, где это возможно.
- прежде чем собирать данные из других источников, проверьте, можно ли получить данные из существующих источников.
- если существует законодательный запрет на обработку определенных ПД, убедитесь, что такие данные не могут быть выведены из якобы нейтральных атрибутов.
- предусмотрите временной буфер между сбором необработанных данных, уведомлением субъекта данных и обучением модели, чтобы субъекты данных могли реализовать свои права в соответствии с GDPR. Предпочтение следует отдавать моделям ИИ, которые предоставляют пользователям более широкий доступ к реализации своих прав (например, моделям ИИ, обеспечивающим более быстрое повторное обучение после запроса на удаление данных).
🔹Оценивайте исходные данные на точность, качество, надёжность источника данных и наличие потенциальных смещений. Надежная проверка данных крайне важна для предотвращения уязвимостей (например, отравления данных), в том числе при использовании предварительно обученных моделей (например, для предотвращения отравления бэкдоров).
2️⃣ Разработка
🔹Подтвердите, что модель ИИ хранит или воспроизводит персональные данные только в тех случаях, когда это строго необходимо для определенной цели.
🔹Проверьте, выдает ли система ИИ непреднамеренные результаты или экстраполяции, выходящие за рамки ее определенной цели.
🔹Возможность вмешательства: в случаях, когда задействовано автоматизированное индивидуальное принятие решений (ст. 22 GDPR), системы ИИ должны включать доступные пользователю возможности для оспаривания или отмены результатов.
🔹Разработайте инфраструктуру обучения, тестирования и проверки для обеспечения надежности и минимального времени простоя.
🔹Обеспечьте целостность наборов данных для обучения, проверки и тестирования, а также целостность системы ИИ. После обучения система ИИ должна стабильно выдавать точные и надёжные результаты, соответствующие её заданной функции.
🔹Оцените риск утечки модели или несанкционированного раскрытия ПД посредством пользовательских запросов или враждебных атак, а также примите соответствующие контрмеры.
#LawAndDisorder
————
@pattern_ai

Еврокомиссия опубликовала гайдлайн для поставщиков GPAI

Хочется отойти в сторону от обзоров европейского регулирования, но у Еврокомиссии продуктивное лето.
Опубликованы руководящие принципы, разъясняющие объём обязательств поставщиков GPAI.
В качестве ориентира: любая модель, обученная с использованием более чем 10²³ FLOP, особенно если она генерирует текст, изображения или видео, будет считаться GPAI. В гайдлайне приведены примеры.
Поставщиком признаётся любое лицо или организация, предлагающая GPAI-модель на рынке ЕС — независимо от того, предоставляется ли доступ к модели платно или бесплатно.
Основные обязанности поставщиков GPAI:
▪️подготовка и актуализация технической документации — как для надзорных органов, так и для downstream-интеграторов;
▪️публикация политики соблюдения авторских прав и краткого описания обучающих данных;
▪️установление и поддержание постоянного взаимодействия с AI Office.
Если модель попадает под определение системного риска (т.е. обучение проведено с использованием более 10²⁵ FLOP либо она признана таковой Комиссией), то добавляются повышенные требования:
▪️проведение непрерывной оценки рисков и их и смягчения;
▪️сообщать об инцидентах;
▪️применение надёжных мер кибербезопасности.

Что делать, если вы модифицируете GPAI? Если происходит существенная модификация GPAI-модели, при дообучении используется более одной трети исходных вычислительных мощностей, то вы также считаетесь поставщиком GPAI и обязаны соблюдать все требования.

Для open-source моделей сделан ряд послаблений, при учете, что код и архитектура модели опубликована, модель не монетизируется, но остается обязанность обеспечить соблюдение авторских прав, опубликовать описание обучающих данных, предоставить документацию.
🔍Что по срокам?
С 2 августа 2025 года все поставщики GPAI-моделей, выведенных на рынок после этой даты, обязаны соблюдать требования, должны начать неформальное взаимодействие с техническими специалистами AI Office.
Поставщики наиболее мощных моделей (тех, что создают системные риски) обязаны уведомлять AI Office о таких моделях.
Комиссия будет оказывать поддержку подписантам Кодекса практики (Code of Practice) для облегчения соблюдения требований.
С 2 августа 2026 года Еврокомиссия начинает применять свои полномочия по надзору и обеспечению соблюдения правил. С этого момента возможны штрафы за несоблюдение — до 3% мирового оборота.
До 2 августа 2027 года поставщики GPAI-моделей, выведенных на рынок до 2 августа 2025 года, обязаны привести свою деятельность в соответствие с новыми требованиями.
Хотя эти рекомендации не является юридически обязательными, они отражают официальную позицию Комиссии и будут использоваться при контроле и правоприменении.

Поставщикам GPAI рекомендуется:
▪️пересмотреть свои обязательства;
▪️оценить риски моделей;
▪️настроить процессы по заполнению документации и поддержанию в актуальном состоянии на всех этапах жизненного цикла;
▪️подготовиться к соблюдению требований, в том числе авторских прав и управлению данными;
▪️наладить контакт с AI Office;
▪️следить за обновлениями гайдлайнов, т.к. Еврокомиссия уже заявила, что гайдлайны будут развиваться по мере накопления опыта и технологических изменений.

#LawAndDisorder
————
@pattern_ai