EU AI Act передвинул релиз high-risk правил. Как теперь классифицировать AI-системы и готовить их к compliance

[maxnoosphere]

а как определяется high-risk категория? ну типо там какие-то чёткие критерии или это на глазок решают?

[discoverer-official]

Там скорее не формула риска, а формальное дерево решений. То есть никто не оценивает условно: автономность 8/10 + влияние 7/10 = High Risk.

В упрощённом виде алгоритм такой:

1. Проверяем Article 5.
Use case входит в список запрещённых практик? Prohibited.

2. Проверяем Article 6(1).
AI является продуктом или safety component регулируемого продукта из Annex I и для этого продукта требуется оценке соответствия third-party? High Risk.

3. Проверяем Article 6(2) + Annex III.
Смотрим не на модель, а на назначение системы (intended purpose).
Например, AI используется для отбора кандидатов, оценки кредитоспособности, некоторых решений в образовании, биометрии, critical infrastructure и т.д. То потенциально High Risk.

4. И вот тут появляется развилка Article 6(3).
Даже система из Annex III в некоторых случаях может быть не High Risk, если она выполняет только узкую procedural/preparatory задачу и не оказывает существенного влияния на решение или риск. Однако, например, для profiling физических лиц это исключение не работает. Поэтому условно:

Article 5: Prohibited
Annex I + conformity assessment: High Risk
Annex III, проверяем исключения: High Risk / Not High Risk
ничего из этого: Not High Risk

А самая сложная часть начинается именно на Annex III / Article 6(3): там уже нужно доказать, что конкретно делает система, на какое решение влияет и насколько существенен этот вклад.

Поэтому это не на глазок, но и не калькулятор. Классификация = use case + критерии регламента + evidence.

Причём Not High Risk ещё не означает No Requirements.