Штучний інтелект: які юридичні ризики бізнесу варто врегулювати вже зараз

Штучний інтелект (ШІ) більше не є технологією майбутнього. Для багатьох компаній він уже – звичайний робочий інструмент: із його допомогою готують тексти, презентації, рекламні матеріали, проєкти документів, аналізують великі масиви інформації, автоматизують комунікацію з клієнтами, створюють зображення, код і маркетингові стратегії.

Однак право не завжди встигає за технологіями. В Україні ще немає окремого спеціального закону, який комплексно регулював би використання ШІ. Але це не означає, що його використання перебуває поза правовим полем. Навпаки, більшість ризиків уже зараз охоплюються чинним законодавством: про захист персональних даних, авторське право, комерційну таємницю, рекламу, трудові відносини, договірну та цивільно-правову відповідальність.

Мінцифри вже оголосило, що протягом 2026 року спільна робоча група має розробити профільний закон, який синхронізуватиме українське регулювання з правилами ЄС. Раніше відомство презентувало дорожню карту регулювання ШІ в Україні, побудовану за bottom-up підходом: спочатку бізнесу мають надати інструменти для підготовки до майбутніх вимог, а вже після цього – ухвалити закон.

Тому головне питання для бізнесу сьогодні полягає в тому, чи має компанія внутрішні правила, які дозволяють використовувати його безпечно.

Чому бізнесу не варто чекати спеціального закону

Поширена помилка – вважати, що до ухвалення спеціального закону про ШІ компанія не має суттєвих юридичних ризиків. Ризики виникають не через сам факт використання штучного інтелекту, а через те, які саме дані вводяться в ШІ-сервіс, як використовуються отримані результати і хто приймає кінцеве рішення.

Наприклад, якщо працівник завантажує до відкритого ШІ-сервісу договір із клієнтом, базу персональних даних, фінансову інформацію, комерційну пропозицію або внутрішню стратегію компанії, це може створювати ризики незалежно від того, чи існує спеціальний закон.

Те саме стосується ситуацій, коли компанія використовує згенерований ШІ текст у рекламі, приймає кадрове рішення на основі автоматизованого аналізу, публікує зображення, створене за допомогою генеративної моделі, або надає клієнту консультацію, підготовлену з використанням ШІ без належної перевірки.

Фактично штучний інтелект не скасовує дію чинного законодавства, а створює новий спосіб порушити вже наявні правила.

Персональні дані: що не можна завантажувати в ШІ

Один із найбільш очевидних ризиків – персональні дані. Закон "Про захист персональних даних" регулює правові відносини, пов'язані із захистом і обробкою персональних даних, зокрема коли обробка здійснюється повністю або частково із застосуванням автоматизованих засобів. Закон визначає власника цих даних як особу, яка визначає мету обробки персональних даних, їх склад та процедури обробки.

Це означає, що компанія, яка збирає та обробляє дані клієнтів, працівників, контрагентів або користувачів, не може поводитися з такими даними довільно. Якщо ці дані завантажуються у сторонній ШІ-сервіс, виникають питання: з якою метою це робиться, чи була правова підстава для такої обробки, чи знав про це суб'єкт персональних даних, чи не передаються дані третій особі, де вони зберігаються і чи можуть використовуватися для подальшого навчання моделі.

Особливо обережно слід ставитися до даних працівників, клієнтських баз, медичної інформації, фінансових документів, сканів паспортів, ідентифікаційних кодів, договорів із фізособами, анкет, резюме, листування з клієнтами та будь-яких документів, за якими можна ідентифікувати конкретну особу.

Якщо компанія не готова передати певний документ невизначеному колу третіх осіб, його не варто без попередньої перевірки завантажувати у відкритий ШІ-сервіс.

Комерційна таємниця і конфіденційність

Це ще один великий блок ризиків. За ст. 505 ЦКУ комерційною таємницею є інформація, яка є секретною, має комерційну цінність і щодо якої вжито адекватних заходів для збереження її секретності.

Останній елемент часто стає проблемним. Якщо компанія не затвердила внутрішній режим комерційної таємниці, не визначила перелік конфіденційної інформації, не прописала обмеження для працівників і не встановила правила використання ШІ-сервісів, їй буде складніше доводити, що вона справді вживала заходів для збереження секретності відповідної інформації.

Працівник може не мати наміру розголошувати комерційну таємницю, але фактично зробити це, коли завантажує в онлайн-сервіс:

• проєкт договору з клієнтом;
• фінансову модель;
• комерційну пропозицію;
• внутрішню презентацію;
• стратегію участі в тендері;
• базу постачальників або клієнтів;
• технічну документацію;
• опис бізнес-процесів.

Тому використання ШІ має бути прямо врегульоване у внутрішніх документах: положенні про комерційну таємницю, NDA, трудових договорах, посадових інструкціях, політиках інформаційної безпеки.

Інакше компанія може опинитися в ситуації, коли технологія допомагала працівнику виконати завдання, але фактично стала каналом неконтрольованого поширення конфіденційної інформації.

Авторське право: кому належить результат, створений за допомогою ШІ

Законодавство вже містить спеціальні положення щодо об'єктів, згенерованих комп'ютерною програмою. Закон "Про авторське право і суміжні права" передбачає, що неоригінальні об'єкти, згенеровані комп'ютерною програмою, охороняються правом особливого роду – sui generis. Закон розмежовує такі об'єкти і твори, створені фізособами з використанням комп'ютерних технологій.

Це важливо для бізнесу, який використовує ШІ для створення текстів, рекламних макетів, зображень, дизайну, музики, відео, програмного коду чи презентацій.

По-перше, не кожен результат, створений із використанням ШІ, автоматично буде класичним об'єктом авторського права. Потрібно аналізувати, чи була творча участь людини, чи результат фактично згенерований програмою без безпосередньої участі фізичної особи в його утворенні.

По-друге, навіть якщо компанія отримала певний результат від ШІ-сервісу, це не гарантує, що його комерційне використання не порушує прав третіх осіб. Закон прямо каже, що якщо неоригінальний об'єкт, згенерований комп'ютерною програмою, є результатом використання об'єктів авторського права або суміжних прав, відповідний суб'єкт користується правом sui generis за умови дотримання прав таких суб'єктів авторського права або суміжних прав.

По-третє, важливо перевіряти умови користування конкретним ШІ-сервісом. Якраз вони можуть визначати, хто і в якому обсязі має право використовувати результат генерації, чи дозволене комерційне використання, чи зберігає сервіс права на контент, чи може він використовувати введені користувачем дані.

Для бізнесу це означає, що використання ШІ в маркетингу, дизайні, рекламі та розробці продуктів має супроводжуватися мінімальною юридичною перевіркою: джерело створення, умови сервісу, участь людини, ризик схожості з чужими об'єктами, умови передачі прав клієнту.

Реклама, маркетинг і публічні комунікації

ШІ використовується для створення рекламних текстів, слоганів, описів товарів, email-розсилок, сценаріїв відео, постів у соціальних мережах і зображень. Проблема в тому, що відповідальність за таку рекламу не перекладається на алгоритм.

Закон "Про рекламу" прямо забороняє недобросовісну рекламу та встановлює, що відповідальність за неї несе винна особа. Тому якщо ШІ згенерує перебільшене твердження про властивості товару, неправдиве порівняння з конкурентом, некоректну обіцянку результату або вводитиме споживача в оману, ризик нестиме не ШІ-сервіс, а особа, яка використала та поширила відповідний матеріал.

Особливо уважними мають бути компанії у сферах, де реклама традиційно має підвищені вимоги: фінансові послуги, медицина, фармацевтика, харчові добавки, страхування, освіта, інвестиційні продукти.

Практичне правило тут таке: ШІ може допомагати створювати рекламну ідею, але остаточну юридичну відповідальність за зміст реклами несе людина або компанія, яка її публікує.

Відповідальність за помилки ШІ

Генеративні ШІ-системи можуть створювати переконливі, але фактично неправильні відповіді. Для бізнесу це небезпечно, тому що клієнт, контрагент або споживач не буде розбиратися, хто саме помилився – працівник, підрядник чи алгоритм. Зовні відповідальним виглядатиме той, хто використав результат і видав його як власну позицію, консультацію, документ або комерційну пропозицію.

Це критично для юристів, бухгалтерів, аудиторів, консультантів, медичних сервісів, банків, страхових компаній, HR-відділів і компаній, які приймають рішення щодо прав, грошей або доступу людини до певної послуги.

У таких випадках ШІ не повинен замінювати професійну перевірку. Його безпечніше розглядати як допоміжний інструмент: для структурування інформації, підготовки чернетки, пошуку ідей або попереднього аналізу. Але остаточне рішення має приймати людина, яка розуміє контекст, перевіряє джерела і несе професійну відповідальність.

Такий підхід простежується і в європейському регулюванні. Регламент ЄС 2024/1689 встановлює гармонізовані правила щодо ШІ та використовує ризик-орієнтовану логіку регулювання, зокрема щодо систем високого ризику.

Для українського бізнесу це важливо для майбутньої гармонізації законодавства з ЄС. Також чим більший вплив ШІ на права людини, гроші, роботу, доступ до послуг або безпеку, тим вищими мають бути стандарти контролю.

В HR, банках і медицині: сфери підвищеного ризику

Не всі способи використання ШІ однаково ризикові. Якщо компанія використовує ШІ для генерації ідей для корпоративного заходу, ризик мінімальний. Але якщо алгоритм використовується для відбору кандидатів на роботу, оцінки кредитоспроможності, медичного сортування, страхового скорингу або юридичної консультації, ризики суттєво зростають.

У HR-сфері небезпека в тому, що ШІ може відтворювати дискримінаційні або непрозорі критерії відбору. У банківській сфері – у тому, що автоматизоване рішення може впливати на доступ людини до фінансової послуги, у медицині – помилкова рекомендація може створити ризик для здоров'я, у юридичних послугах – неперевірена відповідь може призвести до пропуску термінів, неправильного способу захисту або хибної правової позиції.

Тому для таких сфер потрібні правила: які інструменти дозволені, які дані можна вводити, хто перевіряє результат, чи фіксується факт використання ШІ, чи повідомляється про це клієнт, чи може людина оскаржити або переглянути рішення.

Що варто зробити

Очікування спеціального закону не повинно бути виправданням для бездіяльності. Компанії, які вже зараз врегулюють використання ШІ, будуть краще підготовлені до майбутнього регулювання. Варто провести внутрішній аудит використання ШІ. Компанія має розуміти, хто саме використовує такі інструменти, для яких завдань, з якими даними і в яких процесах.

Потрібно визначити заборонені категорії інформації, яку не можна вводити у відкриті ШІ-сервіси: персональні дані, комерційну таємницю, фінансові документи, договори з клієнтами, документи з обмеженим доступом, медичні або інші чутливі дані.

Доцільно затвердити внутрішню політику використання ШІ. У ній можна передбачити дозволені сервіси, правила перевірки результатів, відповідальних осіб, порядок використання ШІ в роботі з клієнтами, заборону на автоматичне прийняття критичних рішень без участі людини.

Варто оновити договори з працівниками, підрядниками та клієнтами. У них можна врегулювати питання конфіденційності, використання ШІ, належності прав на результати, заборони завантаження певних даних у сторонні сервіси, відповідальності за порушення.

Потрібно навчити працівників. Адже більшість ризиків виникає через нерозуміння того, що введення інформації в ШІ-сервіс теж може бути юридично значущою дією, а не через злий умисел.