Штучний інтелект як актив і як загроза: юридичний погляд зсередини

Можливості використання ШІ: відкриті та закриті системи

ШІ пропонує широкий спектр можливостей, але ключова відмінність полягає в типах систем — відкритих і закритих. У відкритих системах персональні дані (personal data) та історична інформація (historical data), наприклад, клієнтська база, можуть використовуватися для тренування ШІ. Це дозволяє створювати "ваги" (weights) — сценарії поведінки, які покращують виконання запитів. Чим більше тренування, тим ефективніші сценарії, що створює додаткову цінність.

Ця цінність є окремою інтелектуальною власністю, яку потрібно регулювати в контрактах, наприклад, при розробці ПЗ. Якщо не врегулювати, результати можуть бути визнані нелегітимними. Надія підкреслює, що ШІ не є окремим правовим інститутом ні в Європі, ні в Україні. Регулювання здійснюється через комплекс норм: в Україні — Закон про авторське право, Конституція, Закон про захист персональних даних; в Європі — GDPR плюс локальне законодавство кожної країни.

Крім того, важливі контракти та ліцензійні угоди. Користувачі часто погоджуються з умовами, не читаючи їх, що може призвести до неприємних наслідків.

Практичний приклад: використання AI-аватара для онлайн-курсів

Під час дискусії один з учасників запитав, чи можна використовувати AI-аватар для запису онлайн-навчальних курсів на різних мовах і продавати їх у Європі та Азії з правової точки зору. Надія відповіла, що це не заборонено, але вимагає врегулювання ключових аспектів.

Якщо аватар імітує стиль мовлення відомої особи (наприклад, Річарда Гіра), можуть виникнути претензії щодо ідентифікації та персоналізації. Аватар повинен діяти в правових межах: якщо він збирає дані користувачів (через діалоги, опитування), це не повинно виходити за рамки прямого призначення. Інакше це буде незаконним збором інформації.

Особливу увагу потрібно приділити GDPR: якщо сервіс пропонується в ЄС (навіть безкоштовно) або обробляє дані резидентів ЄС, застосовуються суворі правила. При купівлі курсів користувачі вводять ім'я, email, номер телефону — ці дані повинні використовуватися тільки для ідентифікації чи персоналізації, без передачі третім особам. Порушення може призвести до санкцій, як у випадках з LinkedIn та TikTok, де компанії отримали значні штрафи за збір персоналізованої інформації.

Учасник уточнив про політику конфіденційності для поширення курсів у Мексиці. Надія порадила детально аналізувати місцеве законодавство, враховуючи, що воно часто дублює норми США. Важливо врахувати юрисдикцію споживачів: якщо користувач з ЄС вводить дані, застосовується GDPR незалежно від країни продажу. Ситуацію потрібно аналізувати комплексно, з урахуванням місця споживання, типу даних та аудиторії.

Надія зазначила, що її адвокатська компанія працює з правопорядками України, ЄС, США та Канади. Для Мексики можлива підготовка аналізу, оскільки законодавство там подібне до американського. Вона готова надати консультації щодо GDPR та інших юрисдикцій, але радить звертатися з конкретними кейсами для детального розбору.

GDPR: Що це таке і чому це важливо для компаній з ШІ

GDPR (General Data Protection Regulation) — це ключовий законодавчий акт Європейського Союзу, прийнятий у 2018 році, який регулює обробку персональних даних. Він застосовується на всій території ЄС і стосується будь-якої інформації про резидентів ЄС, незалежно від місцезнаходження компанії. Наприклад, якщо українська чи американська фірма обробляє дані європейських клієнтів (наприклад, через фінансовий скоринг або аналіз), вона повинна дотримуватися GDPR. Порушення можуть призвести до значних штрафів, і регулятори активно застосовують санкції до компаній, що використовують ШІ.

Надія Шуляк пояснює, що GDPR не обмежується лише територією ЄС: якщо бізнес пропонує послуги резидентам ЄС або обробляє їхні дані, правила поширюються автоматично. Це створює виклики для глобальних компаній, особливо тих, що впроваджують ШІ для обробки даних.

Приклади штрафів за порушення GDPR у сфері ШІ

Регулятори ЄС активно карають компанії за невідповідність GDPR, особливо коли ШІ залучений до обробки персональних даних. Ось ключові приклади, наведені Надією та підтверджені практикою:

OpenAI (ChatGPT): У 2024 році італійський регулятор (Garante) оштрафував OpenAI на 15 мільйонів євро за відсутність належної правової підстави для використання персональних даних у тренувальних наборах (training sets). Порушення стосувалися статей 6 та 13 GDPR, зокрема браку прозорості та доступу для неповнолітніх.

Replika: Компанія, що розробляє ШІ-чатбот для емоційного спілкування, отримала штраф у 5 мільйонів євро від італійського регулятора в 2025 році. Причина — порушення щодо вікової верифікації та ризиків для дітей, без урахування захисту вразливих груп.

Автоматизовані системи прийняття рішень: Багато компаній штрафують за порушення статті 22 GDPR, яка забороняє повністю автоматизовані рішення без людського контролю. ШІ може рекомендувати (наприклад, видачу кредиту чи найм працівника), але остаточне рішення повинно приймати людина. Порушення включають відсутність контролю, що призводить до серйозних санкцій. Надія зазначає, що системи повинні мати чіткі показники людського втручання, можливість оскарження та логічного обґрунтування рішень.

LinkedIn: У 2024 році ірландський регулятор (DPC) оштрафував LinkedIn на 310 мільйонів євро за відсутність згоди на збір поведінкових даних користувачів (наприклад, час активності, взаємодії та контакти). Ці дані використовувалися для рекламних алгоритмів без належної правової підстави.

Clearview AI: Компанія, що розробляє ШІ для розпізнавання облич, отримала кілька штрафів, зокрема 30,5 мільйонів євро від нідерландського регулятора (AP) у 2024 році за незаконне зберігання та обробку біометричних даних громадян ЄС без згоди. Загалом штрафи перевищили 90 мільйонів євро по Європі.

Ці приклади ілюструють, що штрафи часто комплексні, охоплюючи статті 5, 6 та 22 GDPR. Надія радить вивчати GDPR у відкритому доступі та аналізувати, як ШІ обробляє дані, щоб уникнути санкцій.

Вимоги до систем ШІ для відповідності GDPR

Щоб уникнути штрафів, системи ШІ повинні бути підконтрольними людині. Ключові рекомендації від Надії:

Людський контроль: ШІ може збирати дані та пропонувати рекомендації (наприклад, "У Петренка негативна кредитна історія через незакриті зобов'язання"), але рішення приймає людина. Система повинна фіксувати показники для обґрунтування.

Право на оскарження: Користувачі повинні мати опцію оскаржити рішення, надати пояснення чи коментарі.

Можливість змін: Людина, що контролює процес, повинна мати змогу змінити, заблокувати чи переробити рекомендації ШІ.

Документація: Усе це повинно бути прописано в умовах використання, політиках конфіденційності та контрактах. Відсутність мінімізації даних чи незаконної обробки (lawfulness of processing) призводить до штрафів.

Крім того, GDPR захищає зовнішній вигляд особи, поведінкові сигнали та біометрію, забороняючи їх копіювання без згоди.

Практичні проблеми в Європі: приклади з Німеччини та Литви

Надія наводить приклади реальних викликів для компаній з ШІ в ЄС:

Литва: Фінтех-компанія з України, що використовувала ШІ для прогнозування кредитних ризиків клієнтів у Литві, отримала значні штрафи за неврахування GDPR. Обробка включала фінансові дані, поведінкові транзакції та демографію. Незважаючи на українське резидентство, компанія підпадала під ЄС-регуляцію через дані резидентів.

Німеччина: Компанії, що надають послуги страхування чи подібні через ШІ (наприклад, автоматизовані ланцюги сайтів), стикаються з суворими вимогами. Надія згадує успішні кейси, але підкреслює ризики: штрафи не обмежуються грошима — регулятори можуть вимагати видалення даних, змін чи припинення діяльності.

Ці випадки підкреслюють необхідність комплексного аналізу: не тільки локації компанії, але й даних, з якими вона працює, та правовласників.

Ризики при створенні чи придбанні продуктів на базі ШІ

Надія Шуляк продовжує обговорення, акцентуючи на практичних ризиках, пов'язаних з використанням штучного інтелекту (ШІ) в бізнесі. Вона виділяє два ключових ризики для компаній та інвесторів.

Перший ризик: Неповна передача прав на дані та "ваги" (weights).** Якщо при придбанні чи створенні ШІ-продукту не врегульовано питання передачі бази даних, акумульованої ШІ, або "ваг" (моделей, тренованих на даних), інвестор може опинитися в ситуації, коли використання певних даних буде заборонено. Наприклад, покупець отримує лише програмне забезпечення, але без прав на історичні дані чи моделі, що призводить до юридичних обмежень і потенційних втрат.

Другий ризик: Багатство правовласників через відкриті системи ШІ.** ШІ сам по собі не є правовласником — це інструмент, подібний до машини. Права належать людині чи компанії, яка створює промпти, технічні завдання та контролює процес. Однак у відкритих системах ШІ дані, завантажені для тренування, використовуються для глобального вдосконалення. Це може призвести до того, що подібний продукт чи візуальний об'єкт отримає інша особа за схожим промптом, викликаючи претензії від оригінального замовника. Надія радить чітко вказувати в угодах тип ШІ (відкритий чи закритий), модель і умови використання, щоб уникнути дублювання та витоку історичних даних, включаючи персональні.

Захист персональних даних і вимоги GDPR

Повертаючись до питання учасника про збір даних (телефон, email тощо) для онлайн-курсів, Надія наголошує, що дані повинні використовуватися виключно за задекларованою метою (ідентифікація, верифікація). Будь-яка обробка чи аналіз поза цим — порушення. Обов'язковою є DPIA (Data Protection Impact Assessment) відповідно до статті 35 GDPR: аналіз ризиків використання персональних даних. Без цього власник ШІ не зможе довести законність обробки, що призведе до штрафів чи блокування.

Відповідальність за рішення ШІ: дисклеймери не працюють

Багато клієнтів намагаються "перекласти" відповідальність на алгоритм через дисклеймери в угодах. Однак це неефективно. Якщо ШІ видає рекомендацію, що зачіпає конституційні права (наприклад, відмову в роботі чи кредиті), відповідальність несе компанія, а не алгоритм. Судова практика в ЄС та Україні (хоч і обмежена) визнає ШІ інструментом, а не суб'єктом. Дисклеймери типу "компанія не відповідає за автоматичні рішення" не мають юридичної сили і можуть бути визнані недійсними. Надія попереджає: такі формулювання негативно оцінюються регуляторами захисту даних та прав людини.

ШІ як джерело підвищеної небезпеки: аналогія з автомобілем

Щоб ілюструвати відповідальність, Надія проводить паралель з автомобілем — джерелом підвищеної небезпеки в більшості юрисдикцій (в Україні — стаття 1187 Цивільного кодексу). Власник чи водій повинен бути особливо обережним, щоб уникнути шкоди. Аналогічно, ШІ вимагає посиленого контролю, тестування та нагляду. Якщо через ШІ заподіяно шкоду, діє презумпція вини власника — йому доведеться доводити невинуватість. Це протилежно презумпції невинуватості в кримінальному праві; у цивільній та господарській відповідальності акцент на мінімізації ризиків.

Судова практика: як довести контроль над ШІ-ризиками

На основі судової практики Надія перелічує елементи, які компанії повинні мати для захисту:

Формалізована AI-політика: Документ, що визначає сфери застосування ШІ, рівні автоматизації, ролі відповідальних осіб та принципи використання.

Попередня оцінка ризиків:Аналіз впливу на права, дискримінаційні ризики та помилкові рішення перед запуском.

Тестування та валідація: Перевірка точності, стабільності та відсутності вразливостей у замкненому циклі.

Human oversight: Механізм людського контролю за спірними рішеннями.

Журнал помилок: Фіксація скарг, аномалій та заходів усунення.

Процедура оскарження: Для клієнтів та користувачів.

Навчання персоналу: Щоб забезпечити правильне використання ШІ.

Ці заходи демонструють суду, що бізнес контролює ризики.

Застосування GDPR до продуктів з ШІ в ЄС

У продовженні дискусії учасники уточнюють нюанси GDPR для компаній, чиї продукти можуть використовуватися в ЄС. Надія Шуляк наголошує: якщо не можна гарантувати, що користувачі не є резидентами ЄС або що продукт не оброблятиме їхні дані, краще не ризикувати, покладаючись лише на українське законодавство. Навіть якщо бенефіціар — українець чи компанія зареєстрована в Україні, але продукт діє в ЄС (або в конкретних країнах, зазначених в оферті), він автоматично підпадає під GDPR.

Це стосується навіть простих даних, як номери телефонів чи нікнейми, якщо вони дозволяють ідентифікувати користувача, аналізувати поведінку чи проводити інший аналіз поза задекларованим у дисклеймері чи ліцензійній угоді. Учасник запитує про номери телефонів, куплені в Латинській Америці чи Африці, які не пов'язані з особою. Надія пояснює: якщо дані використовуються виключно для ідентифікації та верифікації, без несанкціонованого аналізу чи передачі, це легально. Однак збір і передача навіть номерів та нікнеймів третім особам — порушення, що може призвести до значних штрафів, як у практиці GDPR.

Вона наводить приклади, де штрафи застосовувалися саме за передачу даних, а не за використання в рамках правил. Якщо дані не виходять за межі задекларованої мети — санкцій не буде.

Системи ШІ під особливим ризиком та рекомендації

Надія коротко описує системи ШІ, що потребують особливої уваги:

• HR-системи для роботи з людським капіталом.

• Кредитні та фінансові скоринги.

• Системи визначення доступу до послуг (освітні, соціальні, комунальні).

Приклад: ШІ-програма, що вирішувала, хто проходить на посаду за конкурсом, була заборонена, оскільки рішення повинна приймати людина, а не алгоритм.

Для мінімізації ризиків Надія радить:

• Прописувати в контрактах об'єкти авторського права та інтелектуальної власності: не лише програмний код (стандартний елемент), а й архітектуру моделі, "ваги" (model weights) після навчання, власність на треновані моделі, результати fine-tuning (додаткові алгоритми, напрацьовані під час роботи з даними) та ключові алгоритмічні механізми. Без цього виникають спори та ризики штрафів.

• У внутрішніх процедурах (compliance) визначати: ролі в захисті даних (контролер даних), політики обробки персональних даних, врахування вимог до автоматизованих рішень, первинну оцінку відповідності чинним і майбутнім нормам ШІ (наприклад, проєкт AI Act ЄС, який, на її думку, слабкий і зміниться з практикою).

Надія згадує, що розробила систему положень і договорів для мінімізації ризиків, але через часові обмеження не встигає деталізувати.

Перехід до обговорення контрактів як регулятора

Надія пропонує обговорити контракти, оскільки це "близько до тіла" і допоможе учасникам зрозуміти безпеку. Вона нагадує про суверенітет держав: регулювання персональних даних локальне (наприклад, Цивільний кодекс Іспанії не діє в Україні). Але контракт — це інструмент, на який бізнес може впливати.

У традиційних IT-проектах відсутність детального договору створює фінансові ризики: перевищення бюджету, спори щодо строків, якості та обсягу послуг. Народна IT-мудрість: без нормального технічного завдання (ТЗ) результат — "ХЗ" (хтозна-що). Це стосується й юридичного бізнесу: без розуміння, що регулювати, виникають проблеми.

Надія Шуляк продовжує акцентувати на критичній ролі договорів у проектах, пов'язаних зі штучним інтелектом (ШІ). На відміну від традиційних IT-проектів, де неструктурований договір може призвести до фінансових ризиків (перевищення бюджету, спорів щодо строків чи якості), у ШІ-проектах наслідки серйозніші: можлива втрата контролю над продуктом як юридичним активом. Якщо побажання клієнта не враховані в деталях, це створює значні мінуси.

Наприклад, якщо за допомогою відкритої системи ШІ створено торгову марку (знак для товарів і послуг), вона повинна відповідати міжнародним вимогам: бути новою та ідентифікувати надавача послуг чи продавця. Однак алгоритми, треновані на відкритих базах даних (historical data), можуть генерувати подібні або ідентичні знаки для інших осіб, що призводить до патентних спорів. Питання про походження, першість та елементи дизайну стають ключовими, особливо якщо дизайнер використовував відкриту систему.

Компоненти ШІ-системи та необхідність регулювання прав

ШІ-система не обмежується програмним кодом. Вона включає:

• Моделі та архітектуру.

• "Ваги" (weights) після навчання.

• Результати fine-tuning (тонкого налаштування).

• Датасети (набори даних).

• Конфігурації.

• Результати генерації.

Якщо правовий режим цих елементів не визначений у договорі, компанія, яка профінансувала розробку, може не мати повноцінних прав розпоряджатися продуктом. Деякі відкриті моделі ШІ дозволяють безкоштовне використання, але вимагають розкриття результатів. Правовласник системи може вимагати відкриття напрацювань, роблячи продукт неексклюзивним. Інвестори зазвичай прагнуть ексклюзивності з унікальними специфіками, тому регулювання прав на модель та похідні елементи є обов'язковим.

За відсутності чітких положень про передачу майнових прав інтелектуальної власності застосовується загальний принцип: права належать творцю (розробнику чи підряднику). Замовник може не мати прав на:

• Модифікацію моделі.

• Перенесення на іншу інфраструктуру.

• Передачу афілійованим компаніям (наприклад, з Німеччини до Іспанії).

• Самостійний розвиток з іншими підрядниками.

Це створює залежність від початкового виконавця, навіть після повної оплати. Часто виникають ситуації, подібні до шантажу: відмова в наданні исходників чи даних, оскільки договір не передбачає права на модифікацію. Зворотний ефект можливий: якщо замовник недоплатив чи поводився некоректно, розробник може контролювати продукт і перешкоджати діяльності.

Результати навчання на даних клієнта: ризики та наслідки

Навчання базової системи на даних клієнта формує унікальну цінність продукту. Якщо договір не визначає режим цих результатів, підрядник може вважати їх частиною своєї бази. Замовник ризикує втратити контроль над напрацюваннями та не мати гарантій, що вони не будуть використані для інших клієнтів. Це особливо критичне для фінансових стимулів чи застосунків, де fine-tuning є ключовим.

Практичні наслідки відсутності належного договору:

• Неможливість легального розгортання системи на нових серверах чи в хмарах.

• Заборона на передачу продукту дочірнім компаніям чи інвесторам.

• Відсутність права залучати інших розробників для підтримки та розвитку.

Юридично це виглядає як відсутність правового титулу на ключовий нематеріальний актив, що був об'єктом інвестицій.

Due Diligence: перевірка прав на активи

У світі існує процедура due diligence (або legal due diligence) — комплексна перевірка об'єкта інвестицій кваліфікованою особою для виявлення ризиків. Інвестор насамперед перевіряє права компанії на технологічні активи. Якщо права на модель, "ваги" чи алгоритми залишилися у підрядника, це критичний ризик, що призводить до відмови від інвестицій.

Це актуально, якщо мета — господарська діяльність з продуктом, продаж ліцензій чи екзит (вихід з інвестицій) через продаж юридичної особи. Відсутність прав на всі компоненти сприймається як фатальний недолік, що блокує угоди.

У практиці стартапи, інвестувавши значні кошти в ШІ-рішення, не могли підтвердити права на ML-компоненти (machine learning). Інвестори або відмовляються, або вважають право власника "хитким", що знижує вартість.

Стратегічні аспекти договорів у сфері ШІ

Договори в ШІ повинні охоплювати не тільки операційні, але й стратегічні функції:

- Чи є продукт самостійним об'єктом інтелектуальної власності?

- Хто має права на використання, зміну, масштабування та комерціалізацію (отримання прибутку)?

- Чи може компанія залучати інвестиції чи продавати бізнес з технологією?

- Чи має кінцевий бенефіціар право продавати корпоративні права?

Приклад: Компанія "Ромашка" об'єднала IT-спеціалістів і розробила ШІ-продукт. Оцінювачі (спеціалісти з оцінки нематеріальних активів) визначили вартість у 3 мільйони доларів (не завжди методом капіталізації, а за спеціальними методиками). Варіанти дій: трансфер продукту за 3 млн дол. з податками чи продаж корпоративних прав у ТОВ з статутним капіталом 50 тис. грн. Очевидно, другий варіант дешевший, але вимагає чітких прав на активи.

Надія Шуляк завершує приклад з компанією «Ромашка», яка розробила цінний ШІ-продукт (оцінений у 3 млн доларів). Вона пояснює два сценарії продажу та їх податкові наслідки:

Продаж самого продукту (нематеріального активу)**: Трансфер майнових прав інтелектуальної власності на 3 млн дол. (≈ 126–129 млн грн за курсом 42–43 грн/дол.). Податкове навантаження залежить від системи оподаткування: податок на прибуток підприємств, ПДФО чи інші податки на дохід від відчуження. Навіть за спрощеною системою (наприклад, 5 %) сума податків буде суттєвою.
Продаж корпоративних прав (частки в ТОВ)**: Статутний капітал — 50 тис. грн. Якщо продаж відбувається за номіналом або без значної надбавки, податку може не бути взагалі (або мінімальний). Це значно вигідніше з точки зору податкового навантаження.

Надія підкреслює: простіше та дешевше купувати не продукт, а юридичну особу-власника продукту. Це дозволяє мінімізувати податкове навантаження, особливо при екзиті чи залученні інвестицій. Однак передача майнових прав не може бути за заниженою вартістю — регуляторні органи можуть дооцінити транзакцію до ринкової.

Вона уточнює, що дивіденди тут не застосовуються (дивіденди — це розподіл прибутку за результатами періоду, а не передача активів).

Ключові положення, які обов’язково мають бути в договорах на розробку ШІ

Надія наводить must-have елементи договорів з підрядниками/розробниками ШІ-продуктів:

1. Право інтелектуальної власності

• Чітко визначити об’єкти, що переходять у власність замовника: код, модель, результати навчання, output (генеровані результати), ваги (weights), fine-tuning.

• Об’єкти, що залишаються у підрядника.

• Об’єкти, що надаються на умовах ліцензії: територія, строк, право модифікації, право передачі афілійованим структурам чи третім особам.

Без цього використання продукту в іншій країні (наприклад, з Іспанії в Польщі) може призвести до блокування та санкцій за порушення ліцензії.

2. Гарантії постачальника щодо даних для навчання

• Дані зібрані та використані правомірно.

• Не порушують авторські права, права на бази даних чи персональні дані.

• Обробка персональних даних відповідає GDPR та іншому застосовному законодавству.

• Обов’язково прописати конкретні санкції за порушення гарантій: відшкодування прямих реальних збитків + фіксована мінімальна сума («не менше ніж…»), щоб полегшити доведення шкоди.

3. Пояснюваність та аудит

• Постачальник надає достатню інформацію про принципи роботи системи.

• Забезпечує можливість пояснення логіки рішень (для відповідності регуляторним вимогам).

• Дозволяє внутрішній аудит системи.

4. Indemnities (відшкодування шкоди третім особам)

• Постачальник відшкодовує збитки, якщо система порушує права інтелектуальної власності третіх осіб.

• Претензії через незаконне використання навчальних даних (historical data).

• Претензії через внутрішні характеристики чи недоліки моделі.

Рекомендовані (бажані) положення договорів

Заборона або чіткі межі використання даних замовника для навчання загальних моделей постачальника (відкритих ШІ-систем).
Обов’язок підтримувати механізми людського перегляду рішень (human oversight): audit trails, інтерфейси для пояснення рекомендацій.
Гарантії відповідності систем вимогам застосовного законодавства.
Право замовника або незалежного аудитора перевірити відповідність системи гарантіям щодо безпеки даних та функціонування.

Надія підкреслює: відсутність механізмів передачі моделі та складових призводить до технологічної та правової залежності від постачальника, що створює умови для шантажу, нових вимог та блокування розвитку.

Підсумок зустрічі

За півтори години Надія Шуляк надала насичений огляд ризиків використання ШІ в бізнесі: від GDPR та штрафів до інтелектуальної власності, договорів, due diligence та податкової оптимізації. Вона зазначає, що не встигла розповісти про все: дисклеймери, перевірки в контрактах, статутні та внутрішні процедурні положення (compliance), відповідальність керівництва за дії програмістів, які використовують відкриті ШІ (наприклад, ChatGPT) без контролю.

Штучний інтелект як актив і як загроза: юридичний погляд зсередини

Бізнес на автопілоті: як AI-агенти змінюють компанії вже сьогодні

Claude Design: використовуємо ШІ для створення комерційних презентацій, Instagram кар...