Инструменты соответствия закону ЕС об ИИ в 2026 году: Credo AI, Vanta, Saidot и ещё 5 решений (проверено в августе 2026)

С 2 августа 2026 года правоприменение по закону ЕС об ИИ изменилось, но лучший инструмент — вовсе не тот, у которого самый длинный список контролей. Credo AI — самая сильная универсальная система управления, Vanta — более чистый выбор для команд, где процессом руководит безопасность и где уже переиспользуют свидетельства комплаенса, а официальный чекер ЕС — правильный бесплатный первый шаг. Шесть из семи коммерческих продуктов в этом обзоре по-прежнему скрывают цену подписки.

Короткий ответ: какой инструмент для соответствия AI Act выбрать?

Выберите Credo AI, если вам нужен единый слой управления моделями, поставщиками, политиками, оценками, свидетельствами и надзором в рантайме. Он лучше всего подходит компании с несколькими бизнес-подразделениями или разнородным парком ИИ, где сложная задача — не заполнить один чек-лист, а сохранять связность ответственности и свидетельств, пока системы меняются.

Выберите Vanta, если закупкой уже руководит безопасность или комплаенс, а компания использует Vanta для других фреймворков. Продукт Vanta для AI Act содержит более 150 контролей и 16 политик, и его главное преимущество — переиспользование свидетельств, а не необычайно глубокое тестирование моделей.

Выберите Saidot, если вам нужен европейский граф знаний и совместная работа над системами, моделями, агентами, наборами данных, рисками, контролями и политиками. Выберите OneTrust, когда управление ИИ должно встать рядом с уже работающей программой приватности, управления данными или GRC. Выберите IBM watsonx.governance, когда важны гибридное развёртывание, измеримые оценки моделей или публичная тарификация по потреблению. Выберите Holistic AI, когда в центре работы стоят технические тесты и применение политик в рантайме.

Начните с EU AI Act Compliance Checker, если вы ещё не знаете свою роль и то, какие обязанности могут к вам относиться. Добавляйте Trainual только тогда, когда недостающий слой — это инструктаж сотрудников, назначенное обучение, подтверждение ознакомления и выгружаемые свидетельства по статье 4. Trainual не является платформой для реестра ИИ, классификации, оценки соответствия или мониторинга.

Всё упирается в один вопрос: где уже живут ваши свидетельства? Если они разбросаны по командам моделей и бизнес-подразделениям, Credo AI или Saidot дадут им дом. Если они уже живут в программе контролей безопасности, Vanta — более короткий путь. Если они лежат в OneTrust, держите записи об ИИ рядом с записями о приватности и рисках. Если недостающее доказательство даёт поведение модели, а не документы, сравнивайте IBM и Holistic AI. Если вы не можете сказать, какая роль применима, не покупайте ничего, пока не воспользуетесь официальным чекером.

Что изменилось 2 августа 2026 года?

Дата важна, но не по той причине, которую подсказывают старые таблицы сроков. 2 августа 2026 года не было общей датой старта всех обязанностей по высокорисковому ИИ. Это была дата, с которой начали применяться правила прозрачности статьи 50 и правоприменение по уже действовавшим положениям, включая запрещённые практики, меры по ИИ-грамотности и обязанности поставщиков моделей ИИ общего назначения.

Официальный график имплементации теперь различает шесть вех:

• 2 февраля 2025 года: начали применяться определения, правила о запрещённых практиках и положения об ИИ-грамотности.
• 2 августа 2025 года: начали применяться обязанности поставщиков моделей ИИ общего назначения, и должна была быть создана структура управления на уровне ЕС.
• 2 августа 2026 года: начали применяться правила прозрачности статьи 50, и стартовало национальное или общеевропейское правоприменение по применимым нормам.
• 2 декабря 2026 года: заканчивается переходный период для отдельных систем синтетического контента, размещённых на рынке до 2 августа 2026 года, чтобы обеспечить соответствие пункту 2 статьи 50; начинают действовать и дополнительные запреты.
• 2 декабря 2027 года: по изменённому графику вступают в силу обязанности для высокорискового ИИ из приложения III.
• 2 августа 2028 года: вступают в силу обязанности для высокорискового ИИ, встроенного в продукты, охваченные приложением I.

Последние две даты изменил регламент (ЕС) 2026/1744 — поправка Digital Omnibus, опубликованная в июле 2026 года. Страница, которая до сих пор называет 2 августа 2026 года общим сроком соответствия для высокого риска, устарела.

Что статья 50 означает на практике

Статья 50 — это слой прозрачности. Поставщики систем, которые напрямую взаимодействуют с людьми, как правило, обязаны сообщать им, что они имеют дело с ИИ, если только это не очевидно. Поставщики систем, генерирующих синтетические аудио, изображения, видео или текст, обязаны делать охваченные результаты машиночитаемыми и распознаваемыми как сгенерированные или изменённые ИИ — в пределах ограничений и исключений этой нормы.

У внедряющих сторон свои обязанности по информированию. Они должны сообщать людям, подвергающимся воздействию систем распознавания эмоций или биометрической категоризации, и обязаны прямо раскрывать охваченные дипфейки и отдельные тексты общественного интереса, созданные ИИ. Руководство Комиссии по статье 50 также указывает, что контент, созданный до 2 августа 2026 года, не требует ретроспективной маркировки.

Для чат-бота поддержки свидетельством может быть уведомление, показанное до первого ответа, продуктовое требование, связанное с развёрнутой версией, и протокол теста, доказывающий, что оно отображается во всех поддерживаемых интерфейсах. Для генератора медиа свидетельства могут включать метод машиночитаемой маркировки, релизные тесты, обработку исключений и назначенного ответственного за устранение сбоев. PDF с политикой без доказательства внедрения — самое слабое звено этой цепи.

Что статья 4 означает для обучения сотрудников

Статья 4 требует от поставщиков и внедряющих сторон принимать меры, поддерживающие ИИ-грамотность среди персонала и других людей, использующих системы ИИ от их имени. После поправки Digital Omnibus закон не предписывает конкретный или «достаточный» уровень. Актуальные вопросы и ответы Комиссии об ИИ-грамотности прямо говорят, что никакой сертификат не требуется. Внутренний журнал обучения и других просветительских инициатив может быть надлежащим свидетельством.

Это не делает достаточным один общий ежегодный курс для каждой роли. Рекрутеру, который пользуется системой ранжирования, нужен иной инструктаж, чем инженеру, интегрирующему модель общего назначения, или маркетологу, публикующему синтетические медиа. Полезная запись связывает человека, роль, релевантную систему, назначенный материал, дату прохождения и действующую версию политики. Именно поэтому Trainual попал в этот обзор и именно поэтому он стоит ниже продуктов, способных управлять самими системами.

У поставщиков моделей общего назначения отдельная доказательная нагрузка

Поставщики моделей ИИ общего назначения обязаны вести техническую документацию, передавать нижестоящим поставщикам релевантную информацию, внедрить политику соблюдения авторского права ЕС и публиковать достаточно подробное описание обучающего контента. У моделей с системным риском появляются дополнительные обязанности по оценке, снижению рисков, отчётности об инцидентах и кибербезопасности. Комиссия начала полноценное правоприменение в отношении поставщиков моделей общего назначения, включая право налагать штрафы, 2 августа 2026 года. Для моделей, размещённых на рынке до 2 августа 2025 года, срок приведения в соответствие — 2 августа 2027 года, согласно руководству Комиссии по моделям общего назначения.

Большинство компаний, покупающих перечисленные ниже инструменты, не обучают фронтирную модель. Это внедряющие стороны, которые используют сторонние модели внутри продуктов или бизнес-процессов. Их работа всё равно объёмна: выявить систему, задокументировать её назначение и ответственных, определить роль организации, классифицировать риск, привязать нужные контроли, собрать свидетельства поставщика, обучить затронутых сотрудников, отслеживать изменения и сохранять след принятых решений.

Потолок штрафов высок, но это не критерий покупки

Согласно статье 99, за запрещённые практики может быть наложен максимальный административный штраф в 35 млн евро или 7% общего годового мирового оборота предприятия — в зависимости от того, что больше. Отдельные обязанности операторов и нарушения статьи 50 могут доходить до 15 млн евро или 3%. Неточная, неполная или вводящая в заблуждение информация, предоставленная нотифицированному органу или надзорному органу, может доходить до 7,5 млн евро или 1%. Для МСП и стартапов применяется меньшая из двух величин — фиксированная сумма или процент.

Отдельный потолок статьи 101 за умышленные или неосторожные нарушения поставщиков моделей общего назначения составляет 15 млн евро или 3% общего годового мирового оборота — в зависимости от того, что больше.

Это максимумы, а не автоматические счета. Покупайте исходя из ваших систем, ролей, объёма свидетельств и частоты пересмотра. Гигантская библиотека контролей стоит немного, если никто не отвечает за записи и никто не может показать, какую развёрнутую версию они описывают.

Инструменты соответствия закону ЕС об ИИ: общая картина

Цены и способы доступа ниже сверялись с действующими страницами вендоров 3 августа 2026 года. «По запросу» означает, что вендор не опубликовал сумму подписки, а не то, что продукт обязательно дорогой.

Шесть из семи коммерческих вендоров не публикуют стартовую сумму подписки. IBM — исключение. Эта непрозрачность меняет разумный процесс закупки: сначала формируйте шорт-лист по тому, как продукт закрывает ваши свидетельства, а затем заставьте каждого финалиста посчитать одно и то же — то же число систем в реестре, то же число пользователей, те же интеграции, тот же объём внедрения, тот же уровень поддержки и тот же срок контракта.

Как отбирались эти инструменты

Это сравнительный обзор, а не заявка на практическое тестирование. Каждый продукт сверялся с его актуальными страницами продукта и цен 3 августа 2026 года. Юридические даты и обязанности сверялись с текущими источниками Европейской комиссии, AI Act Service Desk и EUR-Lex. Затем продукты оценивались по семи вопросам покупателя:

1. Реестр: может ли он вести пригодный к работе учёт систем, моделей, агентов, наборов данных, поставщиков, ответственных, назначения и версий?
2. Классификация: помогает ли он определить роль оператора, категорию риска, применимые нормы и обоснование каждого вывода?
3. Связка контролей и свидетельств: соединяет ли он обязанности с политиками, контролями, тестами, согласованиями и исходными свидетельствами без дублирования работы?
4. Техническая уверенность: умеет ли он оценивать поведение модели или связывать рантайм-сигналы с управленческими действиями?
5. Управление изменениями: сохраняет ли он ответственность, историю пересмотров, инциденты, исключения и свидетельства, пока система меняется?
6. Соответствие среде: поддерживает ли он облако, модели и GRC-окружение, в котором покупатель уже работает?
7. Коммерческая ясность: видны ли названия тарифов, лимиты, условия пробного доступа и цены до звонка продавцу?

Рейтинг вознаграждает широту только тогда, когда продукт показывает ещё и правдоподобный рабочий процесс. Бесплатный инструмент определения сферы применения может обойти корпоративную платформу для компании, которая не классифицировала ещё ни одной системы. Платформа обучения может быть ценной для записей по статье 4 и при этом оставаться неподходящим инструментом для управления системами. Продукты исключались, когда их актуальные публичные материалы не подкрепляли ни одного решающего сценария за пределами общих слов о комплаенсе.

1. Credo AI: лучший в целом для сложных портфелей ИИ

Credo AI — самый сильный выбор в целом, когда одной компании нужно управлять множеством систем ИИ, поставщиков и команд по единой операционной модели.

Платформа объединяет обнаружение и реестр ИИ, управление рисками, привязку политик, процессы работы со свидетельствами, отчётность и рантайм-мониторинг. Отдельный пакет политик для AI Act охватывает классификацию рисков, оценки соответствия, управленческие процессы, автоматические свидетельства и аудиторский след. Credo AI также заявляет экосистему из более чем 30 партнёров — гиперскейлеров, системных интеграторов и корпоративных платформ.

Конкретный сценарий — компания, где модели клиентской поддержки, HR-инструменты, внутренние копилоты, API поставщиков и экспериментальные агенты принадлежат разным группам. Credo даёт управлению единое место для определения политики, а каждому владельцу — ограниченный путь для предоставления свидетельств. Это полезнее, чем просить каждую команду толковать закон самостоятельно.

Главная стена — коммерческая прозрачность. Credo не публикует ни названий тарифов, ни сумм подписки, ни включённого числа систем в реестре, ни самостоятельного пробного доступа. Демо подтвердит, подходит ли продукт, но покупка всё равно потребует аккуратно нормализованного предложения. Небольшие компании с десятком простых развёртываний рискуют купить больше управленческой машинерии, чем смогут эксплуатировать.

Кому подходит: Корпорациям и регулируемым скейл-апам с распределённой ответственностью за ИИ и разнородным парком моделей
Сильная сторона: Именной пакет политик для AI Act внутри широкой системы управления «от политики до свидетельства»
Цены: Индивидуальные по заказу; на 3 августа 2026 года нет ни публичных названий тарифов, ни суммы подписки
Пробный доступ: Публичного самостоятельного пробного доступа нет; запрос демо или старт по обращению

Практический пилот с Credo AI

Продукт на первом месте должен доказать полную доказательную цепочку, а не просто нарисовать приятный дашборд.

1. 1

   Возьмите три непохожие системы

   Возьмите одну генеративную функцию для клиентов, один внутренний процесс поддержки решений и один сторонний ИИ-инструмент. Для каждой запишите назначение, ответственного, поставщика, модель, пользователей, географию, категории данных и развёрнутую версию.

2. 2

   Классифицируйте роль и риск

   Прогоните процесс AI Act по всем трём. Попросите вендора показать источник за каждым вопросом, как проверяющий переопределяет ответ и как платформа сохраняет обоснование итоговой классификации.

3. 3

   Привяжите контроли к уже имеющимся доказательствам

   Сопоставьте пять обязанностей со свидетельствами, которые у вас уже есть: оценка поставщика, карточка модели, контроль безопасности, запись об обучении или релизный тест. Измерьте, сколько доказательств удаётся переиспользовать без копирования файлов.

4. 4

   Измените одну систему

   Замените версию модели или добавьте новый сценарий использования. Проверьте, какие оценки открываются заново, кто получает задачу, какая история остаётся видимой и помечаются ли устаревшие свидетельства.

5. 5

   Выгрузите след решений

   Сформируйте документ, который получил бы юрист, аудитор или надзорный орган. В нём должны быть ответственные, источники, даты, согласования, исключения, свидетельства и история версий — без живой экскурсии по продукту.

Вердикт: Credo AI выигрывает, когда проблема — сложность управления. Пропустите его, если нужно лишь определить сферу применения для нескольких систем или сохранить простой журнал обучения.

2. Vanta: лучший для повторного использования свидетельств в командах безопасности

Vanta — самый чистый выбор для компании с сильной функцией безопасности, которая уже ведёт политики, контроли, поставщиков и аудиторские свидетельства в Vanta.

Продукт Vanta для AI Act включает более 150 контролей и 16 политик, а также направляемые процессы, шаблоны с учётом риска, адаптивное определение сферы применения, привязку фреймворков, автоматические задачи, сбор свидетельств и мониторинг инцидентов и моделей. Ключевое преимущество в том, что контроль идентификации, проверка поставщика, политика или запись о доступе могут уже существовать для другого фреймворка, и их можно связать, а не создавать заново.

Представьте SaaS-компанию, которая прошла SOC 2 и ISO в Vanta, а затем добавила ИИ-функции через сторонних провайдеров моделей. Безопасность уже отвечает за свидетельства о поставщиках и технические контроли. Vanta позволяет этой группе распространить привычный рабочий ритм на управление ИИ, не заводя с первого дня отдельную систему контролей.

Та же сильная сторона задаёт и предел. Vanta прежде всего не лаборатория глубокого тестирования моделей. Компании, которой нужны специализированные тесты на предвзятость, устойчивость, состязательные атаки или дрейф, стоит проверить точные интеграции и путь свидетельств, а затем сравнить Holistic AI или IBM. Кроме того, Vanta публикует названия четырёх пакетов, но ни одной суммы.

Кому подходит: Компаниям, которые уже ведут фреймворки безопасности и комплаенса в Vanta
Сильная сторона: Более 150 контролей AI Act и 16 политик с переиспользованием свидетельств между фреймворками
Цены: Essentials, Plus, Professional и Enterprise; у всех индивидуальная цена без публичной суммы
Пробный доступ: Публичного самостоятельного пробного доступа нет; доступно бесплатное демо

Вердикт: Vanta обходит отдельную покупку AI-governance, когда в вашей программе Vanta уже есть большинство людей и доказательств. Выбор смещается к Credo AI или Saidot, когда работой правят связи между системами ИИ и решения по политикам, а не переиспользование контролей безопасности.

3. Saidot: лучшее европейское решение для совместного управления

Saidot лучше всего подходит европейской или ориентированной на ЕС организации, которой нужен связный граф управления и совместный маршрут от контекста системы к работе с политиками и контролями.

Платформа Saidot связывает системы, модели, агентов, наборы данных, риски, контроли и политики через граф знаний, так что общие факты наследуются между записями. В её библиотеке сейчас перечислены более 260 рисков, 620 контролей, 110 политик и 100 широко используемых моделей и продуктов ИИ. Встроенные подключения охватывают Azure AI Foundry и Amazon Bedrock, а для остальных сред есть REST API, вебхуки и MCP-серверы.

Полезный сценарий — финансовая группа, где один и тот же провайдер моделей используется в нескольких приложениях. Один факт о провайдере или модели должен дойти до всех затронутых систем, тогда как локальное назначение, пользователи, данные и контроли остаются разными. Графовый подход спроектирован именно под такую связь, где таблица порождает дубли записей и противоречивые ответы.

EU AI Act System Classification Assistant у Saidot выглядит многообещающе, но его нужно правильно маркировать: это Preview в релизе 8.14.0 от 9 июля 2026 года. Он ведёт по структурированной анкете, предзаполняет известные сведения о системе и разделяет обязанности уровня организации и уровня системы. Прежде чем делать его основой классификации, покупателю стоит проверить, как статус preview влияет на поддержку, стабильность выгрузок и договорные обязательства.

Кому подходит: Организациям, ориентированным на ЕС, которым нужен общий управленческий контекст между связанными активами ИИ
Сильная сторона: Наследование по графу знаний, опирающееся на 260+ рисков, 620+ контролей и 110+ политик
Цены: Стоимость подписки публично не видна; актуальное предложение — по запросу в Saidot
Пробный доступ: Да; предлагается самостоятельный онбординг или сопровождаемый пилот

Пробный доступ — это возможность проверить наследование. Создайте две системы на одной модели, измените один общий факт о провайдере и посмотрите, что обновится автоматически, что потребует пересмотра, а что останется изолированным. Если проверяющие не понимают, почему появилась обязанность, граф добавляет сложность, а не убирает её.

Вердикт: Saidot — более острый европейский вариант для связанных записей и совместной работы с контролями. Пропустите его, если вам нужны публичные цены, полностью выпущенный помощник классификации или самый глубокий набор рантайм-тестов.

4. OneTrust: лучший при уже работающих программах приватности и GRC

OneTrust — разумный выбор, когда управление ИИ должно стать ещё одной управляемой областью внутри уже работающей программы OneTrust по приватности, данным или рискам.

Решение OneTrust для AI Act регистрирует системы ИИ, ведёт реестр и ответственность, связывает риски с системами, автоматизирует процессы и свидетельства и соединяет рантайм-события с управленческими действиями и постмаркетинговым мониторингом. Пакет AI Governance также поддерживает градацию по AI Act, NIST и ISO/IEC 42001, согласования, аттестации, оценочные шлюзы, документацию, отчётность и непрерывный мониторинг.

Лучший случай — транснациональная компания, у которой оценки воздействия на защиту данных, записи о поставщиках, политики и владельцы рисков уже лежат в OneTrust. Сценарий с ИИ часто затрагивает те же персональные данные, обработчиков, трансграничные передачи и бизнес-владельцев. Связанные записи сокращают параллельные анкеты и сохраняют более ясную карту ответственности.

Плохой случай — небольшая продуктовая компания, покупающая OneTrust только ради ИИ. Ценность платформы рождается из окружающего её ландшафта. Публичная страница цен сообщает, что AI Governance тарифицируется по числу администраторов и объёму реестра ИИ, но не публикует ни суммы, ни самостоятельного пробного доступа. Покупателям также нужно спросить, какие технические оценки являются собственными, а какие приходят через интеграции или загруженные свидетельства.

Кому подходит: Организациям, которые уже используют OneTrust для приватности, управления данными, рисков третьих сторон или GRC
Сильная сторона: Записи об ИИ могут стоять рядом с существующими процессами по приватности, рискам, ответственности и свидетельствам
Цены: Индивидуальные, исходя из числа администраторов и объёма реестра ИИ; публичной суммы подписки нет
Пробный доступ: Публичного самостоятельного пробного доступа нет; запрос цены или демо

Вердикт: Выбирайте OneTrust, когда запись об ИИ должна наследовать ответственных и свидетельства из существующей программы OneTrust. Выбирайте специализированную платформу управления ИИ, когда операционную модель должны вести инженерия ИИ, связи между моделями и техническая оценка.

5. IBM watsonx.governance: лучший для гибридных стеков и прозрачной тарификации

IBM watsonx.governance — самый сильный здесь вариант для крупной гибридной среды, которой нужны оценка моделей, управленческие записи и публичный вход в продукт.

IBM позиционирует watsonx.governance как мультивендорный слой управления со связным Governance Graph, привязкой политик и контролей, непрерывной аудиторской отчётностью, реестром и контекстом рисков. Её интегрированная комплаенс-экосистема охватывает более 200 фреймворков. Дополнение Compliance Accelerators включает пакеты политик Credo AI, согласованные с AI Act, ISO/IEC 42001 и NIST AI RMF.

Практически это подходит корпорации, которая запускает модели в нескольких облаках и на собственной инфраструктуре, где риск-функции нужны прослеживаемые записи, а инженерам — измеримая оценка. IBM публикует и ограниченную бесплатную ёмкость, и единицы потребления, поэтому пилот здесь посчитать проще, чем у шести альтернатив с ценой по запросу.

Коммерчески продукт непрост. Действующая страница цен смешивает потребление на управление моделями, компоненты GRC, примеры наблюдаемости, SaaS в AWS и развёртывание ПО. Покупателю нужно понять, какие компоненты решают его задачу, прежде чем принимать любую отдельную цифру за цену платформы.

Кому подходит: Гибридным и мультивендорным корпорациям, которым нужно управление плюс измеримая оценка моделей
Сильная сторона: Публичные цены на Lite, потребление, GRC и наблюдаемость при поддержке более 200 фреймворков
Цены: Lite бесплатен; единицы оценки Essentials начинаются от 0,64 USD; компоненты GRC и развёртывания оплачиваются отдельно
Пробный доступ: Да; доступны тариф Lite и текущий маршрут бесплатной пробы

Тарификация IBM, переведённая в единицы покупки

Тариф Lite у IBM включает примерно 100 оценок моделей, 100 глобальных объяснений, 50 000 локальных объяснений, один реестр, три сценария использования и три пользовательских атрибута на сценарий. Этого хватает, чтобы рассмотреть процесс, но не чтобы представить масштабируемую программу управления.

В рамках Essentials model management IBM указывает 0,64 USD за оценку модели или шаблона, 0,64 USD за глобальное объяснение, 0,64 USD за 500 локальных объяснений и 0,64 USD за 200 оценок сообщений агента. Примеры наблюдаемости на странице простираются от 1,28 USD в месяц за одну модель с одной оценкой в месяц до 161,28 USD в месяц за четыре модели с 30 оценками в месяц и 5 529,60 USD в месяц за восемь моделей с 360 оценками в месяц. Скачок задаёт частота оценок, а не одно только число моделей.

Для GRC Essentials указывает 795 USD за инстанс, 2 650 USD за решение при максимуме в одно и 53 USD за одновременного пользователя при максимуме в 25. Standard указывает 3 710 USD за инстанс, 2 650 USD за решение при максимуме в пять и 53 USD за одновременного пользователя при максимуме в 200. IBM также указывает сумму SaaS в AWS 38 160 USD, включающую один инстанс Governance Console или Model Risk Governance, 12 000 оценок моделей в год, пять сценариев использования ИИ и 25 одновременных пользователей, но не подписывает рядом с этой цифрой период тарификации. Развёртывание ПО тарифицируется по виртуальным процессорным ядрам без публичной суммы за VPC.

Вердикт: IBM выигрывает широтой для гибридных сред и проверяемой стартовой ценой. Выбирайте Holistic AI, когда рантайм-тесты и контроль должны быть сфокусированным центром покупки, или более лёгкую платформу, когда компонентная модель IBM превышает масштаб задачи.

6. Holistic AI: лучший для технических тестов и рантайм-контроля

Holistic AI подходит лучше всего, когда комплаенс-программе нужны технические тесты и применение политик в рантайме, а не только реестры и анкеты.

Платформа Holistic AI охватывает автоматическое обнаружение, живой реестр, тестирование рисков, мониторинг, применение политик и аудиторские свидетельства. Она публикует более 40 специализированных тестов на предвзятость, безопасность, защищённость, производительность, дрейф, деградацию и состязательные угрозы. Её риск-оценки и регуляторные шаблоны сопоставлены с AI Act, NIST AI RMF и ISO 42001.

Самый острый сценарий — бизнес, который показывает клиентам решение ИИ или сгенерированный результат напрямую. Управлению нужно знать не только то, что политика существует, но и то, пересекла ли система порог в продакшене. Слой контроля Holistic AI логирует политику, контекст входа и выхода, действие и исход, что позволяет связать техническое вмешательство с последующей аудиторской записью.

Стена при покупке знакомая: Holistic AI не публикует ни названий тарифов, ни сумм подписки, ни включённого объёма тестов, ни самостоятельного пробного доступа. Более 40 тестов — полезное покрытие, но демо должно показать, какие тесты работают для вашей модальности и архитектуры, как валидируются пороги и что происходит, когда правило блокирует или изменяет выход. Рантайм-контроль с плохо продуманным запасным сценарием способен превратиться в проблему доступности продукта.

Кому подходит: Клиентским или регулируемым системам ИИ, которым нужны специализированные тесты и применение политик в рантайме
Сильная сторона: Более 40 тестов плюс логируемые рантайм-действия, связанные с управленческими свидетельствами
Цены: По запросу; публичных названий тарифов и суммы подписки нет
Пробный доступ: Публичного самостоятельного пробного доступа нет; запрос демо

Вердикт: Holistic AI заслуживает шорт-листа, когда узкое место в свидетельствах — техническая уверенность. Его сложнее оправдать, когда основной пробел в ответственности, базовой классификации, подтверждении политик или переиспользовании обычных контролей безопасности.

7. EU AI Act Compliance Checker: лучший бесплатный первый шаг

EU AI Act Compliance Checker — правильная отправная точка для покупателя, который пока не может назвать роль организации, категорию системы или вероятные обязанности.

Чекер Европейской комиссии и AI Act Service Desk задаёт структурированные вопросы, помогая поставщикам, внедряющим сторонам и другим операторам определить нормы, которые могут к ним относиться. Он бесплатен и доступен до любой закупки, что даёт ему необычную ценность на рынке, где шесть коммерческих вендоров скрывают стартовые цены подписки.

Используйте его для первичной записи по каждой существенно отличающейся системе. Компания, которая предоставляет ИИ-функцию, внедряет сторонний рекрутинговый инструмент и пользуется внутренним копилотом, может занимать разные роли в разных контекстах. Одна метка на уровне всей компании слишком груба.

Чекер прямо обозначен как бета и носит исключительно информационный характер. Его результат не является юридической консультацией и не отражает оценку Комиссией вашей ситуации или обязанностей. Он также не ведёт реестр систем, не собирает свидетельства на постоянной основе, не тестирует модель, не назначает контроли и не отслеживает изменения. Сохраните вопросы и введённые данные, которые дали результат, а неопределённость передайте квалифицированному юристу.

Кому подходит: Бесплатной первичной оценке сферы применения до выбора юристов, контролей или ПО
Сильная сторона: Официальный маршрут вопросов, привязанный к ролям поставщика, внедряющей стороны и иного оператора
Цены: Бесплатно
Пробный доступ: Неприменимо; бета-чекер доступен без платного тарифа

Вердикт: Любому сомневающемуся покупателю стоит воспользоваться официальным чекером до того, как платить за ПО. Но ни одна зрелая программа ИИ не должна принимать его ответ за ту систему управления, которая должна за ним последовать.

8. Trainual: лучший вспомогательный слой для свидетельств ИИ-грамотности

Trainual — платформа документации и обучения, которая может сохранять назначенный инструктаж, прохождение, подтверждение и отчётность для статьи 4, но это не ПО для управления по закону ЕС об ИИ.

Полезная область применения узкая и конкретная. Статья 4 требует от поставщиков и внедряющих сторон поддерживать ИИ-грамотность среди персонала и других людей, работающих с ИИ от их имени. Комиссия говорит, что сертификат не требуется и что внутренний журнал обучения или инструктажа может быть надлежащим. Актуальные пакеты Trainual дают документацию, групповые назначения, сроки, тесты, отслеживание, отчётность, историю версий, подтверждения ознакомления и выгружаемые отчёты в CSV или PDF.

Например, маркетинговая группа, использующая генеративные медиа, может получить инструктаж по раскрытию под конкретную систему, пройти короткую проверку, подтвердить действующую политику и оставить датированную запись. Группа найма получит другой материал, привязанный к системам и решениям, которых она касается. Полезное свидетельство — не общий значок о прохождении, а связка роли, материала, версии, прохождения и последующих действий.

Trainual не заявляет возможностей для реестра систем ИИ, классификации роли оператора или риска, оценки соответствия, оценки моделей или рантайм-мониторинга. Он встаёт рядом с Credo AI, Vanta, Saidot, OneTrust, IBM или Holistic AI, когда свидетельства об обучении слабы. Он не должен их заменять.

Кому подходит: Организациям, которым нужны назначаемые, версионируемые и выгружаемые записи об ИИ-грамотности
Сильная сторона: Ролевая организация обучения и свидетельства ознакомления в специализированной системе документации
Цены: Core, Pro, Premium и Enterprise используют индивидуальную цену подписки; разовая плата за внедрение 1 000 USD раскрыта
Пробный доступ: На текущей странице цен публичного самостоятельного пробного доступа нет; запрос демо

Тарифы Trainual без продажного тумана

Core включает документацию с помощью ИИ, групповое обучение, сроки, тестирование, отслеживание, отчётность, 2 ГБ видеохранилища и историю версий за 30 дней. Pro добавляет индивидуальные маршруты, обязательный просмотр, напоминания о завершении, 300 электронных подписей в год, 15 ГБ видеохранилища и историю за 90 дней.

Premium добавляет неограниченные электронные подписи, неограниченные видеохранилище и историю версий, SSO, собственный бренд и домен, 15 ГБ хранилища SCORM и шаблоны учебных маршрутов. Enterprise добавляет API и поддержку кастомных интеграций, доступ к документации SOC 2, расширенную помощь с миграцией и запуском, выделенный customer success, ежеквартальные обзоры и приоритетную поддержку.

Переход между тарифами ради свидетельств по AI Act — вопрос контроля, а не престижа. Core закрывает групповые назначения и отчётность. Pro становится актуальным, когда важны индивидуальные маршруты, доказательство обязательного просмотра, напоминания или электронные подписи. Premium — шаг ради SSO и неограниченных подтверждений и истории. Enterprise нужен для интеграций, запуска и требований к гарантиям. Поскольку сумма подписки непубличная, требуйте, чтобы предложение разделяло подписку, 1 000 USD за внедрение, миграцию контента и любую работу по написанию материалов.

Вердикт: Trainual заслуживает этого последнего места, потому что свидетельства по статье 4 — живая обязанность, а его механика обучения релевантна. Но он остаётся вспомогательным слоем. Ставить его в один ряд с полноценными платформами управления ИИ без этой оговорки значило бы ввести покупателя в заблуждение.

Кому что выбирать

Самое быстрое решение начинается с недостающего слоя свидетельств, а не с самого большого штрафа или самого длинного списка функций.

Если у вас нет защитимого списка систем, начните со сферы применения. Прогоните существенно разные системы через официальный чекер, затем заведите минимальную запись с ответственным, назначением, ролью, пользователями, географией, данными, поставщиком, моделью, версией и первичным обоснованием риска. Не подписывайте корпоративный контракт ради того, чтобы избежать этой базовой работы с реестром.

Если реестр есть, но управление раздроблено, выбирайте слой программы. Credo AI — вариант по умолчанию для сложного распределённого парка. Saidot сильнее, когда графовые связи, европейский контекст и совместное наследование ложатся на вашу операционную модель. Vanta выигрывает, когда контроли и свидетельства безопасности уже живут в Vanta. OneTrust выигрывает, когда приватность, данные, поставщики и связи GRC уже живут в OneTrust.

Если документы есть, но неопределённость в поведении развёрнутой системы, выбирайте технический слой. IBM подходит гибридной мультивендорной компании, которой нужны публичные стартовые единицы и широкий управленческий контекст. Holistic AI подходит команде, для которой в приоритете специализированные технические тесты и рантайм-контроль. Попросите обоих провести одну провалившуюся оценку через разбор, исключение, устранение, решение о релизе и выгружаемое свидетельство.

Если системы управляются, но инструктаж сотрудников недоказуем, добавьте Trainual. Платформа должна нести ролевые материалы и свидетельства прохождения, тогда как система управления остаётся источником сферы применения систем и контекста обязанностей.

Для небольшой компании практичный стек — это официальный чекер, дисциплинированный реестр, юрист для спорных классификаций, отобранные контроли в уже имеющейся системе безопасности и Trainual только в случае, если записи об обучении разбросаны. Для растущей продуктовой компании центром могут стать Credo AI или Saidot, а вокруг них подключаются технические тесты и свидетельства об обучении. Для крупной гибридной корпорации технический слой могут дать IBM или Holistic AI, тогда как OneTrust или существующая система GRC сохранит более широкие организационные свидетельства.

Если вы ещё проектируете систему, а не покупаете ПО для управления, руководство по ограничителям и радиусу поражения для продакшен-агентов ИИ объясняет, как ограничить права и последствия сбоев. Если в реестре есть агенты, сравнение платформ для ИИ-агентов даёт отдельный маршрут по слою развёртывания. Ни то, ни другое не заменяет описанную здесь юридическую и управленческую работу.

Чего стоит избегать

Избежать неподходящего варианта важнее, чем найти универсального победителя. Эти продукты убедительны в своих полосах, но каждый становится плохой покупкой, когда его тянут за их пределы.

Не используйте официальный чекер как систему комплаенса

EU AI Act Compliance Checker бесплатен, официален и ценен для первичной оценки. Это одновременно бета, чей результат носит информационный характер и не является оценкой Комиссии. Он не может владеть контролями, собирать свидетельства, отслеживать развёртывание или поддерживать реестр в актуальном состоянии. Используйте его в начале, а не как досье, которое вы предъявляете в качестве готовой программы.

Не используйте Trainual как платформу управления ИИ

Trainual умеет документировать политики и доказывать, что названные люди прошли назначенный материал. Он не умеет классифицировать управляемую систему, проводить оценку соответствия, оценивать поведение модели или отслеживать рантайм-события. Покупайте его ради пробела в свидетельствах о грамотности, но никогда потому, что журнал обучения кажется полным покрытием закона ЕС об ИИ.

Не берите Vanta, когда главная потребность — специализированные тесты моделей

Преимущество Vanta — переиспользование контролей и свидетельств, особенно для действующего клиента Vanta. Если нерешённый вопрос касается предвзятости, состязательной устойчивости, дрейфа или рантайм-вмешательства, протестируйте точный процесс до покупки. Holistic AI или IBM могут лучше лечь на этот центр тяжести.

Не берите IBM, когда нужна одна простая коммерческая единица

IBM публикует больше ценовой информации, чем другие корпоративные продукты, и это хорошо. Она же разделяет ёмкость Lite, оценку по потреблению, GRC, наблюдаемость, SaaS в AWS и развёртывание ПО. Покупатель, которому нужен один предсказуемый пакет для небольшого реестра, может потратить слишком много сил на сборку правильных компонентов.

Не берите Credo AI, Saidot или OneTrust ради проекта «для галочки»

Эти системы создают ценность через связи, ответственность, рабочие процессы и повторяющиеся свидетельства. Если руководству нужно один раз заполнить одну анкету, внедрение обнажит это расхождение. Сначала исправьте мандат. Программное обеспечение для управления не заменит полномочия, время людей и процесс изменения продукта, которые организация решила не финансировать.

Также избегайте любого вендора или руководства, где 2 августа 2026 года по-прежнему подают как общий старт высокорисковых обязанностей приложения III без учёта регламента (ЕС) 2026/1744. Актуальные даты — 2 декабря 2027 года для приложения III и 2 августа 2028 года для высокорисковых систем, встроенных в регулируемые продукты приложения I.

Процесс закупки за 30 дней, который оставляет свидетельства

Процесс закупки должен оставить вам записи лучше прежних, даже если вы ничего не купите.

Дни 1–5: соберите выборку

Возьмите пять существенно разных систем, а не пять копий одного чат-бота. Включите клиентскую систему, значимый внутренний процесс, сторонний инструмент, сценарий с генеративным контентом и агента или автоматизацию, если она есть. Зафиксируйте минимальные факты и прогоните каждую через первичный анализ роли и сферы применения.

Дни 6–10: определите доказательную цепочку

Для каждой системы выборки выберите две применимые или потенциально применимые обязанности. Назовите источник, ответственного, контроль, доказательство внедрения, согласование, действующую версию, частоту пересмотра и рантайм-сигнал. Спорные правовые выводы пометьте для юриста. Это станет общим сценарием демо.

Дни 11–20: заставьте финалистов работать в вашем сценарии

Не принимайте заранее собранное идеальное демо. Попросите вендора импортировать или создать пять записей, переиспользовать существующий контроль, направить спорную классификацию на разбор, объявить устаревшее свидетельство недействительным, зарегистрировать исключение, отреагировать на смену версии модели и выгрузить историю. Подключайте юристов, безопасность, продукт, инженерию, закупки и одного бизнес-владельца к своей части, а не ко всем встречам.

Дни 21–25: считайте одну и ту же единицу

Запросите у каждого финалиста тот же размер реестра, то же число проверяющих и участников, те же фреймворки, среды, интеграции, историю свидетельств, поддержку, внедрение и срок контракта. Спросите, какие лимиты запускают следующий ценовой шаг. Для оценки по потреблению смоделируйте ожидаемое число систем, тестов и частоту оценок, а не соглашайтесь на пример с малым объёмом.

Дни 26–30: определите ответственность до подписи

Назначьте исполнительного спонсора, владельца записей о системах, юридического проверяющего, владельцев контролей, ответственного за технические тесты, маршрут инцидентов и процесс ежеквартального пересмотра. Определите, какая платформа является источником для систем, политик, обучения и рантайм-свидетельств. Продукт, который становится ещё одной несвязанной базой данных, провалился до запуска.

Вопросы о законе ЕС об ИИ, которые задают покупатели

Что такое закон ЕС об ИИ?

Закон ЕС об ИИ — это риск-ориентированная нормативная рамка для искусственного интеллекта. Обязанности зависят от роли участника, от системы или модели, от её использования и категории риска, а также от того, где она размещается на рынке, вводится в эксплуатацию или используется. Он охватывает публичных и частных участников внутри и вне ЕС, когда рыночные условия или условия использования связывают их с Союзом.

Что изменилось в законе ЕС об ИИ в 2026 году?

Правила прозрачности статьи 50 и правоприменение по уже действовавшим положениям начались 2 августа 2026 года. Регламент (ЕС) 2026/1744 также перенёс высокорисковые обязанности приложения III на 2 декабря 2027 года, а высокорисковые обязанности для систем, встроенных в продукты приложения I, — на 2 августа 2028 года. Старые страницы с одним общим сроком «август 2026 года» для высокого риска устарели.

Распространяется ли закон ЕС об ИИ на компании из США?

Может распространяться. Рамка охватывает участников, которые размещают систему ИИ или модель общего назначения на рынке ЕС, вводят систему ИИ в эксплуатацию в ЕС или используют её в ЕС. Штаб-квартира в США сама по себе не выводит из сферы действия права ЕС. Определите роль и контекст системы, а для неясного случая обратитесь за юридической консультацией.

Какова главная цель закона ЕС об ИИ?

Рамка нацелена на защиту здоровья, безопасности и основных прав при одновременном создании гармонизированных правил размещения ИИ на рынке ЕС и его использования. Она применяет разные обязанности к запрещённым практикам, высокорисковым системам, случаям прозрачности и ИИ общего назначения, а не регулирует все применения одинаково.

Каковы максимальные штрафы по закону ЕС об ИИ?

Статья 99 устанавливает потолки в 35 млн евро или 7% за запрещённые практики, 15 млн евро или 3% за отдельные обязанности операторов и нарушения статьи 50 и 7,5 млн евро или 1% за неточную, неполную или вводящую в заблуждение информацию, с применимым правилом об обороте, описанным в законе. Для МСП и стартапов применяется меньшая из величин — фиксированная сумма или процент. Статья 101 отдельно ограничивает часть штрафов для поставщиков моделей общего назначения суммой в 15 млн евро или 3%.

Существует ли официальный инструмент для соответствия закону ЕС об ИИ?

Да. AI Act Service Desk предлагает бесплатный Compliance Checker. Это продолжающаяся бета с информационными пояснениями, а не юридическая консультация или официальная оценка Комиссии, и она не заменяет реестр, процесс сбора свидетельств, технические тесты или платформу мониторинга.

Какой инструмент соответствия закону ЕС об ИИ лучший?

Credo AI — самый сильный выбор в целом для сложного распределённого управления ИИ. Vanta лучше при уже работающей программе безопасности в Vanta, Saidot — для связного европейского управления, OneTrust — при существующем ландшафте приватности или GRC, IBM — для гибридного управления и публичной тарификации, а Holistic AI — для технических тестов и рантайм-контроля. Начните с официального чекера, если сфера применения неясна, и используйте Trainual только как вспомогательный слой свидетельств о грамотности.

Получите карту ИИ-инструментов для владельцев бизнеса, чтобы превратить длинный шорт-лист в практичный стек для вашей компании.