Использование искусственного интеллекта уже вышло за пределы экспериментов. По данным, приведённым в обзоре Global Legal Insights, доля кипрских компаний, использующих ИИ, выросла с примерно 2,5% в 2021 году до 8% в 2024-м. Среди крупных фирм показатель достиг 34,9%, среди средних – 14,3%. Более 50 организаций и стартапов уже применяют ИИ в медицине, энергетике, судоходстве, торговле и финансовых услугах.

ВАЖНАЯ ДАТА

В то время как требования для систем общего назначения уже вступили в силу в 2025 году, август 2026-го – срок для внедрения комплаенса в высокорисковых системах (HR, медицина, финансы). Для таких компаний ключевой ориентир – 2 августа 2026 года. Именно с этой даты, как указывает Global Legal Insights, начинает применяться основная часть Регламента ЕС об искусственном интеллекте (EU AI Act), охватывающего все отрасли экономики (кроме военной).

ОТДЕЛЬНОГО КИПРСКОГО ЗАКОНА ПОКА НЕТ

По состоянию на 2025 год Кипр не принял национальный закон об ИИ, машинном обучении и больших данных. Вместо этого страна встраивается в общеевропейскую модель регулирования. Власти уже уведомили Европейскую комиссию о трёх чиновниках, которые будут отвечать за контроль требований, связанных с охраной основных прав: это комиссар по защите персональных данных, омбудсмен и генеральный прокурор. Кроме того, комиссар по электронным коммуникациям определён как «орган уведомления, рыночного надзора и единая точка контакта по вопросам ИИ».

ЧТО НАДО ЗНАТЬ О НОВЫХ ПРАВИЛАХ

EU AI Act, который будет применяться на Кипре, ранжирует все системы по четырем уровням риска: минимальный, ограниченный, высокий и неприемлемый. Для систем ограниченного риска, включая чат-ботов и дипфейки, обязательны уведомление пользователя и маркировка «синтетического» контента. Высокорисковые системы подпадают под жёсткие требования, а системы неприемлемого риска – категорически запрещаются.

К высокорисковым относятся, в частности, системы для критической инфраструктуры, найма, кредитного скоринга (систем оценки кредитоспособности граждан), образования, здравоохранения и доступа к ключевым услугам. Для них обязательны оценка и снижение рисков, качественные данные, документирование, человеческий контроль, а также подтверждённые точность, устойчивость и кибербезопасность.

Запрещены системы, которые манипулируют действиями человека, социальный скоринг, отдельные формы прогнозирования преступного поведения, некоторые случаи удалённой биометрической идентификации в реальном времени, а также распознавание эмоций в системе образовании и на рабочем месте.

ПРАКТИЧЕСКИЕ ШАГИ ДЛЯ БИЗНЕСА

Для частных компаний эксперты выделяют три базовых шага по адаптации к новой нормативной среде:

Идентификация и доступ: Рекомендуется изолировать ИИ-системы, создавая для них отдельные учетные записи, а не используя профили сотрудников. Это критично для аудита.

Принцип минимальных прав: ИИ должен получать доступ только к тем наборам данных, которые необходимы для конкретной задачи.

Прозрачность и контроль: Полномочия системы должны быть видимыми и полностью управляемыми. Компания обязана иметь возможность в любой момент «отключить» ИИ и получить доступ к журналам (логам) его действий.

Эксперты приводят пример типичного риска. Компания подключает ИИ-помощника к корпоративной базе документов, не ограничивая его права. В итоге система получает доступ к конфиденциальным данным клиентов или зарплатным ведомостям, что ведет к нарушению не только AI Act, но и GDPR (регламента ЕС по защите персональных данных).

НОВЫЕ ОБЯЗАННОСТИ ДЛЯ РУКОВОДСТВА

После имплементации NIS2 (Network and Information Security Directive) менеджмент компании должен утверждать меры по управлению киберрисками, контролировать их внедрение и отвечать за сбои. Для финансового сектора действует DORA, регулирующий управление, инциденты, тестирование устойчивости и риски внешних поставщиков. Важно, что директора сохраняют свои обязанности и не могут снять с себя ответственность, сославшись на ИИ или передачу функций третьим лицам.

КАК РАБОТАТЬ С ДАННЫМИ

Для высокорисковых систем закон требует качественных данных обучения: релевантных, репрезентативных, максимально свободных от ошибок и полных в той мере, в какой это технически возможно. Обязательны оценка рисков, меры по их снижению, вероятность вмешательства человека и ведение журналов для выявления дискриминационных эффектов. Это особенно важно в сферах трудоустройства, кредитования, образования, здравоохранения и доступа к услугам. Надо понимать, что несмотря на отсутствие юридических прецедентов на Кипре, ИИ не отменяет профессиональную ответственность человека за итоговое решение.

ИНТЕЛЛЕКТУАЛЬНАЯ СОБСТВЕННОСТЬ

Вопрос прав на ИИ-результат остаётся для бизнеса практическим. На Кипре компьютерные программы и базы данных могут охраняться авторским правом. Работы, созданные в рамках трудовых отношений или по заказу организации, обычно передают права работодателю или заказчику, если иное не указано в договоре. Но результат, созданный ИИ без участия человека, по оценке авторов обзора, скорее всего, не будет считаться объектом авторского права.

Юридическая логика в области патентов ещё строже. Согласно Закону ЕС 16(I)/1998, право на патент принадлежит изобретателю – физическому лицу. Это означает, что полностью машинный результат сам по себе патентной охраны не получает. При этом база данных может охраняться авторским правом только в той части, где есть оригинальность в отборе или структуре, а для самих ценных массивов данных компании могут использовать режим коммерческой тайны по Закону ЕС 164(I)/2020.

ОБЩИЙ ЦИФРОВОЙ КОНТУР

ИИ на Кипре нельзя рассматривать отдельно от системы общего цифрового права. Уже действуют европейский GDPR, национальный закон о защите персональных данных, закон о безопасности сетей и информационных систем, закон об электронной коммерции, а также нормы о защите потребителей, платёжных услугах и дистанционном маркетинге финансовых услуг.

Это означает двойную правовую нагрузку – европейскую и национальную: компании обязаны соблюдать требования по данным, кибербезопасности и устойчивости, но одновременно получают доступ к механизмам поддержки. У CySEC и Центрального банка работают инновационные центры, а для малых и средних компаний доступны гранты, национальные и европейские программы финансирования.

НАЛОГОВЫЕ СТИМУЛЫ

Кипр сохраняет привлекательный налоговый режим для цифровых компаний. С 2026 года стандартная ставка корпоративного налога составляет 15%. Режим IP Box позволяет освободить от налога 80% дохода от квалифицируемых объектов интеллектуальной собственности, включая патенты и программное обеспечение, что даёт эффективную ставку от 2,5%. По расходам на исследования и разработки компании могут заявлять вычет до 120%, убытки по таким инвестициям можно переносить до 10 лет.

Но одновременно цифровой бизнес сталкивается с жёсткими правилами по НДС. Для нерезидентных компаний, продающих цифровые товары и услуги кипрским потребителям, нет порога регистрации: начислять стандартный НДС 19% и регистрироваться нужно с первой продажи. Для сделок между компаниями действует механизм обратного начисления, но споры часто возникают из-за квалификации операций, проверки идентификационных номеров и достаточности документов.

КИПР И ИИ – ПОДВОДИМ ИТОГИ

Кипрским компаниям необходимо ранжировать свои ИИ-инструменты по категориям риска и выстраивать систему отчетности.

В условиях современной экономики Кипра, ориентированной на международный финтех и профессиональные услуги, проверки со стороны клиентов и инвесторов становятся всё более глубокими и требовательными.

Вопрос уже звучит не «Используете ли вы ИИ?», а «Как вы контролируете то, что ИИ разрешено делать?».