Австрійська юридична фірма підключила AI-асистента для роботи з клієнтськими договорами. Через три місяці — лист від DSB (австрійського регулятора): "Яка правова база для обробки персональних даних ваших клієнтів через американський AI-сервіс?" Фірма не мала відповіді. Штраф і репутаційні втрати виявились значно дорожчими ніж власне впровадження системи. Коротка відповідь: GDPR в Німеччині і Австрії — це не просто загальноєвропейський регламент. Це GDPR плюс національні закони BDSG і DSG, плюс EU AI Act з серпня 2026, плюс активні регулятори з реальними повноваженнями. Для бізнесу що використовує AI — це подвійний або потрійний шар вимог.
⚡ Коротко
- 🇩🇪 Німеччина: GDPR + BDSG + нові TOM-вимоги від BfDI (червень 2025) для AI-систем
- 🇦🇹 Австрія: GDPR + DSG + Digital Austria Act 2.0 (2025) — суворий контроль передачі даних за межі ЄС
- ⚖️ EU AI Act: з 2 серпня 2026 — повні вимоги для AI-систем високого ризику, штрафи до €35 млн
- 🚫 Заборонені AI-практики: вже з лютого 2025 — соціальний скоринг, маніпуляція поведінкою, біометрична ідентифікація в реальному часі
- 📄 DPA обов'язковий: без підписаного Data Processing Agreement будь-яка обробка персональних даних через AI — незаконна
- 🏠 Сервер у ЄС: єдиний надійний спосіб уникнути вимог до транскордонного трансферу
- 👇 Нижче — детальний розбір кожної вимоги з посиланнями на офіційні джерела і практичний чеклист
📚 Зміст
- Чим GDPR в Німеччині відрізняється від загальноєвропейського: BDSG і вимоги 2025–2026
- Вимоги австрійського DSG до обробки даних через AI
- EU AI Act і GDPR: подвійний шар відповідальності з серпня 2026
- Які AI-сервіси офіційно заборонені або під питанням в ЄС
- Data Processing Agreement: що підписувати з AI-провайдером
- Сервер у Німеччині vs сервер у США: юридична різниця
- Хто перевіряє і що шукає регулятор при аудиті AI-систем
- Чеклист: 10 кроків відповідності GDPR + AI Act для бізнесу в DE/AT
- Часті питання
- Висновки
- Потрібна консультація?
Чим GDPR в Німеччині відрізняється від загальноєвропейського: BDSG і вимоги 2025–2026
GDPR — це загальноєвропейський регламент. Але в Німеччині він доповнюється Bundesdatenschutzgesetz (BDSG) — федеральним законом про захист даних, який в деяких аспектах суворіший за GDPR. Для AI-систем це означає додатковий шар вимог поверх загальноєвропейських.
Більшість бізнесів думають: "ми знаємо GDPR — ми відповідаємо вимогам". У Німеччині це не так. За оцінкою CMS Law, 2025 рік був характеристичний динамічними змінами в праві ЄС і Німеччини в сфері захисту даних і AI — зокрема через паралельне впровадження GDPR, BDSG і EU AI Act.
Що таке BDSG і чим він відрізняється від GDPR
Bundesdatenschutzgesetz (BDSG) — федеральний закон Німеччини про захист даних. Він не замінює GDPR а доповнює його в областях де GDPR залишає простір для національного регулювання. Офіційний текст доступний на Gesetze im Internet (Bundesministerium der Justiz).
Ключові відмінності BDSG від базового GDPR для AI-систем:
- ✔️ Автоматизовані рішення (§ 37 BDSG): GDPR забороняє автоматизовані рішення що суттєво впливають на людину — але допускає виключення. BDSG додає суворіші процедурні вимоги для таких виключень у German контексті. Якщо ваш AI-асистент впливає на рішення щодо людини (наприклад HR або кредитні рішення) — § 37 BDSG застосовується
- ✔️ Дані співробітників (§ 26 BDSG): окремий розділ регулює обробку даних в контексті зайнятості. Якщо ваша AI-система обробляє HR-документи — § 26 BDSG встановлює додаткові вимоги до правової бази
- ✔️ Штрафи (§ 83 BDSG): BDSG встановлює порядок накладення штрафів і розподіл компетенцій між федеральними і земельними органами. У Німеччині є 17 DPA — федеральний BfDI і по одному в кожній федеральній землі
- ✔️ Призначення DPO (§ 38 BDSG): Німеччина встановила нижчий поріг для обов'язкового призначення Data Protection Officer — 20 осіб що постійно обробляють персональні дані (GDPR встановлює більш розмиті критерії)
Нові TOM-вимоги від BfDI для AI-систем (червень 2025)
У червні 2025 року німецькі органи захисту даних (DPA) видали суттєво оновлений гайдлайн щодо технічних і організаційних заходів (TOM) для AI-систем. За аналізом Hogan Lovells, цей гайдлайн структурований навколо чотирьох ключових фаз розробки AI-систем: проектування, розробка, впровадження і операційна діяльність.
Для бізнесу що впроваджує AI-асистент на документах — найважливіші вимоги цього гайдлайну:
- ✔️ Privacy by Design: захист даних повинен закладатися на етапі проектування системи, а не додаватися пізніше. Це означає що вибір між хмарним і self-hosted рішенням — це не тільки технічне а й юридичне рішення
- ✔️ Мінімізація даних: AI-система повинна обробляти мінімально необхідний обсяг даних. Якщо для відповіді на питання достатньо анонімізованого фрагменту документа — система не повинна передавати повний документ з метаданими
- ✔️ Прозорість алгоритму: організація повинна бути здатна пояснити як система приймає рішення — особливо якщо рішення стосуються фізичних осіб
- ✔️ Документація: всі TOM повинні бути задокументовані і доступні для перевірки регулятором
Повний офіційний гайдлайн від BfDI доступний на bfdi.bund.de — Федеральний уповноважений Німеччини з питань захисту даних та свободи інформації.
Земельні DPA Німеччини і AI
Особливість Німеччини: паралельно з федеральним BfDI діють 16 земельних DPA (Landesbeauftragte für Datenschutz). Для бізнесу це означає що залежно від того в якій землі знаходиться ваш головний офіс — ваш наглядовий орган може бути різним. Наприклад, Баварія має Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) — один з найактивніших регуляторів в ЄС щодо AI і GDPR.
BayLDA у 2024–2025 роках випустило кілька практичних рекомендацій щодо використання ChatGPT і хмарних AI-сервісів у бізнесі, де прямо вказало що стандартне використання ChatGPT Plus без DPA і без data residency в ЄС є порушенням GDPR для більшості корпоративних сценаріїв.
Вимоги австрійського DSG до обробки даних через AI
Австрія доповнює GDPR своїм Datenschutzgesetz (DSG) — і в деяких аспектах, особливо щодо транскордонної передачі даних, австрійська практика виявилась суворішою ніж в інших країнах ЄС. Справа Google Analytics стала прецедентом для всієї Європи.
Офіційний текст австрійського DSG доступний на RIS (Rechtsinformationssystem des Bundes) — реєстрі законодавства Австрії. Наглядовий орган — Datenschutzbehörde (DSB).
Як DSG доповнює GDPR в контексті AI
За роз'ясненнями DSB, AI-системи в Австрії підпадають під принципи мінімізації даних, обмеження мети і прозорості як за GDPR так і за DSG. При цьому DSG містить кілька специфічних національних положень:
- ✔️ Вікова згода (§ 4(4) DSG): Австрія встановила вік згоди для онлайн-сервісів у 14 років (GDPR дозволяє від 13 до 16). Якщо ваш AI-сервіс доступний неповнолітнім — це критично важлива відмінність
- ✔️ Відеоспостереження (§§ 12-13 DSG): окремі правила для CCTV і відеоспостереження — суворіші за GDPR
- ✔️ Трудові відносини: DSG не містить окремого розділу про дані співробітників — натомість діє ArbVG (Arbeitsverfassungsgesetz). Для HR-AI систем в Австрії — потрібна згода виробничої ради (Betriebsrat) для певних систем контролю
Прецедент Google Analytics: чому Австрія — найсуворіша юрисдикція для трансферу даних
У 2022 році DSB випустив рішення проти Google Analytics яке стало прецедентом для всієї Європи. За аналізом RecordingLaw, рішення DSB встановило що додаткові заходи захисту (supplementary measures) повинні демонстративно унеможливлювати доступ іноземних спецслужб — ризиковий підхід що стверджує що таке спостереження малоймовірне — не відповідає цим вимогам.
Це означає: для австрійського регулятора недостатньо сказати "ймовірність доступу NSA до наших даних низька". Потрібна технічна неможливість такого доступу. Для AI-систем що обробляють персональні дані і зберігають їх на американських серверах — це фактично вимога або EU data residency або self-hosted рішення.
Digital Austria Act 2.0 (2025) і суверенітет даних
У 2025 році Австрія прийняла Digital Austria Act 2.0, який мандатує скорочення залежності від не-європейських пропрієтарних технологій і встановлює "Sovereignty Compass" для державного управління. До 1 липня 2026 всі федеральні реєстри даних мають бути підключені до Austrian Micro Data Center (AMDC).
Для приватного бізнесу Digital Austria Act 2.0 не є обов'язковим — але він задає напрямок регуляторного вітру і сигналізує що австрійський регулятор буде все суворіше ставитися до використання неєвропейських AI-платформ для обробки персональних даних.
EU AI Act і GDPR: подвійний шар відповідальності з серпня 2026
EU AI Act не замінює GDPR — він додається до нього. З 2 серпня 2026 компанії що використовують AI-системи високого ризику зіткнуться з подвійними перевірками: від DPA (GDPR) і від нових AI-регуляторів (AI Act). Штрафи за AI Act вищі ніж за GDPR.
EU AI Act набув чинності 1 серпня 2024 і застосовується поетапно. Для бізнесу в DE/AT важливі такі дедлайни:
Ключові дати EU AI Act
| Дата | Що набуло чинності | Що це означає для бізнесу |
|---|---|---|
| 1 серпня 2024 | AI Act набув чинності | Початок перехідного періоду |
| 2 лютого 2025 | Заборонені практики + AI грамотність | 8 видів AI вже заборонені — штрафи до €35 млн |
| 2 серпня 2025 | Правила для GPAI-моделей | Постачальники загальних AI-моделей (GPT, Gemini) мають нові зобов'язання |
| 2 серпня 2026 | Повні вимоги для AI високого ризику | Conformity assessment, реєстрація в EU AI database, QMS |
| 2 серпня 2027 | AI у регульованих продуктах | Медичні пристрої, промислове обладнання з AI |
Які AI-системи вважаються "високим ризиком" (Annex III)
- ✔️ HR і рекрутмент: AI що допомагає відбирати кандидатів, оцінювати резюме або приймати рішення про звільнення
- ✔️ Кредитний скоринг: AI для оцінки кредитоспроможності фізичних осіб
- ✔️ Освіта: AI для оцінювання студентів або визначення доступу до освітніх ресурсів
- ✔️ Критична інфраструктура: AI в управлінні водопостачанням, електромережами, транспортом
- ✔️ Правоохоронна діяльність: AI для оцінки ризику рецидиву або профілювання підозрюваних
- ✔️ Медичні рішення: AI що впливає на медичні діагнози або лікування
Важливий нюанс для більшості бізнесів: AI-асистент на корпоративних документах що тільки відповідає на питання співробітників або клієнтів — як правило не є системою високого ризику. Він стає таким якщо його відповіді безпосередньо впливають на рішення щодо конкретних осіб (HR, кредит, медицина). Для більшості RAG-систем на внутрішніх документах — AI Act застосовується в частині заборонених практик і вимог до GPAI-моделей, але не в частині high-risk obligations.
Подвійний шар: GDPR + AI Act одночасно
Що це означає практично:
- ✔️ DPA (наглядовий орган з захисту даних) перевіряє GDPR-відповідність AI-системи
- ✔️ AI-регулятор (в Німеччині — BNetzA, в Австрії — орган ще визначається) перевіряє AI Act відповідність
- ✔️ Обидві перевірки можуть відбуватися паралельно і незалежно
- ✔️ Штрафи за GDPR: до €20 млн або 4% обороту. Штрафи за AI Act: до €35 млн або 7% обороту
Єврокомісія оголосила у листопаді 2025 "Digital Omnibus" — пакет змін до GDPR і AI Act з метою спрощення регуляторного навантаження. Переговори тривають у 2026 році. Але поки зміни не прийняті — діють поточні вимоги. Очікувати пом'якшень і відкладати підготовку — ризиковано.
Які AI-сервіси офіційно заборонені або під питанням в ЄС
З 2 лютого 2025 вісім видів AI-практик заборонені в ЄС без виключень. Ще ширший список практик знаходиться "під питанням" — регулятори видають попередження але прямих заборон поки немає. Для бізнесу важливо знати обидва списки.
Офіційно заборонені AI-практики з лютого 2025 (стаття 5 AI Act)
- ✔️ Соціальний скоринг: системи оцінки фізичних осіб на основі їхньої поведінки, соціального статусу або особистісних характеристик з метою дискримінації
- ✔️ Підпорогова маніпуляція: AI що використовує техніки поза свідомим сприйняттям людини для маніпуляції поведінкою
- ✔️ Exploitation вразливих груп: AI що використовує вразливість осіб (вік, інвалідність, соціально-економічна ситуація) для маніпуляції
- ✔️ Розпізнавання емоцій на роботі і в навчанні: системи що аналізують емоційний стан співробітників або студентів
- ✔️ Біометрична категоризація за захищеними характеристиками: AI що категоризує людей за расою, релігією, сексуальною орієнтацією на основі біометрії
- ✔️ Біометрична ідентифікація в реальному часі: в публічних місцях — заборонена за винятком вузьких правоохоронних сценаріїв з судовим дозволом
- ✔️ Ретроспективна біометрична ідентифікація: великомасштабний аналіз записів відеоспостереження для ідентифікації осіб
- ✔️ Предикативне поліціювання: системи оцінки ризику злочину на основі профілювання без конкретних дій
AI-практики "під питанням" — регулятори видали попередження
Окрім офіційних заборон є практики щодо яких регулятори в DE/AT вже видали попередження або відкрили розслідування:
ChatGPT і хмарні AI без data residency в ЄС. Як BayLDA (Баварія) так і DSB (Австрія) випустили рекомендації що використання ChatGPT Plus або стандартного OpenAI API для обробки персональних даних без підписаного DPA і data residency в ЄС — ймовірно порушує GDPR. Штраф OpenAI від Garante (Італія) у €15 млн підтвердив що регулятори готові діяти.
AI для автоматизованого прийняття рішень щодо персоналу. Якщо AI-система допомагає менеджеру приймати рішення про наймання, оцінювання або звільнення — без забезпечення права на пояснення і оскарження (стаття 22 GDPR) — це порушення GDPR навіть якщо остаточне рішення приймає людина.
Тренування AI на корпоративних даних без згоди суб'єктів. Якщо компанія використовує власні документи з персональними даними клієнтів для fine-tuning AI-моделі — без відповідної правової бази — це порушення GDPR. Це стосується не тільки провайдерів AI але й корпорацій що використовують AI-інструменти для "покращення" систем.
Конкретні прецеденти штрафів пов'язаних з AI
Ось реальні кейси що задають контекст для DE/AT бізнесу:
- ✔️ OpenAI — €15 млн (Garante, Італія, 2024): за відсутність правової бази для обробки даних при тренуванні ChatGPT. Джерело: DPO Europe
- ✔️ TikTok — €530 млн (DPC, Ірландія, квітень 2025): за передачу даних ЄС на сервери в Китай без належних гарантій. Джерело: Skillcast
- ✔️ Clearview AI — €30,5 млн (BDD, Нідерланди, 2022): за збір біометричних даних без правової бази. Показово що компанія не має офісу в ЄС — штраф все одно накладено
- ✔️ Austrian Postal Service — €16 млн (DSB, Австрія): за незаконне профілювання клієнтів з використанням алгоритмічних методів. Джерело: GDPRhub