EU AI Act в Microsoft 365
AI Act требует от вас пятнадцать вещей. Почему документы - только четыре из них?
Организация, использующая Copilot, агентов Copilot Studio и ИИ-приложения, впущенные согласием OAuth, в терминах AI Act - внедряющий. В одиннадцати рамочных актах, которые оценивает 1Security, обязанности сворачиваются в 15 общих требований - и ровно четыре из них являются документами, которые пишет человек: оценка воздействия ИИ, политика использования, процедура инцидентов, документация рисков. Остальные одиннадцать измеряются вживую из клиента: перечень агентов с ответственными лицами, захваченные инструкции агентов, закрытые данные вне досягаемости, журналы дольше шестимесячного порога. Заверьте четыре, измеряйте одиннадцать, экспортируйте датированный пакет доказательств.
Сценарий
Обязанности пришли раньше инструментов.
AI Act вступает в силу фазами: запрещённые практики и обязанность ИИ-грамотности с февраля 2025, обязанности для ИИ общего назначения с августа 2025, а режим высокого риска - после переноса Digital Omnibus - с декабря 2027. Эта дата не передышка, а окно, в котором каждый внедряющий должен поставить управление ИИ, которое действительно работает, со штрафами до 35 миллионов евро или 7% мирового оборота за запрещённые практики и 15 миллионов или 3% за большинство остальных нарушений.
Обязанности читаются как бэклог безопасности, а не юридический. Кто надзирает за каждой системой ИИ, компетентен ли он и уполномочен? До каких данных дотягивается каждая система и контролируется ли это? Хранятся ли журналы и как долго? Документ политики не отвечает ни на что из этого; правильно прочитанный клиент отвечает на всё.
Поэтому экран Соответствие рассматривает AI Act как один из одиннадцати рамочных актов, оцениваемых из единого набора 15 требований. Одиннадцать из них измеряются непрерывно из данных клиента, а четыре заверяемых - это в точности те ИИ-документы, которых ждёт закон. Каждая статья принимает худший статус цитируемых требований, а «не оценено» никогда не считается пройденным - арифметика намеренно консервативна, потому что число ложится перед аудитором. Там, где измерение не видит всей картины - агенты на личных машинах сотрудников, устройства, управляемые в другом инструменте - вы записываете собственную оценку с обязательной заметкой, а измеренный статус остаётся виден рядом. Исправьте владение агентами один раз, и AI Act, польский закон KRiBSI и ISO/IEC 42001 сдвинутся за один проход.
Проход
Четыре обязанности, отвеченные из клиента.
Каждый шаг отображается на семейство статей - и каждый является экраном, а не папкой.
- 01
Проинвентаризируйте каждую систему ИИ
Экран Агенты держит каждого агента из Copilot, Copilot Studio, Azure AI Foundry, Entra Agent ID и от сторонних поставщиков - с происхождением, шаблоном, охватом и активностью. На экране Соответствие это измеряемое требование, а не заявление: инструкции захвачены по каждому агенту, а теневые агенты выявлены именно потому, что реестр зарегистрированных их не покажет.
- 02
Назначьте компетентный надзор
У каждого агента есть ответственное лицо - нативный владелец или спонсор, либо назначенный в 1Security - и панель требования показывает точный прогресс в форме «12 из 15 агентов имеют ответственное лицо». Это статья 26(2), надзор физических лиц с компетенцией и полномочиями, как измеренный вердикт вместо приложения с оргсхемой. Часть агентов покрыта - Под угрозой; никто - Не выполнено.
- 03
Контролируйте подверженность данных
Объявите конфиденциальные типы, которых ваш ИИ не должен касаться, - закрыто для ИИ на платёжных картах, данных о здоровье, зарплатах - и требование «закрытые типы данных остаются недосягаемыми» измеряет каждого агента, приложение и пользователя, которые всё ещё до них дотягиваются, с записанной декларацией. Нет деклараций - Не оценено, никогда не Выполнено: управление данными как контроль со счётчиком, а не абзац.
- 04
Храните журналы, экспортируйте доказательства
Хранение журналов - отдельное измеряемое требование против порога в 183 дня, на практике с тремя годами истории на стандартных лицензиях. Весь документ статуса снимается в снимок каждый понедельник и по запросу, а вид рамочного акта экспортирует пакет доказательств - тот же документ отдаёт REST API только на чтение - поэтому «каким был наш статус в эту дату» имеет настоящий ответ. За заверяемой процедурой реагирования на инциденты тоже стоит документ: попытка инъекции промпта, отравленное содержимое, прочитанное через ИИ, ограниченные данные, до которых добрался ИИ, или расширение полномочий либо источников знаний агента открывается как инцидент, который оповещает всегда, где бы ни стоял регулятор чувствительности - а созданная из его панели Запись об инциденте с активностью, индикаторами, принятыми действиями и историей разбора - это то, что ст. 26(5) ожидает от развёртывающего лица в адрес поставщика и органа надзора за рынком после выявления серьёзного инцидента.
Строительные блоки
Одно подключение только для чтения. Весь стек Microsoft 365.
Каждый блок - это экран, который ваша команда открывает в первый день. Каждый отвечает на вопрос о собственном тенанте, на который сегодня ничего в центрах администрирования не отвечает.
Местоположения
Откуда на самом деле приходит каждый вход и каждое действие, на карте, по каждому тенанту. Нарушения по местоположению, невозможные перемещения, списки разрешённых по каждому человеку. Работает без премиальных журналов входа.
Посмотреть экранМестоположения
Откуда на самом деле приходит каждый вход и каждое действие, на карте, по каждому тенанту. Нарушения по местоположению, невозможные перемещения, списки разрешённых по каждому человеку. Работает без премиальных журналов входа.
Посмотреть экранЧто для этого нужно
Business Premium достаточно. Без агентов, без миграции, без E5 для старта.
1Security читает тенант, в котором вы уже работаете, с вашими лицензиями и вашей моделью разрешений, по согласию только на чтение, которое занимает минуты. Нечего устанавливать и нечего мигрировать: он стоит рядом с Entra, Purview, Defender и вашим SIEM и отвечает на вопросы, которые лежат между ними.
История активности хранится до трёх лет в цене лицензии, на любом уровне, так что у расследования или аудита есть запись без дополнения для хранения.
Это ещё и более дешёвый путь. Большинство организаций покупает нужные контроли старшим уровнем Microsoft. С 1Security на стандартном уровне они приходят к тому же примерно на четверть дешевле, с большей частью выполненной работы, на лицензии, за которую уже платят.
- Business Premium достаточно
- Без требования E5
- Согласие только на чтение
- 3 года журналов в цене
- Примерно на 25% дешевле лицензионного пути
- Наше облако, ваше облако, on-premise
Что за этим стоит
Три части платформы за ответами.
Те же 15 требований оценивают все одиннадцать рамочных актов - NIS2, GDPR, DORA, оба польских закона, SOC 2, NIST CSF 2.0, HIPAA и оба стандарта ISO рядом с AI Act - одно исправление считается везде, где применимо.
Мониторинг соответствия
Готовность по каждому рамочному акту из живых данных клиента, единый список задач по разблокируемым статьям, понедельничные снимки и пакеты доказательств.
Изучить функцию →Перечень ИИ-агентов
Каждый агент из каждой экосистемы с владельцами, шаблонами и охватом - популяция, с которой начинается каждый ответ по AI Act.
Изучить функцию →Закрытие данных для ИИ
Контроль управления данными: объявленные ограничения с предпросмотром радиуса поражения, списками нарушений и записанной историей.
Изучить функцию →
Microsoft Innovation Alley
Рекомендовано собственной инновационной программой Microsoft.
Microsoft Innovation Alley сотрудничает с 1Security и рекомендует его экосистеме, что отвечает на вопрос, который проект по безопасности ставит первым: можно ли доверить вендору доступ только для чтения в тенанте, где лежат ваши данные.
Возьмите это на управляющий комитет. Это отвечает на вопрос о доверии до того, как его зададут.
FAQ
Частые вопросы.
Мы поставщик или внедряющий по AI Act?
Организация, которая использует Copilot, строит агентов Copilot Studio для собственных нужд или впускает в клиент сторонние ИИ-приложения, для этих систем является внедряющим. Обязанности внедряющего - надзор, контроль данных, хранение журналов, прозрачность - именно те, что описывает эта страница. Создание и продажа системы ИИ делает вас поставщиком, а это другой и более тяжёлый набор.
Copilot - это система ИИ высокого риска?
Сам по себе почти никогда - класс риска следует за использованием, а не за брендом. Черновики писем и сводки встреч лежат целиком вне приложения III. Впустите того же ассистента в решения о найме, оценку сотрудников или кредитный скоринг - и вы внедрили систему высокого риска с полным набором обязанностей. Честный вопрос не «высокорисковый ли Copilot», а «какие из наших использований таковы» - и он начинается с перечня.
Какие сроки действительно важны?
Закон действует фазами: запрещённые практики и ИИ-грамотность с февраля 2025, обязанности для ИИ общего назначения с августа 2025, а режим высокого риска приложения III - со 2 декабря 2027, после отсрочки Digital Omnibus. Практическое прочтение: фундамент надзора, журналирования и управления данными должен быть уже сейчас, а дата 2027 - окно, чтобы сделать его операционным, а не документальным.
Какие четыре документа нам всё же придётся написать?
Оценку воздействия ИИ, политику использования ИИ с реестром, процедуру реагирования и уведомления об инцидентах и документацию управления рисками. Это единственные ручные требования из пятнадцати - офицер соответствия записывает каждое заверение один раз, с владельцем, датой пересмотра и ссылкой на доказательство, и оно считается в каждом рамочном акте, который его цитирует. Остальные одиннадцать требований измеряются; решают данные, а не человек.
Заменяет ли это юриста?
Нет. Решения о квалификации - какие использования подпадают под приложение III, нужна ли оценка воздействия для конкретного внедрения - остаются за юристом. 1Security заменяет сбор доказательств под этими решениями: перечень, статус надзора, списки подверженности и подтверждение хранения, которые юрист и аудитор иначе запрашивали бы таблицей.
Нужны ли для этого E5 или лицензии Copilot?
Нет. Перечень, назначения надзора, ограничения, хранение журналов и пакет доказательств работают на стандартном подключении только на чтение и лицензиях, которые у вас уже есть. Там, где конкретный контроль Microsoft требует собственной лицензии, продукт говорит об этом прямо в строке, а не предполагает.
Идите на аудит AI Act с клиентом на своей стороне.
Подключитесь только на чтение - и перечень, пробелы надзора и ответы о подверженности данных лягут в тот же день. Заверьте четыре документа, и пакет доказательств дальше строит себя сам.
Или отвечайте на вопросы внедряющего из папки политик.