EU AI Act у Microsoft 365
AI Act вимагає від вас п'ятнадцять речей. Чому документи - лише чотири з них?
Організація, що використовує Copilot, агентів Copilot Studio і ШІ-застосунки, впущені згодою OAuth, у термінах AI Act - впроваджувач. В одинадцяти рамкових актах, які оцінює 1Security, обов’язки згортаються в 15 спільних вимог - і рівно чотири з них є документами, які пише людина: оцінка впливу ШІ, політика використання, процедура інцидентів, документація ризиків. Решта одинадцять вимірюються наживо з клієнта: перелік агентів із відповідальними особами, захоплені інструкції агентів, закриті дані поза досяжністю, журнали довше за шестимісячний поріг. Засвідчіть чотири, вимірюйте одинадцять, експортуйте датований пакет доказів.
Сценарій
Обов’язки прийшли раніше за інструменти.
AI Act набирає чинності фазами: заборонені практики й обов’язок ШІ-грамотності з лютого 2025, обов’язки для ШІ загального призначення з серпня 2025, а режим високого ризику - після перенесення Digital Omnibus - з грудня 2027. Ця дата не перепочинок, а вікно, в якому кожен впроваджувач має поставити керування ШІ, яке справді працює, зі штрафами до 35 мільйонів євро або 7% світового обороту за заборонені практики та 15 мільйонів або 3% за більшість інших порушень.
Обов’язки читаються як беклог безпеки, а не юридичний. Хто наглядає за кожною системою ШІ, чи компетентний він і уповноважений? До яких даних дотягується кожна система і чи це контролюється? Чи зберігаються журнали і як довго? Документ політики не відповідає ні на що з цього; правильно прочитаний клієнт відповідає на все.
Тому екран Відповідність розглядає AI Act як один з одинадцяти рамкових актів, оцінюваних з єдиного набору 15 вимог. Одинадцять із них вимірюються безперервно з даних клієнта, а чотири засвідчувані - це саме ті ШІ-документи, яких чекає закон. Кожна стаття приймає найгірший статус цитованих вимог, а «не оцінено» ніколи не зараховується як пройдене - арифметика навмисно консервативна, бо число лягає перед аудитором. Там, де вимірювання не бачить усієї картини - агенти на особистих машинах працівників, пристрої, керовані в іншому інструменті - ви записуєте власну оцінку з обов’язковою нотаткою, а виміряний статус залишається видимим поруч. Виправте власність агентів один раз, і AI Act, польський закон KRiBSI та ISO/IEC 42001 зрушать за один прохід.
Прохід
Чотири обов’язки, відповіджені з клієнта.
Кожен крок відображається на родину статей - і кожен є екраном, а не текою.
- 01
Проінвентаризуйте кожну систему ШІ
Екран Агенти тримає кожного агента з Copilot, Copilot Studio, Azure AI Foundry, Entra Agent ID і від сторонніх постачальників - з походженням, шаблоном, охопленням і активністю. На екрані Відповідність це вимірювана вимога, а не заява: інструкції захоплені по кожному агенту, а тіньові агенти виявлені саме тому, що реєстр зареєстрованих їх не покаже.
- 02
Призначте компетентний нагляд
У кожного агента є відповідальна особа - нативний власник чи спонсор, або призначена в 1Security - і панель вимоги показує точний прогрес у формі «12 із 15 агентів мають відповідальну особу». Це стаття 26(2), нагляд фізичних осіб із компетенцією та повноваженнями, як виміряний вердикт замість додатка з оргсхемою. Частина агентів покрита - Під загрозою; ніхто - Не виконано.
- 03
Контролюйте підданість даних
Оголосіть конфіденційні типи, яких ваш ШІ не повинен торкатися, - закрито для ШІ на платіжних картках, даних про здоров’я, зарплатах - і вимога «закриті типи даних лишаються недосяжними» вимірює кожного агента, застосунок і користувача, які досі до них дотягуються, із записаною декларацією. Немає декларацій - Не оцінено, ніколи не Виконано: керування даними як контроль із лічильником, а не абзац.
- 04
Зберігайте журнали, експортуйте докази
Зберігання журналів - окрема вимірювана вимога проти порогу у 183 дні, на практиці з трьома роками історії на стандартних ліцензіях. Увесь документ статусу знімається у знімок щопонеділка й на вимогу, а вид рамкового акта експортує пакет доказів - той самий документ віддає REST API лише на читання - тому «яким був наш статус цієї дати» має справжню відповідь. За засвідчуваною процедурою реагування на інциденти теж стоїть документ: спроба ін’єкції промпту, отруєний вміст, прочитаний через ШІ, обмежені дані, до яких дістався ШІ, або розширення повноважень чи джерел знань агента відкривається як інцидент, що сповіщає завжди, де б не стояв регулятор чутливості - а створений з його панелі Запис про інцидент з активністю, індикаторами, вжитими діями та історією розгляду - це те, чого ст. 26(5) очікує від розгортувача щодо постачальника й органу ринкового нагляду після виявлення серйозного інциденту.
Будівельні блоки
Одне підключення лише для читання. Увесь стек Microsoft 365.
Кожен блок - це екран, який ваша команда відкриває в перший день. Кожен відповідає на запитання про власний тенант, на яке сьогодні ніщо в центрах адміністрування не відповідає.
Місцеположення
Звідки насправді надходить кожен вхід і кожна дія, на карті, по кожному тенанту. Порушення за місцеположенням, неможливі переміщення, списки дозволених по кожній людині. Працює без преміальних журналів входу.
Переглянути екранМісцеположення
Звідки насправді надходить кожен вхід і кожна дія, на карті, по кожному тенанту. Порушення за місцеположенням, неможливі переміщення, списки дозволених по кожній людині. Працює без преміальних журналів входу.
Переглянути екранЩо для цього потрібно
Business Premium достатньо. Без агентів, без міграції, без E5 для старту.
1Security читає тенант, у якому ви вже працюєте, з вашими ліцензіями та вашою моделлю дозволів, за згодою лише на читання, яка займає хвилини. Нічого встановлювати і нічого мігрувати: він стоїть поруч із Entra, Purview, Defender та вашим SIEM і відповідає на запитання, які лежать між ними.
Історія активності зберігається до трьох років у ціні ліцензії, на будь-якому рівні, тож розслідування чи аудит мають запис без доповнення для зберігання.
Це ще й дешевший шлях. Більшість організацій купує потрібні контролі старшим рівнем Microsoft. З 1Security на стандартному рівні вони доходять туди приблизно на чверть дешевше, з більшою частиною виконаної роботи, на ліцензії, за яку вже платять.
- Business Premium достатньо
- Без вимоги E5
- Згода лише на читання
- 3 роки журналів у ціні
- Приблизно на 25% дешевше за ліцензійний шлях
- Наша хмара, ваша хмара, on-premise
Що за цим стоїть
Три частини платформи за відповідями.
Ті самі 15 вимог оцінюють усі одинадцять рамкових актів - NIS2, GDPR, DORA, обидва польські закони, SOC 2, NIST CSF 2.0, HIPAA й обидва стандарти ISO поряд з AI Act - одне виправлення рахується всюди, де застосовне.
Моніторинг відповідності
Готовність по кожному рамковому акту з живих даних клієнта, єдиний список завдань за розблоковуваними статтями, понеділкові знімки й пакети доказів.
Дослідити функцію →Перелік ШІ-агентів
Кожен агент із кожної екосистеми з власниками, шаблонами й охопленням - популяція, з якої починається кожна відповідь за AI Act.
Дослідити функцію →Закриття даних для ШІ
Контроль керування даними: оголошені обмеження з передпереглядом радіуса ураження, списками порушень і записаною історією.
Дослідити функцію →
Microsoft Innovation Alley
Рекомендовано власною інноваційною програмою Microsoft.
Microsoft Innovation Alley співпрацює з 1Security і рекомендує його екосистемі, що відповідає на питання, яке проєкт з безпеки ставить першим: чи можна довірити вендору доступ лише для читання в тенанті, де лежать ваші дані.
Візьміть це на керівний комітет. Це відповідає на питання про довіру до того, як його поставлять.
FAQ
Часті запитання.
Ми постачальник чи впроваджувач за AI Act?
Організація, що використовує Copilot, будує агентів Copilot Studio для власних потреб або впускає в клієнт сторонні ШІ-застосунки, для цих систем є впроваджувачем. Обов’язки впроваджувача - нагляд, контроль даних, зберігання журналів, прозорість - саме ті, що описує ця сторінка. Створення і продаж системи ШІ робить вас постачальником, а це інший і важчий набір.
Copilot - це система ШІ високого ризику?
Сам собою майже ніколи - клас ризику йде за використанням, а не за брендом. Чернетки листів і підсумки зустрічей лежать цілком поза додатком III. Впустіть того самого асистента в рішення про найм, оцінювання працівників чи кредитний скоринг - і ви впровадили систему високого ризику з повним набором обов’язків. Чесне запитання не «чи високоризиковий Copilot», а «які з наших використань такі» - і воно починається з переліку.
Які терміни справді важать?
Закон діє фазами: заборонені практики та ШІ-грамотність з лютого 2025, обов’язки для ШІ загального призначення з серпня 2025, а режим високого ризику додатка III - з 2 грудня 2027, після відстрочки Digital Omnibus. Практичне прочитання: фундамент нагляду, журналювання і керування даними має бути вже зараз, а дата 2027 - вікно, щоб зробити його операційним, а не документальним.
Які чотири документи нам усе ж доведеться написати?
Оцінку впливу ШІ, політику використання ШІ з реєстром, процедуру реагування та повідомлення про інциденти й документацію керування ризиками. Це єдині ручні вимоги з п’ятнадцяти - офіцер відповідності записує кожне засвідчення один раз, із власником, датою перегляду й посиланням на доказ, і воно рахується в кожному рамковому акті, який його цитує. Решта одинадцять вимог вимірюються; вирішують дані, а не людина.
Чи заміняє це юриста?
Ні. Рішення про кваліфікацію - які використання підпадають під додаток III, чи потрібна оцінка впливу для конкретного впровадження - лишаються за юристом. 1Security заміняє збирання доказів під цими рішеннями: перелік, статус нагляду, списки підданості й підтвердження зберігання, які юрист і аудитор інакше запитували б таблицею.
Чи потрібні для цього E5 або ліцензії Copilot?
Ні. Перелік, призначення нагляду, обмеження, зберігання журналів і пакет доказів працюють на стандартному підключенні лише на читання та ліцензіях, які у вас уже є. Там, де конкретний контроль Microsoft вимагає власної ліцензії, продукт каже це прямо в рядку, а не припускає.
Ідіть на аудит AI Act із клієнтом на своєму боці.
Підключіться лише на читання - і перелік, прогалини нагляду та відповіді про підданість даних ляжуть того самого дня. Засвідчіть чотири документи, і пакет доказів далі будує себе сам.
Або відповідайте на запитання впроваджувача з теки політик.