# Огляд методологій управління ризиками ШІ: EASA, NIST AI RMF та HUDERIA

> Традиційні методи ризику не вистачає для ймовірнісного ШІ. Ось як NIST AI RMF, EASA DS.AI та HUDERIA доповнюють одне одного, і чому багатошаровий підхід кращий за вибір одного фреймворку.

Published: 2026-05-14 | Author: Kseniia Goncharenko
Canonical: https://welldigit.com/uk/journal/ai-risk-management-frameworks

Сьогодні системи ШІ більше не обмежені лише лабораторіями. Вони працюють у реальних умовах, таких як торгівля, охорона здоров'я, транспорт і кібербезпека, з потенціалом трансформувати суспільство та мають справжню здатність завдавати шкоди окремим особам, організаціям, громадам і навіть довкіллю.

Ризики ШІ відрізняються за походженням і можуть бути довгостроковими або короткостроковими, з високою або низькою ймовірністю, системними або локалізованими. Зростає усвідомлення того, що традиційні методи управління ризиками, створені для детермінованого програмного забезпечення, недостатні для адаптивних, ймовірнісних систем.

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">Правове регулювання ШІ</p>
</div>
</div>

Закон ЄС про ШІ (Регламент ЄС 2024/1689), це перший обов'язковий горизонтальний глобальний регламент щодо ШІ. Він встановлює єдину рамку для використання та постачання систем ШІ в межах ЄС і набрав чинності 1 серпня 2024 року.

Постачальники систем ШІ з високим ризиком повинні дотримуватися Розділу III, Секції 2: Статей 9–15, які охоплюють управління ризиками, управління даними, технічну документацію, ведення обліку, прозорість, людський нагляд, точність, надійність і кібербезпеку. Закон визначає конкретні зобов'язання для високоризикового ШІ, зокрема необхідність впроваджувати системи управління ризиками ШІ.

<div class="grid grid-cols-1 md:grid-cols-2 gap-0 my-10 overflow-hidden shadow-sm">
<div class="bg-klein-blue text-white p-8 md:p-10 flex flex-col justify-between min-h-[220px]">
<div>
<p class="wd-eyebrow mb-4 text-white/80">З серпня 2026</p>
<p class="m-0 text-base md:text-lg font-normal leading-relaxed">Вступають у силу вимоги до високоризикового ШІ (Додаток III): біометрія, критична інфраструктура, освіта, HR, правоохоронні органи, державні послуги, міграція та інші перелічені сфери.</p>
</div>
</div>
<div class="bg-paper text-ink p-8 md:p-10 flex flex-col justify-between min-h-[220px]">
<div>
<p class="wd-eyebrow mb-4 text-ink-3">З серпня 2027</p>
<p class="m-0 text-base md:text-lg font-normal leading-relaxed">Закон ЄС про ШІ також застосовується до систем ШІ, які є компонентами безпеки регульованих продуктів, включно з авіацією.</p>
</div>
</div>
</div>

Європейські законодавці визначили чотири винятки, коли системи не підпадають під суворе регулювання: (a) виконання обмеженого процедурного завдання, (b) лише покращення завершеної людської дії, (c) виявлення закономірностей у минулих діях (пасивний моніторинг) та (d) виконання суто підготовчої функції. Щоб законно застосувати виняток, організації повинні провести та задокументувати початкову оцінку ризиків.

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">Детальний огляд фреймворків</p>
</div>
</div>

Існує багато стандартів і найкращих практик, які допомагають організаціям керувати ризиками у традиційному програмному забезпеченні чи інформаційних системах, але системи ШІ мають власні виклики. ШІ базується на даних, які можуть змінюватися з часом, іноді непередбачувано, впливаючи як на продуктивність, так і на довіру користувачів. Складність ШІ та його операційних середовищ ускладнює виявлення та вирішення проблем у міру їх виникнення. Оскільки на ШІ впливають як технології, так і людська поведінка, його ризики та переваги залежать від того, як технічні особливості взаємодіють із соціальними факторами: використання, управління, інтеграція з іншими системами ШІ та ширший соціальний контекст.

Для дотримання Закону ЄС про ШІ варто розглянути три підходи, не тому, що вони найпопулярніші, а тому, що кожен охоплює зовсім іншу категорію ризиків. Вони мають різні цілі, але доповнюють одне одного у складній реалізації ШІ.

<div class="grid grid-cols-1 md:grid-cols-3 gap-0 my-12 overflow-hidden shadow-sm">
<div class="bg-ink text-white p-8 md:p-9 flex flex-col min-h-[260px]">
<p class="wd-eyebrow mb-4 text-white/70">NIST AI RMF</p>
<p class="m-0 text-base font-bold leading-snug mb-3">Універсальний, міжгалузевий</p>
<p class="m-0 text-sm leading-relaxed text-white/85">Добровільний фреймворк Національного інституту стандартів і технологій (Міністерство торгівлі США). Застосовується у всіх секторах.</p>
</div>
<div class="bg-klein-blue text-white p-8 md:p-9 flex flex-col min-h-[260px]">
<p class="wd-eyebrow mb-4 text-white/80">EASA DS.AI</p>
<p class="m-0 text-base font-bold leading-snug mb-3">Лише авіація</p>
<p class="m-0 text-sm leading-relaxed text-white/90">Регулювання авіаційної галузі EASA: наразі Повідомлення про запропоновану поправку NPA 2025-07, узгоджене з Дорожньою картою EASA AI 2.0.</p>
</div>
<div class="bg-paper text-ink p-8 md:p-9 flex flex-col min-h-[260px] border border-grid md:border-l-0">
<p class="wd-eyebrow mb-4 text-klein-blue">HUDERIA</p>
<p class="m-0 text-base font-bold leading-snug mb-3">Соціально-правовий, міжгалузевий</p>
<p class="m-0 text-sm leading-relaxed text-ink-2">Оцінка впливу на права людини, демократію та верховенство права, необов'язкова рекомендація Комітету Ради Європи з питань ШІ (CAI).</p>
</div>
</div>

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">NIST AI RMF: основа управління</p>
</div>
</div>

NIST AI RMF надає методи, які підвищують надійність систем ШІ та сприяють відповідальному проектуванню, розробці, впровадженню та використанню з часом. Він поділений на дві частини. Перша закладає основу для розуміння ризику як ймовірності події та масштабу її наслідків для людей, організацій і екосистем. Друга частина, «Ядро», визначає чотири операційні функції:

<div class="journal-rag-phase-banner wd-bleed my-10">
<div class="bg-klein-blue py-8 px-4 text-white sm:px-8 md:px-16 lg:px-24">
<div class="mx-auto max-w-3xl space-y-5 text-base font-normal leading-relaxed md:text-lg">
<p class="m-0 wd-eyebrow text-white/80">Чотири основні функції</p>
<p class="m-0"><strong class="font-bold text-white">GOVERN</strong> встановлює організаційні політики, ролі та підзвітність.</p>
<p class="m-0"><strong class="font-bold text-white">MAP</strong> визначає, на кого впливає система і що може вийти з ладу.</p>
<p class="m-0"><strong class="font-bold text-white">MEASURE</strong> кількісно оцінює ризики за допомогою існуючих галузевих стандартів.</p>
<p class="m-0"><strong class="font-bold text-white">MANAGE</strong> визначає пріоритети дій, порівнюючи вплив, ймовірність і доступні ресурси.</p>
</div>
</div>
</div>

NIST не уточнює, який рівень ризику є прийнятним, залишаючи це на розсуд галузевих стандартів і організаційного судження. Це зроблено навмисно: це фреймворк процесу, а не стандарт результату.

**Управління упередженістю.** NIST визначає три типи упереджень: обчислювальні та статистичні (які кількісно вимірюються через помилки даних); людські когнітивні (як люди інтерпретують відповіді ШІ під час прийняття рішень); та системні (інституційні чи суспільні). Ці питання вирішуються через різноманітні команди розробників, безперервну оцінку справедливості, тестування алгоритмів та незалежний бенчмаркінг.

**Моніторинг.** Моніторинг є частиною управління життєвим циклом, зосередженим на надійності та безперервності бізнесу: відстеження нових загроз, повідомлення про проблеми ШІ після розгортання, реагування на інциденти, відновлення та виведення з експлуатації. Також потрібен постійний моніторинг сторонніх та попередньо навчених моделей.

**Чому NIST важливий на практиці.** Він забезпечує ефективне корпоративне управління, дозволяючи бізнесу балансувати інновації з фінансовими та технічними ризиками. Він охоплює кіберзагрози, специфічні для ШІ, отруєння даних, атаки ухилення, маніпуляції моделями, і взаємопов'язаний з іншими фреймворками NIST: кібербезпеки, конфіденційності та управління ризиками.

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">EASA DS.AI: регулювання авіації</p>
</div>
</div>

EASA DS.AI (Детальні специфікації надійності ШІ) наразі запропонований як NPA 2025-07 і, як очікується, стане обов'язковим стандартом надійності ШІ в авіації, узгодженим із Законом ЄС про ШІ.

Він застосовується до ШІ, класифікованого як Рівень 1 (підтримка, ШІ допомагає людині, яка приймає рішення) та Рівень 2 (колаборація, командна робота людини та ШІ). Рівень 3, де ШІ діє автономно, ще не охоплений. Фреймворк використовує визначену шкалу небезпеки від H1 (неприйнятний, потенціал летальних наслідків) до H5 (без ризику).

Підхід EASA включає класифікацію, визначення операційної сфери, оцінки на основі ризиків і етики, аналіз запланованої поведінки, безперервну оцінку ризиків і суворі технічні вимоги надійності.

**Етика та психологія.** Етична оцінка (на основі принципів ALTAI) оцінює потенційний вплив на безпеку користувачів і громадськості. Вона має на меті запобігти «втраті кваліфікації» (поступовій втраті можливостей оператора), уникнути емоційної залежності від ШІ-асистентів і забезпечити високу пояснюваність рішень ШІ, це критично важливо для пілотів і льотних диспетчерів. EASA також вимагає створення внутрішньої етичної комісії з ШІ.

**Дані та кібербезпека.** EASA встановлює суворі технічні вимоги до управління даними. Записані дані повинні дозволяти виявляти відхилення від очікуваної поведінки ШІ, щоб забезпечити точне розслідування інцидентів і захист від кібератак, включно з отруєнням даних. Кіберзагрози, що впливають на авіаційну безпеку, окремо регулюються EASA Part-IS.

Очікується, що управління ризиками ШІ буде інтегроване в загальну систему управління безпекою та систему моніторингу відповідності авіаційних організацій.

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">HUDERIA: соціально-правовий вимір</p>
</div>
</div>

HUDERIA позиціонується як спільне європейське структуроване керівництво для державних установ і приватних компаній, які розробляють або впроваджують ШІ. Він застосовується на всіх етапах життєвого циклу ШІ і зосереджений на оцінці ризиків, пов'язаних із правами людини, демократією та верховенством права. Україна також активно впроваджує цей підхід, який просуває Комітет з цифрової трансформації України.

Основний метод, **COBRA** (Context-Based Risk Analysis), який оцінює ризики за масштабом, обсягом, ймовірністю та оборотністю негативного впливу на людину. Процес складається з чотирьох етапів: COBRA, залучення зацікавлених сторін (SEP), оцінка ризиків і впливу (RIA) та план пом'якшення наслідків (MP).

**Упередженість і залучення зацікавлених сторін.** HUDERIA вирішує упередженість через процес залучення зацікавлених сторін. Вона вимагає прямої участі тих, кого впливає ШІ, особливо вразливих груп, і вимагає «позиційного рефлексування»: розробники повинні аналізувати власні привілеї, бекграунд і сліпі зони, щоб усвідомити межі власної перспективи та врахувати точки зору, яких бракує для об'єктивної оцінки впливу ШІ. Культурні або поведінкові зміни можуть змінювати розподіл даних, змушуючи навчені моделі дискримінувати. HUDERIA вимагає процедурних гарантій і доступу до засобів захисту для тих, чиї права порушені.

**Фокус моніторингу.** Соціальний та культурний дрейф: суспільні зміни можуть змінювати розподіл даних, що призводить до дискримінації або зниження ефективності у раніше справедливих моделях. Тригери для переоцінки, не лише технічні збої, а й юридичні зміни, нові форми зловживання або змінений контекст (перепрофілювання або подвійне використання) з частішим переглядом у швидко змінних середовищах.

**Чому HUDERIA важлива.** Вона виявляє приховані соціальні, етичні та юридичні ризики, які технічні рамки пропускають. Допомагає забезпечити не лише технічну точність технологій, а й безпечність і справедливість для суспільства та вразливих груп.

<div class="wd-bleed my-12">
<div class="bg-klein-blue text-white py-5 px-4 sm:px-8 md:px-16 lg:px-24">
<p class="max-w-3xl mx-auto wd-meta m-0">Швидкість інновацій проти безпеки та регулювання</p>
</div>
</div>

Бізнес прагне якнайшвидше впровадити ШІ для конкурентної переваги та економічної ефективності, тоді як регулятори вимагають повільнішого, контрольованого підходу. У звіті McKinsey *Superagency in the Workplace* (січень 2025) це називають «дилемою швидкості проти безпеки». Керівники компаній хочуть рухатися швидше у розробці ШІ, але стикаються з бар'єрами: регулювання, витоки даних, алгоритмічні помилки (галюцинації ШІ) та потенційна відповідальність.

Водночас регулятори та дослідники наполягають, що традиційний підхід «навчання на помилках» більше неприйнятний. Впровадження має бути поступовим, з можливістю повної заборони ШІ у критичних вузлах, доки не будуть створені надійні запобіжники.

Жоден фреймворк не охоплює всього. NIST розглядає ШІ через призму корпоративного управління та інженерної надійності. HUDERIA оцінює ШІ через призму його впливу на людей, суспільство та демократію. EASA додає технічну базу, специфічну для авіації. Їхні ключові відмінності, у фокусі оцінки, кінцевій меті та підході до толерантності до ризику. Кожен з них усуває сліпі зони, які залишають інші.

<div class="journal-rag-pipeline-closing my-10 border-t-2 border-klein-blue bg-paper-2 py-8 pl-6 pr-6 md:py-10 md:pl-8 md:pr-8">
<p class="m-0 text-lg leading-relaxed text-ink md:text-xl font-bold">Управління ризиками ШІ: це не просто формальність дотримання вимог; це ключове бізнес-рішення, яке допомагає уникнути правових, фінансових та репутаційних наслідків.</p>
<p class="m-0 mt-5 text-lg leading-relaxed text-ink md:text-xl">Комплексний підхід: не про потрійний обсяг паперової роботи; він про формування картини ризику, яка технічно обґрунтована, організаційно підзвітна та соціально легітимна.</p></div>