На протяжении почти десяти лет ведение бизнеса в рамках цифрового права ЕС было сложной задачей, с быстрым чередованием таких нововведений, как DDPR, обновления ePrivacy, директива NUS2, законы об искусственном интеллекте и данных и другие. Для организаций, уже вложивших значительные средства в системы соответствия, такие как CMMC, перспектива добавления еще одного набора требований стала источником разочарования и дополнительной работы.

«Цифровой свод правил», официально предложенный Европейской комиссией в ноябре 2025 года и в настоящее время проходящий через Европейский парламент и Совет, представляет собой масштабную попытку согласовать пересекающиеся определения, консолидировать обязательства по отчетности и внести ясность в то, что сама Комиссия признала «нормативным беспорядком». 

Для компаний, которые уже создали архитектуру соответствия нормативным требованиям, этот свод правил может значительно упростить соблюдение требований в рамках межотраслевого регулирования. 

Что представляет собой «Цифровой омнибус 2026»?

Цифровой омнибус ЕС Это пакет законодательных актов, представленный Европейской комиссией 19 ноября 2025 года, направленный на упрощение и оптимизацию растущего числа европейских цифровых нормативных актов. Вот что он собой представляет:

Комиссия рассматривает это как средство сокращения дублирования и трений в регулировании, одновременно формально сохраняя существующие права и механизмы правоприменения. На практике пакет предлагает технические поправки к широкому кругу законов о цифровых технологиях. Он состоит из двух основных частей: одна охватывает более широкую сферу цифровых технологий и данных (включая изменения в GDPR и ePrivacy), а вторая посвящена Закону об искусственном интеллекте и связанным с ним срокам, соблюдению требований для малых и средних предприятий, а также полномочиям Управления по вопросам искусственного интеллекта.

Что входит в цифровой омнибус 2026 года?

Данный комплексный документ меняет подход организаций к соблюдению нормативных требований ЕС в нескольких областях:

Единая точка доступа для запросов

Компании, не входящие в ЕС, долгое время сталкивались с проблемой фрагментированного взаимодействия с регулирующими органами ЕС: разные директивы для разных ведомств, каждое из которых работает через разные порталы. «Цифровой омнибус» вводит в действие Единая точка входа в качестве единого канала для запросов регулирующих органов и уведомлений об инцидентах. Вместо координации действий с органами по защите данных, Группы реагирования на инциденты кибербезопасности (CSIRT)Благодаря этому, а также благодаря участию отраслевых регуляторов, организации смогут взаимодействовать через единый, консолидированный интерфейс.

Обязательство по повышению грамотности в области искусственного интеллекта

Под текущим Закон об ИИпоставщики и продавцы Системы искусственного интеллекта Они должны обеспечить своим сотрудникам достаточный уровень грамотности в области ИИ, как это определено законом. В рамках «Цифрового омнибуса» предлагается переформулировать это как обязанность Комиссии и государств-членов поощрять такие меры, а не обязывать их напрямую.

Руководители предприятий несут юридическую ответственность за инструменты ИИ, используемые их командами. Риск появления теневого ИИ реален, растет и влечет за собой последствия в виде правоприменения, и руководители в той или иной организации не освобождаются от ответственности за управление своими системами ИИ и защиту данных, регулируемых GDPR и связанными с ним нормативными актами.

Отмена требования о 72-часовом уведомлении

В соответствии с действующим GDPR, У организаций есть 72 часа, чтобы уведомить власти. о нарушении защиты персональных данных. В рамках инициативы Digital Omnibus предлагается продлить этот срок до 96 часов для инцидентов высокого риска.

Это расширение дает техническим группам время для завершения анализа инцидентов до истечения установленного законом срока. Оно снижает частоту преждевременных или неполных уведомлений и приводит порог уведомления о нарушении для надзорных органов в соответствие с уже используемым порогом для уведомления пострадавших лиц.

Централизация отчетности

Единая точка входа представляет собой масштабный сдвиг в том, как организации взаимодействуют с регулирующими органами. Кроме того, предлагаемый сводный документ также предусматривает, что единый отчет об инциденте будет удовлетворять требованиям к уведомлению в соответствии с... GDPR, NIS2 (кибербезопасность) и ДОРА (финансовые услуги). Портал, который будет создан в соответствии с директивой NIS2 и будет управляться ENISAСистема автоматически направит уведомления соответствующим органам.

Для центров оперативного реагирования и групп реагирования на инциденты это устраняет необходимость подготовки и предоставления различных отчетов различным регулирующим органам. 

• В соответствии с GDPR, NIS2, DORA и отраслевыми нормативными актами, единый процесс подачи документов заменяет множество параллельных процессов уведомления.
• Автоматизированная маршрутизация гарантирует, что нужные органы власти получат нужную информацию без ручной координации.
• Согласованные требования к содержанию снижают риск несоответствий между отчетами, подаваемыми различным регулирующим органам.
• Единые графики устраняют необходимость отслеживать и управлять различными сроками уведомления об одном и том же инциденте.
• Сокращение затрат на координацию позволяет группам реагирования на инциденты сосредоточиться на локализации и устранении последствий, а не на оформлении документов.

Переосмысление персональных данных для ИИ

В документе Digital Omnibus представлен новый технический стандарт псевдонимизации, который может коренным образом изменить подход организаций к классификации данных для разработки ИИ. В рамках предлагаемой структуры, если организация сможет продемонстрировать, что повторная идентификация псевдонимизированных данных «практически невозможна» с использованием существующих технологий, такие данные могут выходить за рамки GDPR для определенных целей, включая обучение моделей ИИ.

Это одно из самых политически чувствительных предложений во всем пакете. Европейский совет по защите данных (EDPB) и Европейский инспектор по защите данных (EDPS) Оба критикуют формулировку, предупреждая, что она рискует значительно сузить понятие персональных данных. Компромиссные тексты Совета предполагают, что это положение может быть существенно пересмотрено или полностью исключено.

Данные для обучения и «законный интерес»

Разработка моделей ИИ вызывала ожесточенные дискуссии в рамках GDPR. «Общий свод правил» (Omnibus) разрешает эти споры, заявляя, что разработка и эксплуатация моделей ИИ являются законными интересами в соответствии с GDPR. Это обеспечивает правовую ясность, которую организации искали с тех пор, как в 2023 и 2024 годах обострились дебаты о данных для обучения ИИ.

Новая статья (88c) В GDPR будет подтверждено, что обработка персональных данных для разработки ИИ, как правило, может осуществляться на основании законного интереса, где это уместно. Кроме того, новое условие в статье 9 позволит ограниченную обработку остаточных данных особых категорий (таких как данные о здоровье или биометрические данные) в процессе разработки ИИ при условии, что организация примет соответствующие меры для предотвращения включения таких данных.

Организации, использующие в качестве основы законный интерес механизм обучения ИИ, должны внедрить надежные технические и организационные меры. Требования носят содержательный характер:

• Усиление обязательств по обеспечению прозрачности, которые четко информируют субъектов данных о том, как их данные способствуют обучению модели, включая конкретные цели, категории используемых данных и предполагаемые результаты работы системы искусственного интеллекта.
• Функциональные механизмы «права на возражение», работающие на уровне набора данных как технически реализованная возможность, позволяющая идентифицировать, изолировать и удалять данные отдельного лица из обучающих наборов данных по запросу.
• Документированные сравнительные тесты, учитывающие законные интересы организации и права и свободы субъектов данных, с особым вниманием к масштабу обработки данных и степени конфиденциальности обрабатываемых данных.
• Постоянный мониторинг и аудит, обеспечивающие соответствие требованиям на протяжении всего жизненного цикла модели, а не только на этапе первоначального сбора данных.

Задержка в выполнении обязательств, сопряженных с высоким риском.

Закон об искусственном интеллекте предусматривает специальные классификации для систем высокого риска, включая набор правил, которые должны вступить в силу в августе 2027 года. Организации, готовящиеся к выполнению обязательств по системам высокого риска в рамках Закона об искусственном интеллекте, получили неожиданную отсрочку. В рамках «Цифрового свода правил» вводятся следующие положения: «Остановите часы» Механизм: условный льготный период, который откладывает применение правил, касающихся высокорискованных систем искусственного интеллекта, до тех пор, пока Комиссия не подтвердит наличие ключевых мер по их внедрению, таких как согласованные стандарты и руководства. 

Сравнение правил, действовавших до и после принятия сводного закона.

Компания Lazarus Alliance всегда готова идти в ногу с GDPR и правилами ЕС.

Предложения, содержащиеся в «Цифровом своде», могут быть изменены по мере их продвижения через Европейский парламент и Совет. Ожидается, что переговоры будут спорными, особенно по положениям, касающимся основных прав и масштабов мер по упрощению. Но это направление, по-видимому, имеет важное значение для того, как в ЕС будет регулироваться защита данных и искусственный интеллект, и компаниям, занимающимся разработкой ИИ в США, следует обратить на это внимание.

Чтобы узнать больше о том, как Lazarus Alliance может помочь, Свяжитесь с нами. 

• FedRAMP
• GovRAMP
• НИСТ 800-53
• DFARS NIST 800-171
• КММК
• СОЦ 1 и СОЦ 2
• ENS
• C5
• HIPAA, HITECH и осмысленное использование
• PCI DSS RoC и SAQ
• Налоговое управление США 1075 и 4812
• ЦЖИС
• Лос-Анджелес ДМФ
• ISO 27001, ISO 27002, ISO 27005, ISO 27017, ISO 27018, ISO 27701, ISO 22301, ISO 17020, ISO 17021, ISO 17025, ISO 17065, ISO 9001 и ISO 90003.
• Общие критерии NIAP – Лаборатории Lazarus Alliance
• И еще десятки!