Διακυβέρνηση ΤΝ από την πρώτη ημέρα: το κόστος της εκ των υστέρων συμμόρφωσης για τις ΜΜΕ

Τον Ιούνιο του 2020, ένας βρετανικός διανομέας 180 ατόμων, που θα αποκαλούμε Northbridge Trading, πλήρωσε 142.000 £ για την εκ των υστέρων προσαρμογή στον ΓΚΠΔ: αρχείο δραστηριοτήτων επεξεργασίας, τρεις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων (DPIA), εγχειρίδιο αντιμετώπισης παραβιάσεων, έξι συμβάσεις με προμηθευτές και μια ανακατασκευή του CRM με ενσωματωμένη προστασία ήδη από τον σχεδιασμό — έργο που οι ίδιοι σύμβουλοι είχαν κοστολογήσει στις 28.000 £, αν είχε σχεδιαστεί εξαρχής δύο χρόνια νωρίτερα. Ο διευθυντής λειτουργιών που υπέγραψε εκείνα τα τιμολόγια αντικρίζει τώρα το ίδιο όριο με την ΤΝ.

Το τιμολόγιο της εκ των υστέρων προσαρμογής που κανείς δεν είχε προβλέψει

Η Northbridge Trading είναι μια σύνθετη περίπτωση, ραμμένη από τέσσερα πραγματικά έργα μεταξύ 2019 και 2021. Αλλάξαμε τα ονόματα· οι αριθμοί είναι αληθινοί. Το μοτίβο έχει σημασία, γιατί πρόκειται να επαναληφθεί.

Τον Μάιο του 2018 η Northbridge «έκλεισε» τον ΓΚΠΔ με ένα πρότυπο πολιτικής αξίας 200 £ και την αίσθηση ότι η δουλειά είχε τελειώσει. Τον Μάιο του 2020 έφτασε το πρώτο αίτημα πρόσβασης υποκειμένου των δεδομένων· ακολούθησε μια παρ' ολίγον παραβίαση στην ενσωμάτωση της μισθοδοσίας· δύο εβδομάδες αργότερα έφτασε καταγγελία στην ICO. Έως το γ΄ τρίμηνο του 2020 η εταιρεία είχε προσλάβει εξωτερικό νομικό σύμβουλο και έναν μηχανικό απορρήτου για να καταρτίσει αρχείο δραστηριοτήτων επεξεργασίας, τρεις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων, εγχειρίδιο αντιμετώπισης συμβάντων, έξι συμβάσεις επεξεργασίας με προμηθευτές και μια ανακατασκευή του CRM με δικλείδες προστασίας ήδη από τον σχεδιασμό, προσαρμοσμένες εκ των υστέρων σε ροές δεδομένων που ήταν ήδη σε λειτουργία. Ο λογαριασμός έφτασε περίπου στο πενταπλάσιο της βάσης σχεδιασμού εξαρχής που η ίδια εταιρεία συμβούλων είχε κοστολογήσει για την αρχιτεκτονική του 2017, και πληρώθηκε υπό την πίεση της επιβολής.

Έξι χρόνια αργότερα, ο ίδιος διευθυντής λειτουργιών διαχειρίζεται τρία εργαλεία ΤΝ που τέθηκαν σε λειτουργία έως το 2025: έναν βοηθό διαλογής βιογραφικών, έναν συνοψιστή κλήσεων πωλήσεων και ένα chatbot εξυπηρέτησης πελατών. Κανένα μητρώο ΤΝ, καμία ταξινόμηση κινδύνου ανά περίπτωση χρήσης, καμία τεκμηρίωση του άρθρου 26, κανένα πρόγραμμα γραμματισμού του άρθρου 4. Ο κανονισμός για την ΤΝ άρχισε να ισχύει την 1η Αυγούστου 2024 [1]· το χρονοδιάγραμμα της Επιτροπής τοποθετεί την πλήρη εφαρμογή, συμπεριλαμβανομένων των περισσότερων υποχρεώσεων για τα συστήματα υψηλού κινδύνου, στις 2 Αυγούστου 2026 [2]. Το εργαλείο διαλογής βιογραφικών είναι σύστημα ΤΝ υψηλού κινδύνου κατά το παράρτημα III. Η καθοδήγηση της ICO για την ΤΝ είναι δεσμευτική για τις βρετανικές ΜΜΕ βάσει του UK GDPR από το 2023 [7]. «Αρνούμαι», μας λέει, «να υπογράψω αυτή την επιταγή για δεύτερη φορά.»

Η σύγκλιση: γιατί η «αναμονή» έπαψε να είναι συνετή στάση το 2024

Η «παγκόσμια σύγκλιση» που στηρίζει το επιχείρημα του σχεδιασμού εξαρχής δεν είναι διαφημιστικό σύνθημα. Το 2024 ο όγκος των κανόνων έγινε μετρήσιμος και η κοινή τεχνική ραχοκοκαλιά έγινε ορατή.

Οι αριθμοί που οι ρυθμιστικές αρχές δεν θέλουν να προσπεράσετε

Ο δείκτης 2025 AI Index του Stanford HAI καταγράφει 59 ομοσπονδιακούς κανόνες για την ΤΝ στις ΗΠΑ το 2024, πάνω από διπλάσιους σε σχέση με το 2023, σε διπλάσιο αριθμό υπηρεσιών [3]. Οι πολιτείες των ΗΠΑ ψήφισαν 131 νόμους για την ΤΝ μέσα σε έναν χρόνο, από 49 σωρευτικά έως το 2023 [3]. Οι νομοθετικές αναφορές στην ΤΝ αυξήθηκαν κατά 21,3 % σε 75 χώρες το 2024 [3]. Για έναν διευθυντή λειτουργιών που αποφασίζει αν θα δράσει τώρα ή θα περιμένει, αυτός ο όγκος δεν είναι θόρυβος υποβάθρου. Είναι το σήμα.

Ο Κανονισμός (ΕΕ) 2024/1689 τέθηκε σε ισχύ την 1η Αυγούστου 2024 [1]. Το σταδιακό χρονοδιάγραμμα της Επιτροπής είναι ο σαφέστερος δημοσιευμένος οδικός χάρτης που υπάρχει: απαγορευμένες πρακτικές από τις 2 Φεβρουαρίου 2025· υποχρεώσεις για τα μοντέλα ΤΝ γενικού σκοπού από τις 2 Αυγούστου 2025· πλήρης εφαρμογή για τα συστήματα υψηλού κινδύνου από τις 2 Αυγούστου 2026· κανόνες για ενσωματωμένα προϊόντα υψηλού κινδύνου με παράταση έως τις 2 Αυγούστου 2027 [2]. Δεν είναι ένα ενιαίο όριο. Είναι μια κλίμακα. Οι ΜΜΕ που περιμένουν ως το τελευταίο σκαλί έχουν ήδη χάσει δύο.

Η κοινή άγκυρα: ΟΟΣΑ, NIST, ISO/IEC 42001

Κάτω από τον όγκο βρίσκεται μια κοινή ραχοκοκαλιά που κάνει τη διακυβέρνηση, όταν σχεδιάζεται νωρίς, ανθεκτική σε όλες τις δικαιοδοσίες. Οι Αρχές του ΟΟΣΑ για την ΤΝ, όπως αναθεωρήθηκαν τον Μάιο του 2024, έχουν υιοθετηθεί από 47 ή περισσότερες χώρες [4]. Αποτελούν τη ρητή βάση για την ευθυγράμμιση ΕΕ, Ηνωμένου Βασιλείου, ΗΠΑ και G7. Το NIST AI Risk Management Framework 1.0 οργανώνει τις υποχρεώσεις γύρω από τέσσερις λειτουργίες: Govern, Map, Measure και Manage [5]. Το πρόγραμμα προτύπων του κανονισμού για την ΤΝ παραπέμπει σε αυτόν τον πυρήνα· το UK AI Playbook (Φεβρουάριος 2025) κωδικοποιεί 10 αρχές για την ΤΝ στο δημόσιο και προδιαγράφει ισοδύναμα πρότυπα για την αλυσίδα εφοδιασμού του [6].

Το ISO/IEC 42001 έχει γίνει η πιστοποίηση επιπέδου προμηθειών που ζητούν πλέον οι αγοραστές της μεσαίας αγοράς. Η διακυβέρνηση που σχεδιάζεται στη διασταύρωση των αρχών του ΟΟΣΑ, των λειτουργιών του NIST και των απαιτήσεων της ICO επιβιώνει σε κάθε επιμέρους αυστηροποίηση καθεστώτος. Η κοινή ραχοκοκαλιά απορροφά τη διακύμανση.

Γιατί καταρρέει το «τη συμμόρφωση την αναλαμβάνει ο προμηθευτής» μπροστά στο άρθρο 26;

Η πιο δύσκολη πρόταση που μπορεί να γράψει η διαφημιστική σελίδα οποιουδήποτε προμηθευτή είναι: «Δεν μπορούμε να αναθέσουμε σε εσάς το έργο του φορέα εφαρμογής.» Βάσει του κανονισμού για την ΤΝ, το όριο μεταξύ παρόχου και φορέα εφαρμογής είναι ρητό και δεν μετατοπίζεται επειδή αγοράσατε μια εταιρική έκδοση.

Το μοντέλο κοινής ευθύνης με απλά λόγια

Το άρθρο 16 ορίζει τι οφείλει ο πάροχος: αξιολόγηση της συμμόρφωσης, τεχνική τεκμηρίωση, παρακολούθηση μετά τη διάθεση στην αγορά [1]. Το άρθρο 26 ορίζει τι οφείλει ο φορέας εφαρμογής: να χρησιμοποιεί το σύστημα σύμφωνα με τις οδηγίες, να διασφαλίζει ανθρώπινη εποπτεία, να διατηρεί συναφή τα δεδομένα εισόδου, να τηρεί αρχεία των χρήσεων υψηλού κινδύνου για τουλάχιστον έξι μήνες και να ενημερώνει τους θιγόμενους εργαζομένους και πελάτες [1]. Το άρθρο 4 προσθέτει υποχρέωση γραμματισμού στον τομέα της ΤΝ για κάθε εργαζόμενο που χρησιμοποιεί ΤΝ, ανάλογη με τον ρόλο του, ανεξάρτητα από το ποιο μοντέλο βρίσκεται από κάτω [1]. Το άρθρο 50 απαιτεί οι χρήστες να γνωρίζουν πότε αλληλεπιδρούν με ΤΝ, σε όλα τα επίπεδα κινδύνου [1].

Αυτά τα τέσσερα άρθρα περιγράφουν υποχρεώσεις που βαρύνουν τη ΜΜΕ. Η σύμβαση επεξεργασίας που υπογράφει ένας προμηθευτής δεν τις μεταθέτει.

Τι δεν αναθέτουν προς τα έξω το ChatGPT Enterprise και το Copilot

Μόλις μια βρετανική ΜΜΕ επικολλήσει ένα βιογραφικό στο ChatGPT για διαλογή υποψηφίων, γίνεται φορέας εφαρμογής υψηλού κινδύνου κατά το παράρτημα III [1]. Αυτή η ταξινόμηση της περίπτωσης χρήσης είναι ευθύνη του φορέα εφαρμογής. Η σελίδα Enterprise Privacy της OpenAI καλύπτει τις εγγυήσεις από την πλευρά του μοντέλου: καμία εκπαίδευση σε επιχειρηματικά δεδομένα, κρυπτογράφηση, αρχεία καταγραφής ελέγχου. Δεν ταξινομεί την περίπτωση χρήσης σας, δεν συντάσσει το πρωτόκολλο ανθρώπινης εποπτείας σας, δεν εκπαιδεύει το προσωπικό σας ούτε τηρεί τα αρχεία του φορέα εφαρμογής κατά το άρθρο 26 παράγραφος 6. Μια ΜΜΕ 40 ατόμων που χρησιμοποιεί ΤΝ διαλογής βιογραφικών φέρει τις ίδιες υποχρεώσεις του άρθρου 26 με έναν εργοδότη του δείκτη FTSE 100. Το μέγεθος της εταιρείας δεν περιλαμβάνεται στον κανόνα ταξινόμησης.

Βάσει του UK GDPR, η σχέση του υπευθύνου επεξεργασίας ακολουθεί την ίδια λογική. Τα δεδομένα προσωπικού χαρακτήρα μέσα σε μια εντολή (prompt) καθιστούν τη ΜΜΕ υπεύθυνο επεξεργασίας. Τα δικαιώματα των υποκειμένων των δεδομένων δεν μπορούν να ανατεθούν σε προμηθευτή.

Η ICO το έχει ξεκαθαρίσει από το 2023

Η καθοδήγηση της ICO για την ΤΝ καλύπτει το πώς οι αρχές του UK GDPR εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από ΤΝ, συμπεριλαμβανομένων των απαιτήσεων DPIA, του μετριασμού των μεροληψιών και της αυτοματοποιημένης λήψης αποφάσεων [7]. Η καθοδήγηση τελεί υπό αναθεώρηση μετά τον Data (Use and Access) Act 2025, που τέθηκε σε ισχύ στις 19 Ιουνίου 2025 [7]. Η εργαλειοθήκη ελέγχου ΤΝ της ICO παρέχει συγκεκριμένες λίστες ελέγχου για τη διακυβέρνηση, τη λογοδοσία, τη διαφάνεια και τα ατομικά δικαιώματα [8]. Αυτές οι λίστες περιγράφουν τι χρειάζεται ο φορέας εφαρμογής πριν τον επισκεφθεί η ICO, όχι μετά. Τα τρία εργαλεία της Northbridge δεν διαθέτουν τίποτα από αυτά. Η σύμβαση επεξεργασίας του προμηθευτή καλύπτει τον προμηθευτή. Το κενό ανήκει στον φορέα εφαρμογής.

Τα εμπειρικά στοιχεία για το κόστος της εκ των υστέρων προσαρμογής στον ΓΚΠΔ

Η εμπειρική υποστήριξη του σχεδιασμού της διακυβέρνησης εξαρχής δεν στηρίζεται στη διαίσθηση. Στηρίζεται σε ό,τι συνέβη στις εταιρείες της ΕΕ που αντιμετώπισαν τον ΓΚΠΔ ως κάτι δευτερεύον το 2018.

MIT Sloan / Bessen et al. — η μόνη μελέτη μεγάλου δείγματος που έχουμε

Η μελέτη των MIT Sloan / Bessen, Janßen, Peukert και Seamans συνέκρινε εταιρείες εντός και εκτός ΕΕ μετά την έναρξη της επιβολής τον Μάιο του 2018. Τα ευρήματα είναι άμεσα: οι εταιρείες της ΕΕ μείωσαν τα αποθηκευμένα δεδομένα κατά 26 % και τη χρήση υπολογισμών κατά 15 %, σε σχέση με τις ομάδες ελέγχου εκτός ΕΕ [9]. Η μείωση συγκεντρώθηκε στην ομάδα που δεν είχε σχεδιάσει για το απόρρητο εξαρχής — την ομάδα της εκ των υστέρων προσαρμογής. Δεν επρόκειτο για πρόστιμα ή νομικές αμοιβές. Επρόκειτο για λειτουργικές αναστατώσεις: προϊόντα που διακόπηκαν, σύνολα δεδομένων μάρκετινγκ που διαγράφηκαν, ενσωματώσεις που ξαναχτίστηκαν από την αρχή. Οι εταιρείες που είχαν σχεδιάσει το απόρρητο εξαρχής από το 2016 απορρόφησαν τον ίδιο κανόνα χωρίς αυτές τις περικοπές.

Η Northbridge Trading ακολούθησε τη διαδρομή της εκ των υστέρων προσαρμογής. «Έκλεισε» τη συμμόρφωση με τον ΓΚΠΔ το 2018 με ένα πρότυπο πολιτικής 200 £ και ανακάλυψε το πραγματικό κόστος δύο χρόνια αργότερα. Τα δεδομένα του MIT Sloan περιγράφουν ακριβώς αυτό που πλήρωσε: την αρχιτεκτονική ανακατασκευή που προκύπτει όταν τραβάτε υποχρεώσεις συμμόρφωσης μέσα σε ένα σύστημα που δεν σχεδιάστηκε για να τις σηκώσει.

Ο πολλαπλασιαστής 2,4× της εκ των υστέρων προσαρμογής

Οι κλαδικές αναφορές κόστους για την εκ των υστέρων προσαρμογή καταλήγουν στο ίδιο συμπέρασμα από την πλευρά του κόστους: οι ΜΜΕ που υιοθέτησαν αργά τη συμμόρφωση πλήρωσαν περίπου 2,4 φορές όσα πλήρωσαν οι ανταγωνιστές του σχεδιασμού εξαρχής, σε αρχείο δραστηριοτήτων επεξεργασίας (ROPA), εκτιμήσεις αντικτύπου, μητρώα νομικής βάσης, διαδικασίες αντιμετώπισης παραβιάσεων, επαναδιαπραγμάτευση συμβάσεων επεξεργασίας και ανακατασκευή CRM.

Καθεμία από αυτές τις κατηγορίες του ΓΚΠΔ αντιστοιχεί άμεσα σε ένα ανάλογο του κανονισμού για την ΤΝ. Ένα μητρώο ΤΝ αντικαθιστά το αρχείο δραστηριοτήτων επεξεργασίας. Μια εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα κατά το άρθρο 27 αντικαθιστά τη DPIA του ΓΚΠΔ. Η τήρηση αρχείων από τον φορέα εφαρμογής κατά το άρθρο 26 παράγραφος 6 αντικαθιστά το αρχείο παραβιάσεων. Οι κατηγορίες είναι οι ίδιες· η εμπλοκή είναι βαθύτερη. Τα μοντέλα ΤΝ, οι εντολές και οι ροές εργασίας είναι αρχιτεκτονικά συνυφασμένα με τρόπους που οι ροές δεδομένων δεν ήταν. Η εξαγωγή σημείων τήρησης αρχείων ή δικλείδων εποπτείας από ένα σύστημα ΤΝ που βρίσκεται ήδη σε λειτουργία είναι μια μηχανική επανεγγραφή, όχι ένα έγγραφο πολιτικής. Γι' αυτό ο πολλαπλασιαστής περίπου 5× της Northbridge βρίσκεται άνετα εντός του εύρους που προβλέπουν τα κλαδικά δεδομένα υπό την πίεση της επιβολής.

Αριθμητική κόστους για μια ΜΜΕ: σχεδιασμός εξαρχής έναντι εκ των υστέρων προσαρμογής, γραμμή προς γραμμή

Ο πολλαπλασιαστής της εκ των υστέρων προσαρμογής και τα λειτουργικά δεδομένα του MIT Sloan είναι χρήσιμες άγκυρες, αλλά ένας διευθυντής λειτουργιών χρειάζεται αριθμούς που μπορεί να βάλει σε ένα σημείωμα προς το διοικητικό συμβούλιο. Ακολουθεί η αριθμητική για μια ΜΜΕ 180 ατόμων με τρία εργαλεία ΤΝ.

Βάση σχεδιασμού εξαρχής για ΜΜΕ 180 ατόμων με 3 εργαλεία ΤΝ

Ο σχεδιασμός της διακυβέρνησης ΤΝ εξαρχής, κατανεμημένος σε δώδεκα εβδομάδες, κοστίζει με βάση τη δική μας εμπειρία από έργα:

• Μητρώο ΤΝ και ταξινόμηση κινδύνου ανά περίπτωση χρήσης: 4–6 ημέρες εσωτερικής εργασίας συν επανεξέταση από σύμβουλο 2.000–4.000 £
• Πρόγραμμα γραμματισμού του άρθρου 4 (βάση 90 λεπτών για όλο το προσωπικό· ολοήμερο για τους υπευθύνους ΤΝ): 3.000–5.000 £
• Πρωτόκολλο ανθρώπινης εποπτείας και τήρηση αρχείων κατά το άρθρο 26 παράγραφος 6, ενσωματωμένα στην αρχιτεκτονική: 4.000–6.000 £ μηχανική εργασία συν 2 ημέρες νομικής επανεξέτασης
• Φάκελος δέουσας επιμέλειας προμηθευτών με συμβάσεις επεξεργασίας, δελτία μοντέλων και ίχνος γνωστοποίησης μοντέλων ΤΝ γενικού σκοπού: 2.000–3.000 £

Ενδεικτικό συνολικό κόστος σχεδιασμού εξαρχής: 18.000–32.000 £ σε δώδεκα εβδομάδες.

Προϋπολογισμός εκ των υστέρων προσαρμογής υπό την πίεση της επιβολής (γ΄ τρίμηνο 2026)

Η εκ των υστέρων προσαρμογή των ίδιων στοιχείων υπό την πίεση του γ΄ τριμήνου 2026 κοστίζει ουσιωδώς περισσότερο:

• Εξωτερικός νομικός σύμβουλος για την οριοθέτηση της έκθεσης στο παράρτημα III μετά από συμβάν: 15.000–25.000 £
• FRIA (άρθρο 27) και επικαιροποίηση DPIA σε τρία ήδη ενεργά εργαλεία: 20.000–35.000 £
• Εκ των υστέρων τήρηση αρχείων και ανακατασκευή της ροής εργασίας ανθρώπινης εποπτείας: 40.000–70.000 £
• Διαβούλευση με εργαζομένους, ενημερώσεις διαφάνειας και γνωστοποιήσεις προς πελάτες: 8.000–12.000 £

Ενδεικτικό συνολικό κόστος εκ των υστέρων προσαρμογής: 85.000–145.000 £ σε έξι έως δώδεκα εβδομάδες συμπιεσμένης αποκατάστασης. Ο λόγος κυμαίνεται από περίπου 2,7× έως 5,1×, αναπαράγοντας το κατώτερο όριο του κλαδικού δείκτη και φτάνοντας το ανώτερο όριο της Northbridge.

Γιατί ο πολλαπλασιαστής είναι χειρότερος από τον ΓΚΠΔ

Τρεις δομικοί λόγοι σπρώχνουν τον πολλαπλασιαστή της εκ των υστέρων προσαρμογής στην ΤΝ πάνω από τον αριθμό του ΓΚΠΔ. Πρώτον, οι ροές εργασίας ΤΝ είναι συνυφασμένες: εντολές, εκδόσεις μοντέλων και επακόλουθες αυτοματοποιημένες ενέργειες είναι εξ ορισμού συζευγμένες, οπότε η επιφάνεια ανασχεδιασμού είναι μεγαλύτερη από την αναδιάταξη ροών δεδομένων. Δεύτερον, οι ανακατασκευές προμηθειών τρέχουν παράλληλα με την προθεσμία του ρυθμιστή. Μια ΜΜΕ που χάνει διαγωνισμούς ενόσω τρέχει η αποκατάσταση πληρώνει και τα δύο κόστη ταυτόχρονα. Τρίτον, το ανώτατο όριο των κυρώσεων είναι υψηλότερο. Το άρθρο 99 ορίζει πρόστιμα έως 7 % του παγκόσμιου ετήσιου κύκλου εργασιών ή 35 εκατομμύρια EUR για τις απαγορευμένες πρακτικές [1]. Η οδηγία για την ευθύνη στον τομέα της ΤΝ (AI Liability Directive) προσθέτει έκθεση σε αστικές αξιώσεις που ο ΓΚΠΔ δεν δημιουργούσε.

Για μια βρετανική ΜΜΕ με ετήσιο κύκλο εργασιών 25 εκατομμυρίων £, ένας συντηρητικός βασικός υπολογισμός (πριν από τις μειώσεις για ΜΜΕ) φτάνει τα 750.000 EUR [1]. Το κόστος του σχεδιασμού εξαρχής δεν είναι ένα γενικό κόστος συμμόρφωσης. Είναι αντιστάθμιση έναντι ενός προστίμου που είναι πολλαπλάσιό του.

Ποια επτά τεκμήρια συγκροτούν τη διακυβέρνηση ΤΝ από την πρώτη ημέρα;

Η διακυβέρνηση ΤΝ από την πρώτη ημέρα για μια ΜΜΕ 50–500 εργαζομένων δεν είναι αφηρημένη έννοια. Είναι επτά τεκμήρια που μπορείτε να στήσετε σε δεκαπέντε ημέρες.

1–3: Καταγραφή και ταξινόμηση

Τεκμήριο 1 — Μητρώο ΤΝ. Ένα σχήμα μίας σελίδας: όνομα συστήματος, προμηθευτής, μοντέλο, περίπτωση χρήσης, κατηγορίες δεδομένων, επίπεδο κινδύνου, υπεύθυνος, πρωτόκολλο εποπτείας και ημερομηνία επανεξέτασης. Δεν απαιτεί σύμβουλο για να χτιστεί· απαιτεί πειθαρχία για να συντηρηθεί.

Τεκμήριο 2 — Δέντρο απόφασης για την ταξινόμηση κινδύνου ανά περίπτωση χρήσης. Αντιστοιχισμένο στις κατηγορίες του παραρτήματος III: διαλογή προσωπικού, αξιολόγηση πιστοληπτικής ικανότητας, πρόσβαση στην εκπαίδευση, βιομετρική ταυτοποίηση και κρίσιμες υποδομές [1]. Αν ένα εργαλείο αγγίζει οποιαδήποτε από αυτές τις ροές εργασίας, ενεργοποιεί υποχρεώσεις υψηλού κινδύνου.

Τεκμήριο 3 — Φάκελος δέουσας επιμέλειας προμηθευτών. Σύμβαση επεξεργασίας, δελτίο μοντέλου, γνωστοποίηση μοντέλου ΤΝ γενικού σκοπού, σύνοψη αξιολόγησης της συμμόρφωσης και κατάλογος υποεκτελούντων. Η ιδιότητα του υπογράφοντος τον Code of Practice για τα μοντέλα ΤΝ γενικού σκοπού από τον υποκείμενο πάροχο έχει σημασία εδώ [13].

4–5: Λειτουργία και προστασία

Τεκμήριο 4 — Πρωτόκολλο ανθρώπινης εποπτείας. Το άρθρο 26 παράγραφος 5 απαιτεί έναν κατονομαζόμενο άνθρωπο που μπορεί να επανεξετάσει και να παρακάμψει κάθε αυτοματοποιημένη απόφαση [1]. Το πρωτόκολλο προσδιορίζει ποιος είναι αυτό το πρόσωπο, τη ροή παράκαμψης, τα κριτήρια κλιμάκωσης και τη συχνότητα επανεξέτασης.

Τεκμήριο 5 — Πρόγραμμα γραμματισμού του άρθρου 4 στον τομέα της ΤΝ. Μια βάση 90 λεπτών για όλο το προσωπικό, μισή ημέρα για τους έμπειρους χρήστες και ολοήμερο για τους υπευθύνους ΤΝ, με ετήσια ανανέωση [1]. Το άρθρο 4 ισχύει για όλους τους φορείς εφαρμογής ανεξάρτητα από τον προμηθευτή, και η αναλογικότητα κλιμακώνεται με τον ρόλο, όχι με τον αριθμό των εργαζομένων.

6–7: Τεκμηρίωση και αντίδραση

Τεκμήριο 6 — Διαδικασία τήρησης αρχείων και συμβάντων. Αρχεία του φορέα εφαρμογής κατά το άρθρο 26 παράγραφος 6, παρακολούθηση της μετατόπισης του μοντέλου και οι δικλείδες ασφαλείας κύκλου ζωής από τις Guidelines for Secure AI System Development του NCSC, κοινή καθοδήγηση με τη CISA και 21 διεθνείς υπηρεσίες κυβερνοασφάλειας [10]. Ενσωματώστε την τήρηση αρχείων στην αρχιτεκτονική· τα έγγραφα πολιτικής χωρίς μηχανικά σημεία αγκύρωσης αποτυγχάνουν στον έλεγχο.

Τεκμήριο 7 — Φάκελος διαφάνειας και ενημέρωσης εργαζομένων. Ενημερώσεις χρηστών κατά το άρθρο 50 για ΤΝ προς πελάτες, ενημέρωση εργαζομένων κατά το άρθρο 26 παράγραφος 7 για κάθε ΤΝ που παρακολουθεί εργαζομένους, και μια σαφής οδός καταγγελιών [1].

Αγκυρωμένα σε πλαίσια αναγνωρισμένα από τους ρυθμιστές

Κάθε τεκμήριο αντιστοιχεί στις λίστες ελέγχου διακυβέρνησης και λογοδοσίας του πλαισίου ελέγχου ΤΝ της ICO [8] και στον πυρήνα του NIST AI RMF: Govern, Map, Measure και Manage [5]. Το ISO/IEC 42001 αντιστοιχίζεται στο ίδιο σύνολο των επτά τεκμηρίων. Χτίστε τα μία φορά και ικανοποιούν πολλαπλά καθεστώτα ταυτόχρονα.

Οι προμήθειες είναι ο μηχανισμός επιβολής που έφεραν νωρίτερα οι πελάτες σας

Κάθε αποτέλεσμα αναζήτησης παρουσιάζει την επιβολή του κανονισμού για την ΤΝ μέσα από τον φακό των προστίμων του ρυθμιστή. Κανένα δεν αναφέρει αυτό που οι βρετανικές ΜΜΕ που πωλούν στη μεσαία αγορά και σε μεγάλες επιχειρήσεις ήδη διαπιστώνουν το 2026: το ερωτηματολόγιο του αγοραστή έφτασε πρώτο.

Τι ζητούν πλέον οι αγοραστές της μεσαίας αγοράς και οι μεγάλες επιχειρήσεις

Τα ερωτηματολόγια προμηθευτών στους βρετανικούς διαγωνισμούς τελικού σταδίου παραπέμπουν πλέον στις οικογένειες ελέγχων του ISO/IEC 42001 και στον πυρήνα των τεσσάρων λειτουργιών του NIST AI RMF [5]. Ζητούν αποδείξεις μητρώου ΤΝ και ταξινόμησης κινδύνου ανά περίπτωση χρήσης, ένα τεκμηριωμένο πρωτόκολλο ανθρώπινης εποπτείας κατά το άρθρο 26 παράγραφος 5 [1], και γνωστοποίηση των υποεκτελούντων με την προέλευση του μοντέλου ΤΝ γενικού σκοπού: ποιο θεμελιώδες μοντέλο, ποιος πάροχος, ποιος υπογράφων τον Code of Practice [13]. Οι ομάδες προμηθειών δεν περιμένουν την καθοδήγηση επιβολής. Προστατεύουν τις δικές τους αλυσίδες εφοδιασμού έναντι της ευθύνης που κυλά προς τα πάνω όταν το εργαλείο ΤΝ ενός προμηθευτή προκαλεί συμβάν.

Τα επτά τεκμήρια της προηγούμενης ενότητας είναι ακριβώς αυτά που ζητά ένα ερωτηματολόγιο προμηθευτών της ενότητας 9.

Η Northbridge χάνει έναν διαγωνισμό το β΄ τρίμηνο του 2026

Η Northbridge Trading υπέβαλε προσφορά για μια τριετή σύμβαση 420.000 £ με έναν ρυθμιζόμενο πελάτη της μεσαίας αγοράς το β΄ τρίμηνο του 2026. Η ενότητα 9 ανέφερε: «Τηρήστε μητρώο ΤΝ, διαδικασία FRIA και πρωτόκολλο ανθρώπινης εποπτείας — προσκομίστε αποδείξεις.» Η Northbridge δεν μπόρεσε να απαντήσει. Η σύμβαση πήγε σε έναν ανταγωνιστή με ένα μητρώο μίας σελίδας και μια στοίβα πολιτικών σχήματος NIST. Η ανακατασκευή που οδηγείται από τις προμήθειες κάθεται τώρα πάνω από την προθεσμία του ρυθμιστή. Και τα δύο ρολόγια τρέχουν.

Κληρονομιά από τον δημόσιο τομέα

Οι βρετανικές ΜΜΕ που πωλούν στο δημόσιο αντιμετωπίζουν το ίδιο πρότυπο μέσα από διαφορετικό κανάλι. Το AI Playbook της κυβέρνησης, που δημοσιεύθηκε τον Φεβρουάριο του 2025, ορίζει 10 αρχές που καλύπτουν τη δεοντολογική χρήση, τη λογοδοσία, τη διαφάνεια και τη διαχείριση του κύκλου ζωής, και οι προμηθευτές τις κληρονομούν ως συμβατικούς όρους [6]. Το AI Opportunities Action Plan του DSIT, που έγινε πλήρως αποδεκτό τον Ιανουάριο του 2025, ενισχύει την υπεύθυνη ανάπτυξη ΤΝ ως προσδοκία της αλυσίδας εφοδιασμού [11]. Η αρχική έκθεση της CMA για τα θεμελιώδη μοντέλα ΤΝ (AI Foundation Models Initial Report) προσθέτει έναν φακό προστασίας του καταναλωτή και ανταγωνισμού που επικαλύπτει κάθε ανάπτυξη θεμελιώδους μοντέλου [12].

Το να μένετε κάτω από το ραντάρ του ρυθμιστή δεν σας γλιτώνει από το ερωτηματολόγιο του αγοραστή. Η Northbridge το έμαθε με τον ακριβό τρόπο.

Τι αναβάλλει — και τι ΔΕΝ αναβάλλει — το Digital Omnibus

Ο τίτλος του Digital Omnibus του Νοεμβρίου 2025 («η ΕΕ καθυστερεί τον κανονισμό για την ΤΝ») δεν αντέχει σε προσεκτική ανάγνωση της ίδιας της πρότασης. Η σύγχυση είναι κατανοητή. Ο τίτλος δεν είναι ακριβής.

Τι ισχύει ήδη και παραμένει αμετάβλητο

Τέσσερις υποχρεώσεις ισχύουν ήδη και κανένα αποτέλεσμα του Omnibus δεν τις αγγίζει. Η απαγόρευση των απαγορευμένων πρακτικών ισχύει από τις 2 Φεβρουαρίου 2025 [2]. Η υποχρέωση γραμματισμού του άρθρου 4 στον τομέα της ΤΝ ισχύει από τις 2 Φεβρουαρίου 2025 [1]. Οι υποχρεώσεις των παρόχων μοντέλων ΤΝ γενικού σκοπού και το καθεστώς του Code of Practice τέθηκαν σε ισχύ στις 2 Αυγούστου 2025 [2]. Και το UK GDPR είναι ήδη δεσμευτικό για κάθε βρετανικό οργανισμό που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, των ΜΜΕ συμπεριλαμβανομένων· η καθοδήγηση της ICO για την ΤΝ και την προστασία δεδομένων είναι η ερμηνεία του ρυθμιστή για το πώς ο νόμος αυτός εφαρμόζεται στα συστήματα ΤΝ — όχι θεσμικός κώδικας, αλλά η πρακτική βάση συμμόρφωσης έναντι της οποίας θα κρίνει η ICO [7].

Τι προτείνει στην πραγματικότητα το Digital Omnibus

Το Omnibus προτείνει στενή αναβολή του καθεστώτος αξιολόγησης της συμμόρφωσης για τα συστήματα ΤΝ υψηλού κινδύνου του παραρτήματος III, καθώς και των απαιτήσεων τεχνικής τεκμηρίωσης και καταχώρισης στη βάση δεδομένων της ΕΕ, για τους παρόχους συγκεκριμένων κατηγοριών συστημάτων ΤΝ υψηλού κινδύνου. Δεν προτείνει να αναβληθούν οι υποχρεώσεις των φορέων εφαρμογής (άρθρο 26), οι απαιτήσεις διαφάνειας (άρθρο 50), οι υποχρεώσεις γραμματισμού (άρθρο 4) ούτε η πειθαρχία τεκμηρίωσης της FRIA. Αυτές οι υποχρεώσεις παραμένουν στο δημοσιευμένο χρονοδιάγραμμα.

Ο τριμερής διάλογος ναυάγησε στις 28 Απριλίου 2026. Η εκ νέου προγραμματισμένη συνεδρίαση εκκρεμούσε κατά τη συγγραφή του παρόντος. Συνεπώς, η δημοσιευμένη προθεσμία της Επιτροπής παραμένει η νομικά ισχύουσα προεπιλογή [2]. Οι ΜΜΕ που διάβασαν «αναβλήθηκε για το 2027» και ανέβαλαν τον σχεδιασμό της διακυβέρνησης με βάση αυτή την ανάγνωση είναι ήδη πίσω σε σχέση με τις υποχρεώσεις της πλευράς του φορέα εφαρμογής που ποτέ δεν μετατοπίστηκαν.

Ο σταθερός πυρήνας που κανένα αποτέλεσμα του Omnibus δεν αγγίζει

Η διακυβέρνηση που σχεδιάζεται έναντι του σταθερού πυρήνα (ταξινόμηση κινδύνου ανά περίπτωση χρήσης, ανθρώπινη εποπτεία, τήρηση αρχείων από τον φορέα εφαρμογής, τεκμηρίωση FRIA και DPIA, εκπαίδευση γραμματισμού στον τομέα της ΤΝ, γνωστοποίηση διαφάνειας) επιβιώνει όποια έκδοση του Omnibus κι αν επικρατήσει τελικά. Αυτό που αλλάζει ανά έκδοση του Omnibus είναι σε ποιο παράρτημα κατατάσσεται μια περίπτωση χρήσης, όχι το αν μια ΜΜΕ χρειάζεται μητρώο, πρωτόκολλο εποπτείας και διαδικασία αντιμετώπισης συμβάντων. Το «έχουμε χρόνο ως το 2027» δεν προκύπτει από το κείμενο.

Πώς μπορεί μια ΜΜΕ να χτίσει διακυβέρνηση ΤΝ σε 90 ημέρες;

Δώδεκα εβδομάδες αρκούν για να παραδοθεί διακυβέρνηση σχεδιασμένη εξαρχής, αν η εργασία είναι σωστά αλληλουχημένη. Ακολουθεί το σχέδιο εβδομάδα προς εβδομάδα για μια ΜΜΕ 50–500 εργαζομένων που ξεκινά από το μηδέν.

Εβδομάδες 1–3 — Καταγραφή και ταξινόμηση

Εντοπίστε κάθε εργαλείο ΤΝ σε χρήση, συμπεριλαμβανομένης της σκιώδους ΤΝ (shadow AI): το Copilot ενσωματωμένο στο Microsoft 365, ΤΝ σε επεκτάσεις προγράμματος περιήγησης, εξειδικευμένες ενότητες SaaS με δυνατότητες ΤΝ που η ομάδα προμηθειών σας δεν αξιολόγησε ποτέ ρητά. Στήστε το μητρώο ΤΝ και αναθέστε έναν υπεύθυνο ανά σύστημα. Τρέξτε το δέντρο ταξινόμησης κινδύνου ανά περίπτωση χρήσης έναντι του παραρτήματος III και επισημάνετε κάθε έκθεση σε διαλογή προσωπικού, αξιολόγηση πιστοληπτικής ικανότητας, εκπαίδευση, βιομετρική ταυτοποίηση ή κρίσιμες υποδομές [1]. Τρέξτε μια γρήγορη επανεξέταση της νομικής βάσης κατά το UK GDPR για κάθε σύστημα που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα [7].

Εβδομάδες 4–7 — Λειτουργία και τεκμηρίωση

Συντάξτε το πρωτόκολλο ανθρώπινης εποπτείας για κάθε σύστημα υψηλού και περιορισμένου κινδύνου: κατονομαζόμενος άνθρωπος, ροή παράκαμψης, κριτήρια κλιμάκωσης, συχνότητα επανεξέτασης (Τεκμήριο 4). Υλοποιήστε την τήρηση αρχείων κατά το άρθρο 26 παράγραφος 6 όπου η πλατφόρμα το υποστηρίζει· διαφορετικά, χτίστε το αρχείο από την πλευρά του φορέα εφαρμογής. Μην το αφήνετε στα έγγραφα πολιτικής [8]. Τρέξτε το πρόγραμμα γραμματισμού του άρθρου 4 στον τομέα της ΤΝ: πρώτα τη βάση 90 λεπτών για όλο το προσωπικό, μετά τις βαθύτερες συνεδρίες για έμπειρους χρήστες και υπευθύνους ΤΝ [1]. Επικαιροποιήστε τις DPIA και τις FRIA έναντι της εργαλειοθήκης της ICO για κάθε σύστημα υψηλού κινδύνου [8].

Εβδομάδες 8–12 — Έτοιμοι για προμήθειες και επανεξέταση

Χτίστε τον φάκελο δέουσας επιμέλειας προμηθευτών: συμβάσεις επεξεργασίας, δελτία μοντέλων, προέλευση μοντέλου ΤΝ γενικού σκοπού, καταλόγους υποεκτελούντων και την ιδιότητα του υπογράφοντος τον Code of Practice για κάθε πάροχο θεμελιώδους μοντέλου [13]. Δημοσιεύστε ενημερώσεις διαφάνειας κατά το άρθρο 50 για ΤΝ προς πελάτες· ενημερώστε τους θιγόμενους εργαζομένους κατά το άρθρο 26 παράγραφος 7 [1]. Αντιστοιχίστε τα επτά τεκμήρια στη μορφή του ερωτηματολογίου προμηθειών που στέλνουν οι αγοραστές της μεσαίας αγοράς: οικογένειες ελέγχων του ISO/IEC 42001 και λειτουργίες του NIST AI RMF [5]. Προγραμματίστε την πρώτη τριμηνιαία επανεξέταση διακυβέρνησης και ορίστε έναν υπεύθυνο ανώτατης διοίκησης σύμφωνα με την απαίτηση της εργαλειοθήκης της ICO [8].

Δύο αντι-μοτίβα προς αποφυγή

Πρώτο: η αγορά συνδρομής εργαλείων αξίας 40.000 £ πριν συμπληρωθεί το μητρώο. Τα εργαλεία χωρίς πεδίο διακυβέρνησης είναι θέατρο. Το εργαλείο αναδεικνύει κινδύνους που η ΜΜΕ δεν έχει ακόμη ορίσει.

Δεύτερο: η αντιμετώπιση του γραμματισμού του άρθρου 4 ως ενός εφάπαξ διαδικτυακού σεμιναρίου. Η υποχρέωση είναι διαρκής και ανάλογη με τον ρόλο [1]. Μια εναρκτήρια συνεδρία 90 λεπτών ικανοποιεί τη βάση· δεν ικανοποιεί την ετήσια ανανέωση ούτε τις βαθύτερες συνεδρίες για τους υπευθύνους ΤΝ. Η αρχιτεκτονική επανεγγραφή που πλήρωσαν όσοι προσάρμοσαν τον ΓΚΠΔ εκ των υστέρων προέκυψε επειδή γράφτηκαν έγγραφα πολιτικής και παραλείφθηκε η μηχανική. Το ίδιο μοτίβο, εφαρμοσμένο στην ΤΝ, παράγει το ίδιο αποτέλεσμα.

Διδάγματα

Το δίδαγμα που η Northbridge έχει ήδη πληρώσει

Τον Ιούνιο του 2020 ο διευθυντής λειτουργιών της Northbridge υπέγραψε τιμολόγια 142.000 £ για την εκ των υστέρων προσαρμογή στον ΓΚΠΔ έναντι μιας βάσης σχεδιασμού εξαρχής 28.000 £. Δεν επρόκειτο για αστοχία προμηθειών. Είναι αυτό που συμβαίνει όταν ένας ικανός επαγγελματίας αντιμετωπίζει τη συμμόρφωση ως κάτι που προστίθεται από πάνω μόλις το προϊόν λειτουργήσει. Τα δεδομένα του MIT Sloan μετατρέπουν αυτή την εμπειρία σε μοτίβο: οι εταιρείες της ΕΕ μείωσαν τα αποθηκευμένα δεδομένα κατά 26 % και τους υπολογισμούς κατά 15 % μετά το 2018, με τη βαρύτερη επίπτωση στις εταιρείες που δεν είχαν χτίσει το απόρρητο από την πρώτη ημέρα [9]. Ο κανονισμός για την ΤΝ πρόκειται να διδάξει αυτό το μάθημα για δεύτερη φορά.

Οι εκ των υστέρων προσαρμογές της διακυβέρνησης ΤΝ βγαίνουν χειρότερες, επειδή η τήρηση αρχείων, η ανθρώπινη εποπτεία και οι εντολές είναι συνυφασμένες με την αρχιτεκτονική των ροών εργασίας. Οι προμήθειες επιβάλλουν τον κανονισμό πριν από τους ρυθμιστές. Τα επτά τεκμήρια κοστίζουν 18.000–32.000 £ για να σχεδιαστούν εξαρχής· κοστίζουν 85.000–145.000 £ για να προσαρμοστούν εκ των υστέρων υπό την πίεση επιβολής και προμηθειών μαζί. Η αριθμητική δεν αφήνει περιθώρια.

Σύνοψη

AI governance from day one — why retrofitting costs more
│
├─ The retrofit trap
│   ├─ GDPR precedent — one SMB paid ~5x to bolt it on late
│   ├─ AI Act is worse — prompts & logs entangle with workflow
│   └─ The numbers — design-in £18-32k vs retrofit £85-145k
│
├─ You can't outsource it
│   ├─ Article 26 — the deployer's job stays with the SMB
│   └─ Buying Copilot — vendor covers the model, not your use case
│
└─ Act now, not in 2027
    ├─ Procurement first — RFP questionnaires enforce before fines
    ├─ Omnibus myth — it defers providers, not deployer duties
    └─ Seven artefacts — register, oversight, logging, literacy

Σχετικές αναλύσεις

• Local LLM vs Cloud LLM Data Security: The Wrong Question (2026)^EN — το σύνολο ελέγχων ταξινόμησης δεδομένων και DLP που τα επτά τεκμήρια διακυβέρνησης προϋποθέτουν ότι βρίσκεται ήδη σε ισχύ.
• Human-in-the-Loop Isn't Oversight. It's a Design Discipline. — πώς η υποχρέωση ανθρώπινης εποπτείας του άρθρου 26 γίνεται ένα λειτουργικό σύστημα κατωφλίων αντί για μια τελετουργία έγκρισης.
• 50 Questions to Ask Before Implementing AI: SMB Buyer's Guide^EN — η δέουσα επιμέλεια στο στάδιο της αγοράς που αναδεικνύει τα κενά στα τεκμήρια διακυβέρνησης πριν από την υπογραφή της προμήθειας, όχι μετά.