Опубліковано: 21 жовтня 2026. За матеріалами AI-практикуму Juscutum від 28 травня 2026 року. Спікер: Петро Білик.

Компанія відповідає за те, що робить її AI-агент або чат-бот, так само як за дії співробітника чи сторінки свого сайту. Аргумент «це зробив AI» у розглянутих кейсах нікого не врятував. Тому правильне запитання для бізнесу звучить не «чи можна використовувати AI», а «що буде, коли AI помилиться і чи зможемо ми пояснити, як приймалося рішення». Відповідь на нього дає AI Governance.

Чат-бот і AI-агент: у чому різниця для ризиків

AI-модель / чат-ботAI-агентЩо робитьІнформує: відповідає на запитання, генерує текст чи зображення, підказує рішення людиніДіє: бронює квитки, переказує гроші, надсилає листи, видаляє файли, оновлює бази данихХто приймає рішенняЛюдинаМоже діяти без перевірки людиноюТипові ризикиГалюцинації, упередженістьФінансові, репутаційні та юридичні

Сім кейсів, де «це зробив AI» не спрацювало

Факти нижче наведено за публічними повідомленнями. Перед публікацією до кожного кейсу додаємо посилання на першоджерело.

КейсЩо сталосяУрок для бізнесуAir CanadaЧат-бот вигадав політику відшкодування для пасажира, якої не існувало. Компанія стверджувала, що бот — окрема юридична особа. Суд вказав, що чат-бот є частиною сайту й компанія відповідає за всю інформацію на ньому. Компенсація — 812 канадських доларівОдин із перших прецедентів відповідальності компанії за слова її AIChevroletБот дилера отримав інструкцію погоджуватися з усім. Бот погодився «продати» автомобіль за 1 доларPrompt injection — реальний ризик; AI-агент із доступом до прайсів потребує обмеженьDPDПісля оновлення чат-бот за запитом користувача написав вірш про те, що компанія жахлива. Бота вимкнулиБез фільтрів, red-team тестування й обмежень за тематикою бот стає публічним ризиком бренду 24/7NYC MyCityМуніципальний бот радив порушувати закон: забирати чайові працівників, відмовляти орендарям із житловими ваучерами (Section 8), не приймати готівкуПомилкові поради AI мають наслідки у вигляді штрафів, компенсацій і дискримінаційних санкційCursorAI-агент підтримки «Sam» повідомив про політику одного пристрою на підписку, якої не існувало. Користувачі думали, що спілкуються з людиною; були відписки й публічні вибаченняГалюцинація в умовах обслуговування зачіпає права споживачівReplitAI-агент із правом запису в базу даних видалив production-базу, створював фейкові звіти та тестових користувачівАгент із правами запису без human review — операційний ризикArupПрацівник взяв участь у відеодзвінку з deepfake-«фінансовим директором» і здійснив кілька переказів на загальну суму близько 25,6 млн доларівDeepfake стає інструментом соціальної інженерії проти компаній

Спільне в цих історіях: human-in-the-loop або існував, але не спрацював, або його не було; use cases і обмеження не були задокументовані; а фраза «це зробив AI» не допомогла нікому.

Хто відповідає: provider, deployer і user

РольЗона відповідальностіProvider (розробник)Дизайн, тестування, документація, safeguardsDeployer (компанія, що впроваджує)Визначення use cases, дані, контроль, навчання персоналу, договориUser (користувач)Виконання правил, AI literacy, перевірка ризикових дій

Дивлячись на інцидент, регулятор і суд шукатимуть відповіді на чотири запитання: хто допустив використання AI, хто контролював роботу системи, хто мав право втрутитися і чи була процедура управління ризиками. Незнання принципів роботи власного AI-агента так само не виправдовує, як незнання закону.

П'ять зон юридичного ризику

• Персональні дані: GDPR та український закон про захист персональних даних; AI може збирати, обробляти й передавати дані без належного контролю.
• Інтелектуальна власність: питання авторства AI-генерованого контенту й чи не порушує IP навчання моделі на чужих даних.
• Дискримінація: AI в HR, кредитуванні та страхуванні може відтворювати й посилювати упередження.
• Deepfake: фінансове шахрайство, дискредитація, маніпуляції.
• Відповідальність: хто платить, коли AI-агент завдає шкоди, провайдер, деплоєр чи користувач.

Головний вакуум у більшості компаній — governance: відсутність внутрішніх процедур і документації є найпоширенішою причиною юридичної вразливості.

Чотири стовпи відповідального AI

• AI Ethics: цінності та принципи, які визначають межі використання AI у компанії.
• Responsible AI: практичні стандарти розробки й розгортання, що мінімізують шкоду.
• AI Safety: технічні й операційні запобіжники від збоїв і зловживань.
• AI Governance: документація, процедури, розподіл відповідальності та аудит.

AI Impact Assessment і HUDERIA

Практичний інструмент перед запуском AI-агента — оцінка впливу. HUDERIA — методологія Ради Європи для оцінки впливу AI-систем на права людини, демократію та верховенство права. Вона складається з чотирьох елементів: COBRA (оцінка контексту й операційних ризиків), SEP (оцінка соціального впливу та конфіденційності), RIA (оцінка регуляторних і правових наслідків) та MP (план моніторингу й контролю після впровадження). Juscutum є пілотною організацією Ради Європи з HUDERIA в Україні та застосовує цей підхід для українських компаній, які виходять на міжнародні ринки.

Сім запитань до ваших AI-агентів

1. Чи є інвентар усіх AI-агентів? Повний перелік систем, які ухвалюють рішення або виконують дії від імені компанії.
2. Чи зрозумілі потоки даних? Що збирається, де зберігається, кому передається.
3. Чи є заборонені use cases? Перелік сценаріїв, де AI-агент не має права діяти самостійно.
4. Чи є human review? Обов'язкова перевірка людиною перед критичними діями агента.
5. Чи є вимоги до провайдерів у договорах? Відповідальність, рівень сервісу, обмеження використання даних.
6. Чи є incident response? Процедура реагування на збої, помилки та зловживання AI.
7. Чи навчені працівники AI literacy? Розуміння можливостей і ризиків систем, з якими вони працюють.

Висновок

У світі AI виграють не ті компанії, які першими купили інструмент, а ті, які першими побудували систему довіри до того, як його використовувати. AI Governance і AI Impact Assessment — це не витрата, а спосіб зменшити ризик того, що кейси Air Canada, Arup чи Replit повторяться у вашій компанії.

Читайте також

• Юридичний супровід компаній, які створюють або впроваджують ШІ
• Шахрайство в епоху ШІ: ризики, deepfake та як захиститися
• Штучний інтелект та авторське право
• Захист персональних даних: вимоги для бізнесу
• Бойові дані та AI (A10)

Хочете оцінити AI-агентів у вашій компанії? Обговоріть ситуацію з командою практики AI Juscutum.

‍