Регламент ЄС про ШІ: як formexposed використовує ШІ

Цей документ опубліковано кількома мовами. У разі будь-яких розбіжностей між мовними версіями обов’язковою є польська версія.

Версія 1.1 · Останнє оновлення: 23 жовтня 2026 року

Що означає Регламент (ЄС) 2024/1689 («Регламент про ШІ») зі змінами, внесеними Регламентом (ЄС) 2026/1744, для formexposed, де сервіс використовує штучний інтелект, де прямо не використовує його, які дані бачить модель і як ми оцінюємо застосовні до нас обов’язки за Регламентом. Ця сторінка описує поточний стан сервісу та нашу правову оцінку; вона не є договірним документом, а наші зобов’язання перед Клієнтами визначаються Умовами надання послуг і Договором про обробку даних. Вона входить до наших правових документів поряд із Політикою конфіденційності та Реєстром діяльності з обробки.

1. Коротко

Регламент про ШІ набрав чинності 1 серпня 2024 року. Його заборони та обов’язок забезпечувати грамотність у сфері ШІ застосовуються з 2 лютого 2025 року, обов’язки щодо моделей загального призначення — з 2 серпня 2025 року, а обов’язки щодо прозорості за ст. 50 — з 2 серпня 2026 року (ст. 113).

formexposed використовує мовну модель у трьох випадках: як допоміжний засіб для класифікації форми, яку не розпізнали наші правила, для узагальнення результатів сканування у вигляді пріоритизованого плану дій для платних облікових записів і у функції «Fix it for me», де на Ваш запит вона вбудовує наш модуль захисту в код Вашої форми. У всіх трьох випадках модель працює на нашому власному сервері в Польщі; жодні вхідні дані не передаються постачальнику ШІ. Оцінка ризику, висновок, сповіщення, запобігання зловживанням і захист від спаму в плагіні — це не ШІ, а написані нами правила, результати яких можна перерахувати вручну. Жоден результат ШІ не визначає жодного рішення щодо людини.

2. Де formexposed використовує ШІ

2.1 Класифікація форм у сервісі перевірки

Під час кожної перевірки сканер має визначити, яку форму він бачить: контактну форму, вхід, замовлення, пошук, підписку на новини тощо. Від цього залежить, чи буде форма взагалі оцінюватися. Класифікація відбувається у два етапи:

Спочатку правила. Типи полів, назви полів, підписи, тексти кнопок і текст навколо форми зіставляються з фіксованими списками слів німецькою, англійською та польською мовами. Цього достатньо для переважної більшості форм.
Мовна модель — лише якщо правила визначили «невідомо». Тоді вона отримує опис форми й повертає тип та рівень упевненості від 0 до 1. Якщо вона не відповідає, повертає порожню або невідому відповідь, форма залишається «невідомою». У разі відмови моделі перевірка продовжується без цього етапу.

Дії моделі суворо обмежено, причому в коді, а не лише на рівні намірів:

Форма, класифікована моделлю, ніколи не надсилається. Тестові надсилання виконуються лише для контактних форм, які правила розпізнали з високою впевненістю, а для клієнтів — лише на доменах із підтвердженим контролем.
Форма, класифікована моделлю, не враховується в оцінці ризику та висновку. Вона залишається видимою в списку знайдених форм, але ніколи не вважається основною контактною формою домену, до якої прив’язано моніторинг, візуальне порівняння, клієнтський портал і «Fix it for me». Якщо модель вважає щось контактною формою, код знижує її впевненість щонайбільше до 0.6, оскільки в наших тестах вона сприймала пошукові поля й страхові калькулятори за контактні форми.
Поряд із кожною формою у звіті зазначено джерело її класифікації: «правила» або «ШІ», із рівнем упевненості у відсотках.

2.2 «Fix it for me»: вбудовування модуля захисту у Ваш код

На платних тарифах власники й адміністратори робочого простору отримують готовий модуль захисту для PHP, Node.js або Python. Сам модуль є фіксованим шаблоном без ШІ; до нього лише підставляються Ваше ім’я хоста та назви полів з останньої перевірки. За бажанням Ви можете вставити код своєї форми, і мовна модель вбудує в нього модуль. Ви отримуєте змінений файл і, за винятком дуже великих файлів, патч. Перш ніж Ви побачите результат, наш код без ШІ перевіряє дві речі:

чи справді вбудовано виклик модуля — якщо його немає, інтерфейс прямо повідомляє: не розгортайте в такому вигляді;
чи правильний синтаксис (php -l, node --check або py_compile); Ваш код перевіряється, а не виконується.

Для кожного результату інтерфейс повідомляє, що його створив ШІ, що ШІ може помилятися та що перевірка синтаксису не перевіряє Вашу логіку. Ми нічого не розгортаємо: у нас немає доступу до Вашого сервера, і ми його не запитуємо. Наступна перевірка показує, чи працює зміна.

2.3 Сторонні ШІ-асистенти через наш інтерфейс MCP

На тарифі Business Ви можете під’єднати власного ШІ-асистента (наприклад, Claude, ChatGPT або Cursor) до свого облікового запису через Model Context Protocol, щоб запитувати дані про Ваші домени, перевірки та інциденти. Це не наш ШІ: ми надаємо асистенту дані так само, як через REST API. Який постачальник і що робить із даними, залежить від Вашого вибору та Вашого договору з цим постачальником. Через інтерфейс асистент може лише читати дані та запускати перевірку.

2.4 Google reCAPTCHA на наших власних формах

Наші власні форми (безкоштовна перевірка, інструмент заголовків, відмова від сканування, вхід, реєстрація, пароль, підтримка та контакти) захищені Google reCAPTCHA v3. Для цього Google власними методами обчислює значення від 0 до 1; ми бачимо лише це значення й відхиляємо надсилання, якщо воно нижче фіксованого порога. Метод належить Google, а не нам. Той, чиє надсилання відхилено, може спробувати знову або зв’язатися з нами електронною поштою. Подробиці наведено в Політиці конфіденційності.

2.5 Пріоритизований план дій у платних звітах

Для відповідних перевірок доменів у платних облікових записах та сама локальна модель також складає короткий пріоритизований план дій на основі імені хоста, загального результату й оцінки ризику, CMS, відповідного типу форми та адреси сторінки, виявленого плагіна за наявності й вибраних негативних або неясних результатів перевірки. Для цього вона не отримує знімків екрана чи надісланих значень полів форми. План позначено як узагальнення, створене ШІ; визначальними залишаються окремі результати перевірки. Він не змінює сайт або результат сканування.

Модель отримує інструкцію сформувати від 3 до 5 коротких пронумерованих кроків або від 1 до 2 кроків, якщо захист уже добрий. Це інструкції для моделі, а не гарантія правильності рекомендацій. Результат скорочується й очищується до звичайного тексту; перевірку його фактичної правильності не реалізовано.

3. Де formexposed не використовує ШІ

Наведені нижче складові ґрунтуються виключно на правилах, установлених людьми. Вони нічого не виводять із даних, нічого не навчаються й тому не є системами ШІ в розумінні ст. 3(1), як пояснено в пункті 12 преамбули:

Оцінка ризику та висновок: зважена сума відсутніх заходів захисту (CAPTCHA, поле-пастка, токен, часова позначка та інші) від 0 до 100; після перетину фіксованих порогів — «Незахищено», «Частково захищено» або «Захищено». Ваги встановлюємо ми; вони не змінюються залежно від перевірених даних.
Виявлення заходів захисту, сторонніх скриптів, банерів cookie, доступності: зіставлення з відомими ознаками у вихідному коді та поведінці сторінки.
Моніторинг і сповіщення: порівняння з попередньою перевіркою; зіставлення часу відповіді з базовим значенням, що дорівнює медіані перших вимірювань, із фіксованими порогами.
Запобігання зловживанням безкоштовною перевіркою: лічильники за IP-адресою, сесією та періодом із фіксованими лімітами. Той, хто перевищує ліміт, отримує відмову до кінця поточного періоду, щонайбільше на 24 години. Аномалії позначаються й опрацьовуються людиною.
Візуальне порівняння форм: знімки екрана з послідовних перевірок порівнюються за профілями яскравості рядків і стовпців із фіксованими порогами, щоб повідомити про зміщену або приховану форму.
Колективний захист: домен із посилань у заблокованих повідомленнях додається до спільного списку, якщо з’являється на мінімальній кількості різних сайтів протягом фіксованого періоду; великі сервіси є винятками, а кожне блокування потрапляє в карантин, а не зникає безслідно.
Захист від спаму в плагіні WordPress і розширенні TYPO3: поле-пастка, підписаний токен, мінімальний час заповнення, підтвердження взаємодії, арифметична задача, перевірки розривів рядків і здатності поштового домену отримувати листи, обмеження частоти, списки одноразових адрес, системи письма за класами Unicode, власні списки слів і країни. Сама перевірка працює на сайті Клієнта. Поки сайт під’єднано до облікового запису, ми отримуємо лише лічильники, назви й версії розширень, а під час його участі в колективному захисті (увімкнено за замовчуванням у плагіні WordPress) — домени посилань у заблокованих повідомленнях, але не повідомлення й не адреси.

4. Які дані отримує модель і де вона працює

Функція	Вхідні дані моделі	Результат	Що зберігається
Класифікація форм	Заголовок і адреса сторінки, текст кнопок надсилання, для кожного поля — його тип, назва, підпис, текст підказки та ознака обов’язковості чи прихованості, щонайбільше 400 символів видимого тексту форми. Без введених значень.	Тип форми й рівень упевненості	Тип, рівень упевненості, джерело «ШІ» та назва моделі разом із результатом перевірки протягом строку його зберігання; не сам запит
«Fix it for me»	вставлений Вами код (щонайбільше 30 000 символів) і наш модуль захисту з Вашим іменем хоста та назвами Ваших полів	змінений файл	жодна частина коду (для перевірки синтаксису змінений файл перебуває на нашому вебсервері як тимчасовий файл лише протягом цієї перевірки); у журналі дій — лише мова, довжина, успішність, чи вбудовано виклик, і результат перевірки синтаксису
Пріоритизований план дій у платних звітах	Ім’я хоста, загальний результат і оцінка ризику, CMS, відповідний тип форми та адреса сторінки, виявлений плагін за наявності й щонайбільше 18 різних негативних або неясних результатів перевірки з ключами, результатами й примітками, скороченими до 200 символів кожна; без знімків екрана чи надісланих значень полів	Короткий пріоритизований план вибраною мовою, обмежений 1 500 символами	Запит і відповідь тимчасово у внутрішній черзі завдань; отриманий текст плану, мова, статус і часова позначка разом із результатом сканування протягом строку його зберігання

Без передавання даних назовні. Модель працює на нашому власному сервері перевірок у Польщі. Сканер звертається до неї зі свого ізольованого середовища, а наш вебсервер — через нашу внутрішню мережу. Жодні вхідні дані не передаються постачальнику ШІ чи іншій третій особі. Код застосунку та робочих процесів не дає змоги встановити, чи записує сервіс моделі вміст запитів у журнали. Під час цього перегляду конфігурацію журналювання на хості моделі не перевірено; тому ми не стверджуємо тут, що всі журнали сервісу моделі містять лише технічні метадані.
Без навчання. Ми не навчаємо й не змінюємо модель та не використовуємо ні результати перевірок, ні Ваш код для її поліпшення. Кожен запит є самостійним.
Персональні дані. Для передбачених цілей цим функціям не потрібні повідомлення відвідувачів чи фактично надіслані значення полів форми. Це не означає, що їхні вхідні дані анонімні. У виняткових випадках ім’я може потрапити в текст форми сторонньої сторінки, наприклад ім’я контактної особи поряд із формою. У «Fix it for me» ми просимо Вас перед вставленням видалити паролі, ключі API та персональні дані; під час введення інтерфейс нагадує про паролі та ключі API.
Зберігання плану дій. Запит тимчасово зберігається в нашій внутрішній черзі завдань. Після отримання результату запис черги видаляється; планове очищення також видаляє записи черги, старші за одну годину. Створений текст, мова, статус і часова позначка зберігаються разом із результатом сканування та підпорядковуються строку його зберігання, зокрема зберіганню останньої завершеної перевірки кожного домену й видаленню в разі видалення домену.
Вхідні дані плану дій. Імена хостів, адреси сторінок і примітки до результатів перевірки можуть випадково містити персональну інформацію. Запит до моделі для плану дій не передбачає повідомлень відвідувачів або введених значень полів.
Ліміти використання: кількість запитів «Fix it for me» із ШІ на робочий простір за день обмежено, щоб сервер залишався доступним для перевірок.

5. Наша роль за Регламентом про ШІ

Модель: Ми використовуємо вільно доступну мовну модель загального призначення з відкритими вагами від стороннього постачальника. Обов’язки щодо самої моделі (ст. 53 і наступні) несе її постачальник. Оскільки ми її не навчаємо й не змінюємо, ми самі не стаємо постачальником такої моделі.

Системи: Ми розробили класифікацію форм, функцію плану дій і «Fix it for me» та експлуатуємо їх під назвою formexposed. За нашою оцінкою, ми є постачальником цих систем ШІ (ст. 3(3)), оскільки самі їх розробили й увели в експлуатацію під власним ім’ям. Ми також самі експлуатуємо класифікацію форм і функцію плану дій, а отже, у цій частині є суб’єктом впровадження (ст. 3(4)). Саме по собі отримання або читання плану дій не робить Клієнта суб’єктом впровадження. «Fix it for me» наші клієнти використовують у межах своєї професійної діяльності; при цьому вони, за нашою оцінкою, є суб’єктами впровадження.

Класифікація ризику: Жодна з цих трьох функцій для описаних тут передбачених цілей не належить до сфер високого ризику з Додатка III (наприклад, біометрія, критична інфраструктура, освіта, працевлаштування, основні послуги, правоохоронна діяльність, міграція, здійснення правосуддя) і не є компонентом безпеки продукту за Додатком I. Вони класифікують форми, узагальнюють технічні результати сканування у вигляді рекомендаційних кроків і редагують програмний код; вони не оцінюють людей. Тому вони не є системами ШІ високого ризику за ст. 6; вимоги до таких систем та обов’язки їхніх постачальників і суб’єктів впровадження (глава III) до них не застосовуються. На них поширюється обов’язок забезпечувати грамотність у сфері ШІ (ст. 4) і, за виконання відповідних умов, обов’язки щодо прозорості за ст. 50.

Заборонені практики (ст. 5): formexposed не здійснює розпізнавання емоцій, біометричної категоризації чи ідентифікації, соціального оцінювання, прогнозування кримінальних правопорушень і не застосовує маніпулятивних або підсвідомих технік.

6. Прозорість (ст. 50)

Не чатбот. У formexposed ніхто не веде розмови з ШІ. Ст. 50(1) стосується систем ШІ, призначених для безпосередньої взаємодії з фізичними особами. План дій створюється у фоновому режимі й має видиму позначку у звіті про те, що його створив ШІ. Класифікація форм ні з ким не контактує; «Fix it for me» отримує код і повертає код, а інтерфейс прямо вказує, що результат походить від ШІ. Отже, кожен користувач цієї функції в будь-якому разі знає, що має справу з ШІ.
Згенерований код. «Fix it for me» генерує програмний код і позначає його як результат ШІ. Передбачена зміна полягає у вставленні нашого модуля захисту; це може змінити поведінку та зміст коду. Тому ми не припускаємо, що виняток для стандартного редагування або незмінного змісту за ст. 50(2) застосовується в кожному випадку. Застосовність цього положення та будь-якого винятку необхідно оцінювати для конкретного результату. Патч показує змінені рядки, якщо він доступний, але сам по собі не доводить наявності винятку чи машинозчитуваного маркування. Для дуже великих файлів патча немає; у такому разі порівняйте файл самостійно.
Текст плану дій і машинозчитуване маркування. План дій створює узагальнення та пріоритизовані рекомендації на основі результатів перевірки. Для цієї мети ми розглядаємо його як згенерований текст у межах ст. 50(2), а не як стандартне редагування, що залишає зміст незмінним. Це положення вимагає машинозчитуваного маркування й можливості виявлення з урахуванням його умов і сучасного рівня техніки. Саме по собі видиме повідомлення про ШІ не підтверджує виконання цієї технічної вимоги. Поточний огляд коду підтверджує видиме повідомлення та зберігання й відображення звичайного тексту; він не підтверджує ефективного машинозчитуваного маркування в усьому ланцюжку створення та виведення результату. Тому ми не стверджуємо, що виконання цієї вимоги повністю перевірено.
Контекст звіту. План створюється у фоновому режимі як рекомендація оператору сайту. Він не створюється з метою інформування громадськості з питань суспільного інтересу за ст. 50(4). Проте звіти може відкрити без входу кожен, хто має їхнє випадкове посилання. Подальша публікація з метою, пов’язаною із суспільним інтересом, потребує окремої оцінки; доступ за посиланням не є загальним винятком із правил прозорості.
Класифікації у звіті позначаються як «ШІ» щоразу, коли походять від моделі.
Плани дій у платних звітах позначаються як узагальнення, створені нашим ШІ на наших власних серверах. Повідомлення вказує, що визначальними є окремі результати перевірки.
Ми не генеруємо зображень, аудіо- чи відеовмісту, а також дипфейків.

7. Людський нагляд і відсутність автоматизованих рішень

Результати моделі є допоміжними засобами, а не рішеннями. Класифікація форм не може самостійно нічого запустити: ні надсилання, ні висновку, ні сповіщення. «Fix it for me» нічого не змінює на Вашому сервері; Ви читаєте результат, ухвалюєте рішення та самостійно розгортаєте його. План дій є лише рекомендаційним текстом: його відображення не змінює ні сайт, ні оцінку ризику чи висновок; користувач вирішує, які кроки виконати. За нашою оцінкою, жодна функція formexposed не ухвалює рішення, яке створює правові наслідки для людини або подібним чином істотно на неї впливає (ст. 22 GDPR). Якщо reCAPTCHA або один із наших фіксованих лімітів автоматично відхиляє введені дані, Ви можете спробувати знову або написати нам; тоді справу розгляне людина. Наші оцінки стосуються сайтів і форм, а не людей.

Якщо Ви вважаєте класифікацію неправильною, напишіть нам і додайте посилання на звіт. Ми розглянемо її та вдосконалимо правила.

8. Грамотність у сфері ШІ (ст. 4) та якість

Власник сам розробив функції ШІ formexposed і сам їх експлуатує; наразі інші особи з ними не працюють. Перед кожною зміною моделі він ознайомлюється з її роботою й обмеженнями, а також із поточним станом Регламенту. Якщо до роботи із цими функціями долучаться працівники або постачальники послуг, до першого використання вони отримають інструктаж щодо роботи функцій, їхніх обмежень і ризиків; ми письмово фіксуємо цей інструктаж.
Перш ніж розгорнути або змінити модель, ми тестуємо її на наборі тестових форм щодо часу відповіді, коректних відповідей і помилкових класифікацій. Це робочий етап, який виконує власник, а не процес, примусово забезпечений кодом. Обмеження в розділі 2.1 ґрунтуються на таких вимірюваннях.
Ст. 4 також застосовується до Вас як Клієнта, якщо Ви професійно використовуєте «Fix it for me». Ця сторінка й повідомлення в інтерфейсі покликані допомогти Вам у цьому.

9. Зміни та контакти

Ми оновлюватимемо цю сторінку, щойно буде додано, істотно змінено або вилучено функцію ШІ; істотні зміни наведено на сторінці Зміни договірних документів. Надсилайте запитання та зауваження щодо використання нами ШІ на contact@lukaswojcik.com, через сторінку контактів або вікно підтримки. Скарги розглядаються за процедурою на сторінці Скарги. Це не впливає на право подати скаргу до компетентного органу ринкового нагляду (ст. 85).

Постачальник: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland.

Чим можемо допомогти?