Требования ЕС к сайтам в 2027: доступность, cookies, ИИ

Какие правила ЕС касаются сайта бизнеса: карта на 2027 год

Сайт компании в ЕС или с клиентами из ЕС попадает сразу под несколько наборов правил. Они не заменяют друг друга и касаются разных частей сайта. Мы сводим их в одну карту, чтобы вы понимали, о чём спрашивать юриста.

• Доступность. Директива (ЕС) 2019/882, European Accessibility Act: применяется с 28 июня 2025 года.
• Персональные данные. Общий регламент GDPR: что вы собираете, зачем, как сообщаете об этом и как защищаете.
• Cookies и трекеры. Директива ePrivacy и практика национальных регуляторов: согласие до включения аналитики и рекламы.
• Искусственный интеллект. Регламент (ЕС) 2024/1689, EU AI Act: обязанности по прозрачности для чат-ботов и сгенерированного содержимого.
• Данные о провайдере и условия для потребителей. Например, Imprint для сайтов, нацеленных на Германию и Австрию, и информация об условиях оплаты, возврата и отказа.

Важно: мы не юристы и не даём юридических заключений. Здесь изложено, что говорят официальные документы и обзоры юридических фирм на октябрь 2026 года, и где источники расходятся, мы это отмечаем. Любое решение по вашему сайту стоит согласовать с юристом, который знает ваш рынок. Если вы только начинаете путь с компанией, начните со статьи как открыть компанию в Европе, а про сайт для банка прочитайте какой сайт нужен банку и Stripe.

European Accessibility Act: требования к сайту и срок применения

Акт о доступности применяется с 28 июня 2025 года. К охваченным услугам относится электронная коммерция: услуги, оказываемые дистанционно, по запросу потребителя, для заключения потребительского договора. По обзорам юридических фирм, это касается и компаний за пределами ЕС, если они продают потребителям в ЕС. Сайты, которые работают только для бизнеса (B2B) и не заключают потребительских договоров, обычно в сферу не попадают, но граница зависит от того, как устроен сайт.

Что требуется на практике

• Информация и интерфейсы должны быть воспринимаемыми, управляемыми, понятными и надёжными. Ориентир для проверки — стандарты WCAG и европейский стандарт EN 301 549.
• Весь путь клиента: каталог, описание товара, корзина, оплата, поддержка.
• Опубликованное заявление о доступности и процедуры, которые поддерживают соответствие.
• Работа с национальным надзорным органом при запросах.

Исключения

Для микропредприятий, оказывающих услуги (меньше 10 сотрудников и оборот или баланс не больше €2 млн), предусмотрено исключение. Но обзоры расходятся в том, как оно применяется к интернет-торговле, а страны ЕС перенесли директиву в национальные законы по-разному. Есть и отдельное исключение для случаев, когда соблюдение требований несоразмерно тяжело или меняет суть услуги. Эти вопросы решает юрист, а не заголовок статьи.

Что делать разработчику: контраст, подписи к картинкам, структура заголовков, формы с подписанными полями, управление с клавиатуры, видимый фокус, отсутствие ловушек в меню. Такое лучше закладывать на этапе дизайна. Общую картину по другим переменам в разработке мы описали в статье тренды веб-разработки 2027.

GDPR для сайта: чек-лист обязательных элементов

GDPR действует, если вы обрабатываете персональные данные людей в ЕС: через форму заявки, подписку, аккаунт, оплату, аналитику, чат или видео. Размер компании и её страна не отменяют этого, если вы предлагаете товары и услуги людям в ЕС или наблюдаете за их поведением. Минимум для сайта:

• Политика конфиденциальности. Кто вы, какие данные собираете, зачем, на каком основании, кому передаёте, как долго храните, как человек может использовать свои права. Простым языком.
• Информирование в форме. Рядом с формой понятная ссылка на политику и, если нужно, отдельный чекбокс согласия; он не должен быть отмечен заранее.
• Список сервисов, которым вы передаёте данные. Почта, CRM, аналитика, хостинг, платёжная система. С ними нужны договоры об обработке данных.
• Минимум данных. Не спрашивайте то, что не нужно для задачи.
• Безопасность. HTTPS, ограничение доступа, резервные копии, защита форм.
• Каналы для запросов людей. Адрес почты для вопросов о данных и понятный процесс ответа.

Эти пункты мы закладываем в сайты по умолчанию, а тексты политик делаем как шаблоны под юрисдикцию: окончательную проверку делает юрист клиента. В странах ЕС есть свои нюансы и названия: в Германии это Datenschutzerklärung, в Польше RODO, в Испании LOPDGDD. Они не меняют смысл, но влияют на формулировки.

Cookie-баннер: что проверяют регуляторы

Cookies и похожие технологии (пиксели, SDK) требуют согласия посетителя, если они не нужны для работы сайта. Практика регуляторов за последние годы стала строже. Французский CNIL подчёркивает, что отказаться от cookies должно быть так же просто, как согласиться, и предписывал издателям менять баннеры, где отказ был спрятан или оформлен так, чтобы пользователь выбирал «принять». Подход разных стран отличается: например, нужна ли кнопка отказа на первом слое баннера. Французский и британский регуляторы говорят о ней прямо, другие, как испанский, более мягки в формулировках. Поэтому ориентируйтесь на требования страны, на которую нацелен сайт.

Как выглядит нормальная реализация

• До согласия не загружаются аналитика, реклама и сторонние видео с трекингом.
• Кнопки «принять» и «отклонить» одинаковы по виду и находятся рядом.
• Есть детальные настройки по категориям и список используемых cookies.
• Выбор сохраняется и легко меняется позже.
• Язык баннера совпадает с языком страницы.

Если трекеры вам не нужны, самое простое решение — отказаться от них и использовать аналитику без cookies. Тогда баннер может быть минимальным. Но решение «нужен ли баннер» принимайте вместе с юристом в вашей стране.

EU AI Act и ИИ на сайте: что уже действует

Регламент (ЕС) 2024/1689 вводился поэтапно. По обзорам юридических фирм, главная дата — 2 августа 2026 года: с неё начали применяться обязанности по прозрачности из статьи 50. Если на сайте работает ИИ-ассистент или чат-бот, человека нужно информировать, что он общается с ИИ, если это не очевидно. Сгенерированное ИИ содержимое (изображения, звук, видео, текст) должно быть обозначено в машиночитаемом виде, а дипфейки и некоторые тексты, публикуемые для информирования общества, нужно явно маркировать. Для систем, выпущенных до 2 августа 2026 года, обзоры называют переходный срок по маркировке до 2 декабря 2026 года.

Требования к «высокорисковым» системам (например, в найме или оценке людей), по этим же обзорам, перенесены «цифровым омнибусом» (по обзорам, Регламент (ЕС) 2026/1744, опубликован в июле 2026 года) на 2 декабря 2027 года для отдельных категорий и на 2 августа 2028 года для встроенных в продукты. Для обычного сайта малого бизнеса высокорисковые системы почти не встречаются. Поскольку мы опираемся на обзоры, а не на текст изменений, сверяйте актуальные даты в Official Journal и у юриста.

Что сделать на сайте: пометьте бота как ИИ в первом сообщении, укажите, как связаться с человеком, не публикуйте сгенерированные изображения людей как «настоящих клиентов» и ведите внутренний список ИИ-инструментов, которые вы используете. Про стоимость и работу ботов мы писали в статье сколько стоит чат-бот или ИИ-ассистент, а о том, как сайту попадать в ответы ИИ-сервисов, — в статье как попасть в ответы ChatGPT.

Imprint, данные компании и условия для потребителей

Для сайтов, нацеленных на Германию и Австрию, нужен Imprint (Impressum): данные провайдера сайта, к которым можно перейти без лишних усилий. Памятка IHK Ostwestfalen ссылается на § 5 DDG. Обычно в Imprint входят название и организационная форма, адрес, способ связи (почта и второй канал), регистрационные данные и, если применимо, номер плательщика НДС и ответственное лицо. Состав зависит от вида деятельности, поэтому его проверяет юрист.

Если вы продаёте потребителям, на сайте должны быть понятные условия: цены с налогами, способы оплаты и доставки, срок и порядок возврата, информация о праве потребителя отказаться от договора, контакты для жалоб. Это не «красивая формальность»: банки и платёжные системы смотрят именно сюда, а ошибки здесь приводят к спорам и штрафам. Подробно о том, что смотрит банк, мы писали в статье про сайт для банка и Stripe. Для нового сайта с юридическими страницами под юрисдикцию подойдёт «Сайт за 24 часа» за €599, а для сайта с блогом и двумя языками — «Сайт для бизнеса» за €2 490.

Практический совет: соберите «досье сайта» — один документ со списком страниц, форм, сервисов, которым передаются данные, используемых cookies и ИИ-инструментов, датой последней проверки и именем ответственного. Такое досье экономит время юристу, помогает быстро ответить на запрос банка или регулятора и показывает, что вы относитесь к требованиям серьёзно. Его нужно обновлять при каждом заметном изменении сайта: новой форме, новом сервисе аналитики, новом виджете. Часто нарушения возникают не при создании сайта, а позже, когда кто-то добавил скрипт, о котором забыли рассказать юристу.

Чек-лист: соответствие сайта требованиям ЕС

Отметьте пункты, которые у вас выполнены. Чек-лист — инструмент самопроверки, а не юридическое заключение и не сертификат соответствия. Если часть пунктов не отмечена, это повод для разговора с юристом и разработчиком.

Как мы составили чек-лист: взяли пункты, которые вытекают из документов и практики регуляторов, перечисленных выше. Веса отражают, насколько сильно пункт влияет на риск. Для банковской проверки отдельный чек-лист есть в статье про банк и Stripe.

Что выбрать в вашей ситуации

• Если вы продаёте потребителям в ЕС. Начните с доступности и условий покупки, затем cookies и политики. Это то, что чаще всего проверяют и клиенты, и банки.
• Если сайт у вас только визитка и форма заявки. Достаточно политики, корректной формы и аккуратного баннера; доступность всё равно лучше заложить.
• Если на сайте есть ИИ-чат. Пометьте его как ИИ и дайте канал для связи с человеком.
• Если сайт старый. Закажите аудит: SEO-аудит за €490 показывает техническую базу, а доступность и юридические пункты проверяются отдельно вместе с юристом.
• Если выбираете, кто будет делать сайт. Прочитайте как выбрать веб-студию: спросите, как подрядчик закладывает доступность и приватность.
• Если хотите понять, готов ли весь проект. Пройдите квиз «Готовы ли вы к разработке своего продукта?»: он даёт персональный разбор и скидку на разработку по промокоду, который придёт письмом на вашу почту (на «Сайт за 24 часа» она не действует).

Правила и толкования меняются, поэтому проверяйте актуальное состояние на дату решения. Требования для клиентов в вашей стране уточните у юриста; мы не даём юридических заключений.