Вимоги ЄС до сайтів у 2027: доступність, cookies, ШІ

Які правила ЄС стосуються сайту бізнесу: карта на 2027 рік

Сайт компанії в ЄС або з клієнтами з ЄС підпадає одразу під кілька наборів правил. Вони не замінюють один одного й стосуються різних частин сайту. Ми зводимо їх в одну карту, щоб ви розуміли, про що питати юриста.

• Доступність. Директива (ЄС) 2019/882, European Accessibility Act: застосовується з 28 червня 2025 року.
• Персональні дані. Загальний регламент GDPR: що ви збираєте, навіщо, як повідомляєте про це і як захищаєте.
• Cookies і трекери. Директива ePrivacy та практика національних регуляторів: згода до ввімкнення аналітики й реклами.
• Штучний інтелект. Регламент (ЄС) 2024/1689, EU AI Act: обовʼязки щодо прозорості для чат-ботів і згенерованого вмісту.
• Дані про провайдера й умови для споживачів. Наприклад, Imprint для сайтів, націлених на Німеччину й Австрію, та інформація про умови оплати, повернення й відмови.

Важливо: ми не юристи й не даємо юридичних висновків. Тут викладено, що кажуть офіційні документи й огляди юридичних фірм на жовтень 2026 року, а де джерела розходяться, ми це позначаємо. Будь-яке рішення щодо вашого сайту варто погодити з юристом, який знає ваш ринок. Якщо ви тільки починаєте шлях із компанією, почніть зі статті як відкрити компанію в Європі, а про сайт для банку прочитайте який сайт потрібен банку і Stripe.

European Accessibility Act: вимоги до сайту та строк застосування

Акт про доступність застосовується з 28 червня 2025 року. До охоплених послуг належить електронна комерція: послуги, що надаються дистанційно, на запит споживача, для укладення споживчого договору. За оглядами юридичних фірм, це стосується й компаній за межами ЄС, якщо вони продають споживачам у ЄС. Сайти, що працюють лише для бізнесу (B2B) і не укладають споживчих договорів, зазвичай до сфери не потрапляють, але межа залежить від того, як улаштований сайт.

Що потрібно на практиці

• Інформація та інтерфейси мають бути сприйнятними, керованими, зрозумілими й надійними. Орієнтир для перевірки — стандарти WCAG та європейський стандарт EN 301 549.
• Весь шлях клієнта: каталог, опис товару, кошик, оплата, підтримка.
• Опубліковану заяву про доступність і процедури, що підтримують відповідність.
• Робота з національним наглядовим органом у разі запитів.

Винятки

Для мікропідприємств, що надають послуги (менше 10 працівників і оборот чи баланс не більше €2 млн), передбачено виняток. Але огляди розходяться в тому, як він застосовується до інтернет-торгівлі, а країни ЄС перенесли директиву до національних законів по-різному. Є й окремий виняток для випадків, коли дотримання вимог непропорційно важке або змінює суть послуги. Ці питання вирішує юрист, а не заголовок статті.

Що робити розробникові: контраст, підписи до картинок, структура заголовків, форми з підписаними полями, керування з клавіатури, видимий фокус, відсутність пасток у меню. Таке краще закладати на етапі дизайну. Загальну картину інших змін у розробці ми описали в статті тренди веб-дизайну 2027.

GDPR для сайту: чек-лист обовʼязкових елементів

GDPR діє, якщо ви обробляєте персональні дані людей у ЄС: через форму заявки, підписку, акаунт, оплату, аналітику, чат чи відео. Розмір компанії та її країна не скасовують цього, якщо ви пропонуєте товари й послуги людям у ЄС або спостерігаєте за їхньою поведінкою. Мінімум для сайту:

• Політика конфіденційності. Хто ви, які дані збираєте, навіщо, на якій підставі, кому передаєте, як довго зберігаєте, як людина може скористатися своїми правами. Простою мовою.
• Інформування у формі. Поруч із формою зрозуміле посилання на політику та, за потреби, окремий чекбокс згоди; він не має бути відміченим заздалегідь.
• Перелік сервісів, яким ви передаєте дані. Пошта, CRM, аналітика, хостинг, платіжна система. З ними потрібні договори про обробку даних.
• Мінімум даних. Не питайте те, що не потрібне для завдання.
• Безпека. HTTPS, обмеження доступу, резервні копії, захист форм.
• Канали для запитів людей. Адреса пошти для запитань про дані й зрозумілий процес відповіді.

Ці пункти ми закладаємо в сайти за замовчуванням, а тексти політик робимо як шаблони під юрисдикцію: остаточну перевірку робить юрист клієнта. У країнах ЄС є свої нюанси й назви: у Німеччині це Datenschutzerklärung, у Польщі RODO, в Іспанії LOPDGDD. Вони не змінюють сенс, але впливають на формулювання.

Cookie-банер: що перевіряють регулятори

Cookies і схожі технології (пікселі, SDK) потребують згоди відвідувача, якщо вони не потрібні для роботи сайту. Практика регуляторів за останні роки стала суворішою. Французький CNIL наголошує, що відмовитися від cookies має бути так само просто, як погодитися, і приписував видавцям змінювати банери, де відмова була захована чи оформлена так, щоб користувач обирав «прийняти». Підхід різних країн відрізняється: наприклад, чи потрібна кнопка відмови на першому шарі банера. Французький і британський регулятори говорять про неї прямо, інші, як іспанський, мʼякші у формулюваннях. Тому орієнтуйтеся на вимоги країни, на яку націлений сайт.

Як виглядає нормальна реалізація

• До згоди не завантажуються аналітика, реклама й сторонні відео з трекінгом.
• Кнопки «прийняти» та «відхилити» однакові на вигляд і розташовані поруч.
• Є детальні налаштування за категоріями та перелік використовуваних cookies.
• Вибір зберігається й легко змінюється пізніше.
• Мова банера збігається з мовою сторінки.

Якщо трекери вам не потрібні, найпростіше рішення — відмовитися від них і використовувати аналітику без cookies. Тоді банер може бути мінімальним. Але рішення «чи потрібен банер» ухвалюйте разом із юристом у вашій країні.

EU AI Act і ШІ на сайті: що вже діє

Регламент (ЄС) 2024/1689 запроваджувався поетапно. За оглядами юридичних фірм, головна дата — 2 серпня 2026 року: з неї почали застосовуватися обовʼязки щодо прозорості зі статті 50. Якщо на сайті працює ШІ-асистент чи чат-бот, людину потрібно інформувати, що вона спілкується з ШІ, якщо це не очевидно. Згенерований ШІ вміст (зображення, звук, відео, текст) має бути позначений у машиночитаному вигляді, а дипфейки та деякі тексти, що публікуються для інформування суспільства, потрібно явно маркувати. Для систем, випущених до 2 серпня 2026 року, огляди називають перехідний строк щодо маркування до 2 грудня 2026 року.

Вимоги до «високоризикових» систем (наприклад, у найманні чи оцінюванні людей), за цими самими оглядами, перенесено «цифровим омнібусом» (за оглядами, Регламент (ЄС) 2026/1744, опубліковано в липні 2026 року) на 2 грудня 2027 року для окремих категорій і на 2 серпня 2028 року для вбудованих у продукти. Для звичайного сайту малого бізнесу високоризикові системи майже не трапляються. Оскільки ми спираємося на огляди, а не на текст змін, звіряйте актуальні дати в Official Journal і в юриста.

Що зробити на сайті: позначте бота як ШІ в першому повідомленні, вкажіть, як звʼязатися з людиною, не публікуйте згенеровані зображення людей як «справжніх клієнтів» і ведіть внутрішній перелік ШІ-інструментів, які ви використовуєте. Про вартість і роботу ботів ми писали в статті скільки коштує чат-бот або ШІ-асистент, а про те, як сайту потрапляти у відповіді ШІ-сервісів, — у статті як потрапити у відповіді ChatGPT.

Imprint, дані компанії та умови для споживачів

Для сайтів, націлених на Німеччину й Австрію, потрібен Imprint (Impressum): дані провайдера сайту, до яких можна перейти без зайвих зусиль. Пам’ятка IHK Ostwestfalen посилається на § 5 DDG. Зазвичай в Imprint входять назва й організаційна форма, адреса, спосіб звʼязку (пошта і другий канал), реєстраційні дані та, якщо застосовно, номер платника ПДВ і відповідальна особа. Склад залежить від виду діяльності, тому його перевіряє юрист.

Якщо ви продаєте споживачам, на сайті мають бути зрозумілі умови: ціни з податками, способи оплати й доставки, строк і порядок повернення, інформація про право споживача відмовитися від договору, контакти для скарг. Це не «гарна формальність»: банки та платіжні системи дивляться саме сюди, а помилки тут призводять до спорів і штрафів. Докладно про те, що дивиться банк, ми писали в статті про сайт для банку і Stripe. Для нового сайту з юридичними сторінками під юрисдикцію підійде «Сайт за 24 години» за €599, а для сайту з блогом і двома мовами — «Сайт для бізнесу» за €2 490.

Практична порада: зберіть «досьє сайту» — один документ зі списком сторінок, форм, сервісів, яким передаються дані, використовуваних cookies і ШІ-інструментів, датою останньої перевірки та імʼям відповідального. Таке досьє заощаджує час юристові, допомагає швидко відповісти на запит банку чи регулятора й показує, що ви ставитеся до вимог серйозно. Його потрібно оновлювати за кожної помітної зміни сайту: нової форми, нового сервісу аналітики, нового віджета. Часто порушення виникають не під час створення сайту, а пізніше, коли хтось додав скрипт, про який забули розповісти юристові.

Чек-лист: відповідність сайту вимогам ЄС

Позначте пункти, які у вас виконано. Чек-лист — інструмент самоперевірки, а не юридичний висновок і не сертифікат відповідності. Якщо частину пунктів не позначено, це привід для розмови з юристом і розробником.

Як ми склали чек-лист: взяли пункти, що випливають з документів і практики регуляторів, наведених вище. Ваги відображають, наскільки сильно пункт впливає на ризик. Для банківської перевірки окремий чек-лист є в статті про банк і Stripe.

Що обрати у вашій ситуації

• Якщо ви продаєте споживачам у ЄС. Почніть із доступності й умов купівлі, потім cookies та політики. Це те, що найчастіше перевіряють і клієнти, і банки.
• Якщо сайт у вас лише візитка й форма заявки. Достатньо політики, коректної форми та акуратного банера; доступність усе одно краще закласти.
• Якщо на сайті є ШІ-чат. Позначте його як ШІ та дайте канал для звʼязку з людиною.
• Якщо сайт старий. Замовте аудит: SEO-аудит за €490 показує технічну базу, а доступність і юридичні пункти перевіряються окремо разом із юристом.
• Якщо вибираєте, хто робитиме сайт. Прочитайте як обрати веб-студію: запитайте, як підрядник закладає доступність і приватність.
• Якщо хочете зрозуміти, чи готовий увесь проєкт. Напишіть нам: ми разом пройдемо пункти чек-листа й підкажемо, з чого почати.

Правила й тлумачення змінюються, тому перевіряйте актуальний стан на дату рішення. Вимоги для клієнтів у вашій країні уточніть у юриста; ми не даємо юридичних висновків.