MiCA, DORA, AI Act və NIS2: Aİ qaydaları startapları və kiçik şirkətləri Avropadan necə sıxışdırır

Mən Aİ tənzimləməsindən dolanıram. Müştərilər MiCA, çirkli pulların yuyulmasına qarşı qaydalar və Avropa qaydalar toplusunun qalan hissəsi ilə təkbaşına başa çıxmağın həddindən artıq çətin olduğu üçün bizə müraciət edirlər və biz bunu onlar üçün idarə edirik. Buna görə bu, Brüssel yeni qanun yazanda itirən birinin şikayəti deyil. Əksinə, mən qazanc əldə edirəm.

Buna baxmayaraq, son bir neçə ildə kiçik və orta bizneslərin (SMEs) üzərinə düşənlərə nəzər salanda düşünürəm ki, Avropa səhv edir. Söhbət pis yazılmış bir aktdan getmir. Problem onların cəmi, Aİ-nin özünü düzəltmə sürəti və hesabın onu ödəmək imkanına ən az malik şirkətlərin üzərinə düşməsidir. Xüsusilə AI tənzimlənməsi üzrə mövqeyimiz ayrıca məqalədə təqdim olunub; bu məqalə isə bütün qaydalar toplusundakı ümumi tendensiyadan bəhs edir.

Bir-birinin Üzərində Daha Bir Qat

Fəaliyyətindən asılı olaraq, Aİ tənzimləməsi hazırda Avropa şirkətindən bunları tələb edir.

• Şəxsi məlumat saxlayan hər kəs üçün GDPR.
• Onlayn platformalar və bazar yerləri üçün Digital Services Act və Digital Markets Act.
• Qoşulu cihazlar və bulud müqavilələri üçün Data Act.
• Kibertəhlükəsizlik və daxilində proqram təminatı olan məhsullar üçün NIS2 və Cyber Resilience Act.
• Kriptoaktiv xidmətləri üçün MiCA.
• Banklar, ödəniş və kripto şirkətləri, habelə onlara xidmət göstərən IT təchizatçıları üçün DORA.
• AI sistemləri yaradan və ya onları biznesində istifadə edən hər kəs üçün AI Act.
• Aİ səviyyəli nəzarətçi AMLA ilə yeni AML Regulation.
• Rəqəmsal şəxsiyyət cüzdanları ilə eIDAS 2.0.
• Kripto köçürmələri (travel rule), kripto vergi məlumatları (DAC8), dayanıqlılıq (CSRD) və təchizat zəncirləri (CSDDD) üzrə hesabat öhdəlikləri.

Bunların heç biri kiçik məsələ deyil. Hər birinin öz anlayışları, formaları, nəzarətçisi və cərimələri var. On iki əməkdaşlı fintech eyni vaxtda onların beş və ya altısının əhatəsinə düşə bilər.

Hər Qanun Əsaslandırılandır. Yığını Deyil

Ayrı-ayrılıqda götürüldükdə, bu qanunların hər biri real suala cavab verir. Kripto birjası çökəndə müştəri pulu yoxa çıxmamalıdır, bulud provayderinin pis gecəsi olduğu üçün bank fəaliyyətini dayandırmamalıdır və heç kim nəticəni yoxlaya biləcək insan olmadan kimin kredit alacağını proqram təminatının müəyyən etməsini istəmir. Bu qanunlardan hər hansı birinə ayrıca etiraz edin və uduzarsınız; elə də olmalıdır.

Problem cəmdədir, problem həm də vaxtdadır. Komissiya AI Act-i 2021-ci ilin aprelində təklif etdi, Aİ isə onu 2024-cü ildə qəbul etdi. İşə qəbul, kredit qiymətləndirilməsi və ya təhsil üçün istifadə olunan sistemlər kimi yüksək riskli AI üzrə əsas qaydalarının 02.08.2026 tarixindən tətbiq olunması nəzərdə tutulurdu. 2026-cı ilin iyulunda, həmin tarixdən bir neçə həftə əvvəl, Aİ AI üzrə Digital Omnibus adlı düzəliş qəbul etdi. Bu, qaydaları 2027-ci ilin dekabrına, tənzimlənən məhsullara daxil edilmiş AI üçün isə 2028-ci ilin avqustuna keçirdi. Rəsmi səbəb texniki standartların və milli nəzarətçilərin hazır olmaması idi. Təklifdən beş il sonra qanunu icra etməli mexanizm mövcud deyildi. Avqusta hazırlaşmaq üçün iki il sərf etmiş şirkətlər dəyişdirilmiş tarixə hazırlaşmışdılar.

Praktikada yavaşlıq belə görünür. Qanunlar gəlir. Hər kəs problemi görəndən iki və ya üç il sonra, daha bir tənzimləmə formasında düzəlişlər gəlir.

Eyni Qaydalar Niyə Kiçik Biznesə Daha Bahadır

Məni ən çox narahat edən hissə budur. Uyğunluğun dəyəri şirkətin ölçüsündən demək olar ki, asılı deyil. Siyasət təlimatı, IT təchizatçılarının reyestri, insidentlər üzrə hesabat proseduru, xarici audit, lisenziya müraciəti: 50 müştəriyə və ya 5 milyon müştəriyə xidmət göstərməyinizdən asılı olmayaraq, bunların dəyəri təxminən eynidir.

DORA ən aydın nümunədir. Deloitte-un 2025-ci ilin martında dərc olunmuş, 28 Avropa ölkəsindəki maliyyə institutları arasında keçirdiyi sorğuda respondentlərin təxminən üçdə ikisi uyğunluğa €2 milyon ilə €5 milyon arasında xərcləməyi gözləyirdi, yalnız hər on nəfərdən biri €2 milyondan aşağı qalacağını gözləyirdi. Böyük bank bunu mənimsəyir. İyirmi əməkdaşlı ödəniş institutu isə bunu edə bilmir və ən kiçik şirkətlər üçün uyğunluq hesabı Aİ bazarının onlar üçün dəyərini aşa bilər.

MiCA rəqəmlərlə eyni hekayəni danışır. MiCA-dan əvvəl, sahə hesablamalarına görə, Aİ üzrə mindən çox şirkətin milli kripto qeydiyyatı var idi. Keçid dövrü 01.07.2026 tarixində başa çatdı və 2026-cı ilin oktyabrına qədər ESMA-nın reyestrində təxminən 370 səlahiyyətli provayder göstərilirdi. İtkin şirkətlərin bəziləri getməli idi. Bir çox digərləri kiçik, yerli və qanuni idi; onlar ona görə getdilər ki, iki təsisçili birjanın malik olmadığı məsləhətçilər, kapital və rəhbərliyin vaxtı baxımından MiCA lisenziyası (CASP authorisation) altırəqəmli məbləğə başa gəlir. MiCA-nın Avropanın kripto startaplarına nə etdiyini ayrıca nəzərdən keçirmişəm; burada bu, daha geniş tendensiyanın bir nümunəsidir.

Böyük oyunçular nadir hallarda şikayət edir. Yaxşı maliyyələşdirilən mövcud şirkət üçün hər yeni akt sədddir: uyğunluq komandası artıq mövcuddur, hüquqşünaslarla daimi müqavilə var və hər yeni qayda rəqabət aparmaq istəyən hər kəs üçün giriş biletini bahalaşdırır. İstehlakçıları qorumaq üçün yazılan tənzimləmə sonda bazar payını qoruyur.

Təsisçilər Hara Gedirlər

Startaplar bankların olmadığı şəkildə mobildir. İdeyası və noutbuku olan təsisçi ölkələri bizim uçuşları müqayisə etdiyimiz kimi müqayisə edir. Apple və Meta 2024-cü ildə Digital Markets Act və “qeyri-proqnozlaşdırılan” tənzimləyici mühitə istinad edərək Aİ istifadəçiləri üçün yeni AI funksiyalarını saxlayanda, başlıqlar iki nəhəng şirkət haqqında idi. Daha səssiz təsir isə həmin modellər əsasında məhsul qurmaq istəyən və indi gözləməli, yaxud köçməli olan hər bir Avropa tərtibatçısına düşdü.

Öz işimdə bu tendensiya daha az dramatik, lakin eyni dərəcədə sabitdir. Təsisçilərin sualı “Estoniyada lisenziya ala bilərikmi” sualından “Dubay, Sinqapur və ya ABŞ ştatı ilə müqayisədə Avropa lisenziyası ümumiyyətlə dəyərlidirmi” sualına dəyişib. Bir neçə il əvvəl ikinci sual nadir idi. Bu gün adi haldır və mən onları həmişə bu fikirdən daşındıra bilmirəm.

Rəqəmlər də eyni şeyi göstərir. 2026-cı ilin yanvarında dərc edilmiş European Investment Bank araşdırması müəyyən edib ki, 2008–2021-ci illər arasında dəyəri $1 milyarddan çox olan Avropa unicorn startaplarının təxminən 30%-i baş qərargahını EU xaricinə köçürüb. Əksəriyyəti United States-a gedib, rəqəmsal texnologiya, AI və biotech isə önə çıxıb. Mario Draghi 2024-cü ilin sentyabrında Avropanın rəqabət qabiliyyətinə dair hesabatında qalanını da söylədi: tənzimləyici yük innovasiyaya həddən artıq məhdudiyyət qoyur və startapların böyüməsini çətinləşdirir. İki il sonra, European Policy Innovation Council nəzdindəki Draghi Observatory-nin hesablamasına görə, izlədiyi tədbirlərin yalnız 16%-i tam həyata keçirilib. Diaqnoz qəbul edilir. Müalicə isə ləngdir.

Tallinn Brüsselin Yazdığını Niyə Düzəldə Bilmir

Estoniya bunu izləmək üçün yaxşı yerdir. Kiçik, rəqəmsal və ümumiyyətlə biznes məsələlərində məntiqli ölkədir. Bu məsələdə isə demək olar ki, gücsüzdür.

MiCA, DORA və AI Act direktiv deyil, tənzimləmədir. Direktiv məqsəd qoyur və hər ölkəyə öz qanununu yazmağa imkan verir; tənzimləmə isə hər üzv dövlətdə sözbəsöz tətbiq olunur və Tallinn, Vilnüs və ya Lissabondakı heç bir parlament tək bir maddəni belə yumşalda bilməz. Milli sərbəstlik yalnız bir istiqamətdədir: ölkə həmişə Brüsseldən daha sərt ola bilər, lakin daha yüngül ola bilməz.

Beləliklə, təsisçi mənə Estoniyanın bunu “sadəcə düzəltməli” olduğunu deyəndə, izah etməli oluram ki, həll 27 hökumətin, bir Komissiyanın, bir Parlamentin və illərlə ölçülən qanunvericilik dövrünün əlindədir. 2025-ci ilin əvvəlindən Komissiya hər biri eyni anda bir neçə qanuna dəyişiklik edən on iki “omnibus” paketi təqdim edib və səlahiyyət müddəti bitənədək inzibati yükü ən azı 25%, SMEs üçün isə 35% azaltmağı vəd edib. Biznes assosiasiyaları bildirirlər ki, indiyədək nəticə bu rəqəmlərə heç yaxın deyil. Mətnləri oxuduğum üçün onlara inanıram.

Avropa Öz Riskini Azaldır

Son bir neçə ildə bankla işləyən hər kəs de-risking sözünü bilir. Müştəri bir qədər qeyri-adi görünür, ona nəzarətin dəyəri ödədiyi haqları keçir və hesab bağlanır. Nə fırıldaqçılıq var, nə pozuntu, sadəcə bank üçün daha ucuz qərardır. Müştəri başqa bank axtarır, çox vaxt başqa ölkədə, bankın risk hesabatı isə əvvəlkindən daha yaxşı görünür.

Getdikcə düşünürəm ki, Avropa İttifaqı bütöv sahələrlə eyni şeyi edir. Kripto riskli görünürdü, ona görə Avropa MiCA yaratdı və milli qeydiyyatdan keçmiş şirkətlərin əksəriyyətinin bazardan çıxdığını izlədi. AI riskli görünür, ona görə Avropa qarşılıq verəcək qədər böyük AI sənayesi yaranmamış dünyada ilk əhatəli AI qanununu yazdı. Hər dəfə risk azalır və hər dəfə riski daşıyan fəaliyyət də onunla birlikdə azalır. Yalnız qarşısı alınmış riskləri hesablayan balans hesabatında bu uğurdur. Yaradılan şirkətləri və iş yerlərini hesablayanda isə deyil.

Bunun altında daha səssiz mexanizm var. Nəticəsi tənzimləmələrlə ölçülən qurum tənzimləmələr hazırlayacaq. Hər aktın təlimatlara, texniki standartlara və Q&As-a, sonra onları tətbiq edəcək nəzarətçiyə, ardınca təlimatların yaratdığı problemləri düzəldəcək omnibus paketinədək ehtiyacı olur. Hər addım növbəti akt üçün lazım olacaq əməkdaşlar əlavə edir. Bu zəncirdə heç kim pis niyyətlə hərəkət etmir. Prosesin sadəcə dayanmaq üçün daxili səbəbi yoxdur və onun daxilində heç kim heç vaxt yaradılmamış startapın xərcini ödəmir.

Avropa Startapları üçün Üç Ssenari

Bunu konkretləşdirmək üçün, Avropa iqtisadiyyatının startap tərəfinin hara yönəldiyini düşündüyümü qeyd edim. Əsas göstəricilər Dealroom-dan gəlir: EU-da hər il təxminən 14 800 startap təsis edilir, onlardan təxminən 4 400-ü xarici maliyyələşdirmə cəlb edir və EU təxminən 450 unicorn startapına ev sahibliyi edir. UK daxil olmaqla bütöv Avropa 2023-cü ildə qlobal venture capital-ın rekord 19%-ni, 2024-cü ildə isə 16%-ni alıb, United States isə 57%-ni alıb.

Niyə ilk ssenaridə çöküş yox, azalma var? Çünki qaydalar toplusu mövcud şirkətlərə deyil, qərar anında təsisçilərə təsir edir. Frankfurtdakı bank DORA səbəbindən getmir. Tartudakı üç nəfərlik AI startapı sadəcə əvəzində Delaverdə qeydiyyatdan keçir və tərtibatçıları evdə saxlayır. Aİ baş qərargahı, vergi bazasını və çıxışı itirir, əməkhaqqı fondunu isə bir müddət saxlayır.

Bəs üçüncü ssenari niyə fantaziya deyil? Çünki onun rəqəmləri Avropanın ən yaxşı dövründə artıq çatdığı səviyyələrə yaxındır: qlobal vençur kapitalında 19–20% pay bir neçə il əvvəl, hazırkı qaydalar qatının tətbiqinə başlamazdan öncə əldə olunmuş səviyyədir. Aİ tənzimləməsini kiçik bizneslər nəzərə alınaraq yazmaq Avropaya istehlakçı müdafiəsinə başa gəlməzdi. Bu, ona yalnız layihənin bir neçə paraqrafına başa gələrdi.

Digər Tərəfin Arqumenti

Qaydalar toplusunun üstünlüyü yoxmuş kimi davransaydım, ciddi qəbul edilməyə layiq olmazdım; buna görə üstünlük budur. Bir MiCA lisenziyası şirkətə Aİ və Aİİ-dəki bütün 30 ölkədə müştərilərə xidmət göstərməyə imkan verir; ondan əvvəl kripto şirkətinin 27 tənzimləyici ilə 27 ayrı danışığı olmalı idi. GDPR məxfilik qanunvericiliyi üçün qlobal şablona çevrildi. Vahid AML tənzimləməsi nəzəri olaraq bir üzv dövlətdə qəbul edilən müştərinin növbəti üzv dövlətdə rədd edilməsi vəziyyətinə son qoymalıdır. Harmoniya real üstünlükdür və mən hər gün ondan faydalanıram.

Dürüst kompromis budur. Avropa miqyasında harmoniya sürət və ən ağır şəkildə ən kiçiklərin üzərinə düşən xərc strukturu hesabına əldə edilir. Avropa, əsasən susmaqla, sürətli bazardansa təhlükəsiz bazara üstünlük verdiyinə qərar verib. Bu, qanuni seçimdir. Mən sadəcə düşünürəm ki, bunu bir omnibusdan digərinə kəşf etmək əvəzinə, əlavə edilmiş qiymətlə açıq şəkildə etmək lazımdır.

Avropa Bunun Əvəzinə Nə Etməlidir

Mənim mövqeyim Avropanın tənzimləməni dayandırmalı olması deyil. Avropa üç nəfərlik startapı bank imiş kimi tənzimləməyi dayandırmalıdır. Kiçik komanda uyğunluq şöbəsi idarə edə bilməz və gizli şəkildə belə bir şöbənin mövcud olduğunu fərz edən qanun təhlükəsizlik qaydası yox, giriş maneəsidir. Altı dəyişiklik zərərin əksəriyyətini aradan qaldırar və onların heç biri radikal deyil: hər birinin Aİ qanununda artıq haradasa presedenti var.

1. Akta yazılmış real ölçü hədləri. Aİ-nin kiçik müəssisə anlayışından aşağıda (50 nəfərdən az işçi və €10 milyon dövriyyədən az) ağır öhdəliklər ümumiyyətlə tətbiq edilməməli və ya qısa, sabit formada tətbiq olunmalıdır. GDPR bunu artıq 30(5)-ci maddə üzrə uçotun aparılması üçün edir; həmin maddə 250-dən az işçisi olan əksər təşkilatları istisna edir və Komissiya 2025-ci ildə bu istisnanı genişləndirməyi təklif etdi. Eyni məntiq DORA, NIS2 və AI Act-də də olmalıdır.
2. Qanun tətbiq edilməzdən əvvəl standartlar. Texniki standartlar mövcud olmayana və hər üzv dövlətdə ən azı bir nəzarətçi onları tətbiq etməyə hazır olmayana qədər heç bir öhdəlik qüvvəyə minməməlidir. AI Act-in gecikməsi bunu çətin yolla sübut etdi. Qayda yazılı şəkildə təsbit olunmalıdır ki, növbəti aktı xilas etmək üçün omnibus paketinə ehtiyac qalmasın.
3. Əvvəl sınaq mühitləri, sonra icra. Yeni sektor tam lisenziyalaşdırma tələb edilməzdən əvvəl tənzimləyicinin nəzarəti altında şirkətin fəaliyyət göstərə biləcəyi nəzarətli sınaq dövrü almalıdır. AI Act belə sınaq mühitləri vəd edir, lakin onlar öhdəliklərin bəzisindən sonraya, 2027-ci ilin avqustuna təxirə salınıb. Sıra əksinə olmalıdır.
4. Hər şirkət üçün bir nəzarətçi. On iki nəfərlik fintech bu gün maliyyə nəzarətçisinə, FIU-ya, məlumatların mühafizəsi orqanına və tezliklə AI orqanına ayrıca cavab verə bilər. Bir aparıcı orqanın şirkətlə işlədiyi GDPR-nin vahid pəncərə sistemi modeli göstərir. Bu, bütün qaydalar toplusuna genişləndirilməlidir.
5. Hər aktda qüvvədən düşmə tarixi. Tənzimləmə xərclərinin real nəzərdən keçirilməsindən sonra yenidən təsdiq edilmədikdə qüvvədən düşərsə, düzəliş siyasi lütf deyil, məcburi hal olar. Omnibus xilasetmə yox, qayda olar.
6. Heç vaxt yaradılmamış şirkəti hesablayın. Aİ-nin hər təsir qiymətləndirməsi mövcud bizneslərə dəyəri ölçür. Heç biri əvəzində Delaver, Dubay və ya Sinqapuru seçən startapları ölçmür. Bu rəqəm masada olmayana qədər növbəti aktı hazırlayanlar onun dəyərini olduğundan az qiymətləndirəcəklər.

Bunların heç biri hələ də əhatəli federal AI qanunu olmayan və yalnız ştat qaydalarının mozaikasına malik ABŞ-ı, yaxud indiyədək vahid AI aktı qəbul etməməyi seçən və əvəzində mövcud tənzimləyicilərindən bir sıra prinsipləri tətbiq etməyi istəyən Birləşmiş Krallığı təqlid etmək demək deyil. Bu, Avropa təsisçisinin indi Avropanı müqayisə etdiyi yerlərin bunlar olduğunu qəbul etmək deməkdir. Komissiyanın vəd etdiyi kimi, 48 saatdan az müddətdə €100-dən aşağı qiymətə qeydiyyat və minimum kapital olmadan 2026-cı ilin martında təklif edilmiş vahid Avropa şirkət forması EU Inc.-i də əlavə edin; onda Avropanın kiçik komandanın həqiqətən qəbul edə biləcəyi təklifi olar.

Təsisçilərə Nə Deyirəm

Təsisçilərə məsləhətim darıxdıracaq dərəcədə praktik olub. Uyğunluq xərclərini birdəfəlik hüquqi haqq kimi yox, mallarınızın dəyərinin bir sətri kimi qəbul edin. Aİ ölkəsini tənzimləyicisinin keyfiyyətinə və reyestrinin sürətinə görə seçin, çünki qaydaların özü hər yerdə eyni olacaq. Keçid pəncərələrini və omnibus gecikmələrini qanuna məhəl qoymamaq icazəsi kimi deyil, qurmaq üçün vaxt kimi istifadə edin; AI Act-in yüksək riskli qaydaları ləğv edilməyib, təxirə salınıb. Biznes modeliniz yalnız Aİ qaydalar toplusundan kənarda işləyirsə, bunu lisenziya müraciətindən sonra yox, əvvəl erkən qəbul edin.

Qaydalar Toplusuna Baxmayaraq Avropada Şirkət Qurmaq

Avropa hələ də şirkət idarə etmək üçün yaxşı yerdir və bunu müştərilərə hər həftə deyirəm. Bu məqalənin məqsədi heç kəsi Estoniya və ya Aİ-dən çəkindirmək deyil. Məqsəd Aİ tənzimləməsinin real xərc olduğunu və ilk gündən qiymətə daxil edilməli olduğunu deməkdir. Düzgün struktur, düzgün lisenziya yolu və Aİ daxilində düzgün ölkə indi beş il əvvəlkindən daha böyük fərq yaradır. Yeni və ya mövcud şirkət üçün bu seçimləri dəyərləndirirsinizsə, Eesti Firma komandamız şirkətin yaradılması-dan lisenziyalaşdırmayadək qaydaların konkret halınız üçün əslində nə demək olduğunu sizə izah edə bilər.

Sorğu göndərin