Сделать сайт сегодня может почти каждый. Вы описываете, что нужно, и AI-инструмент генерирует страницы, контактную форму и корзину. Но отвечает за то, что работает на сайте, его владелец. Штраф от Чешской торговой инспекции (ČOI) или Управления по защите персональных данных (ÚOOÚ) получит компания, которой принадлежит сайт.

К тому же код от AI менее надёжен, чем кажется. В 2025 году компания Veracode протестировала более 100 языковых моделей на 80 задачах по программированию. В 45 % задач сгенерированный код содержал уязвимость из списка OWASP Top 10. На Java модели ошибались более чем в 70 % случаев, а защиту от атаки XSS не обеспечили в 86 % случаев.

Этот обзор для владельцев сайтов и интернет-магазинов в Чехии, которые сделали сайт сами (часто с AI) или давно его не обновляли. В конце каждого раздела есть короткий список «Что проверить». Конкретные настройки и исправления зависят от сайта, поэтому их мы разбираем на консультации.

Google объявил, что в Chrome 154 (октябрь 2026 года) функция «Всегда использовать защищённое подключение» будет включена по умолчанию у всех пользователей. Если человек открывает публичный сайт без HTTPS, Chrome сначала предупреждает, что соединение не защищено, и спрашивает, продолжить ли. У пользователей с режимом улучшенной защиты (Enhanced Safe Browsing) так работает уже с Chrome 147, вышедшего в апреле 2026 года.

Для интернет-магазина это значит, что часть покупателей увидит предупреждение раньше, чем ваш каталог. А на сайте без HTTPS данные из форм (имя, e-mail, пароль) передаются по сети в незашифрованном виде.

Часто встречается сайт, который работает на HTTPS только наполовину. Главная страница в порядке, а поддомен с блогом, старая картинка или скрипт всё ещё грузятся через http://.

У сайтов, сгенерированных с AI, есть типичная слабость: API-ключи и пароли прямо в коде. Всё, что находится в JavaScript, который загружается в браузер, может прочитать любой посетитель через «Просмотр кода страницы» или инструменты разработчика. Это касается ключей от платёжного шлюза, почтового сервиса, базы данных или платного AI API. Если утёк ключ от AI API, за чужие запросы платите вы.

Тот же риск у публичного репозитория на GitHub. Ключ, удалённый в новой версии, остаётся в истории коммитов.

Второе слабое место у таких сайтов в формах. Контактную форму без защиты боты используют для рассылки спама, а форму регистрации для создания фейковых аккаунтов. Проверка, которая работает только в JavaScript в браузере, злоумышленника не остановит: он может отправить запрос на сервер напрямую.

Бэкап чего-то стоит, только если из него действительно можно восстановить сайт. Проверить это можно одним способом: пробным восстановлением. Многие владельцы сайтов узнают уже после сбоя, что копировались файлы, а база с заказами нет, или что последней рабочей копии полгода.

Второй момент касается тестовой среды. Обновления плагинов, новый шаблон или правки кода от AI стоит сначала проверить на копии сайта, а не на живом магазине в пятницу вечером.

Подробнее о бэкапах мы пишем в отдельной статье.

С 1 января 2022 года в Чехии для cookies действует режим opt-in (поправка к § 89 ч. 3 закона № 127/2005 Sb. об электронных коммуникациях). Аналитические и маркетинговые cookies можно сохранять только после согласия посетителя. Без согласия допускаются лишь технически необходимые cookies, например для корзины или входа в аккаунт.

Согласие должно быть добровольным, поэтому отказаться должно быть так же просто, как согласиться. Суд ЕС в решении по делу Planet49 (C-673/17, 2019) подтвердил, что заранее отмеченная галочка не является действительным согласием.

То, что ведомство действительно это проверяет, показывает приказ ÚOOÚ от 18 июля 2023 года со штрафом 602 000 крон. Ведомство установило, что ещё до выбора посетителя сайт сохранял нетехнические cookies со сроком действия в несколько лет (одну до десяти лет). У части cookies не была указана цель, а описания были не на чешском. При первой проверке в 2022 году вариант «Отказаться» находился только на втором уровне баннера, и ведомство назвало это нарушением условия добровольного согласия. Позже владелец сайта баннер изменил, но cookies до согласия продолжали сохраняться.

Любая форма, которая собирает имя, e-mail или телефон, обрабатывает персональные данные. По ст. 13 GDPR в момент, когда человек вводит данные, вы должны сообщить, кто оператор данных и как с ним связаться, с какой целью и на каком правовом основании данные обрабатываются, кому они передаются, как долго хранятся и какие у человека есть права.

На практике достаточно короткой фразы у кнопки «Отправить» со ссылкой на политику обработки персональных данных. Галочка с согласием часто не нужна: если человек просит у вас предложение, вы обрабатываете его данные, чтобы выполнить его запрос. С рассылкой и маркетингом ситуация другая.

У сайтов, сделанных с AI, часто непонятно, куда на самом деле уходят данные из формы. Это может быть почтовый ящик, база данных, внешний сервис форм или CRM. Каждый такой сервис является обработчиком, и с каждым нужен договор об обработке данных (у крупных сервисов он обычно входит в условия использования).

По § 435 Гражданского кодекса Чехии каждый предприниматель должен указать на своём сайте имя или название фирмы, юридический адрес (sídlo), IČO, а если он внесён в публичный реестр, то и данные о записи, включая раздел и номер вложки. Сюда же относится контакт, по которому с вами может связаться клиент.

У интернет-магазина обязанностей больше. До заключения договора покупатель должен знать цену с налогами, стоимость доставки, способ оплаты и условия отказа от договора (§ 1820 Гражданского кодекса). Закон о защите прав потребителей также требует информации о том, как и где подать рекламацию (§ 13), обычно для этого есть reklamační řád, и информации о внесудебном разрешении споров, которым для обычных интернет-магазинов занимается ČOI (§ 14).

С 6 января 2023 года действует § 12a закона о защите прав потребителей. Объявляя скидку, вы должны указать самую низкую цену, по которой предлагали товар за 30 дней до скидки, и считать скидку именно от неё. Зачеркнуть «старую» цену, по которой товар никогда не продавался, нельзя.

ČOI проверяет это постоянно. В 2025 году инспекция провела 1 432 проверки скидок и нашла нарушения в 734 из них, то есть в 51 % случаев. Недобросовестные торговые практики выявлены в 368 случаях, нарушение самого § 12a нашли в 324 случаях. За год вступили в силу 380 штрафов на общую сумму 38 661 500 крон.

Инспекция замечает и попытки обойти правило. По её данным, продавцы всё чаще вместо слова «скидка» используют цветные ценники и надписи вроде «Ušetřete 50 %» («Сэкономьте 50 %»), «SUPER cena», «цена в приложении» или «рекомендованная цена производителя». ČOI также напоминает, что товар «со скидкой» несколько месяцев подряд уже нельзя считать настоящей скидкой.

Закон № 159/2026 Sb., опубликованный 2 сентября 2026 года, добавляет в Гражданский кодекс новый § 1830a. С 1 января 2027 года каждый, кто заключает договоры с потребителями через сайт или приложение, должен дать возможность отказаться от договора с помощью кнопки. Это касается продажи товаров, услуг и цифрового контента, кроме договоров, по которым у потребителя нет права на отказ (§ 1840).

Закон точно описывает порядок:

Пояснительная записка допускает, что кнопка может быть на сайте постоянно, без привязки к сроку конкретного заказа, и отмечает, что для предпринимателя это может быть проще. Если кнопки или подтверждения нет, это административное правонарушение по закону о защите прав потребителей. Информацию о кнопке и о том, где она находится, нужно добавить и в преддоговорную информацию, то есть в торговые условия (§ 1820 ч. 1 п. i).

Закон № 424/2023 Sb. о требованиях к доступности продуктов и услуг действует с 28 июня 2025 года. Это чешская версия Европейского акта о доступности (European Accessibility Act). Среди услуг, на которые он распространяется, есть и услуги электронной торговли для потребителей, то есть интернет-магазины.

Исключение сделано для микропредприятий: компаний, где меньше 10 сотрудников, а годовой оборот или сумма баланса не превышают 2 млн евро. Если вы не попадаете в эту категорию, магазином должны иметь возможность пользоваться люди с нарушениями зрения, слуха или моторики. На практике ориентиром служит гармонизированный стандарт EN 301 549, который ссылается на правила WCAG 2.1 уровня AA. Надзор за интернет-магазинами ведёт ČOI, а за самые серьёзные нарушения грозит штраф до 10 млн крон.

Типичные проблемы сайтов, сделанных на скорую руку: низкий контраст текста, картинки без альтернативного описания, поля форм без подписей, элементы, которыми нельзя управлять с клавиатуры, и сообщения об ошибках, которые не понимает программа чтения с экрана.

Со 2 августа 2026 года действуют обязанности по прозрачности по ст. 50 европейского регламента об искусственном интеллекте (AI Act). Система, которая общается с людьми напрямую, должна быть устроена так, чтобы человек знал, что говорит с AI. Исключение действует только там, где это очевидно из обстоятельств, и Европейская комиссия в своих руководствах толкует его узко. Того, что люди в целом знают о существовании чат-ботов, недостаточно. За нарушение ст. 50 грозит штраф до 15 млн евро или 3 % мирового годового оборота.

Кроме маркировки есть вопрос ответственности за ответы бота. В 2024 году трибунал в Канаде рассматривал жалобу клиента, которому чат-бот Air Canada ошибочно пообещал частичный возврат стоимости билета. Авиакомпания утверждала, что не отвечает за информацию от чат-бота. Трибунал этот довод отклонил и обязал её выплатить разницу в цене, вместе с процентами и сборами около 812 канадских долларов. По мнению трибунала, компания отвечает за всю информацию на своём сайте, кто бы её ни написал: человек или чат-бот.

Поэтому боту стоит задать границы: на что он может отвечать, когда должен ссылаться на торговые условия и когда передавать разговор человеку.

Этот список говорит о том, что проверить. Как именно настроить cookie-баннер, consent mode или права доступа к базе данных, зависит от технологии, на которой работает сайт. Это мы разберём вместе на консультации.