AI Act compliance: какво трябва да направи бизнесът през 2026 г.

Използването на изкуствен интелект вече е част от ежедневната работа на хиляди компании. AI инструменти се използват за обслужване на клиенти, маркетинг, подбор на служители, анализ на данни, автоматизиране на процеси, създаване на съдържание и вземане на решения.

Заедно с възможностите обаче възникват и нови правни задължения.

Европейският акт за изкуствения интелект – EU AI Act, създава обща правна рамка за разработването, предлагането и използването на AI системи в Европейския съюз. Регламентът се основава на нивото на риск, което съответната AI система създава за здравето, безопасността и основните права на гражданите.

Важно е да се направи едно уточнение: AI Act не „влиза в сила“ на 2 август 2026 г. Регламентът е в сила още от 1 август 2024 г., но различните групи задължения започват да се прилагат поетапно. От 2 август 2026 г.започва ключов етап от практическото му прилагане, включително правилата за прозрачност при използване на чатботове, генеративен AI и deepfake съдържание.

Актуализация към 29 юли 2026 г.: На 27 юли 2026 г. влезе в сила т.нар. Digital Omnibus on AI, с който сроковете за прилагане на основните изисквания за високорискови AI системи бяха удължени до 2 декември 2027 г., а за AI системи, вградени в определени регулирани продукти – до 2 август 2028 г. Поради това част от по-ранните публикации за AI Act вече съдържат неактуални срокове.

В Advokatami.bg разполагаме с изграден екип, специализиран в правната и организационната подготовка на компании за AI Act compliance. Съдействаме при идентифициране на използваните AI системи, определяне на приложимите задължения, изготвяне на вътрешни политики и синхронизиране на AI compliance с GDPR. За запитване можете да използвате формата ни за контакт.

Какво представлява EU AI Act?

EU AI Act е Регламент (ЕС) 2024/1689, който установява единни правила за изкуствения интелект в Европейския съюз.

Основната му цел е да насърчи използването на надежден и ориентиран към човека изкуствен интелект, като едновременно с това ограничи рисковете за:

• здравето и безопасността;

• защитата на личните данни;

• недискриминацията;

• трудовите права;

• достъпа до образование и основни услуги;

• защитата на потребителите;

• демократичните процеси и правовата държава.

За разлика от законодателство, което регулира определена индустрия, AI Act има хоризонтално приложение. Това означава, че може да засегне предприятия от почти всички сектори – информационни технологии, електронна търговия, финанси, здравеопазване, образование, човешки ресурси, производство, транспорт, маркетинг и професионални услуги.

За кои компании се прилага AI Act?

AI Act не се отнася само до компании, които разработват собствени AI модели.

Регламентът може да се прилага спрямо:

• доставчици, които разработват AI система или възлагат нейното разработване и я предлагат под свое име;

• внедрители, които използват AI система в рамките на професионалната си дейност;

• вносители и дистрибутори на AI системи;

• производители, които включват AI система в свой продукт;

• доставчици на модели с общо предназначение, известни като general-purpose AI или GPAI;

• компании извън ЕС, когато предлагат AI система на европейския пазар или резултатът от системата се използва в ЕС.

Правилата могат да обхванат както публични, така и частни организации, независимо дали са установени в Европейския съюз.

Следователно една компания може да има задължения по AI Act дори когато не разработва собствен AI продукт, а само използва външни решения като:

• AI чатбот за обслужване на клиенти;

• система за автоматично оценяване на кандидати за работа;

• AI инструмент в CRM или ERP система;

• софтуер за анализ на поведението на потребители;

• система за кредитен или застрахователен риск;

• генеративен AI за текст, изображения, аудио или видео;

• AI асистенти като ChatGPT, Microsoft Copilot, Gemini или Claude.

При обикновеното професионално използване на външен AI инструмент компанията обичайно ще има ролята на внедрител. Конкретната квалификация обаче зависи от начина на използване, направените модификации, брандирането на системата и това дали тя се предоставя на трети лица.

Кои са нивата на риск по AI Act?

AI Act използва подход, основан на риска. Колкото по-сериозно може да бъде въздействието на дадена система върху хората, толкова по-строги са изискванията.

1. Забранени AI практики

Някои приложения на изкуствения интелект се считат за несъвместими с ценностите и основните права в Европейския съюз и са забранени.

Сред тях попадат определени форми на:

• манипулиране или подвеждане на хора;

• експлоатиране на уязвимост, свързана с възраст, увреждане или социално-икономическо положение;

• социално оценяване на физически лица;

• индивидуално прогнозиране на престъпно поведение единствено въз основа на профилиране;

• масово и безцелно събиране на изображения от интернет или видеонаблюдение за създаване на бази данни за лицево разпознаване;

• разпознаване на емоции на работното място и в образователни институции, освен в ограничени случаи, свързани със здраве или безопасност;

• биометрично категоризиране с цел извеждане на чувствителни характеристики.

Основната част от забраните се прилага от 2 февруари 2025 г. С Digital Omnibus бяха добавени и нови забранени практики, които ще се прилагат от 2 декември 2026 г.

2. Високорискови AI системи

Като високорискови се определят системите, които могат да окажат съществено влияние върху безопасността, професионалния живот или основните права на гражданите.

Примери могат да бъдат AI системи, използвани за:

• подбор, филтриране и оценяване на кандидати за работа;

• оценяване на служители и разпределяне на задачи;

• прием и оценяване в образователни институции;

• оценка на кредитоспособността на физически лица;

• определяне на риска и цената при животозастраховане и здравно застраховане;

• достъп до определени обществени или основни частни услуги;

• биометрична идентификация;

• управление на определени критични инфраструктури;

• правоприлагане, миграция и граничен контрол;

• администриране на правосъдие и определени демократични процеси.

AI система може да бъде високорискова и когато представлява продукт или компонент за безопасност на продукт, регулиран от специалното европейско законодателство – например определени медицински изделия, машини, превозни средства или други продукти, за които се изисква оценяване на съответствието.

Не всяка система, която се използва в чувствителен сектор, автоматично е високорискова. От значение са нейното предназначение, конкретна функция, контекстът на използване и влиянието върху вземаното решение.

3. AI системи със специални изисквания за прозрачност

В тази категория попадат определени:

• чатботове и виртуални асистенти;

• системи, които комуникират пряко с физически лица;

• системи за генериране или манипулиране на текст, изображения, аудио и видео;

• системи за разпознаване на емоции;

• системи за биометрично категоризиране;

• системи, използвани за създаване на deepfake съдържание.

При тях основното изискване е потребителят да бъде информиран, че взаимодейства с AI или че съдържанието е генерирано или манипулирано чрез изкуствен интелект.

4. AI системи с минимален риск

В тази група попадат повечето AI приложения, които не засягат съществено безопасността или основните права на гражданите.

За тях обичайно няма пълния набор от изисквания, приложими към високорисковите системи. Въпреки това могат да останат приложими:

• задължението за AI грамотност;

• определени изисквания за прозрачност;

• GDPR и правилата за защита на личните данни;

• трудовото и потребителското законодателство;

• правилата за авторско право;

• изискванията за информационна и киберсигурност.

Кои правила се прилагат от 2 август 2026 г.?

От 2 август 2026 г. AI Act започва да се прилага като общо правило, с изключение на разпоредбите, за които са предвидени специални по-късни срокове.

Особено важно за бизнеса е прилагането на чл. 50 от AI Act, който въвежда правила за прозрачност при определени AI системи.

Информиране при взаимодействие с чатбот или AI асистент

Когато AI система комуникира пряко с физическо лице, тя трябва да бъде проектирана така, че лицето да разбира, че взаимодейства с изкуствен интелект, освен когато това е очевидно от обстоятелствата.

Практически това може да наложи поставянето на съобщение като:

„Вие комуникирате с виртуален асистент, базиран на изкуствен интелект.“

Информацията трябва да бъде ясна и да се предостави най-късно при първото взаимодействие.

Маркиране на AI генерирано съдържание

Доставчиците на системи, генериращи синтетично аудио, изображение, видео или текст, трябва да осигурят машинно разпознаваемо маркиране на генерираното или манипулирано съдържание, доколкото това е технически възможно.

За системи, които вече са били на пазара преди 2 август 2026 г., срокът за привеждане в съответствие с това изискване е 2 декември 2026 г.

Обозначаване на deepfake съдържание

Когато компания публикува изображение, аудио или видео, което представлява deepfake, тя трябва ясно да посочи, че съдържанието е изкуствено генерирано или манипулирано.

За художествени, сатирични, творчески и фикционални произведения са предвидени по-гъвкави правила, така че обозначението да не пречи на нормалното възприемане на произведението.

AI текстове по въпроси от обществен интерес

При публикуване на генериран или манипулиран чрез AI текст, предназначен да информира обществеността по въпрос от обществен интерес, по принцип трябва да бъде разкрито използването на AI.

Изключение е предвидено, когато текстът е преминал през реален човешки преглед или редакционен контрол и физическо или юридическо лице носи редакционна отговорност за публикацията.

Това означава, че бизнесът не следва автоматично да обозначава като „написана от AI“ всяка публикация, при чието създаване е използван AI инструмент. Необходимо е обаче да има действителен човешки преглед, контрол и ясно определена редакционна отговорност.

Актуален график за прилагане на AI Act

1 август 2024 г.

AI Act влиза в сила.

2 февруари 2025 г.

Започват да се прилагат:

• основните забранени AI практики;

• определенията в регламента;

• изискванията за AI грамотност.

2 август 2025 г.

Започват да се прилагат:

• правилата за управление и надзор;

• задълженията за доставчиците на модели с общо предназначение – GPAI.

27 юли 2026 г.

Влиза в сила Digital Omnibus on AI, който променя и опростява част от режима и отлага основните правила за високорисковите AI системи.

2 август 2026 г.

Започва общото прилагане на AI Act, включително правилата за прозрачност при чатботове, генеративен AI и deepfake съдържание.

2 декември 2026 г.

Започват да се прилагат новите забранени AI практики, добавени с Digital Omnibus. До тази дата определени генеративни AI системи, пуснати на пазара преди 2 август 2026 г., трябва да бъдат приведени в съответствие с изискването за машинно разпознаваемо маркиране.

2 декември 2027 г.

Започват да се прилагат основните изисквания за високорисковите AI системи, определени според предназначението им и посочени в Приложение III – например определени системи за подбор на служители, образование, кредитоспособност и достъп до основни услуги.

2 август 2028 г.

Започват да се прилагат основните изисквания за високорискови AI системи, свързани с продуктите и продуктовата безопасност по Приложение I.

Какво представлява AI Act compliance?

AI Act compliance е процесът, чрез който организацията установява:

1. Какви AI системи използва или предлага.

2. Каква е ролята ѝ по отношение на всяка система.

3. Към коя рискова категория принадлежи системата.

4. Какви правни и технически задължения са приложими.

5. Какви документи, процедури и контролни механизми трябва да бъдат въведени.

6. Как се доказва спазването на изискванията пред клиенти, партньори и контролни органи.

AI Act compliance не следва да бъде разглеждан като еднократно изготвяне на документ. Това е продължаващ процес, който трябва да следва промените в системите, доставчиците, начина на използване и приложимото законодателство.

Практически AI Act compliance чеклист за бизнеса

1. Направете регистър на използваните AI системи

Първата стъпка е да се установи къде в организацията реално се използва изкуствен интелект.

Проверката трябва да обхване поне:

• маркетинг и създаване на съдържание;

• обслужване на клиенти;

• човешки ресурси;

• продажби и CRM;

• анализ и профилиране на клиенти;

• счетоводство и финансови процеси;

• информационна сигурност;

• разработване на продукти;

• автоматизирано вземане или подпомагане на решения;

• AI функционалности, включени в използван външен софтуер.

Регистърът следва да съдържа наименованието на системата, доставчика, предназначението, използваните данни, засегнатите лица и отговорното звено.

2. Определете ролята на компанията

За всяка система трябва да се установи дали организацията е:

• доставчик;

• внедрител;

• вносител;

• дистрибутор;

• производител на продукт;

• доставчик на GPAI модел;

• упълномощен представител.

Една компания може да има различна роля за различните AI решения.

Освен това ролята може да се промени. Например дружество, което първоначално само използва външна система, може да поеме задължения на доставчик, ако съществено промени системата, промени предназначението ѝ или я предлага на пазара под собственото си име.

3. Проверете за забранени практики

Всяка организация трябва да провери дали използваните от нея системи попадат в някоя от забранените категории.

Особено внимание е необходимо при:

• наблюдение и оценяване на служители;

• разпознаване на емоции;

• биометрични технологии;

• профилиране и поведенческо влияние;

• обработване на данни за деца или други уязвими лица;

• автоматизирани оценки, които могат да доведат до дискриминация.

4. Направете класификация на риска

За всяка система трябва да бъде документирано дали тя е:

• забранена;

• високорискова;

• обхваната от изисквания за прозрачност;

• система с минимален риск;

• генеративна AI система;

• система, базирана на GPAI модел.

Важно е да бъде документирана и логиката, въз основа на която е направена класификацията.

5. Проверете изискванията за прозрачност

Организацията трябва да установи:

• информирани ли са потребителите, че комуникират с AI;

• обозначава ли се deepfake съдържанието;

• необходимо ли е обозначаване на AI генериран текст;

• предоставя ли се информация за използването на биометрично категоризиране или разпознаване на емоции;

• ясни, разбираеми и достъпни ли са съобщенията;

• съответстват ли потребителският интерфейс и общите условия на реалния начин на работа на системата.

6. Приемете вътрешна AI политика

Вътрешната AI политика може да уреди:

• кои AI инструменти са разрешени;

• за какви цели могат да се използват;

• какви данни не могат да бъдат въвеждани;

• кой одобрява нови AI решения;

• кога е задължителен човешки преглед;

• как се проверява достоверността на резултатите;

• как се използва AI при работа с клиенти;

• как се обозначава генерираното съдържание;

• как се докладват грешки, инциденти и нарушения;

• кой носи вътрешна отговорност за AI compliance.

Политиката трябва да бъде съобразена с реалните процеси на конкретната организация, а не да представлява общ документ, който не се прилага на практика.

7. Осигурете AI грамотност на служителите

От 2 февруари 2025 г. доставчиците и внедрителите на AI системи са длъжни да предприемат мерки за развитие на AI грамотността на служителите и другите лица, които използват AI от тяхно име.

При определяне на необходимото обучение трябва да бъдат отчетени:

• техническите знания и опит на служителите;

• образованието и проведеното обучение;

• конкретният контекст на използване;

• лицата и групите, върху които системата може да въздейства.

Регламентът не изисква работодателят да гарантира точно определено ниво на знания за всеки служител, но трябва да може да покаже, че е предприел подходящи мерки.

Практически е препоръчително да се поддържат:

• програма за обучение;

• обучителни материали;

• списъци на преминалите обучение;

• периодични опреснителни обучения;

• специализирани обучения за служители, работещи с по-рискови системи.

8. Прегледайте договорите с AI доставчици

Преди внедряването на външна AI система трябва да бъдат проверени поне:

• предназначението и функционалностите на системата;

• ролята на всяка страна по AI Act;

• условията за използване на въведените данни;

• използването на клиентски данни за обучение на модели;

• мерките за сигурност;

• местоположението и трансферът на данните;

• подизпълнителите;

• възможностите за водене и предоставяне на логове;

• човешкият контрол;

• уведомяването за инциденти;

• отговорността при неточни или незаконни резултати;

• съдействието при проверки и искания на контролни органи;

• прекратяването на услугата и извличането или изтриването на данните.

Не е достатъчно доставчикът единствено да заявява, че продуктът е „AI Act compliant“. Клиентът трябва да разполага с достатъчна информация, за да изпълни собствените си задължения като внедрител.

9. Координирайте AI Act и GDPR compliance

Когато AI система обработва лични данни, AI Act се прилага паралелно с GDPR. Новият регламент изрично потвърждава, че не отменя и не ограничава европейското законодателство за защита на личните данни.

В зависимост от конкретната система може да е необходимо да се извършат:

• анализ на правното основание за обработване;

• актуализация на политиката за поверителност;

• оценка на въздействието върху защитата на данните – DPIA;

• анализ на автоматизираното вземане на решения;

• преглед на сроковете за съхранение;

• анализ на международните трансфери;

• оценка на техническите и организационните мерки;

• договорно уреждане на отношенията с доставчика;

• процедура за упражняване на правата на субектите на данни.

AI Act compliance и GDPR compliance не трябва да се извършват като два напълно отделни проекта. В много случаи използваните данни, рисковете и необходимите мерки се припокриват.

10. Създайте система за наблюдение и доказване на съответствието

Организацията трябва да може не само да твърди, че спазва AI Act, но и да го докаже.

За тази цел е препоръчително да се съхраняват:

• регистърът на AI системите;

• извършените оценки и класификации;

• решенията за одобряване на нови инструменти;

• договорите и проверките на доставчиците;

• проведените обучения;

• инструкциите за човешки контрол;

• записи за възникнали грешки и инциденти;

• версии на политиките и процедурите;

• доказателства за изпълнение на изискванията за прозрачност;

• периодични прегледи на системите.

В Advokatami.bg можем да съдействаме с цялостен AI compliance одит, изготвяне на регистър на AI системите, класификация на риска, вътрешна AI политика, процедури за човешки контрол, договорни клаузи и необходимите GDPR документи. За конкретна оферта можете да ни пишете чрез формата за контакт.

Какви са задълженията при високорискови AI системи?

При високорисковите системи задълженията зависят от ролята на организацията.

Задължения на доставчиците

Преди пускането на високорискова AI система на пазара доставчикът трябва да осигури изпълнението на комплексни изисквания, които могат да включват:

• система за управление на риска;

• правила за качество и управление на данните;

• техническа документация;

• автоматично водене на записи;

• прозрачност и инструкции за използване;

• механизми за човешки контрол;

• точност, устойчивост и киберсигурност;

• система за управление на качеството;

• оценяване на съответствието;

• регистрация в европейска база данни;

• наблюдение след пускането на пазара;

• процедури за коригиращи действия и сериозни инциденти.

Оценяването на съответствието трябва да покаже, че системата изпълнява задължителните изисквания за надежден AI. В определени случаи може да бъде необходимо участието на независим орган за оценяване.

Задължения на внедрителите

Компаниите, които използват високорискова AI система, могат да бъдат длъжни да:

• използват системата съобразно инструкциите;

• определят компетентни лица за човешки контрол;

• наблюдават работата на системата;

• осигурят релевантни и достатъчно представителни входни данни;

• съхраняват генерираните логове;

• преустановят използването при установен риск;

• уведомят доставчика или компетентните органи за сериозни проблеми;

• информират служителите и техните представители при използване на системата на работното място;

• информират засегнатите лица, когато системата участва във вземане на решения за тях.

За определени публични органи, доставчици на обществени услуги и оператори в чувствителни области може да бъде необходима и оценка на въздействието върху основните права.

Какви документи са необходими за AI Act compliance?

Няма универсален комплект, който да е еднакъв за всички организации. Необходимите документи зависят от използваните системи, ролята на компанията и нивото на риск.

За много предприятия един основен AI compliance пакет може да включва:

1. Регистър на използваните AI системи.

2. Методика и формуляри за класификация на риска.

3. Вътрешна политика за допустимо използване на AI.

4. Процедура за проверка и одобряване на нови AI инструменти.

5. Правила за човешки контрол.

6. План и материали за AI грамотност.

7. Процедура за прозрачност и обозначаване на AI съдържание.

8. Въпросник за проверка на AI доставчици.

9. Договорни клаузи за AI услуги.

10. Процедура за управление на грешки и инциденти.

11. DPIA и актуализирани GDPR документи, когато се обработват лични данни.

12. Процедура за периодичен AI compliance преглед.

При доставчици на високорискови системи пакетът ще бъде значително по-широк и ще включва техническа документация, управление на качеството, управление на риска и документи за оценяване на съответствието.

Какви са санкциите при нарушение на AI Act?

AI Act предвижда значителни административни санкции.

В зависимост от нарушението те могат да достигнат:

• до 35 млн. евро или 7% от общия световен годишен оборот за определени най-тежки нарушения, включително забранени AI практики;

• до 15 млн. евро или 3% от общия световен годишен оборот за нарушение на други задължения по регламента;

• до 7,5 млн. евро или 1% от общия световен годишен оборот при предоставяне на невярна, непълна или подвеждаща информация на компетентните органи.

За малките и средните предприятия по принцип се прилага по-ниската от фиксираната сума и съответния процент, докато за останалите предприятия може да бъде приложен по-високият размер. При определяне на санкцията трябва да бъдат отчетени конкретните обстоятелства, тежестта и продължителността на нарушението.

Освен глобите, неспазването на AI Act може да доведе до:

• забрана или ограничаване на използването на системата;

• изтегляне на продукт от пазара;

• прекратяване на договори;

• претенции от клиенти, служители или други засегнати лица;

• нарушения на GDPR и паралелни санкции;

• репутационни вреди;

• загуба на корпоративни клиенти и инвеститори.

Често задавани въпроси за AI Act compliance

Прилага ли се AI Act за малки фирми?

Да. AI Act не предвижда общо освобождаване за малки и средни предприятия.

Размерът на компанията може да има значение за пропорционалността на мерките, подпомагането от институциите и начина на определяне на санкциите, но малката фирма също трябва да провери какви AI системи използва и какви задължения са приложими.

Използването на ChatGPT означава ли, че фирмата има високорискова AI система?

Не. Самото използване на ChatGPT или друг генеративен AI инструмент не означава автоматично, че системата е високорискова.

Рискът зависи от конкретната цел и начина на използване. Използването на генеративен AI за чернова на маркетингов текст обичайно не е високорискова дейност. Използването му като част от система, която оценява кандидати за работа, кредитоспособност или достъп до основни услуги, изисква значително по-задълбочен анализ.

Трябва ли всяко AI съдържание да бъде обозначено?

Не. Правилата се различават според вида на съдържанието, ролята на организацията и начина на публикуване.

Особени изисквания съществуват за deepfake съдържание и за AI генерирани текстове по въпроси от обществен интерес. За текстове, преминали през реален човешки преглед и редакционен контрол, е предвидено изключение при наличие на лице, което носи редакционна отговорност.

Нужно ли е фирмата да обучава всички служители?

Не е задължително всички служители да преминат еднакво обучение.

Обучението трябва да бъде съобразено с ролята на служителя, неговите знания, използвания инструмент и потенциалното въздействие на системата. Служител, който използва AI за редактиране на текстове, няма същите нужди като служител, който контролира AI система за оценяване на кандидати.

Има ли задължение за вътрешна AI политика?

AI Act не изисква изрично всяка компания да има документ с точно наименование „AI политика“.

На практика обаче такава политика е един от най-подходящите начини да се въведат правила за използване на AI, да се изпълнят задълженията за AI грамотност и да се докаже, че организацията е предприела реални мерки за съответствие.

Кога трябва да започне подготовката?

Подготовката не следва да се отлага до момента, в който всички разпоредби станат приложими.

Забранените практики и изискванията за AI грамотност вече се прилагат. Правилата за прозрачност започват да се прилагат от 2 август 2026 г., а подготовката за високорисковите системи изисква значително време, техническа документация и участие на различни звена в организацията.

Как Advokatami.bg може да помогне?

AI Act compliance изисква едновременно познаване на правната рамка, реалните бизнес процеси, използваните технологии, защитата на личните данни и договорните отношения с доставчиците.

Екипът на Advokatami.bg може да съдейства при:

• първоначален AI compliance одит;

• създаване на регистър на AI системите;

• определяне на ролята на компанията;

• класифициране на AI системите според риска;

• проверка за забранени AI практики;

• изготвяне на вътрешна AI политика;

• разработване на програма за AI грамотност;

• изготвяне на правила за човешки контрол;

• преглед на договори с AI доставчици;

• изготвяне на AI договорни клаузи;

• въвеждане на изискванията за прозрачност;

• съгласуване на AI Act compliance с GDPR;

• изготвяне на DPIA и други оценки на въздействието;

• подготовка на документация за клиенти, партньори и инвеститори;

• текущо правно наблюдение и актуализиране на документацията.

За първоначална оценка на приложимите изисквания можете да ни изпратите информация за използваната или разработваната AI система чрез формата за контакт на Advokatami.bg.

Заключение

AI Act променя начина, по който компаниите разработват, купуват и използват решения с изкуствен интелект.

За повечето предприятия първата задача не е изготвянето на голям обем документация, а установяването на основните факти:

• Къде използваме AI?

• За каква цел го използваме?

• Какви данни се обработват?

• Влияе ли системата върху решения за физически лица?

• Каква е нашата роля?

• Каква е рисковата категория?

• Какви мерки вече сме въвели?

• Можем ли да докажем съответствието си?

Навременната подготовка намалява не само риска от санкции, но и риска от неправомерно използване на данни, дискриминационни решения, договорни спорове и загуба на доверие.