Съдържание
В практиката си виждаме, че много български компании вече прилагат AI инструменти, без да познават съпътстващите правни рискове. В тази статия нашият екип обобщава ключовите правни изисквания, практическите стъпки за съответствие и конкретните рискове, свързани с AI и защитата на личните данни.
Какво е AI Act и защо е важен за бизнеса в България
Регламентът за изкуствения интелект (Регламент (ЕС) 2024/1689 за изкуствения интелект (AI Act)), известен като AI Act, е първата в света цялостна правна рамка за изкуствения интелект. Той въвежда рисково-базиран подход, като категоризира AI системите в четири нива:
- Забранени практики – социален скоринг, емоционално разпознаване на работното място, биометрична категоризация по чувствителни характеристики
- Високорискови системи – подбор на персонал, кредитна оценка, здравеопазване
- Системи с ограничен риск – чатботове, дълбоко подправени материали (deepfakes) (изискват прозрачност)
- Системи с минимален риск – повечето AI приложения (без специални изисквания)
От 2 февруари 2025 г. вече се прилагат забраните по чл. 5 и задължението за AI грамотност по чл. 4. Изискванията за високорисковите AI системи по Анекс III се прилагат от 2 август 2026 г., а тези по чл. 6, параграф 1 (вграден високорисков AI в регулирани продукти) – от 2 август 2027 г. Предложеният Цифров омнибус (ноември 2025 г.) обсъжда удължаване на тези срокове, но към момента на публикуване не е приет.
Важно
AI Act действа паралелно с GDPR. Когато AI система обработва лични данни, двата регламента се прилагат кумулативно. Бизнесите трябва да осигурят съответствие и с двата набора от правила.
Как GDPR се прилага при AI модели
Становище 28/2024 на Европейския комитет по защита на данните (ЕКЗД), прието на 17 декември 2024 г., очертава прилагането на GDPR при AI модели в три основни направления.
Анонимност на AI модели
Не всеки AI модел, обучен с лични данни, автоматично „съдържа" лични данни. ЕКЗД приема, че анонимността трябва да се оценява за всеки конкретен случай. За да се счита за анонимен, вероятността от извличане на лични данни – директно или чрез запитвания – трябва да е незначителна. На практика компаниите трябва да документират техническите мерки, предприети за осигуряване на анонимност.
Легитимен интерес като правно основание
ЕКЗД потвърди, че легитимният интерес по чл. 6, §1, б. „е" от GDPR е допустимо правно основание за обработване на лични данни при разработка и внедряване на AI модели. Необходим е обаче тристепенен тест:
- Идентифициране на легитимен интерес
- Доказване, че обработването е необходимо за постигането му
- Баланс между интереса на контрольора и правата на субектите на данни
Конкретни примери, дадени от ЕКЗД, включват разговорни агенти (чатботове) за обслужване на клиенти и AI за киберсигурност.
Последици при незаконосъобразно обработване
Ако лични данни са били обработени незаконосъобразно във фазата на обучение на AI модел, това може да засегне и законосъобразността на последващото внедряване. Надзорните органи могат да наредят:
- Глоби по GDPR
- Временни ограничения на обработването
- Изтриване на данните от тренировъчния набор
- Премахване на самия модел
Единственият начин за „изчистване" на ситуацията е доказана анонимизация на модела.
Цифровият омнибус: Предстоящи промени в GDPR
На 19 ноември 2025 г. Европейската комисия публикува пакета Цифров омнибус – обхватно предложение за изменение на редица цифрови актове, включително GDPR. Предложението е в процес на обсъждане.
Ключовите предложения, засягащи AI и лични данни, включват:
- Нов „относителен" подход – данни, които конкретен контрольор не може да свърже с физическо лице, не се считат за лични за него
- Изрична правна основа за обработване на лични данни за обучение на AI модели чрез легитимен интерес
- Обработване на специални категории данни (здравни, етнически и др.) за целите на откриване и коригиране на дискриминация в AI системи
Позиция на ЕКЗД и Европейския надзорен орган по защита на данните (ЕНОЗД)
Съвместното становище от 11 февруари 2026 г. категорично се противопоставя на промените в дефиницията за лични данни, като отбелязва, че те противоречат на практиката на Съда на ЕС и значително стесняват приложното поле на GDPR.
Практически стъпки: GDPR одит за AI системи
Независимо от хода на законодателните промени, всяка компания, която използва AI, следва да приложи следния минимум от мерки:
1. Опис на AI системите
Изгответе пълен списък на всички AI инструменти, които вашият бизнес използва – включително чатботове, системи за автоматизация на маркетинга, CRM решения, базирани на AI и инструменти за анализ на данни. За всяка система определете дали обработва лични данни.
2. Оценка на въздействието (DPIA)
Съгласно чл. 35 от GDPR, когато обработването (включително чрез AI) може да доведе до висок риск за правата на физическите лица, е задължително извършване на DPIA. Това е особено важно при профилиране, автоматизирано вземане на решения или обработване на чувствителни данни.
3. Определяне на правно основание
За всяка AI система, обработваща лични данни, определете правното основание по чл. 6 от GDPR. Ако разчитате на легитимен интерес, документирайте тристепенния тест.
4. Прозрачност и информиране
Чл. 13 и 14 от GDPR изискват субектите на данни да бъдат информирани за обработването, включително за автоматизираното вземане на решения. AI Act допълнително изисква потребителите да бъдат уведомени, когато взаимодействат с AI система.
5. Договори с доставчици
Ако използвате AI като услуга (например облачен AI модел), е необходим договор за обработка на лични данни по чл. 28 от GDPR с доставчика. Уверете се, че договорът покрива и изискванията на AI Act за разпределение на отговорностите между доставчик (provider) и внедрител (deployer).
КЗЛД и AI: Какво да очакваме в България
Новият състав на КЗЛД, избран през май 2025 г., тепърва ще очертае стратегическите си приоритети на националния надзорен орган. Според AI Act всяка държава-членка трябва да определи национален компетентен орган за надзор на AI системите. Все още не е ясно дали тази роля ще бъде поверена на КЗЛД или на друга институция.
Практиката на КЗЛД показва активна позиция по отношение на санкциите – българският надзорен орган е наложил глоби за над 3,2 млн. евро от въвеждането на GDPR, включително значимата санкция от 1 000 000 лв. на Банка ДСК за нарушение на мерките за сигурност. С навлизането на AI следва да се очакват нови проверки и санкции.
Рискове и глоби: Какво да знаете
Санкционният режим при нарушения, свързани с AI и лични данни, е многопластов:
- GDPR: до 20 млн. евро или 4% от глобалния оборот
- AI Act (забранени практики): до 35 млн. евро или 7% от оборота
- AI Act (други нарушения): до 15 млн. евро или 3% от оборота
- ЗЗЛД (национален закон): до 10 000 лв. за физически лица и до 100 000 лв. за юридически лица за по-леки нарушения
За тежки нарушения се прилагат директно санкциите по чл. 83 от GDPR.
Често задавани въпроси
Как AI Act засяга моя бизнес в България?
AI Act засяга всеки бизнес, който разработва или използва AI системи на територията на ЕС. Ако вашият бизнес използва AI за подбор на персонал, кредитна оценка, здравни услуги или биометрична идентификация, това попада в категорията „високорискови AI системи" и трябва да отговаря на строги изисквания за прозрачност, документация и човешки надзор.
Мога ли да използвам ChatGPT и други AI инструменти без да нарушавам GDPR?
Да, при условие че сте предприели необходимите мерки: определили сте правно основание за обработването; информирали сте субектите на данни; сключили сте подходящ договор с доставчика; и не въвеждате лични данни на трети лица без основание. При бизнес използване е препоръчително да използвате версиите с договор за обработка (Enterprise/Business планове).
Какво е DPIA и кога е задължителна при AI?
Оценката на въздействието (DPIA) е задължителна съгласно чл. 35 от GDPR, когато обработването може да доведе до висок риск за правата на физическите лица. При AI това включва: систематично профилиране; автоматизирано вземане на решения с правно или значително въздействие; мащабно обработване на чувствителни данни; или използване на нови технологии.
Трябва ли съгласие за обработка на лични данни от AI?
Не непременно. Съгласието е само едно от шестте правни основания по чл. 6 от GDPR. За AI модели легитимният интерес е най-често използваното основание, но изисква документиран тристепенен тест. Важно е да знаете, че съгласието при AI трябва да бъде информирано, конкретно и свободно дадено – което на практика е трудно постижимо при мащабно обучение на модели.
Какви глоби може да наложи КЗЛД за AI нарушения?
КЗЛД може да наложи глоби по GDPR до 20 млн. евро или 4% от годишния оборот за тежки нарушения. С AI Act ще се добавят и допълнителни санкции. В България най-честите глоби за нарушения на GDPR варират от 5 000 до 100 000 лв., но за системни или тежки нарушения могат да бъдат значително по-високи.
Какво е високорискова AI система?
Според AI Act високорисковите AI системи са тези, използвани в области като: биометрична идентификация; управление на критична инфраструктура; образование и професионално обучение; заетост и управление на работници; достъп до основни публични и частни услуги (вкл. кредитен скоринг); правоприлагане; миграция и управление на границите; и правосъдие.
Как да защитя правата си, ако AI вземе решение за мен?
Чл. 22 от GDPR дава право да не бъдете обект на решение, основано единствено на автоматизирано обработване, включително профилиране, което произвежда правни последици за вас. Можете да поискате човешка намеса, да изразите своята гледна точка и да оспорите решението. При нарушение можете да подадете жалба до КЗЛД.
