Зміст
У своїй практиці ми бачимо, що багато болгарських компаній уже застосовують AI-інструменти, не знаючи про супутні правові ризики. У цій статті наша команда узагальнює ключові правові вимоги, практичні кроки для забезпечення відповідності та конкретні ризики, пов'язані з AI та захистом персональних даних.
Що таке AI Act і чому він важливий для бізнесу в Болгарії
Регламент про штучний інтелект (Регламент (ЄС) 2024/1689 про штучний інтелект (AI Act)), відомий як AI Act, – це перша у світі всеосяжна правова база для штучного інтелекту. Він запроваджує ризик-орієнтований підхід, поділяючи AI-системи на чотири рівні:
- Заборонені практики – соціальний скоринг, розпізнавання емоцій на робочому місці, біометрична категоризація за чутливими характеристиками
- Системи високого ризику – добір персоналу, кредитна оцінка, охорона здоров'я
- Системи з обмеженим ризиком – чат-боти, глибоко підроблені матеріали (deepfakes) (вимагають прозорості)
- Системи з мінімальним ризиком – більшість AI-застосунків (без спеціальних вимог)
З 2 лютого 2025 р. уже застосовуються заборони за ст. 5 та обов'язок щодо AI-грамотності за ст. 4. Вимоги до AI-систем високого ризику за Додатком III застосовуються з 2 серпня 2026 р., а вимоги за ст. 6, параграф 1 (вбудований AI високого ризику в регульованих продуктах) – з 2 серпня 2027 р. Запропонований Цифровий омнібус (листопад 2025 р.) передбачає обговорення продовження цих строків, але на момент публікації його не ухвалено.
Важливо
AI Act діє паралельно з GDPR. Коли AI-система обробляє персональні дані, обидва регламенти застосовуються кумулятивно. Бізнес має забезпечити відповідність обом наборам правил.
Як GDPR застосовується до AI-моделей
Висновок 28/2024 Європейської ради із захисту даних (ЄРЗД), ухвалений 17 грудня 2024 р., окреслює застосування GDPR до AI-моделей у трьох основних напрямах.
Анонімність AI-моделей
Не кожна AI-модель, навчена на персональних даних, автоматично «містить» персональні дані. ЄРЗД вважає, що анонімність слід оцінювати в кожному конкретному випадку. Щоб модель вважалася анонімною, імовірність вилучення персональних даних – безпосередньо або через запити – має бути незначною. На практиці компанії повинні документувати технічні заходи, вжиті для забезпечення анонімності.
Легітимний інтерес як правова підстава
ЄРЗД підтвердила, що легітимний інтерес за ст. 6(1)(f) GDPR є допустимою правовою підставою для обробки персональних даних під час розроблення та впровадження AI-моделей. Однак необхідний триетапний тест:
- Визначення легітимного інтересу
- Доведення того, що обробка необхідна для його досягнення
- Баланс між інтересом контролера та правами суб'єктів даних
Конкретні приклади, наведені ЄРЗД, охоплюють розмовних агентів (чат-ботів) для обслуговування клієнтів і AI для кібербезпеки.
Наслідки незаконної обробки
Якщо персональні дані було оброблено незаконно на етапі навчання AI-моделі, це може вплинути й на законність подальшого впровадження. Наглядові органи можуть наказати:
- Штрафи за GDPR
- Тимчасові обмеження обробки
- Видалення даних із навчального набору
- Видалення самої моделі
Єдиний спосіб «виправити» ситуацію – доведена анонімізація моделі.
Цифровий омнібус: майбутні зміни до GDPR
19 листопада 2025 р. Європейська комісія опублікувала пакет «Цифровий омнібус» – масштабну пропозицію щодо внесення змін до низки цифрових актів, зокрема GDPR. Пропозиція перебуває на стадії обговорення.
Ключові пропозиції, що стосуються AI та персональних даних, охоплюють:
- Новий «відносний» підхід – дані, які конкретний контролер не може пов'язати з фізичною особою, не вважаються для нього персональними
- Чітку правову підставу для обробки персональних даних з метою навчання AI-моделей на основі легітимного інтересу
- Обробку спеціальних категорій даних (про здоров'я, етнічне походження тощо) з метою виявлення та виправлення дискримінації в AI-системах
Позиція ЄРЗД та Європейського інспектора із захисту даних (ЄІЗД)
Спільний висновок від 11 лютого 2026 р. категорично заперечує зміни до визначення персональних даних, зазначаючи, що вони суперечать практиці Суду ЄС і значно звужують сферу застосування GDPR.
Практичні кроки: GDPR-аудит для AI-систем
Незалежно від перебігу законодавчих змін, кожна компанія, яка використовує AI, має запровадити такий мінімум заходів:
1. Перелік AI-систем
Складіть повний перелік усіх AI-інструментів, які використовує ваш бізнес, – зокрема чат-ботів, систем автоматизації маркетингу, CRM-рішень на основі AI та інструментів аналізу даних. Для кожної системи визначте, чи обробляє вона персональні дані.
2. Оцінка впливу (DPIA)
Відповідно до ст. 35 GDPR, коли обробка (зокрема за допомогою AI) може призвести до високого ризику для прав фізичних осіб, проведення DPIA є обов'язковим. Це особливо важливо у разі профілювання, автоматизованого ухвалення рішень або обробки чутливих даних.
3. Визначення правової підстави
Для кожної AI-системи, що обробляє персональні дані, визначте правову підставу за ст. 6 GDPR. Якщо ви спираєтеся на легітимний інтерес, задокументуйте триетапний тест.
4. Прозорість та інформування
Ст. 13 і 14 GDPR вимагають, щоб суб'єктів даних інформували про обробку, зокрема про автоматизоване ухвалення рішень. AI Act додатково вимагає повідомляти користувачів, коли вони взаємодіють з AI-системою.
5. Договори з постачальниками
Якщо ви використовуєте AI як послугу (наприклад, хмарну AI-модель), з постачальником необхідно укласти договір про обробку персональних даних за ст. 28 GDPR. Переконайтеся, що договір охоплює й вимоги AI Act щодо розподілу відповідальності між постачальником (provider) і суб'єктом впровадження (deployer).
КЗЛД і AI: чого очікувати в Болгарії
Новий склад Комісії із захисту персональних даних (КЗЛД), обраний у травні 2025 р., ще має окреслити стратегічні пріоритети національного наглядового органу. Згідно з AI Act кожна держава-член має визначити національний компетентний орган для нагляду за AI-системами. Досі невідомо, чи цю роль буде доручено КЗЛД, чи іншій установі.
Практика КЗЛД свідчить про активну позицію щодо санкцій – болгарський наглядовий орган наклав штрафи на суму понад 3,2 млн євро від запровадження GDPR, зокрема значну санкцію в розмірі 1 000 000 лв. щодо Банку ДСК за порушення заходів безпеки. З поширенням AI слід очікувати нових перевірок і санкцій.
Ризики та штрафи: що потрібно знати
Режим санкцій за порушення, пов'язані з AI та персональними даними, є багаторівневим:
- GDPR: до 20 млн євро або 4% від глобального обороту
- AI Act (заборонені практики): до 35 млн євро або 7% від обороту
- AI Act (інші порушення): до 15 млн євро або 3% від обороту
- ЗЗЛД (Закон про захист персональних даних, національний закон): до 10 000 лв. для фізичних осіб і до 100 000 лв. для юридичних осіб за легші порушення
За тяжкі порушення безпосередньо застосовуються санкції за ст. 83 GDPR.
Поширені запитання
Як AI Act впливає на мій бізнес у Болгарії?
AI Act стосується кожного бізнесу, який розробляє або використовує AI-системи на території ЄС. Якщо ваш бізнес використовує AI для добору персоналу, кредитної оцінки, медичних послуг або біометричної ідентифікації, це належить до категорії «AI-системи високого ризику» і має відповідати суворим вимогам щодо прозорості, документації та людського нагляду.
Чи можу я використовувати ChatGPT та інші AI-інструменти, не порушуючи GDPR?
Так, за умови, що ви вжили необхідних заходів: визначили правову підставу для обробки; поінформували суб'єктів даних; уклали належний договір із постачальником; і не вводите персональні дані третіх осіб без підстави. Для використання в бізнесі рекомендовано користуватися версіями з договором про обробку (плани Enterprise/Business).
Що таке DPIA і коли вона обов'язкова для AI?
Оцінка впливу (DPIA) є обов'язковою відповідно до ст. 35 GDPR, коли обробка може призвести до високого ризику для прав фізичних осіб. Щодо AI це охоплює: систематичне профілювання; автоматизоване ухвалення рішень із правовими або істотними наслідками; масштабну обробку чутливих даних; або використання нових технологій.
Чи потрібна згода на обробку персональних даних за допомогою AI?
Не обов'язково. Згода – лише одна з шести правових підстав за ст. 6 GDPR. Для AI-моделей найчастіше використовуваною підставою є легітимний інтерес, але він вимагає задокументованого триетапного тесту. Важливо знати, що згода у сфері AI має бути поінформованою, конкретною та наданою вільно – чого на практиці важко досягти під час масштабного навчання моделей.
Які штрафи може накласти КЗЛД за порушення у сфері AI?
КЗЛД може накладати штрафи за GDPR до 20 млн євро або 4% від річного обороту за тяжкі порушення. З AI Act додадуться й додаткові санкції. У Болгарії найпоширеніші штрафи за порушення GDPR становлять від 5 000 до 100 000 лв., але за систематичні або тяжкі порушення вони можуть бути значно вищими.
Що таке AI-система високого ризику?
Згідно з AI Act AI-системами високого ризику є ті, що використовуються в таких сферах, як: біометрична ідентифікація; управління критичною інфраструктурою; освіта та професійне навчання; зайнятість і управління працівниками; доступ до основних публічних і приватних послуг (зокрема кредитний скоринг); правоохоронна діяльність; міграція та управління кордонами; правосуддя.
Як захистити свої права, якщо AI ухвалить рішення щодо мене?
Ст. 22 GDPR надає право не бути об'єктом рішення, що ґрунтується виключно на автоматизованій обробці, зокрема профілюванні, яке має для вас правові наслідки. Ви можете вимагати втручання людини, висловити свою точку зору та оскаржити рішення. У разі порушення ви можете подати скаргу до КЗЛД.
