AI Act и Вашият бизнес – имате ли и какви задължения по Регламент (ЕС) 2024/1689 за изкуствения интелект (ИИ)?

Младост 4, имаме проблем!

Август 2026 вече е минал. Спите спокойно, а новите AI (ИИ) технологии не Ви засягат, защото имате нищо и никакъв малък онлайн магазин, някакъв базов API чатбот или пък ползвате безплатен „изкуственяк“ само за писане на текстове и генериране на разни изображения за клиенти? Служителите Ви използват (ама от личните си акаунти) популярни AI платформи, които захранват „на едро“ с всякакви лични и други данни, без излишни фирмени политики и друга бумащина?

Един слънчев ден обаче, Ваши партньори или клиенти Ви искат някакви документи, свързани с някакъв нов регламент, а Вие с такива странични за дейността Ви неща не сте си имали работа? И внезапно звездите започват да Ви говорят, че внедряването на AI инструмент може рязко да Ви донесе никак несимволична глоба, без изобщо да сте предполагали, че нарушавате закона? А Вие започвате да се страхувате, че конкуренти или контролни органи могат да Ви подлеят вода или направо да Ви DoS-нат, заради липса на изискуема документация свързана с някаква AI имплементация, която ползвате?

Ако това ще Ви успокои – няма да сте първият, който не е предполагал, че бизнесът и предприемачите в България попадат под регулациите на новия Регламент (ЕС) 2024/1689 (познат още като AI Act или европейски Регламент за изкуствения интелект). Засега сте „минали метър“, но някой ден от първо лице, единствено число, може да се сблъскате с бюрократично-регулаторен кошмар, където непознаването на ролята и задълженията Ви по AI Act могат да костват немалки глоби и практическа парализа на бизнеса.

Имайки предвид горното е препоръчително опитен дигитален адвокат и експерт по IT и бизнес право да поеме този процес вместо Вас, за да идентифицира точните задължения на компанията Ви и да изготви необходимите процедури, договори и останала документация. Така че да спите спокойно, че сте WAF-нати с пълна гама изискуема документация и Cloudflare-нати от компетентен дигитален адвокат, който е насреща да се разправя от Ваше име с всевъзможни „тикети“ от различни органи и лица.

За какво е тази статия?

Както стана въпрос, определено имаме новина. А тя е, че изкуственият интелект и популярни негови имплементации с широко приложение като ChatGPT, Gemini, Anthropic и др. вече не е само основно средство за писане на домашни от ученици в българските гимназии, но и реален инструмент, който драстично променя начина и бизнес модела, по който компаниите работят и в частност обслужват своите клиенти. Редица малки и средни предприятия (МСП), които са най-гъвкавата част от пазара, все по-често използват AI системи за автоматизация на административни задачи, създаване на съдържание, анализ на информация, обслужване на клиенти и т.н.

Достигнатата гореописана точка на развитие обаче поставя нови правни и организационни въпроси, които всеки бизнесмен все по-често започва да си задава. Дори и само наум. Точно в тази връзка ЕС създаде първата цялостна регулаторна рамка за изкуствения интелект (ИИ) чрез Регламент (ЕС) 2024/1689, добил известност с широкоразпространеното име Акт за изкуствения интелект (AI Act). Негова основна цел е да създаде баланс между неминуемия технологичен напредък в света и необходимостта от защита на основните права на хората, сигурността и доверието на гражданите, което е типично за ЕС и неговото законодателство.

За бизнеса, опериращ в България и цеиля ЕС, най-важният въпрос вече не е само дали използва ИИ, а как точно го използва, не само за да извлече максимални ползи, но и за да не „настъпи мотиката“ с определени действия или бизнес практики, които са строго забранени и водят до значителни санкции. Именно това определя значимостта на правния риск и конкретните задължения, на които всяка компания трябва да отговаря – преди или след като контролните органи „почукат на вратата“.

За какво е AI Act?

AI Act, чието формално наименование е Регламент (ЕС) 2024/1689, е първата всеобхватна правна рамка в абсолютно целия свят, която регулира използването на различни системи с изкуствен интелект, независимо къде и от кого са произведени. Тук е мястото да се отбележи, че в България все още няма Закон за изкуствения интелект, но Регламентът има пряко приложение и на практика замества празнотата в българското законодателство.

Основополагащ принцип на Регламента е, че различните AI системи не се регулират по един и същ начин и с еднаква строгост, а изискванията към тях са различни и зависят от потенциалното въздействие най-вече върху ползвателите им, т.е. бизнеса и гражданите. Основен принцип е, че колкото по-голям е рискът дадена AI система или модел да засегне най-общо казано живота на хората, толкова по-строги са законовите изисквания към нейното имплементиране и използване от бизнеса. В тази връзка AI Act разделя системите с изкуствен интелект на няколко основни категории AI:

• Системи с неприемлив риск – абсолютно забранено „минно поле“, поради опасността от сериозно нарушаване на гражданските права и свободи. За имплементация само в sandbox при лабораторни условия.
• Високорискови AI системи – използването им е позволено, но е сериозна опасността да „изгърмите“ при нарушения, свързани с безопасността или решения, засягащи физически лица. Дори при малък glitch или халюцинация.
• Системи с ограничен или минимален риск – тук са най-широкоприложимите в ежедневието имплементации на ИИ, при които основните задължения на бизнеса са с акцент върху прозрачността и информираността на крайните потребители. И рискът е незначителен, дори някой prompt гений да Ви jailbreak-не модела.

Като цяло, основната цел на Регламента е системите с ИИ в ЕС да бъдат сравнително безопасни и доколкото позволяват технологиите – прозрачни и съвместими с основните права.

Много е важно да се отбележи, че Регламентът има извънтериториално действие. А това означава, че той се прилага и спрямо компании извън ЕС, когато техни AI системи се използват от граждани на ЕС или засягат лица, намиращи се на територията на Съюза. Както предполагам всеки би се досетил – това на практика означава, че всяка AI система или нейна бизнес имплементация, независимо в коя част на света и под чия юрисдикция е създадена, е задължително да е съобразена с европейския Регламент за изкуствения интелект (AI Act).

Субекти на AI

Вероятно няма четящ настоящата статия, който през живота си да е имал досег с AI и да не е попадал под някоя от 7-те категории, описани по-долу. Затова е добра идея Вие, като физическо лице или действащ бизнес, да определите своята роля съгласно Регламент (ЕС) 2024/1689, защото от това зависят конкретните права и задължения, нивото на отговорност и… колко могат да Ви глобят, при обикновена или съществена „издънка“ във връзка с приложението на AI Act.

• Доставчик (Provider) – това с прости думи са технологичните компании, които създават, обучават и поддържат AI моделите и системите.
• Внедрител (Deployer) – тук попадат фирмите, които използват ИИ в рамките на професионалната си или търговска дейност. В масовия случай това са малките и средните предприятия, които използват готовите инструменти на производителите по предната точка.
• Вносител (Importer) – европейски фирми, който предоставя на пазара AI система, разработена от производителите по първата точка.
• Дистрибутор (Distributor) – това е фирма, която предоставя AI система на пазара на ЕС, без да променя нейните характеристики.
• Упълномощен представител (Authorised Representative) – лице, установено в ЕС, което е упълномощено от доставчик извън ЕС да действа от негово име. С други думи казано – лице за контакт в целия ЕС.
• Производител на продукт (Product Manufacturer) – това обикновено са производители на хардуер, в който са интегрирали AI система, като напр. автомобили, медицински изделия, машини с висока степен на автоматизация и т.н.
• Засегнато лице (Affected Person) – това може да сте Вие, в качеството Ви обаче на краен клиент и ползвател на ИИ система.

AI „внедрител“ ли е Вашата фирма?

Повечето малки и средни предприятия, изключая IT стартъпи, не разработват собствени AI модели, а имплементират и използват готовите продукти, създадени от големите компании в AI сектора. Именно затова, в повечето практически ситуации, Вашият бизнес евентуално би попаднал в ролята на внедрител. Като внедрител компанията най-общо казано не създава самата технология, но носи отговорност за начина, по който я използва в рамките на своята търговска дейност.

Ето и няколко нагледни примера за типични компании, които биха имали качеството AI „внедрител“:

• Маркетингова агенция използва AI инструмент за създаване на рекламни текстове, публикации в социални мрежи и маркетингово съдържание за свои клиенти.
• Счетоводна фирма използва някоя от AI системите за автоматично разпознаване (OCR) и обработване на фактури на клиенти.
• Онлайн магазин внедрява AI чатбот за обслужване на клиенти и автоматични отговори на често задавани въпроси.

Необходимо е обаче да се обърне внимание, че ролята на внедрител може да се промени. Ако напр. дадена фирма извърши съществена модификация на съществуваща AI система или я предостави на пазара под собствената си марка, тя може да бъде определена като доставчик. Което е (много) рядка хипотеза, но следва изрично да бъде спомената.

Бизнес, ползващ GPAI

Какво е GPAI

ИИ с общо предназначение (General-Purpose AI – GPAI) се превърна в един от най-широко използваните инструменти в съвременния бизнес. Продукти като ChatGPT, Gemini, Anthropic и др. подобни платформи масово се използват за създаване на текстове, анализ на документи, подготовка на отчети, превод на съдържание, генериране на изображения, писане на код и какво ли още не. Тези продукти попадат в категорията на моделите с общо предназначение.

Задължения на бизнеса

• Взаимодействие с потребители – крайният клиент на фирмата трябва да бъде информиран за GPAI имплементацията, освен ако от конкретните обстоятелства е очевидно, че взаимодействието е точно такова. Това изискване е особено важно при използването на чатботове, виртуални асистенти и др. автоматизирани системи за обслужване на клиенти. Потребителят трябва изрично да е уведомен, че разговаря с AI бот.
• AI генерирано съдържание – при генериране или модификация на изображения, аудио или видео съдържание, което може да представлява дълбока фалшификация (deepfake), трябва ясно да се обозначи, че материалът е създаден или изменен чрез AI технология. При публикуване на текстово съдържание по въпроси от обществен интерес също може да възникне задължение за обозначаване на използването на AI, освен ако съдържанието е преминало през реален човешки редакционен контрол.
• Авторско право и интелектуална собственост – бизнесът трябва да използва технологията по начин, който не нарушава различни права на трети лица. Оправдания от сорта на „Ама не съм го рисувал аз“ не минават. Вкл. при създаване на рекламни материали, изображения, публикации и др.
• Обучение на служителите и AI грамотност – едно от ключовите изисквания на Регламента за изкуствения интелект е фирмите да осигурят достатъчно обучение и оттам ниво на AI грамотност сред служителите, които използват или поддържат подобни системи. В частност служителите трябва да познават рисковете от така наречените AI „халюцинации“, при които системата създава убедително звучаща, но съвършено невярна и напълно измислена информация.

Бизнес, ползващ HRAI

Какво е HRAI

Някои AI системи могат да окажат брутално влияние върху живота, в най-широкия възможен смисъл, на хората. Една такава система се определя като високорискова (High-Risk AI – HRAI) най-вече, когато е свързана с чувствителни области от живота на хората. За малкия и среден бизнес най-често срещаните случаи в тази насока са свързани с управление на човешки ресурси, подбор на служители, кредитни рейтинги и достъп до някои основни услуги за гражданите.

Примери за HRAI

• Подбор и управление на персонал – ИИ системи за автоматично филтриране и класиране на автобиографии, оценка на различни кандидати, анализ на представяне на интервю или подпомагане при вземането на решения за повишение, бонус или прекратяване на трудови правоотношения.
• Банки и финансови услуги – ИИ системи за оценка на кредитоспособност, анализ на риск при отпускане на кредит или определяне на специфични условия за даден продукт.
• Застрахователен сектор – ИИ системи за оценка на риска при здравно и животозастраховане.

Задължения на бизнеса

• Следване инструкциите на доставчика – компанията трябва да използва AI системата съгласно предоставените от доставчика инструкции.
• Човешки контрол върху решенията – внедрителят трябва да определи компетентни и обучени лица във фирмата, които да упражняват реален човешки контрол върху работата на системата, а критичните решения, които засягат хора, задължително трябва да имат опция за човешка оценка и намеса.
• Наблюдение и управление на риска –  фирмата трябва постоянно да следи работата на системата и да предприема действия при установяване на технически проблем или потенциален инцидент.
• Информиране на служителите – когато високорискова AI система се използва на работното място, служителите и техните представители трябва да бъдат информирани предварително за нейното използване.
• Съхраняване на логове – фирмата трябва да съхранява системните логове, които позволяват проследяване на действията ѝ и анализ при възникване на проблеми.
• Право на обяснение – когато дадено лице е засегнато от решение, взето с помощта на високорискова AI система, то има право да получи разбираемо обяснение как точно е било взето решението.

AI „червени линии“

Същност и санкции

Регламент (ЕС) 2024/1689 за изкуствения интелект въвежда определени ограничения върху някои приложни аспекти на ИИ, които могат да доведат до сериозна дискриминация и нарушаване на основни човешки права. Нарушенията и съответно санкциите в тази област са най-тежки – до 35 милиона евро или до 7% от общия годишен световен оборот на предприятието. Целта на тези специфични ограничения не е да се спре развитието на ИИ, а да се предотврати използването му по начин, който превръща технологията в инструмент за контрол, манипулация или неправомерно влияние върху хората.

Списък със забрани

• Когнитивна манипулация – става въпрос за манипулативни техники с цел съществено да променят поведението на дадено лице, когато това може да доведе до значителна вреда. Прост пример е мобилно приложение, които използва AI алгоритми, поведенчески анализ и персонализирани известия, за да насърчава хора с хазартна зависимост да правят повече залози, като се възползва от тяхното уязвимо психологическо състояние.
• Експлоатация на уязвими групи – тук спецификите са възраст, увреждане, социално положение или икономическа зависимост, когато отново целта или резултатът е манипулация на тяхното поведение. Напр. оферти за сложни финансови продукти със скрити неблагоприятни условия на хора, които се намират в тежка икономическа ситуация и имат ограничена възможност адекватно да преценят риска.
• Социално оценяване (Social Scoring) – забранено е използването на AI системи за оценяване на хора въз основа на тяхното социално поведение, лични характеристики или предполагаеми качества, с цел поставяне на хората в определени категории на „надеждност“ или „стойност“. Напр. създаването на рейтинг на потребители въз основа на техни публикации в социалните мрежи, политически възгледи или други лични характеристики, след което използва този рейтинг, за да отказва определени услуги на тези лица.
• Разпознаване на емоции – забранено е използването на AI технологии за извеждане или оценяване на емоционалното състояние на служители или ученици в работна или образователна среда, освен в ограничени случаи, свързани с медицински причини или безопасност. Напр. запис и анализ на онлайн срещи, при което се анализират израженията на служителите, за да оценява тяхната „ангажираност“, „лоялност“ или „мотивация“.
• Нецелево извличане на изображения за лицево разпознаване (Facial Scraping) – забранено е създаването или разширяването на бази данни за лицево разпознаване чрез масово и неселективно извличане на изображения от интернет или записи от системи за видеонаблюдение.
• Биометрична категоризация въз основа на чувствителни данни – Регламентът за изкуствения интелект ограничава използването на биометрични системи за извеждане на чувствителна информация за дадено лице, вкл. расов или етнически произход, политически убеждения, религиозни или философски вярвания, сексуална ориентация. Основният риск тук е от дискриминация на база тези отличителни характеристики на индивида.

Помощ от адвокат за внедряване?

За малкия и средния бизнес внедряването на ИИ често започва като чисто практическо бизнес решение – напр. използване на чатбот, автоматизация на процеси, AI инструмент за маркетинг, система за анализ на данни и т.н. С влизането в сила на Регламент (ЕС) 2024/1689 тези решения имат и правна регламентация. А компетентен дигитален адвокат може съществено да помогне на бизнеса да разбере каква е неговата роля съгласно Регламента за изкуствения интелект, дали компанията действа като внедрител по смисъла на AI Act, какви конкретни задължения произтичат от това и т.н.

Внедряването на системи с изкуствен интелект (AI) в малкия и средния бизнес (МСП) е процес, който има както технологична страна, така и законова. А дигитален адвокат, който познава както новите технологии, така и законовите изисквания на европейското и българското право, може да бъде изключително полезен на собствениците на бизнес в редица направления. По-долу може да намерите примерен списък с услугите на компетентен дигитален адвокат.

• Правни одити и проверки (Due Diligence): с цел установяване къде се намира Вашия бизнес в светлината на AI Act и какви действия трябва да бъдат предприети.

• Класификация на AI системата: дали внедряваната ИИ система попада в категория „забранена практика“, „висок риск“ или „ограничен риск“ и свързаните с това последици.
• Одит на договори: преглед на съществуващи договори с клиенти, служители доставчици и партньори за клаузи, които биха могли да бъдат в противоречие с използването на AI.
• Секторен одит: Проверка за наличие на специфични регулаторни изисквания при внедряване на AI в сектори като финанси, застраховане или здравеопазване, които може да изискват предварително уведомление или одобрение от регулатор (БНБ, КФН, МЗ).       
• Изготвяне на документи
  • Вътрешни политики и процедури – вкл. Политика за използване на AI; Политика за поверителност; Процедура за оценка на въздействието (DPIA) и др.
  • Договори – вкл. Договор с доставчик на AI; Специфични клаузи в договори с клиенти; Актуализация на трудови договори и длъжностни характеристики и др.
  • Декларации и уведомления – вкл. Уведомление до служителите за внедряването на AI системи; Декларация за съгласие при обработка на специални категории данни (напр. биометрия) чрез AI; Уведомление до потребителите за прозрачност при използване на AI и др.
• Представителство пред регулатори и органи –  при проверки от и комуникация с компетентни органи, вкл. КЗЛД, КЗК, КЗП и др.