Актът за ИИ в България: какво вече се прилага, какво предстои и кой пита

Един и същ въпрос се връща в почти всеки разговор с български компании от средния сегмент: „Актът за ИИ отнася ли се вече до нас?“ Отговорът, по който повечето действат, е „не, това е за 2027 г.“. Той е грешен по начин, който излиза скъпо — защото част от задълженията се прилагат от февруари 2025 г., а работата с най-дълъг срок за изпълнение не зависи от нито една от отложените дати.

Този текст е картата, а не наръчникът: какво вече е в сила, какво предстои, кой пита и откъде започва подготовката. За какво не става, пише в края.

Какво вече се прилага, към септември 2026 г.

Регламент (ЕС) 2024/1689 влезе в сила на 1 август 2024 г. и се прилага на етапи. Подредени по дати, задълженията стоят така:

Последните две дати бяха изместени с цифровия омнибус, който е в сила от 27 юли 2026 г. Изместени бяха сроковете за прилагане — не задълженията, не класификацията и не работата, която те изискват. Комисията поддържа актуалната картина на Законодателен акт за изкуствения интелект, а последователността по членове — в AI Act Service Desk: timeline for implementation. Какво точно се промени и какво остана, е разгледано отделно в отлагането на високорисковите правила.

Задължението, което почти никой не отчита

Член 4 задължава доставчиците и внедрителите да предприемат мерки за ИИ грамотност у персонала и у другите лица, които работят със системите от тяхно име — съобразено с техните знания, опит, образование и обучение, с контекста на употреба и с хората, върху които системите ще се използват.

Преди този член да бъде цитиран в договор или във вътрешна политика, си струва да се знае едно: цифровият омнибус го преработи. Изискването е опростено, а Комисията и държавите членки поемат по-голяма роля в насърчаването на ИИ грамотността — така го описва самата Комисия. Към 10 септември 2026 г. официалната страница на член 4 в AI Act Service Desk все още показва редакцията отпреди омнибуса, с изрична бележка, че текстът не е актуализиран. Който цитира стария израз „достатъчно ниво“, цитира заменена формулировка — а разликата между „осигури достатъчно ниво“ и „предприеме мерки“ е точно разликата между задължение за резултат и задължение за усилие.

Три неща правят този член неудобен. Прилага се от февруари 2025 г. — тоест вече повече от година и половина. Прилага се към внедрителите, не само към разработчиците: компанията, която просто е купила инструмент и го е дала на екипа си, е в обхвата. И не е обвързан с високорисковия график — отлагането до декември 2027 г. не отлага него.

Това е и най-евтиното задължение в целия регламент. Не изисква сертификация, одит или външен консултант. Изисква да се знае кой използва какво, за какво, и да е обучен доколкото контекстът налага. Организация, която не може да отговори на първата част, няма проблем с обучението — има проблем с регистъра.

Кога ставате доставчик, без да сте искали

Разграничението доставчик–внедрител определя обема на задълженията, а българският среден бизнес често попада от грешната страна по един и същ начин: купува общ инструмент и го приспособява вътрешно, защото това е по-евтино от лицензиране на вертикален продукт.

Член 25 изброява кога трето лице се смята за доставчик на високорискова система. Три от основанията са напълно постижими без нито един ред собствен код:

• Собствено име или марка. Поставяне на своето име или търговска марка върху високорискова система, вече пусната на пазара, при липса на договорна уговорка, която разпределя задълженията другояче.
• Съществено изменение. Съществена промяна на високорискова система, която остава високорискова.
• Промяна на предназначението. Промяна на предназначението на система така, че тя да стане високорискова — включително когато преди това не е била.

Третото основание е това, което изненадва. Общ асистент, донастроен върху вътрешни данни и насочен към подбор на персонал или към оценка на кредитоспособност, е сменил предназначението си. Организацията, която го е направила, е доставчик — с оценка на съответствието, техническа документация, система за управление на качеството и наблюдение след пускане на пазара.

Отговорът се дава за всяка система поотделно, а не веднъж за цялата компания. Една и съща фирма може да е внедрител на един инструмент, доставчик на втори и изцяло извън обхвата за трети.

Надзорната картина в България още се подрежда

Член 70 задължава държавите членки да определят национални компетентни органи — нотифициращ орган и орган за надзор на пазара — и единна точка за контакт. Член 57 изисква поне една регулаторна лаборатория („пясъчник“) на национално ниво до 2 август 2026 г. — срок, който вече е минал.

Тук е мястото да се каже нещо, което повечето обобщения премълчават: кой точно упражнява надзор върху коя система в България не е въпрос, на който една статия може да отговори надеждно, а картината се променя. Практическият извод обаче не зависи от отговора. Задълженията произтичат от регламента, който се прилага пряко; определянето на органа определя пред кого се отчитате, не дали дължите нещо.

За средния бизнес тук има и нещо, което си струва да се поиска. Член 62 задължава държавите членки да осигурят на МСП, включително стартиращи предприятия с регистрация или клон в Съюза, приоритетен достъп до регулаторните лаборатории, и да съобразят таксите за оценка на съответствието с размера на предприятието, като ги намалят пропорционално. Предвидени са и обучения, канали за консултации и улеснено участие в разработването на стандарти. Това не са пожелания — това са задължения на държавата към вас.

И една подробност, която върна на масата доста български компании: цифровият омнибус разшири мерките, запазени дотогава за МСП, така че да обхванат и дружествата със средна пазарна капитализация, и добави регулаторна лаборатория на равнище Съюз към националните. Праговете определят обхвата, а дружество, което е част от група, се преценява заедно със свързаните с него предприятия — но организация, която е отписала член 62 през 2025 г. заради размера си, има основание да го прочете отново.

Проверявайте състоянието сами, а не по вторични източници: единните точки за контакт и националните мерки се публикуват от Комисията, а не от коментатори. Ако договор или вътрешен план зависи от това кой е компетентният орган, това е основание да се потвърди към датата на подписване, а не да се приеме отпреди месеци.

Комисията за защита на личните данни не изчезва от картината

Най-често срещаната грешка след „това е за 2027 г.“ е допускането, че докато Актът за ИИ чака, нищо друго не се прилага. Прилага се. Общият регламент относно защитата на данните действа сега, независимо от графика по Акта за ИИ, а Комисията за защита на личните данни е надзорният орган за обработването на лични данни в България. Европейският комитет по защита на данните поддържа общата позиция на ниво Съюз.

Система за ИИ, която обработва лични данни без основание, не е защитена от срок през 2027 г. Автоматизираното вземане на решения със значителни последици за хората носи собствени изисквания още днес. Който отлага работата по данните, отлага не задължение по Акта за ИИ, а нещо, което вече дължи.

Откъде започва подготовката

Редът има значение, защото документацията, написана срещу погрешна класификация, се преработва изцяло, а не се коригира.

1. Регистър. Какво ИИ се използва реално, включително вграденото в закупен софтуер, което вътрешно никой не нарича ИИ. Тук се подценява най-много.
2. Роля за всяка система. Доставчик или внедрител, по член 25, с записана обосновка.
3. Предварителна класификация. Кои системи попадат вероятно в Приложение III или I. Преразглежда се, когато излязат насоките за класификация.
4. Дългите срокове. Произход на данните, проследимост и реален човешки надзор. Това са инженерни промени, не документи, и струват значително по-скъпо след внедряване.
5. Онова, което вече е незаконосъобразно. Забранените практики и нарушенията при личните данни са експозиция днес.

За темпото и капацитета — кой прави тази работа, когато няма отделен екип — виж внедряване на AI в средния бизнес. За това как изглежда готовността по данните, проверката на данните дава конкретния списък.

Какво този текст не може да направи

Не класифицира вашите системи. Класификацията зависи от фактите — от предназначението, от контекста на внедряване и от ролята — и в граничните случаи изисква правен съвет срещу окончателния публикуван текст. Не е и пълна картина на надзора: националните определяния и насоките за класификация продължават да се развиват, а хармонизираните стандарти, от които зависи прилагането, все още се разработват.

Онова, което може да се твърди със сигурност, е по-скромно и по-полезно: посоката на задълженията не се е променила, най-ранната и най-трудна работа не зависи от отложените дати, и организация, която днес не може да представи регистър на своите ИИ системи, има проблем, който никакво отлагане няма да реши.

Допълнителни източници: EUR-Lex: Регламент (ЕС) 2024/1689; Европейска комисия: Законодателен акт за изкуствения интелект; European Commission: AI Omnibus enters into force; AI Act Service Desk: implementation timeline; Комисия за защита на личните данни; European Data Protection Board.

Ако първата стъпка — регистърът и ролята за всяка система — е там, където се спъвате, оценката за готовност и управление на ИИ изгражда точно този изглед за пет дни.