AI Act е първата всеобхватна законодателна рамка за изкуствения интелект в света, приета от Европейския съюз (ЕС) с цел да гарантира, че технологиите с ИИ са прозрачни, безопасни, недискриминиращи и защитават основните човешки права.
От 2 август 2026 година ЕС навлезе в един от най-важните етапи, след като започнаха да се прилагат нови изисквания, свързани най-вече с прозрачността при използването на определени AI системи и AI-генерирано съдържание. От тази дата започва и правоприлагането на приложимите части от регламента от националните компетентни органи и, в определени случаи, от Европейската комисия.
Тази промяна е важна за бизнеса и може да доведе до неприятни последствия, ако компаниите, използващи системи с ИИ, не се запознаят подробно с новите правила.
Възможностите, които предоставят системите с AI днес, могат да повишат производителността, да автоматизират много процеси и да осигурят конкурентно предимство на компаниите, но начинът, по който те се разработват, внедряват и използват, трябва да отговаря на регулаторните изисквания.
Важно е да се уточни, че не всички системи с изкуствен интелект подлежат на еднакви регулаторни изисквания. AI Act следва подход, основан на риска, като класифицира системите с ИИ в четири различни категории риск. За повечето високорискови AI системи строгите изисквания все още не се прилагат масово и част от сроковете са отложени за 2027 и 2028 г.
Това далеч не означава, че компаниите, използващи такива системи, могат да отложат подготовката си и затова първата стъпка за всеки бизнес е да определи в коя категория попада използваното или разработваното от него AI решение и какви задължения произтичат от това.
Новите правила не са само за технологичните компании
Голяма част от компаниите смятат, че AI Act засяга основно дейността на разработчиците на AI модели, но всъщност обхватът на новия закон е много по-голям.
Задълженията, произтичащи от новия регламент, се отнасят както за доставчиците на AI системи, така и за организациите, които ги внедряват и използват в своята дейност. Това включва работодатели, банки, университети, производствени компании, медии, маркетингови агенции, търговци, доставчици на услуги и редица други организации.
Това, че дадена компания никога не е разработвала собствен AI модел, не означава, че не попада в обхвата на регулацията. Ако използва изкуствен интелект в бизнес процес, компанията трябва да прецени дали употребата му попада в обхвата на конкретни задължения по AI Act. Затова е важно всяка организация да знае къде, за какво и с каква цел използва AI.
Прозрачността вече не е въпрос на избор
Една от най-важните промени през 2026 г. са правилата по Article 50 на AI Act. Те вече се прилагат и въвеждат конкретни изисквания за прозрачност при определени AI системи и AI-генерирано съдържание.
При чатботове и други интерактивни AI системи е задължително потребителите да бъдат информирани, че взаимодействат с изкуствен интелект, освен когато това не е очевидно от контекста.
Доставчиците на генеративни AI системи трябва да осигурят машинночетимо маркиране, което позволява генерираното или манипулираното съдържание да бъде разпознавано като създадено с AI, като регламентът предвижда определени изключения и преходен срок до 2 декември 2026 г. за някои системи, пуснати на пазара преди 2 август. Особено внимание се обръща на deepfake съдържанието.
Когато AI-генерирано или манипулирано изображение, аудио или видео наподобява реални лица, обекти, места, организации или събития и може погрешно да бъде възприето като автентично, то попада в режима за deepfake съдържание и изкуственият му произход трябва да бъде ясно обозначен.
Правилата засягат и определено AI-генерирано текстово съдържание по въпроси от обществен интерес, макар регламентът да предвижда и изключения. Изключение има, когато текстът е преминал през съдържателен човешки преглед или редакционен контрол и физическо или юридическо лице носи редакционната отговорност за публикацията.
За компаниите, които използват генеративен AI в маркетинга, комуникациите, рекламата и обслужването на клиенти, въвеждането на ясна вътрешна политика за създаването и обозначаването на подобно съдържание се превръща във все по-важна добра практика.
Какво се предвижда за високорисковите AI системи?
AI Act използва подход, базиран на риска. На практика това означава, че колкото по-сериозно може да бъде въздействието на една AI система върху хората, толкова по-строги са изискванията към нея.
Сред високорисковите приложения попадат определени AI системи, използвани в критична инфраструктура, образование, подбор и управление на служители, кредитно оценяване и достъп до основни услуги.
Такива са системите, които автоматично анализират CV-та и участват в решението кои кандидати да бъдат допуснати до интервю. При подобни приложения регламентът предвижда по-строги изисквания, свързани с управлението на риска, качеството на данните, техническата документация, проследимостта, човешкия надзор и киберсигурността.
Правилата за такъв тип системи не започнаха да действат масово на 2 август 2026 г. След последните промени срокът за високорисковите системи в области като образование, заетост и критична инфраструктура е 2 декември 2027 г., а за определени AI системи, интегрирани в регулирани продукти – 2 август 2028 г.
Какво не бива да отлагат компаниите?
За да са сигурни, че работят в съответствие с изискванията на AI Act, е добре компаниите да направят вътрешен списък на всички AI инструменти, които използват.
Много организации вероятно ще се изненадат колко AI използват в действителност – в CRM системи, HR платформи, маркетингови инструменти, анализ на данни, обслужване на клиенти и автоматизация.
След това трябва да се направи оценка на това какви решения зависят от тази система, защото AI инструмент за редактиране на текст носи съвсем различен риск от система, която оценява кандидат за работа или кредитоспособността на клиент.
Добре е да се направи преглед на отношенията на компанията с доставчиците на AI решения – каква документация предоставят, как обработват данните, какви механизми за контрол има и кой носи конкретните отговорности.
AI грамотността вече е част от задълженията
Друг важен момент е обучението на служителите. Понятието AI Literacy (грамотност за изкуствен интелект) обхваща знанията, уменията и разбирането, необходими за информирано използване на AI системите и за осъзнаване на техните възможности, рискове и потенциални вреди.
Задължението за насърчаване на AI грамотността на служителите се прилага още от 2 февруари 2025 г., а от август 2026 г. националните органи вече разполагат и с правомощия за надзор и правоприлагане.
Въпросът вече не е само дали служителите могат да използват ChatGPT, Copilot или друг AI инструмент, а дали знаят кога и как трябва да го използват отговорно.
AI Act не отменя GDPR – двата закона действат паралелно
Важно е да се знае, че новият регламент не заменя GDPR, което означава, че ако една AI система обработва лични данни, компанията може едновременно да има задължения и по двата режима.
Това е особено важно при HR системи, клиентски профили, биометрични технологии, кредитни оценки и други приложения, които работят с персонална или чувствителна информация.
Затова управлението на изкуствения интелект (AI governance) няма как да остане задача само на IT отдела. Постепенно то се превръща в общ въпрос за ръководството, правните екипи, човешките ресурси, сигурността и управлението на риска.
Предвидените глоби показват мащаба на отговорността
Санкциите, предвидени за нарушения на AI Act, са значителни. При най-тежките нарушения, свързани със забранените AI практики, санкциите могат да достигнат 35 млн. евро или, когато нарушителят е предприятие, 7% от общия му световен годишен оборот за предходната финансова година, като за предприятията извън категорията на МСП се прилага по-високият от двата максимални прага.
При нарушения на определени други задължения по регламента, включително правилата за прозрачност по Article 50, санкциите могат да достигнат 15 млн. евро или 3% от общия световен годишен оборот за предходната финансова година, като за предприятията извън категорията на МСП се прилага по-високият максимален праг. За МСП, включително стартъпи, регламентът предвижда по-ниския от съответните два максимални прага.
Конкретният размер на санкцията зависи от характера, тежестта и продължителността на нарушението, както и от други обстоятелства, предвидени в регламента.
Въпреки многото нови изисквания и сериозните последствия, които могат да последват при тяхното неспазване, не бива AI Act да се възприема като поредния регулаторен товар за бизнеса.
В основата му стои отговорността на бизнеса пред клиентите, потребителите и обществото. Изкуственият интелект навлиза все по-сериозно в решения, които до скоро са били вземани изцяло от хора – кого да назначим, на кого да предоставим кредит, какво съдържание да покажем и как да комуникираме с клиентите.
Тази роля ще нараства все повече и е важно да се отговори на въпроса до каква степен хората имат доверие в системите зад тези решения.
Бизнесите, които могат ясно да покажат за какво използват AI, как го контролират и къде остава човешката отговорност, вероятно ще имат предимство пред тези, които го разглеждат просто като инструмент за автоматизация.
Ако първата фаза в работата с AI беше експериментът, втората – внедряването, то вече сме на следваща фаза, в която трябва да гарантираме, че бизнесът може да използва изкуствения интелект в мащаб без да губи контрол над него.
Източници: European Commission – AI Act; AI Act Service Desk; European Commission – Guidelines on transparency obligations under Article 50
