EU AI Act: Глоби до €35 млн. и задължения за бизнеса 2026

Последна актуализация: 5.08.2026 г.

От 2 август 2026 г. Актът за изкуствения интелект (EU AI Act) е изцяло приложим за бизнеса — глобите достигат до 35 млн. евро или 7% от оборота, а задълженията за прозрачност (обозначаване на дийпфейкове и ИИ-генериран текст) влизат в сила без отлагане. Отложени бяха само задълженията за високорискови системи по Приложение III и I — съответно до 2 декември 2027 г. и 2 август 2028 г. Ако ползвате ИИ единствено за лични нужди или като помощник на работа, без да публикувате дийпфейкове или неотредактиран ИИ текст по обществени теми, законът не поражда лично задължение за Вас.

Актът за изкуствения интелект (EU AI Act) е първият в света всеобхватен закон, който регулира технологията на базата на риска, налагайки задължения не само на разработчиците, но и на компаниите, които внедряват ИИ за вътрешни нужди. Неспазването на регламента може да доведе до драконовски глоби до 35 млн. евро или 7% от глобалния оборот, като ключовите изисквания за "грамотност в областта на ИИ" влязоха в сила още през февруари 2025 г.

Какви са финансовите санкции при неспазване (Член 99)?

Регламентът (ЕС) 2024/1689 въвежда тристепенна система от административни глоби, която е една от най-строгите в европейското законодателство. Размерът зависи от тежестта на нарушението:

• До 35 000 000 EUR или 7% от годишния глобален оборот: Налага се при използване на забранени практики (Член 5), като социално оценяване, манипулация на подсъзнанието или биометрично категоризиране.
• До 15 000 000 EUR или 3% от годишния глобален оборот: Прилага се при нарушение на задълженията за високорискови системи (напр. липса на човешки надзор, некачествени данни) или нарушения на правилата за модели с общо предназначение (GPAI).
• До 7 500 000 EUR или 1.5% от годишния глобален оборот: Налага се за предоставяне на невярна или подвеждаща информация на органите.

Важно за МСП: За малки и средни предприятия се прилага по-ниската от двете стойности (сумата или процента), докато за големите корпорации важи по-високата стойност.

Как се класифицира рискът и кои практики са забранени?

Архитектурата на закона стъпва върху класификацията на риска. Преди да внедрите каквато и да е система, трябва да определите в коя категория попада тя:

• Неприемлив риск (Забранени практики - Член 5): Включва системи за социално оценяване, емоционално разпознаване на работното място/училище и нецеленасочено извличане на лицеви данни (scraping) от интернет.
• Високорискови системи (Член 6 и Приложение III): Системи в критични сектори като човешки ресурси (подбор на персонал), образование, кредитен скоринг, критична инфраструктура и правоприлагане.

Внедрител или Потребител: Какви са задълженията при "вътрешна употреба"?

Много компании погрешно смятат, че законът засяга само IT сектора. Реалността е, че Актът за ИИ въвежда термина "Внедрител" (Deployer), който обхваща всяка организация, използваща ИИ в професионална среда. Дори да не разработвате софтуера, а само да го ползвате (напр. SaaS решение за CV скрининг), вие носите тежка отговорност.

Ключови задължения на внедрителите (Член 26):

• Техническо съответствие: Длъжни сте да използвате системата стриктно според инструкциите за употреба, предоставени от доставчика.
• Човешки надзор (Human Oversight): Трябва да възложите на конкретни, компетентни служители задачата да наблюдават работата на ИИ. Те трябва да имат правомощията да спрат системата ("kill switch"), ако забележат аномалии или риск от дискриминация.
• Контрол на входящите данни: Ако имате контрол върху данните (input data), вие отговаряте те да са актуални и представителни.
• Информиране на служителите: Съгласно Член 26(9), преди пускане в експлоатация на високорискова система на работното място, работодателите трябва да информират работниците и техните представители.
• Съхранение на логове: Автоматично генерираните записи (logs) трябва да се пазят поне 6 месеца за целите на одита.

Спешното изискване за грамотност в областта на ИИ (Член 4):

Още от февруари 2025 г., всички внедрители (включително ползващите ChatGPT, Gemini, Claude и др. за бизнес цели) трябва да осигурят, че персоналът им притежава достатъчна грамотност. Целта е да се избегне "автоматизираната предубеденост" (automation bias) — сляпото доверие в машинните решения.

Ако ползвате ИИ за лични нужди или като помощник на работа — има ли за какво да се притеснявате?

Това е въпросът, който вълнува най-много хора след новините за "отлагане" на закона. Отговорът зависи изцяло от контекста на употреба.

Чисто лична употреба — Ако ползвате ChatGPT, Gemini, Claude или подобен инструмент единствено за лични нужди, Регламентът изрично не важи за Вас. Съгласно чл. 2, §10, той не се прилага към задълженията на физически лица, използващи ИИ системи в рамките на чисто лична, непрофесионална дейност.

Употреба като помощник на работа — Ако ИИ Ви помага да напишете имейл, обобщите документ или изследвате нещо като част от работата Ви, това по правило не поражда лично задължение за Вас като служител. Не се изисква да декларирате пред клиенти или колеги, че сте ползвали ИИ за вътрешна продуктивност. Задължението за осигуряване на достатъчна грамотност в областта на ИИ на персонала тежи върху работодателя като организация, не върху отделния служител.

Кога все пак трябва да внимавате — Задълженията за прозрачност по чл. 50 остават непроменени и влизат в сила на 2 август 2026 г. Те засягат конкретни, публично насочени случаи, не всяка вътрешна употреба:

• Дийпфейкове — генерирано/променено с ИИ изображение, аудио или видео, наподобяващо реален човек, място или събитие по начин, който би могъл правдоподобно да заблуди — трябва да се обозначи като изкуствено генерирано, освен ако е явно художествено, сатирично или фикционално произведение.
• Публикуване на текст по въпроси от обществен интерес — генериран с ИИ текст по тема от обществен интерес без човешки преглед трябва да се обозначи. Ако текстът мине през редакция и конкретно лице/дружество поеме редакционна отговорност — какъвто е случаят с настоящата статия — задължението отпада.
• Чатботове — системите, комуникиращи директно с хора, трябва изрично да съобщават, че отсреща е ИИ; тази отговорност е основно на доставчика.
• Нова забранена практика (от 2 декември 2026 г.) — генерирането с ИИ на неконсенсуално интимно съдържание или материали, свързани със сексуално насилие над деца, вече е изрично забранена практика по чл. 5 — с най-високата санкция в закона (до 35 млн. евро или 7% от оборота).

Комисията предлага и безплатен комплект от икони за доброволно обозначаване на генерирано/променено съдържание.

Кой носи отговорност при нарушение — Санкциите се налагат на предприятия/оператори, не на физически лица в лично качество. Отделен служител не рискува лична глоба заради ползване на ИИ на работа — отговорността е на работодателя.

Кога влизат в сила различните изисквания?

На 27 юли 2026 г. в Официален вестник на ЕС беше обнародван Регламент (ЕС) 2026/1744 (т.нар. "Digital Omnibus on AI"), който отложи част от най-тежките срокове по AI Act. Актуализираният график изглежда така:

• 2 февруари 2025 г.: Влизат в сила забраните за неприемливи практики (чл. 5) и изискванията за AI грамотност (чл. 4).
• 2 август 2025 г.: Влизат в сила правилата за модели с общо предназначение (GPAI, Глава V), режимът на управление и административните санкции.
• 2 август 2026 г.: Влизат в сила задълженията за прозрачност по чл. 50 (обозначаване на ИИ-генерирано съдържание, разкриване при комуникация с чатбот и др.), както и целият надзорен и правоприлагащ апарат на закона — Службата за ИИ към ЕК и националните органи получават пълни правомощия — плюс базата данни на ЕС за ИИ системи.
• 2 декември 2026 г.: Нова забранена практика — генериране на неконсенсуално интимно съдържание с ИИ, вкл. материали със сексуално насилие над деца; краен срок за воден знак на генеративно съдържание, пуснато на пазара преди 2 август 2026 г.
• 2 декември 2027 г. (отложено от 2 август 2026 г.): Влизат в сила правилата за самостоятелни високорискови ИИ системи по Приложение III (подбор на персонал, кредитен скоринг, образование и др.) и произтичащите от тях задължения на внедрителите по чл. 26.
• 2 август 2028 г. (отложено от 2 август 2027 г.): Влизат в сила правилата за високорискови системи, вградени в регулирани продукти (Приложение I — напр. медицинска апаратура).

Важно: отлагането не спира закона — то засяга само конкретните високорискови задължения по Приложение III и I. От 2 август 2026 г. надзорните органи вече имат пълни правомощия за контрол, а задълженията за прозрачност остават непроменени.

Каква е стратегията за "Compliance by Design"?

За да се избегне блокиране на пазара и глоби, организациите трябва да изградят архитектура на съответствие, базирана на три стълба:

• Управление на риска (Член 9): Непрекъснат процес на идентифициране и анализ на рисковете през целия жизнен цикъл.
• Управление на качеството на данните (Член 10): Гаранции за липса на грешки и пристрастия (bias) в обучителните масиви.
• Прозрачност и документация: Поддържане на техническо досие и регистрация в базата данни на ЕС преди пускане на пазара.

Често задавани въпроси (FAQ)

Важи ли законът за компании извън ЕС?

Да, Регламентът има екстратериториален обхват. Ако системата се използва в ЕС или резултатите ѝ засягат хора в ЕС, компанията подлежи на санкции, независимо от седалището си.

Каква е разликата между "доставчик" и "внедрител"?

Доставчикът разработва и пуска системата на пазара (или я брандира). Внедрителят е организацията, която я използва в професионалната си дейност. И двете страни имат специфични задължения.

Трябва ли да сертифицирам ИИ, който ползвам само вътрешно?

Ако системата е високорискова (напр. за HR подбор), да. Тя трябва да премине оценка на съответствието и да има CE маркировка, дори да не се продава на трети страни.

Кой налага глобите?

За повечето системи — националните компетентни органи. За модели с общо предназначение (GPAI) — новата Служба за ИИ (AI Office) към Европейската комисия.

Отложи ли се AI Act-ът изцяло?

Не. Отложени са единствено конкретните задължения за високорискови ИИ системи по Приложение III (до 2 декември 2027 г.) и Приложение I (до 2 август 2028 г.). Забраните по чл. 5, правилата за GPAI модели и задълженията за прозрачност по чл. 50 остават непроменени и вече действат или влизат в сила на 2 август 2026 г. по първоначалния график.

Ако управлявате бизнес и искате да сте сигурни, че процесите ви по съответствие са защитени, нашият екип по корпоративно право може да Ви съдейства.

‍

Бележка за прозрачност: Тази статия е създадена с асистенцията на изкуствен интелект и е валидирана от човешки експерт, съгласно стандартите за прозрачност на Акта за ИИ на ЕС.