EU AI Act: Глоби до €35 млн. и задължения за бизнеса 2026

Актът за изкуствения интелект (EU AI Act) е първият в света всеобхватен закон, който регулира технологията на базата на риска, налагайки задължения не само на разработчиците, но и на компаниите, които внедряват ИИ за вътрешни нужди. Неспазването на регламента може да доведе до драконовски глоби до 35 млн. евро или 7% от глобалния оборот, като ключовите изисквания за "грамотност в областта на ИИ" влязоха в сила още през февруари 2025 г.

Какви са финансовите санкции при неспазване (Член 99)?

Регламентът (ЕС) 2024/1689 въвежда тристепенна система от административни глоби, която е една от най-строгите в европейското законодателство. Размерът зависи от тежестта на нарушението:

• До 35 000 000 EUR или 7% от годишния глобален оборот: Налага се при използване на забранени практики (Член 5), като социално оценяване, манипулация на подсъзнанието или биометрично категоризиране.
• До 15 000 000 EUR или 3% от годишния глобален оборот: Прилага се при нарушение на задълженията за високорискови системи (напр. липса на човешки надзор, некачествени данни) или нарушения на правилата за модели с общо предназначение (GPAI).
• До 7 500 000 EUR или 1.5% от годишния глобален оборот: Налага се за предоставяне на невярна или подвеждаща информация на органите.

Важно за МСП: За малки и средни предприятия се прилага по-ниската от двете стойности (сумата или процента), докато за големите корпорации важи по-високата стойност.

Как се класифицира рискът и кои практики са забранени?

Архитектурата на закона стъпва върху класификацията на риска. Преди да внедрите каквато и да е система, трябва да определите в коя категория попада тя:

• Неприемлив риск (Забранени практики - Член 5): Включва системи за социално оценяване, емоционално разпознаване на работното място/училище и нецеленасочено извличане на лицеви данни (scraping) от интернет.
• Високорискови системи (Член 6 и Приложение III): Системи в критични сектори като човешки ресурси (подбор на персонал), образование, кредитен скоринг, критична инфраструктура и правоприлагане.

Внедрител или Потребител: Какви са задълженията при "вътрешна употреба"?

Много компании погрешно смятат, че законът засяга само IT сектора. Реалността е, че Актът за ИИ въвежда термина "Внедрител" (Deployer), който обхваща всяка организация, използваща ИИ в професионална среда. Дори да не разработвате софтуера, а само да го ползвате (напр. SaaS решение за CV скрининг), вие носите тежка отговорност.

Ключови задължения на внедрителите (Член 26):

• Техническо съответствие: Длъжни сте да използвате системата стриктно според инструкциите за употреба, предоставени от доставчика.
• Човешки надзор (Human Oversight): Трябва да възложите на конкретни, компетентни служители задачата да наблюдават работата на ИИ. Те трябва да имат правомощията да спрат системата ("kill switch"), ако забележат аномалии или риск от дискриминация.
• Контрол на входящите данни: Ако имате контрол върху данните (input data), вие отговаряте те да са актуални и представителни.
• Информиране на служителите: Съгласно Член 26(9), преди пускане в експлоатация на високорискова система на работното място, работодателите трябва да информират работниците и техните представители.
• Съхранение на логове: Автоматично генерираните записи (logs) трябва да се пазят поне 6 месеца за целите на одита.

Спешното изискване: Грамотност в областта на ИИ (Член 4):

Още от февруари 2025 г., всички внедрители (включително ползващите ChatGPT, Gemini, Claude и др. за бизнес цели) трябва да осигурят, че персоналът им притежава достатъчна грамотност. Целта е да се избегне "автоматизираната предубеденост" (automation bias) — сляпото доверие в машинните решения.

Кога влизат в сила различните изисквания?

Графикът за съответствие е стъпаловидни и не търпи отлагане:

• 2 февруари 2025 г.: Влизат в сила забраните за неприемливи практики (Член 5) и изискванията за AI грамотност (Член 4).
• 2 август 2026 г.: Пълно прилагане на правилата за високорискови ИИ системи (Приложение III), задълженията за внедрители (Член 26) и правилата за GPAI модели.
• 2 август 2027 г.: Срок за системи, които са компоненти за безопасност на продукти (Приложение I - напр. медицинска апаратура).

Каква е стратегията за "Compliance by Design"?

За да се избегне блокиране на пазара и глоби, организациите трябва да изградят архитектура на съответствие, базирана на три стълба:

• Управление на риска (Член 9): Непрекъснат процес на идентифициране и анализ на рисковете през целия жизнен цикъл.
• Управление на качеството на данните (Член 10): Гаранции за липса на грешки и пристрастия (bias) в обучителните масиви.
• Прозрачност и документация: Поддържане на техническо досие и регистрация в базата данни на ЕС преди пускане на пазара.

Често задавани въпроси (FAQ)

Важи ли законът за  компании извън ЕС?

Да, Регламентът има екстратериториален обхват. Ако системата се използва в ЕС или резултатите ѝ засягат хора в ЕС, компанията подлежи на санкции, независимо от седалището си.

Каква е разликата между "доставчик" и "внедрител"?

Доставчикът разработва и пуска системата на пазара (или я брандира). Внедрителят е организацията, която я използва в професионалната си дейност. И двете страни имат специфични задължения.

Трябва ли да сертифицирам ИИ, който ползвам само вътрешно?

Ако системата е високорискова (напр. за HR подбор), да. Тя трябва да премине оценка на съответствието и да има CE маркировка, дори да не се продава на трети страни.

Кой налага глобите?

За повечето системи — националните компетентни органи. За модели с общо предназначение (GPAI) — новата Служба за ИИ (AI Office) към Европейската комисия.

‍

Бележка за прозрачност: Тази статия е създадена с асистенцията на изкуствен интелект и е валидирана от човешки експерт, съгласно стандартите за прозрачност на Акта за ИИ на ЕС.