Изкуствен интелект и GDPR: Какво трябва да знае всеки бизнес в България през 2026 г.

Изкуственият интелект навлиза в бизнеса все по-осезаемо — от чатботове и автоматизирани системи за обслужване на клиенти до алгоритми за кредитен скоринг и подбор на персонал. Но всяка AI система, която обработва лични данни, попада под разпоредбите на GDPR. С влизането в сила на AI Act и предложените промени в рамките на Цифровия омнибус, 2026 г. поставя нови задължения пред всяка компания, която използва AI.

В практиката си виждаме, че много български компании вече прилагат AI инструменти, без да познават съпътстващите правни рискове. В тази статия нашият екип обобщава ключовите правни изисквания, практическите стъпки за съответствие и конкретните рискове, свързани с AI и защитата на личните данни.

Какво е AI Act и защо е важен за бизнеса в България?

Директен отговор: AI Act (Регламент (ЕС) 2024/1689) е първата цялостна правна рамка за изкуствения интелект и категоризира системите в четири нива на риск. Забраните по чл. 5 и задължението за AI грамотност по чл. 4 се прилагат от 2 февруари 2025 г., а изискванията за високорисковите системи по Анекс III — от 2 август 2026 г.

Регламентът за изкуствения интелект (Регламент (ЕС) 2024/1689 за изкуствения интелект (AI Act)), известен като AI Act, е първата в света цялостна правна рамка за изкуствения интелект. Той въвежда рисково-базиран подход, като категоризира AI системите в четири нива:

• Забранени практики — социален скоринг, емоционално разпознаване на работното място, биометрична категоризация по чувствителни характеристики
• Високорискови системи — подбор на персонал, кредитна оценка, здравеопазване
• Системи с ограничен риск — чатботове, дълбоко подправени материали (deepfakes) (изискват прозрачност)
• Системи с минимален риск — повечето AI приложения (без специални изисквания)

От 2 февруари 2025 г. вече се прилагат забраните по чл. 5 и задължението за AI грамотност по чл. 4. Изискванията за високорисковите AI системи по Анекс III се прилагат от 2 август 2026 г., а тези по чл. 6, параграф 1 (вграден високорисков AI в регулирани продукти) — от 2 август 2027 г. Предложеният Цифров омнибус (ноември 2025 г.) обсъжда удължаване на тези срокове, но към момента на публикуване не е приет.

Как GDPR се прилага при AI модели?

Директен отговор: Становище 28/2024 на ЕКЗД от 17 декември 2024 г. очертава три направления: анонимността на модела се преценява за всеки конкретен случай; легитимният интерес по чл. 6, §1, б. „е" GDPR е допустимо основание, но иска документиран тристепенен тест; а незаконосъобразното обучение може да доведе до изтриване на тренировъчните данни или премахване на самия модел.

Становище 28/2024 на Европейския комитет по защита на данните (ЕКЗД), прието на 17 декември 2024 г., очертава прилагането на GDPR при AI модели в три основни направления.

Анонимност на AI модели

Не всеки AI модел, обучен с лични данни, автоматично „съдържа" лични данни. ЕКЗД приема, че анонимността трябва да се оценява за всеки конкретен случай. За да се счита за анонимен, вероятността от извличане на лични данни — директно или чрез запитвания — трябва да е незначителна. На практика компаниите трябва да документират техническите мерки, предприети за осигуряване на анонимност.

Легитимен интерес като правно основание

ЕКЗД потвърди, че легитимният интерес по чл. 6, §1, б. „е" от GDPR е допустимо правно основание за обработване на лични данни при разработка и внедряване на AI модели. Необходим е обаче тристепенен тест:

1. Идентифициране на легитимен интерес
2. Доказване, че обработването е необходимо за постигането му
3. Баланс между интереса на контрольора и правата на субектите на данни

Конкретни примери, дадени от ЕКЗД, включват разговорни агенти (чатботове) за обслужване на клиенти и AI за киберсигурност.

Последици при незаконосъобразно обработване

Ако лични данни са били обработени незаконосъобразно във фазата на обучение на AI модел, това може да засегне и законосъобразността на последващото внедряване. Надзорните органи могат да наредят:

• Глоби по GDPR
• Временни ограничения на обработването
• Изтриване на данните от тренировъчния набор
• Премахване на самия модел

Единственият начин за „изчистване" на ситуацията е доказана анонимизация на модела.

Какви промени в GDPR предлага Цифровият омнибус?

Директен отговор: Пакетът, публикуван от Европейската комисия на 19 ноември 2025 г., предлага „относителен" подход към понятието лични данни, изрична основа за обучение на AI модели чрез легитимен интерес и обработване на специални категории данни за откриване на дискриминация. Предложението е в процес на обсъждане, а ЕКЗД и ЕНОЗД се противопоставят на промяната в дефиницията.

На 19 ноември 2025 г. Европейската комисия публикува пакета Цифров омнибус — обхватно предложение за изменение на редица цифрови актове, включително GDPR. Предложението е в процес на обсъждане.

Ключовите предложения, засягащи AI и лични данни, включват:

• Нов „относителен" подход — данни, които конкретен контрольор не може да свърже с физическо лице, не се считат за лични за него
• Изрична правна основа за обработване на лични данни за обучение на AI модели чрез легитимен интерес
• Обработване на специални категории данни (здравни, етнически и др.) за целите на откриване и коригиране на дискриминация в AI системи

Как да направите GDPR одит на AI системите си?

Директен отговор: Минимумът е пет стъпки: опис на всички AI инструменти и преценка дали обработват лични данни; DPIA по чл. 35 GDPR при висок риск; определяне на правно основание по чл. 6 с документиран тристепенен тест при легитимен интерес; информиране по чл. 13 и 14; и договор за обработка по чл. 28 с доставчика.

Независимо от хода на законодателните промени, всяка компания, която използва AI, следва да приложи следния минимум от мерки:

1. Опис на AI системите

Изгответе пълен списък на всички AI инструменти, които вашият бизнес използва — включително чатботове, системи за автоматизация на маркетинга, CRM решения, базирани на AI и инструменти за анализ на данни. За всяка система определете дали обработва лични данни.

2. Оценка на въздействието (DPIA)

Съгласно чл. 35 от GDPR, когато обработването (включително чрез AI) може да доведе до висок риск за правата на физическите лица, е задължително извършване на DPIA. Това е особено важно при профилиране, автоматизирано вземане на решения или обработване на чувствителни данни.

3. Определяне на правно основание

За всяка AI система, обработваща лични данни, определете правното основание по чл. 6 от GDPR. Ако разчитате на легитимен интерес, документирайте тристепенния тест.

4. Прозрачност и информиране

Чл. 13 и 14 от GDPR изискват субектите на данни да бъдат информирани за обработването, включително за автоматизираното вземане на решения. AI Act допълнително изисква потребителите да бъдат уведомени, когато взаимодействат с AI система.

5. Договори с доставчици

Ако използвате AI като услуга (например облачен AI модел), е необходим договор за обработка на лични данни по чл. 28 от GDPR с доставчика. Уверете се, че договорът покрива и изискванията на AI Act за разпределение на отговорностите между доставчик (provider) и внедрител (deployer).

Какво да очакваме от КЗЛД по темата AI в България?

Директен отговор: Новият състав на КЗЛД, избран през май 2025 г., тепърва ще очертае приоритетите си и все още не е ясно дали Комисията ще бъде определена за национален компетентен орган по AI Act. Практиката ѝ обаче е активна: над 3,2 млн. евро наложени глоби от въвеждането на GDPR, включително 1 000 000 лв. (≈511 000 EUR) на Банка ДСК.

Новият състав на КЗЛД, избран през май 2025 г., тепърва ще очертае стратегическите си приоритети на националния надзорен орган. Според AI Act всяка държава-членка трябва да определи национален компетентен орган за надзор на AI системите. Все още не е ясно дали тази роля ще бъде поверена на КЗЛД или на друга институция.

Практиката на КЗЛД показва активна позиция по отношение на санкциите — българският надзорен орган е наложил глоби за над 3,2 млн. евро от въвеждането на GDPR, включително значимата санкция от 1 000 000 лв. (≈511 000 EUR) на Банка ДСК за нарушение на мерките за сигурност. С навлизането на AI следва да се очакват нови проверки и санкции.

Какви са глобите при нарушения с AI и лични данни?

Директен отговор: Санкционният режим е многопластов: по GDPR — до 20 млн. евро или 4% от глобалния оборот; по AI Act — до 35 млн. евро или 7% за забранени практики и до 15 млн. евро или 3% за други нарушения; по ЗЗЛД — до ≈5 112 EUR (истор. 10 000 лв.) за физически и до ≈51 129 EUR (истор. 100 000 лв.) за юридически лица при по-леки нарушения, както към 2026 г.

Санкционният режим при нарушения, свързани с AI и лични данни, е многопластов:

• GDPR: до 20 млн. евро или 4% от глобалния оборот
• AI Act (забранени практики): до 35 млн. евро или 7% от оборота
• AI Act (други нарушения): до 15 млн. евро или 3% от оборота
• ЗЗЛД (национален закон): до ≈5 112 EUR (истор. 10 000 лв.) за физически лица и до ≈51 129 EUR (истор. 100 000 лв.) за юридически лица за по-леки нарушения, както към 2026 г.

За тежки нарушения се прилагат директно санкциите по чл. 83 от GDPR.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали (whistleblowing). Заедно консултират над 90 компании за пълно GDPR съответствие.