DPIA за ChatGPT, Microsoft Copilot и Google Gemini — внедряване в бизнеса 2026

През 2024 г. Garante (италианският надзорен орган) наложи на OpenAI глоба от 15 млн. евро за нарушения при ChatGPT — недостатъчно правно основание, липса на прозрачност, неуведомяване за нарушение на сигурността. Това е сигнал за всяка европейска компания: ползването на ChatGPT, Microsoft 365 Copilot или Google Gemini в бизнеса без оценка на въздействието по чл. 35 GDPR е сериозен риск. Това ръководство дава сравнителен анализ на тримата лидери, ключовите рискове и практически шаблон за DPIA — за CIO, длъжностни лица по защита на данните и юрисконсулти.

Защо DPIA за AI инструменти е критично важна сега?

Директен отговор: Над 70% от средните и големите европейски компании вече ползват ChatGPT Enterprise, Microsoft 365 Copilot или Google Gemini, а регулаторният натиск расте: глоба от 15 млн. евро за OpenAI (декември 2024 г.), ревизирани насоки на EDPS (октомври 2025 г.), нов хармонизиран DPIA шаблон на EDPB (април 2026 г.) и пълно прилагане на AI Act за високорискови системи от 2 август 2026 г.

През 2025–2026 г. корпоративните AI инструменти преминаха от пилоти към масово внедряване. По различни оценки на пазара, над 70% от средните и големи европейски компании ползват поне един от тримата лидери — ChatGPT Enterprise, Microsoft 365 Copilot или Google Gemini for Workspace. Регулаторите реагираха:

• Декември 2024 г. — Garante глобява OpenAI с 15 млн. евро
• Октомври 2025 г. — EDPS публикува ревизирани насоки за генеративен AI
• Април 2026 г. — EDPB приема нов хармонизиран DPIA шаблон
• 2 август 2026 г. — AI Act пълно прилагане за високорискови AI системи

Контекстът е ясен: регулаторният натиск само се увеличава, а компаниите, които внедряват AI инструменти без документирана оценка на въздействието, поемат непропорционален риск.

Кога DPIA е задължителна?

Директен отговор: DPIA е задължителна по чл. 35, ал. 1 GDPR, когато обработването е вероятно да доведе до висок риск за правата и свободите на физическите лица. Внедряването на AI инструменти почти винаги отключва критериите по Решение № 1/2019 на КЗЛД: иновативна технология, мащабно обработване, систематично оценяване на хора и международни трансфери.

По чл. 35, ал. 1 GDPR DPIA е задължителна, когато обработването „е вероятно да доведе до висок риск за правата и свободите на физическите лица". Внедряването на AI инструменти почти винаги попада в тази категория, защото отключва три едновременни условия от Решение № 1/2019 на КЗЛД:

По какво се различават ChatGPT, Copilot и Gemini? (таблица)

Директен отговор: И тримата доставчици — OpenAI, Microsoft и Google — са американски дружества, действат като обработващи, не ползват данните за обучение по подразбиране в корпоративните пакети и предлагат СДК в договора за обработване. Безплатните и потребителските версии не са подходящи за бизнес, защото обработват данните за обучение на моделите.

За корпоративна употреба не всички версии са еднакви. Безплатните или потребителските версии (ChatGPT Free, ChatGPT Plus, Gemini Free) НЕ са подходящи за бизнес — обработват данните за обучение на моделите. Корпоративните пакети имат фундаментално различни условия.

Кои са осемте ключови риска за оценка?

Директен отговор: Осемте риска са изтичане на корпоративна или клиентска информация в подканите, халюцинации за реални лица, предубеденост и дискриминация, автоматизирано вземане на решения по чл. 22 GDPR, международни трансфери, неуведомяване на субектите, липса на правно основание и сенчесто използване на AI. Всяка DPIA за AI инструмент трябва да оцени и осемте.

Всяка DPIA за AI инструмент трябва да оцени минимум следните осем риска:

1. Изтичане на корпоративна или клиентска информация в подканите към AI (prompts) — служител въвежда чувствителни данни в чат (заплати, медицински данни, договорни условия)
2. Халюцинации — генериране на неверни твърдения за реални лица — AI генерира фалшива информация за реални лица (с правен риск по чл. 5(1)(г) GDPR за точност)
3. Предубеденост (bias) и дискриминация — AI оценки на кандидати или служители възпроизвеждат систематична предубеденост
4. Автоматизирано вземане на решения по чл. 22 GDPR без подходящи гаранции
5. Международни трансфери — данни обработени в САЩ въпреки зона за данни в ЕС
6. Неуведомяване на субектите — клиенти и служители не знаят, че техни данни се обработват с AI
7. Липса на правно основание — особено когато AI се тренира на лични данни
8. сенчесто използване на AI (shadow AI) — служители ползват безплатни версии без корпоративен контрол

Какво реши Garante за ChatGPT и какво научихме?

Директен отговор: С окончателно решение № 498/2024 от 19 декември 2024 г. Garante наложи на OpenAI имуществена санкция от 15 млн. евро и 6-месечна информационна кампания — заради липса на правно основание за обучението на модела, непрозрачност, неуведомяване за нарушение на сигурността и липса на възрастова проверка. Решението не е обвързващ прецедент, но е важен ориентир.

Кратко резюме на казуса

На 30 март 2023 г. италианският надзорен орган Garante per la protezione dei dati personali издаде временна забрана върху обработването на лични данни на италиански потребители от ChatGPT — поради установени нарушения при обучението на модела и липса на възрастова проверка. След предприети от OpenAI коригиращи мерки временната забрана беше вдигната, но административното производство продължи.

На 19 декември 2024 г. Garante постанови окончателно решение № 498/2024, с което наложи на OpenAI имуществена санкция в размер на 15 млн. евро и допълнително задължение за провеждане на 6-месечна информационна кампания по радио, телевизия, печатни и електронни медии.

Решението не е формално обвързващ прецедент за останалите надзорни органи в ЕС — задължителни за всички надзорни органи са само решенията на Европейския комитет по защита на данните (EDPB) по чл. 65 GDPR. Решението на Garante обаче представлява важен ориентир за КЗЛД и за останалите надзорни органи, тъй като разкрива тълкувателния подход към генеративните AI инструменти и очертава типичните нарушения.

Установените от Garante нарушения са:

• Липса на правно основание за обработване на лични данни с цел обучение на ChatGPT
• Нарушаване на принципа на прозрачност — потребителите не са били адекватно информирани
• Неуведомяване на Garante за нарушение на сигурността от март 2023 г. (нарушение на чл. 33 GDPR)
• Липса на възрастова проверка — риск за непълнолетни потребители

Освен глобата, Garante задължи OpenAI да проведе 6-месечна информационна кампания — мярка, която показва, че надзорните органи виждат проблема като структурен, а не индивидуален.

Защо сенчестото използване на AI е най-големият риск?

Директен отговор: Сенчестото използване на AI — употреба от служителите извън одобрен корпоративен контрол — е определено от EDPS в насоките от октомври 2025 г. като „значителен и нарастващ" риск. Един служител, който копира кандидатски автобиографии в безплатна версия, поставя компанията едновременно в нарушение на чл. 5, 6, 13, 28, 32, 44 и 35 GDPR.

Насоките на Европейския надзорен орган по защита на данните (EDPS) — EDPS Orientations on the use of generative AI systems by EU institutions от октомври 2025 г. — изрично определят сенчестото използване на AI (т.нар. shadow AI — употреба от служителите извън одобрен корпоративен контрол) като „значителен и нарастващ" риск за организациите.

Типичен сценарий: служител в HR отдела копира CV-та в безплатната версия на ChatGPT, за да направи „анализ на кандидатите". Резултатите:

• Личните данни на кандидатите се изпращат на OpenAI без правно основание
• Данните могат да се ползват за обучение на модела (в безплатната версия)
• Няма договор за обработване по чл. 28 GDPR
• Няма документация за трансфери в САЩ
• Кандидатите не са информирани
• Компанията е в нарушение на чл. 5, 6, 13, 28, 32, 44, 35 GDPR — едновременно

Препоръчителен подход: приемане на писмена вътрешна политика за използване на AI инструменти, която:

• се приема със заповед на управителния орган и се връчва на всички служители срещу подпис;
• изрично забранява ползването на безплатни и потребителски версии (ChatGPT Free/Plus, Gemini Free) за служебни задачи и за обработване на лични данни на трети лица;
• посочва одобрени корпоративни алтернативи и реда за достъп до тях;
• определя длъжностното лице по защита на данните и CISO като отговорни за актуализацията;
• се преразглежда най-малко веднъж на 12 месеца;
• предвижда дисциплинарна отговорност при нарушение по реда на чл. 188 и сл. от Кодекса на труда.

Какво трябва да съдържа DPIA за AI инструмент?

Директен отговор: По новия EDPB шаблон от 14 април 2026 г. DPIA за AI инструмент съдържа шест части: технически лист, описание на обработването, необходимост и пропорционалност, оценка на риска (присъщ и от инциденти), мерки за смекчаване и заключения — включително дали е нужна предварителна консултация с КЗЛД по чл. 36 GDPR.

Базирано на новия EDPB DPIA шаблон от 14 април 2026 г. (виж нашия пълен анализ), DPIA за AI инструмент трябва да съдържа:

Какво да проверите преди внедряване? (чеклист)

Директен отговор: Преди стартиране на корпоративен AI инструмент трябва да са налице завършена DPIA по чл. 35 GDPR, договор за обработване по чл. 28, Стандартни договорни клаузи за трансферите в САЩ, обновен регистър на дейностите, вътрешна политика за AI, обучение на служителите и процедура за нарушения в 72-часовия срок по чл. 33 GDPR.

Преди стартиране на корпоративен AI инструмент в дейността на дружеството:

• Завършена DPIA по чл. 35 GDPR (по новия EDPB шаблон от 14.04.2026 г.) — отговорник: длъжностното лице по защита на данните; одобрение от управителния орган преди стартиране;
• Подписан договор за обработване (DPA) по чл. 28 GDPR с доставчика — отговорник: юрисконсулт; преглед на 12 месеца;
• Сключени Стандартни договорни клаузи (СДК) за трансфери в САЩ, със съответния модул (администратор–процесор);
• Оценка на въздействието върху основните права (FRIA) по чл. 27 от AI Act, ако внедряването попада в сферата на високорисковите системи;
• Регистър на дейностите по обработване (RoPA) — обновен с новия инструмент в срок до 14 дни от внедряването;
• Вътрешна политика за AI — приета със заповед на управителя, връчена срещу подпис на всеки служител; преглед на 12 месеца;
• Технически контрол срещу сенчесто използване — DLP правила, блокиране на безплатни AI услуги на корпоративните устройства; отговорник: CISO;
• Обучение за безопасно въвеждане на данни — задължително за всички служители с достъп до инструмента; периодичност: при наемане и веднъж годишно; протокол за участие;
• Процедура за нарушения на сигурността при AI инцидент — спазване на 72-часовия срок по чл. 33 GDPR; отговорник: длъжностното лице по защита на данните;
• Уведомяване на субектите — изрично включване на AI обработването в политиката за поверителност и в договорите със служителите/клиентите;
• Документиран процес за искания на субекти при AI обработване — журнал, шаблон за отговор, едномесечен срок;
• Годишен преглед на DPIA — задължителен поне веднъж на 12 месеца; извънреден при съществена промяна на инструмента или законодателството;
• Мониторинг на промените в DPA на доставчика — Microsoft, OpenAI и Google периодично обновяват условията; отговорник: юрисконсулт; периодичност: тримесечен преглед.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 компании в България — банки, телекоми, технологични фирми и държавни органи — за внедряване на AI инструменти в съответствие с GDPR и AI Act. Изготвят DPIA-та и преглеждат договори с Microsoft, OpenAI, Google и други корпоративни AI доставчици.