DPIA за ChatGPT, Microsoft Copilot и Google Gemini — внедряване в бизнеса 2026

През 2024 г. Garante (италианският надзорен орган) наложи на OpenAI глоба от 15 млн. евро за нарушения при ChatGPT — недостатъчно правно основание, липса на прозрачност, неуведомяване за нарушение на сигурността. Това е сигнал за всяка европейска компания: ползването на ChatGPT, Microsoft 365 Copilot или Google Gemini в бизнеса без оценка на въздействието по чл. 35 GDPR е сериозен риск. Това ръководство дава сравнителен анализ на тримата лидери, ключовите рискове и практически шаблон за DPIA — за CIO, длъжностни лица по защита на данните и юрисконсулти.

Защо DPIA за AI инструменти е критично важна сега

През 2025–2026 г. корпоративните AI инструменти преминаха от пилоти към масово внедряване. По различни оценки на пазара, над 70% от средните и големи европейски компании ползват поне един от тримата лидери — ChatGPT Enterprise, Microsoft 365 Copilot или Google Gemini for Workspace. Регулаторите реагираха:

• Декември 2024 г. — Garante глобява OpenAI с 15 млн. евро
• Октомври 2025 г. — EDPS публикува ревизирани насоки за генеративен AI
• Април 2026 г. — EDPB приема нов хармонизиран DPIA шаблон
• 2 август 2026 г. — AI Act пълно прилагане за високорискови AI системи

Контекстът е ясен: регулаторният натиск само се увеличава, а компаниите, които внедряват AI инструменти без документирана оценка на въздействието, поемат непропорционален риск.

Кога DPIA е задължителна

По чл. 35, ал. 1 GDPR DPIA е задължителна, когато обработването „е вероятно да доведе до висок риск за правата и свободите на физическите лица". Внедряването на AI инструменти почти винаги попада в тази категория, защото отключва три едновременни условия от Решение № 1/2019 на КЗЛД:

Сравнение: ChatGPT vs Copilot vs Gemini

За корпоративна употреба не всички версии са еднакви. Безплатните или потребителските версии (ChatGPT Free, ChatGPT Plus, Gemini Free) НЕ са подходящи за бизнес — обработват данните за обучение на моделите. Корпоративните пакети имат фундаментално различни условия.

Осем ключови риска за оценка

Всяка DPIA за AI инструмент трябва да оцени минимум следните осем риска:

1. Изтичане на корпоративна или клиентска информация в подканите към AI (prompts) — служител въвежда чувствителни данни в чат (заплати, медицински данни, договорни условия)
2. Халюцинации — генериране на неверни твърдения за реални лица — AI генерира фалшива информация за реални лица (с правен риск по чл. 5(1)(г) GDPR за точност)
3. Предубеденост (bias) и дискриминация — AI оценки на кандидати или служители възпроизвеждат систематична предубеденост
4. Автоматизирано вземане на решения по чл. 22 GDPR без подходящи гаранции
5. Международни трансфери — данни обработени в САЩ въпреки зона за данни в ЕС
6. Неуведомяване на субектите — клиенти и служители не знаят, че техни данни се обработват с AI
7. Липса на правно основание — особено когато AI се тренира на лични данни
8. сенчесто използване на AI (shadow AI) — служители ползват безплатни версии без корпоративен контрол

Garante решение и какво научихме

Кратко резюме на казуса

На 30 март 2023 г. италианският надзорен орган Garante per la protezione dei dati personali издаде временна забрана върху обработването на лични данни на италиански потребители от ChatGPT — поради установени нарушения при обучението на модела и липса на възрастова проверка. След предприети от OpenAI коригиращи мерки временната забрана беше вдигната, но административното производство продължи.

На 19 декември 2024 г. Garante постанови окончателно решение № 498/2024, с което наложи на OpenAI имуществена санкция в размер на 15 млн. евро и допълнително задължение за провеждане на 6-месечна информационна кампания по радио, телевизия, печатни и електронни медии.

Решението не е формално обвързващ прецедент за останалите надзорни органи в ЕС — задължителни за всички надзорни органи са само решенията на Европейския комитет по защита на данните (EDPB) по чл. 65 GDPR. Решението на Garante обаче представлява важен ориентир за КЗЛД и за останалите надзорни органи, тъй като разкрива тълкувателния подход към генеративните AI инструменти и очертава типичните нарушения.

Установените от Garante нарушения са:

• Липса на правно основание за обработване на лични данни с цел обучение на ChatGPT
• Нарушаване на принципа на прозрачност — потребителите не са били адекватно информирани
• Неуведомяване на Garante за нарушение на сигурността от март 2023 г. (нарушение на чл. 33 GDPR)
• Липса на възрастова проверка — риск за непълнолетни потребители

Освен глобата, Garante задължи OpenAI да проведе 6-месечна информационна кампания — мярка, която показва, че надзорните органи виждат проблема като структурен, а не индивидуален.

Сенчесто използване на AI — най-големият скрит риск

Насоките на Европейския надзорен орган по защита на данните (EDPS) — EDPS Orientations on the use of generative AI systems by EU institutions от октомври 2025 г. — изрично определят сенчестото използване на AI (т.нар. shadow AI — употреба от служителите извън одобрен корпоративен контрол) като „значителен и нарастващ" риск за организациите.

Типичен сценарий: служител в HR отдела копира CV-та в безплатната версия на ChatGPT, за да направи „анализ на кандидатите". Резултатите:

• Личните данни на кандидатите се изпращат на OpenAI без правно основание
• Данните могат да се ползват за обучение на модела (в безплатната версия)
• Няма договор за обработване по чл. 28 GDPR
• Няма документация за трансфери в САЩ
• Кандидатите не са информирани
• Компанията е в нарушение на чл. 5, 6, 13, 28, 32, 44, 35 GDPR — едновременно

Препоръчителен подход: приемане на писмена вътрешна политика за използване на AI инструменти, която:

• се приема със заповед на управителния орган и се връчва на всички служители срещу подпис;
• изрично забранява ползването на безплатни и потребителски версии (ChatGPT Free/Plus, Gemini Free) за служебни задачи и за обработване на лични данни на трети лица;
• посочва одобрени корпоративни алтернативи и реда за достъп до тях;
• определя длъжностното лице по защита на данните и CISO като отговорни за актуализацията;
• се преразглежда най-малко веднъж на 12 месеца;
• предвижда дисциплинарна отговорност при нарушение по реда на чл. 188 и сл. от Кодекса на труда.

Структура на DPIA за AI инструмент

Базирано на новия EDPB DPIA шаблон от 14 април 2026 г. (виж нашия пълен анализ), DPIA за AI инструмент трябва да съдържа:

Чеклист за внедряване

Преди стартиране на корпоративен AI инструмент в дейността на дружеството:

• Завършена DPIA по чл. 35 GDPR (по новия EDPB шаблон от 14.04.2026 г.) — отговорник: длъжностното лице по защита на данните; одобрение от управителния орган преди стартиране;
• Подписан договор за обработване (DPA) по чл. 28 GDPR с доставчика — отговорник: юрисконсулт; преглед на 12 месеца;
• Сключени Стандартни договорни клаузи (СДК) за трансфери в САЩ, със съответния модул (администратор–процесор);
• Оценка на въздействието върху основните права (FRIA) по чл. 27 от AI Act, ако внедряването попада в сферата на високорисковите системи;
• Регистър на дейностите по обработване (RoPA) — обновен с новия инструмент в срок до 14 дни от внедряването;
• Вътрешна политика за AI — приета със заповед на управителя, връчена срещу подпис на всеки служител; преглед на 12 месеца;
• Технически контрол срещу сенчесто използване — DLP правила, блокиране на безплатни AI услуги на корпоративните устройства; отговорник: CISO;
• Обучение за безопасно въвеждане на данни — задължително за всички служители с достъп до инструмента; периодичност: при наемане и веднъж годишно; протокол за участие;
• Процедура за нарушения на сигурността при AI инцидент — спазване на 72-часовия срок по чл. 33 GDPR; отговорник: длъжностното лице по защита на данните;
• Уведомяване на субектите — изрично включване на AI обработването в политиката за поверителност и в договорите със служителите/клиентите;
• Документиран процес за искания на субекти при AI обработване — журнал, шаблон за отговор, едномесечен срок;
• Годишен преглед на DPIA — задължителен поне веднъж на 12 месеца; извънреден при съществена промяна на инструмента или законодателството;
• Мониторинг на промените в DPA на доставчика — Microsoft, OpenAI и Google периодично обновяват условията; отговорник: юрисконсулт; периодичност: тримесечен преглед.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 компании в България — банки, телекоми, технологични фирми и държавни органи — за внедряване на AI инструменти в съответствие с GDPR и AI Act. Изготвят DPIA-та и преглеждат договори с Microsoft, OpenAI, Google и други корпоративни AI доставчици.