Все повече малки и средни фирми в България пускат изкуствен интелект (AI) в реална работа: чатбот на сайта, подбор на кадри, оценка на клиенти. Проблемът е, че GDPR и изкуствен интелект рядко се обмислят заедно. Повечето от тези внедрявания нарушават Общия регламент за защита на данните (GDPR) още в първите седмици. Това има значение точно сега, защото надзорът се затяга от две посоки едновременно.
От една страна, Комисията за защита на личните данни (КЗЛД) вече следи изрично как фирмите използват AI при обработка на лични данни. От друга, отделни правила на европейския Закон за изкуствения интелект започват да се прилагат от 2 август 2026 г. За българския бизнес това означава, че старите грешки носят нов риск.
Добрата новина: грешките са предвидими и се повтарят. Ето седемте най-чести, подредени като списък за самопроверка.
Грешка 1: Липса на правно основание за обработката
Най-честата грешка е да пуснете AI инструмент, който обработва лични данни, без да сте определили на какво законово основание го правите. GDPR изисква всяка обработка да стъпва на конкретно основание по член 6 от регламента: съгласие, изпълнение на договор, законен интерес или друго. AI не отменя това изискване.
Европейският Закон за изкуствения интелект не създава ново правно основание за обработка на данни. Той изрично оставя GDPR да важи паралелно. Тоест ако подавате клиентски имейли към инструмент за анализ, трябва да можете да посочите защо имате право да го правите. Ако не можете, обработката е незаконна от първия ден.
Грешка 2: Третиране на AI като черна кутия
Много фирми внедряват готов инструмент и приемат изхода му на доверие, без да разбират как стига до решението. GDPR обаче дава на човека право на смислено обяснение, когато спрямо него се взема автоматизирано решение със значими последици. Това важи за отказ на кредит, отхвърляне на кандидат за работа, динамично ценообразуване.
Принципът „не знам как работи, просто го купих” не е защита пред КЗЛД. За да докажете, че инструментът не води до дискриминация, трябва да разбирате логиката му поне на ниво вход, критерии и изход. Това включва и проверка дали системата не възпроизвежда предубеждения, заложени в данните, върху които е обучена.
Грешка 3: Липса на човешки контрол върху решенията
Член 22 от GDPR ограничава решенията, взети единствено на база автоматизирана обработка, когато те пораждат правни последици за човека. Ако AI сам отхвърля кандидати или сам затваря клиентски заявки без човек по веригата, вероятно сте в нарушение.
Решението е просто по принцип и трудно на практика: нужен е реален човешки контрол, не формален. Служител, който само натиска „одобри” на всичко, което машината предлага, не е истински контрол. Надзорните органи гледат дали човекът има възможност и компетентност да промени решението.
Грешка 4: Подаване на чувствителни данни към чужди инструменти
Когато служител копира клиентски данни в безплатен инструмент като ChatGPT (чатбот за генериране на текст), тези данни напускат фирмата. Често отиват на сървъри извън Европейския съюз. Ако сред тях има здравни данни, етнически произход или друга чувствителна категория, нарушението е тежко. Член 9 от GDPR изисква отделно, по-строго основание за такива данни.
Това не е теоретичен риск, макар картината да е по-нюансирана, отколкото изглежда. През декември 2024 г. италианският надзорен орган Garante наложи глоба от 15 милиона евро на OpenAI заради липса на правно основание и прозрачност при обработката на лични данни. През март 2026 г. обаче Съдът в Рим отмени тази санкция. Поуката за бизнеса не е, че рискът е изчезнал. Дори водещ европейски орган може да види решението си оспорено в съда: правилата още се изясняват. Самото задължение да пазите чувствителните данни обаче остава.
Грешка 5: Пропусната оценка на въздействието
Когато една обработка вероятно поражда висок риск за правата на хората, GDPR изисква предварителна оценка на въздействието върху защитата на данните по член 35. Внедряването на AI за профилиране на клиенти или кандидати почти винаги попада тук. Повечето малки фирми пропускат тази стъпка изцяло.
Тук е важно да се избегне често разпространявано недоразумение. Задълженията за така наречените високорискови AI системи по европейския регламент първоначално бяха предвидени за 2 август 2026 г. С пакета за опростяване (Digital Omnibus) те бяха отложени до 2 декември 2027 г. Това не премахва задължението по GDPR. Оценката на въздействието по член 35 важи и днес, независимо от новите срокове по AI регламента.
Грешка 6: Непрозрачност към клиента
Ако клиент пише на вашия сайт и от другата страна отговаря AI, той има право да знае това. Изискването за прозрачност, кога човек общува с машина, се прилага в целия Европейски съюз от 2 август 2026 г. по член 50 от Закона за изкуствения интелект. За разлика от високорисковите задължения, този срок остава в сила и засяга директно инструментите за обслужване на клиенти.
На практика това означава ясно обозначение, че отсреща стои автоматична система, а не премълчаване. Същият принцип важи и за съдържание, генерирано от AI: то трябва да бъде маркирано така, че да се разпознава. Премълчаването вече не е сива зона, а конкретно задължение с краен срок.
Грешка 7: Никаква документация
Последната грешка е невидима, докато не дойде проверка: липса на всякакви следи. GDPR стъпва на принципа на отчетност, тоест трябва да можете да докажете, че спазвате правилата, а не просто да твърдите, че ги спазвате. Без документи нямате защита.
Че рискът е реален, личи от числата. През 2024 г. в КЗЛД са постъпили над 1080 жалби от физически лица с твърдения за нарушения при обработка на лични данни, спрямо 900 жалби през 2023 г. Фирма, която няма записано какви данни обработва, на какво основание и с какъв инструмент, влиза в такава проверка без аргументи.
Какво означават GDPR и изкуствен интелект за бизнеса
За компания, която вече използва или планира да внедри AI, тези седем точки са евтина застраховка. Преминаването през списъка отнема един следобед и струва далеч по-малко от една санкция или един спечелен от клиент спор. Конкретно по приоритет:
- Ако имате чатбот за клиенти, проверете грешки 1, 6 и 7. Обозначаването на автоматичната система и редовната документация са най-бързата защита.
- Ако ползвате AI за подбор на кадри или оценка на клиенти, фокусирайте се върху грешки 2, 3 и 5. Тук рискът от автоматизирани решения без човешки контрол е най-голям.
- Ако служители работят със свободни инструменти, грешка 4 е спешна. Тя се решава с ясна вътрешна политика какво може и какво не може да се копира навън.
Важно е и какво следва. Българският парламент вече разглежда първия законопроект за прилагане на Закона за изкуствения интелект, внесен на 8 октомври 2025 г. В него КЗЛД е посочена за надзорен орган по защитата на данните при AI системи. Тоест органът, който ще проверява, и правилата, по които ще проверява, се изясняват точно сега. Фирмите, които подредят документацията си отрано, ще посрещнат новия режим подготвени, а не изненадани.