AI Act

Резюме

Регламент (ЕС) 2024/1689 — познат като AI Act — е първата всеобхватна регулаторна рамка за изкуствен интелект в света. Той не третира AI като абстрактна технология, а като инструмент с реални последици за хора: кой получава кредит, кой минава на интервю, чие лице се разпознава от камера, кое съдържание е истинско и кое — генерирано. Регламентът разпределя AI системите по нива на риск и обвързва всяко ниво с конкретни, проверими задължения — вместо да забранява иновацията, той иска тя да бъде проследима и отговорна.

За повечето организации в България AI Act не е бъдещ въпрос, а настоящ. Компании, които изобщо не разработват собствени модели, а просто използват готови AI инструменти — чатботове за обслужване на клиенти, автоматизирано подбиране на кандидати, инструменти за генериране на съдържание — вече попадат в обхвата на регламента в ролята на „deployer“ (внедрител). Задълженията за AI грамотност на персонала действат от началото на 2025 г., а надзорът по тях е активен от август 2026 г. Прозрачността при чатботове и генерирано съдържание е задължителна от август 2026 г. Строгите изисквания за високорискови AI системи влизат в сила през декември 2027 г. — срок, който изглежда далечен, но подготовката за него отнема месеци, не седмици.

Cyberquest придружава организации през целия процес: определяне на ролята спрямо регламента, инвентаризация и класификация на AI системите по риск, изграждане на политики за AI governance, обучение на екипите за AI грамотност и въвеждане на механизми за човешки надзор и прозрачност. Резултатът е организация, която знае точно къде стои спрямо AI Act и разполага с доказателства за това — не декларации, а документирани процеси.

Бизнес ползи

Съответствието с AI Act решава конкретни проблеми, които вече се появяват в преговори с клиенти, доставчици и регулатори — не хипотетични бъдещи рискове.

• Избягване на санкции с реален финансов ефект. AI Act предвижда глоби, съпоставими по мащаб с тези по GDPR — до няколко процента от годишния глобален оборот при нарушения, свързани със забранени практики. Ранната подготовка е рязко по-евтина от реакцията след установено нарушение.
• Достъп до клиенти с изисквания за AI due diligence. Корпоративни клиенти и партньори все по-често включват въпросници за AI governance при избор на доставчици — документирана готовност дава бърз и убедителен отговор.
• Яснота за ролята на организацията. Много компании не осъзнават, че купуването на AI инструмент от трета страна не ги освобождава от задължения — те влизат в ролята на deployer с конкретни отговорности. Определянето на ролята е първата стъпка към реалистичен план, вместо към паника при първия одит.
• Намален репутационен риск. AI системи, използвани без надзор — пристрастен алгоритъм за подбор на персонал, чатбот с подвеждащи отговори — водят до публични инциденти. Механизмите за човешки надзор и мониторинг ги улавят рано.
• По-плавен преход към бъдещи високорискови задължения. Организациите, които изградят инвентар и процеси сега, посрещат сроковете от декември 2027 г. с налича основа, вместо да започват от нулата под времеви натиск.
• Съвместимост със съществуващи системи за управление. За организации с внедрен ISO/IEC 42001 или ISO 27001 голяма част от управленската инфраструктура — политики, роли, вътрешен одит — може да бъде разширена, вместо построена наново.

Обхват

Обхватът на всеки проект зависи от ролята на организацията спрямо AI Act и от реалната ѝ AI експозиция. Типичното внедряване покрива следните области:

• Определяне на ролята на организацията по регламента — provider (разработва или пуска AI система на пазара), deployer (използва AI система под собствен контрол), importer или distributor (участва във веригата на предоставяне на AI системи на пазара на ЕС).
• Пълна инвентаризация на AI системите в организацията — вътрешно разработени, закупени от трети страни или вградени в друг софтуер — включително тези, за които екипите не се сещат при първи разговор.
• Класификация на риска на всяка система по логиката на регламента: забранени практики, високорискови системи по Annex III, системи с ограничени задължения за прозрачност, и системи с минимален риск.
• Програма за AI грамотност (AI Literacy, чл. 4) — обучение, съобразено с конкретните роли в организацията, а не генерален курс за всички.
• Политика за изкуствен интелект, одобрена от ръководството, обхващаща принципите, границите на употреба и процеса за одобрение на нови AI приложения.
• Механизми за човешки надзор — ясно дефинирани точки, в които човек може да прегледа, коригира или отмени автоматизирано решение с реално въздействие върху хора.
• Изисквания за прозрачност — уведомяване на потребителите, когато взаимодействат с AI система, и етикетиране на AI-генерирано съдържание, включително deepfake материали.
• Управление на доставчици на AI технологии, включително договорни клаузи за прозрачност, отчетност и разпределение на отговорността при нарушение.
• Документация и записи, необходими за вътрешен контрол, комуникация с партньори и — при нужда — с надзорни органи.

Обхватът съзнателно изключва формална conformity assessment процедура по регламента, CE маркировка и правни становища по конкретни казуси — за тях Cyberquest работи в координация с юридическите екипи на клиента. Когато при анализа се установи потенциално високорискова система или спорна правна квалификация, съответната част от работата се маркира ясно и се предлага отделен обхват с подходящ правен или технически експерт.

Методология

Подготовката за AI Act е поетапен процес — всяка фаза стъпва на резултатите от предходната, вместо да претоварва организацията наведнъж.

Фаза 1: Диагностика и определяне на ролята. Картографираме всички AI системи в организацията и определяме ролята ѝ по регламента — provider, deployer, importer или distributor — тъй като задълженията се различават съществено според ролята. Сравняваме текущото състояние с изискванията на AI Act и идентифицираме конкретните пропуски.

Фаза 2: Класификация на риска. Всяка идентифицирана AI система се класифицира според логиката на регламента — забранена практика, високорискова система, система с изисквания за прозрачност или система с минимален риск. Класификацията определя кои задължения реално се прилагат и с какъв приоритет.

Фаза 3: Изграждане на управленската рамка. Разработваме политика за изкуствен интелект, дефинираме роли и отговорности и изграждаме процесите за оценка на риска. На този етап се определят и критериите, по които даден AI проект получава одобрение за внедряване.

Фаза 4: AI грамотност и внедряване на контроли. Провеждаме обучение по AI Literacy, съобразено с конкретните роли — от служители, работещи пряко с AI инструменти, до ръководители, вземащи решения за нови внедрявания. Паралелно въвеждаме механизмите за човешки надзор, прозрачност и етикетиране на AI-генерирано съдържание.

Фаза 5: Вътрешен преглед и поддръжка. Проверяваме доколко изградените процеси се спазват на практика и коригираме несъответствията. AI Act се прилага поетапно във времето, а AI ландшафтът на организацията се променя — затова предлагаме периодичен преглед на инвентара, класификацията и обучението, вместо еднократна проверка.

Резултати

От добре проведена подготовка за AI Act организацията излиза с работеща практика, а не само с документ за одита. Конкретните резултати включват:

• Ясно определена роля на организацията по регламента — provider, deployer, importer или distributor — с разбиране какви задължения произтичат от нея.
• Пълна инвентаризация и класификация по риск на всички AI системи, използвани или разработвани от организацията.
• Документирана политика за изкуствен интелект и работещ процес за одобрение на нови AI приложения.
• Обучени служители с AI грамотност, съобразена с конкретната им роля спрямо AI системите.
• Вградени механизми за човешки надзор върху автоматизирани решения с реално въздействие върху хора.
• Процеси за прозрачност и етикетиране, покриващи чатботове и AI-генерирано съдържание.
• Готовност пред въпросници за AI due diligence от корпоративни клиенти и партньори.
• Реалистичен план за посрещане на бъдещите срокове за високорискови системи, вместо изненада при наближаването им.

Резултатът не е статичен документ, а система, проектирана да се обновява — регламентът се прилага на фази, а насоките на европейските и националните органи продължават да се уточняват.

Често задавани въпроси

Използваме само готови AI инструменти от трети страни — засяга ли ни AI Act?

Да. Организация, която купува или интегрира AI система — чатбот, инструмент за подбор на персонал, генератор на съдържание — попада в ролята на deployer и носи конкретни задължения: да използва системата по предназначение, да осигури човешки надзор там, където е нужен, и да информира засегнатите лица, когато регламентът го изисква. Не е нужно да разработвате модел, за да имате отговорности по AI Act.

Каква е разликата между AI Act и ISO 42001?

AI Act е законодателен акт на Европейския съюз с обвързващи правни задължения и санкции при неспазване. ISO 42001 е доброволен международен стандарт за система за управление на изкуствения интелект. Те се допълват — управленската структура по ISO 42001 създава естествена основа за изпълнение на регулаторните изисквания, но сертификатът по ISO 42001 сам по себе си не е доказателство за съответствие с AI Act. Организациите с изградена ISO 42001 система обикновено стигат по-бързо до готовност по AI Act, защото вече имат политики, роли и процеси за оценка на риска.

Какво прави една AI система „високорискова“ и кога реално трябва да сме готови?

Високорисковите категории са изчерпателно изброени в регламента — области като подбор на персонал, кредитен скоринг, биометрична идентификация и достъп до основни услуги попадат в обхвата при определени условия. Основните задължения за тези системи влизат в сила през декември 2027 г., а за AI, вграден в определени регулирани продукти — през август 2028 г. Сроковете изглеждат далечни, но изграждането на инвентар, класификация и процеси реално отнема месеци — затова подготовката с изпреварване е по-евтина от реакцията под натиск.

Трябва ли ни оценка на въздействието върху основните права (FRIA) за всяка AI система?

Не автоматично. FRIA се изисква при определени условия, зависещи от вида на deployer-а и конкретната система — не е универсално задължение за всяка компания, използваща AI в човешки ресурси или друга дейност. Отделно от това, обработката на лични данни чрез AI система може да изисква оценка на въздействието по GDPR (DPIA), която е самостоятелно изискване. Реалната приложимост се преценява за всеки конкретен случай, а не с общо твърдение — това е една от честите грешки при самостоятелна преценка на организациите.

Какви са санкциите при неспазване на AI Act?

Регламентът предвижда глоби, структурирани подобно на GDPR — с различни тавани според типа нарушение, достигащи до няколко процента от годишния глобален оборот на организацията при най-тежките случаи, свързани със забранени практики. По-леки нарушения — например неточна информация пред надзорен орган — носят по-ниски, но все пак съществени санкции. Точните прагове и практиката по прилагането им продължават да се изясняват на национално ниво във всяка държава членка.

Колко време отнема подготовката за съответствие с AI Act?

Зависи от броя на AI системите в обхват и зрелостта на съществуващите управленски практики. Организация с ограничен брой ясно дефинирани AI приложения и вече изградена ISO 27001 или ISO 42001 система може да стигне до документирана готовност за няколко месеца. По-сложни случаи — множество AI системи, разпределени екипи, липса на съществуваща управленска структура — изискват повече време за изграждане на инвентара и процесите. Точен график се определя след фазата на диагностика.

Следващата стъпка

AI Act не изисква организацията да спре да използва изкуствен интелект — изисква тя да знае какво използва, каква роля играе и какви задължения носи. Повечето компании, с които работим, откриват, че реалният обхват е по-малък и по-управляем, отколкото са очаквали, след като инвентарът е направен честно.

Cyberquest започва всеки проект с определяне на ролята на организацията и картографиране на реалната ѝ AI експозиция — без предварителни допускания за обема работа. Ще получите ясна картина на приложимите задължения, реалистичен план за изпълнението им и представа какво означава готовност по AI Act конкретно за вашия бизнес.

Свържете се с нас, за да обсъдим къде се намира вашата организация по пътя към отговорно управление на изкуствения интелект.