Акт за ИИ и българските аутсорсинг и ИТ компании: какво да проверите

Екипът за поддръжка на клиенти в една софийска аутсорсинг компания използва от близо година ИИ инструмент, който автоматично категоризира и приоритизира входящите тикети от немски и нидерландски клиенти. Разработчиците в същата компания са свикнали с ИИ асистенти за писане на код, а екипът за продажби тества чатбот, който отговаря на първоначални запитвания на английски и немски. Никой не го е мислил като нещо повече от удобен софтуер — до момента, в който отделът по сигурност на голям немски клиент изпраща стандартен процедурен въпросник (due diligence questionnaire) и в него има раздел „AI Act compliance“, с директен въпрос дали доставчикът има документирана политика за системите с изкуствен интелект, които обработват данни на клиента.

Този сценарий не е изключение, а всекидневие за хиляди малки и средни предприятия в българския аутсорсинг и ИТ сектор — гръбнак на икономиката в София, Пловдив, Варна и Русе, обслужващ предимно западноевропейски клиенти. Именно защото този сектор работи основно като подизпълнител за компании от Германия, Франция, Нидерландия и Скандинавието, осведомеността за Регламент (ЕС) 2024/1689 (Акта за ИИ) в българските МСП често изостава осезаемо спрямо самите тези западни клиенти — докато те вече изграждат вътрешни процеси по темата, доставчикът в България нерядко научава за задълженията си едва когато клиентът попита директно.

Какво представлява Актът за ИИ и кога важи на практика

Актът за ИИ е регламент, а не директива — прилага се пряко в България, без да е необходим отделен национален закон, за да породи действие основните задължения. Това е различно от логиката на ОРЗД (Общия регламент за защита на данните), където българският Закон за защита на личните данни допълва европейския текст с национални детайли; при Акта за ИИ текстът на регламента важи както е приет на ниво ЕС.

За повечето аутсорсинг и ИТ компании в България ролята по регламента не е на „доставчик“ (provider), който разработва система с ИИ от нулата, а на „внедрител“ (deployer) — организация, която купува или ползва готов инструмент, разработен от друг: ИИ асистент за код, инструмент за категоризиране на тикети, чатбот, изграден върху модел на трета страна. Ролята на внедрител носи по-малко, но не нулеви задължения — най-вече използване на инструмента съгласно инструкциите на производителя, осигуряване на човешки надзор и, при определени категории системи, информиране на засегнатите физически лица.

• 2 февруари 2025 г. — влизат в сила забраните за практики с неприемлив риск (напр. социално оценяване, манипулация на уязвими лица).
• 2 август 2025 г. — влизат в сила задълженията за модели с общо предназначение и изтича срокът държавите членки да определят компетентните надзорни органи.
• 2 август 2026 г. — това беше първоначалният срок за по-голямата част от задълженията за системи с висок риск, но т.нар. пакет Digital Omnibus, влязъл в сила на 27 юли 2026 г., отложи този срок до 2 декември 2027 г.
• Август 2028 г. — новият, удължен срок за системи с ИИ, вградени в продукти, които вече подлежат на регулиране (напр. машини, медицински изделия) — по-рядко приложимо за типична ИТ/аутсорсинг дейност.

Кой следи за спазването в България

За ОРЗД компетентният орган в България е ясен: Комисията за защита на личните данни (КЗЛД). Член 70 от Акта за ИИ изисква всяка държава членка да определи до 2 август 2025 г. поне един нотифициращ орган и поне един орган за надзор на пазара по отношение на системите с ИИ. Към момента на писане на този текст не разполагаме с надежден публичен източник, потвърждаващ дали България окончателно е определила и оповестила тези органи — както и в други държави членки, е възможно съответното национално законодателство все още да е в процес на приемане. КЗЛД, заради съществуващата ѝ роля в защитата на данните, изглежда логичен кандидат за част от тази компетентност, но това не го представяме като потвърден факт — препоръчваме да проверите текущия статус директно на сайта на КЗЛД (cpdp.bg), преди да базирате решение на това предположение.

Колко струва грешката: глобите по член 99

• До 35 млн. евро или 7% от глобалния годишен оборот (по-високото от двете) — за забранени практики.
• До 15 млн. евро или 3% от глобалния оборот — за повечето други нарушения, включително от доставчици и внедрители на системи с висок риск.
• До 7,5 млн. евро или 1% от глобалния оборот — за предоставяне на неточна или подвеждаща информация на органите.

За типичното българско аутсорсинг или ИТ МСП реалният риск на практика не е максималната глоба — тя рядко застрашава малка компания в първите години от прилагането на регламента. Реалният риск е търговски: западни клиенти вече включват клаузи за съответствие с Акта за ИИ в договорите и security/procurement въпросниците си, а неспособността да отговорите ясно може да коства подновяването на договор или спечелването на нов клиент — много преди какъвто и да е орган да наложи първата глоба.

Защо осведомеността изостава точно в аутсорсинг и ИТ сектора

Българският аутсорсинг и ИТ сектор — концентриран най-вече около София и Пловдив — расте от години основно чрез обслужване на западноевропейски клиенти в customer support, software development, back-office процеси и BPO услуги. Тази позиция като подизпълнител създава специфичен пропуск: инструментите с ИИ (асистенти за код, автоматично приоритизиране на тикети, чатботи за първа линия поддръжка) обикновено се внедряват бързо, за да отговорят на оперативна нужда, без да преминават през формален преглед за съответствие с регламент, за който екипите често дори не подозират, че се отнася и до тях. В Германия, Нидерландия или Франция темата вече присъства активно в бизнес медиите и в изискванията на самите клиенти; в България дискусията остава предимно сред юристи и консултанти, а не сред операционните и ИТ мениджърите, които реално избират и внедряват инструментите.

Какво да проверите сега

• Направете списък на всички инструменти с ИИ, които компанията реално използва — включително вградени функции в CRM, helpdesk или средите за разработка.
• За всеки инструмент определете дали сте доставчик или само внедрител (deployer) — за повечето аутсорсинг компании отговорът е второто.
• Проверете дали някой инструмент попада в категориите с висок риск по Приложение III (напр. системи, свързани с подбор на персонал или оценка на работници, ако предлагате и такива услуги на клиенти).
• Прегледайте какви документи и информация за съответствие вече предоставя доставчикът на всеки инструмент.
• Отбележете къде използването на ИИ се пресича с обработка на лични данни на клиенти или служители на ваши клиенти — там Актът за ИИ и ОРЗД се допълват.
• Проверете дали настоящи или потенциални западни клиенти вече са добавили клаузи за съответствие с Акта за ИИ в договори или security въпросници.

Информацията по-горе е с общ характер и не представлява правна консултация — конкретното положение на всяка компания зависи от точните инструменти, доставчици и договори, с които работи. В платформата на Komplya разграничаваме ясно съдържанието, което е прегледано от специалисти, от материала, който все още е в чернова, за да знаете винаги на какво можете да разчитате с увереност.

Следваща стъпка

Най-простата отправна точка не е пълен одит за съответствие, а честно картографиране на инструментите с ИИ, които компанията вече използва — от асистента за писане на код до чатбота за първа линия поддръжка. Попълнете нашия кратък въпросник за приложимост, за да видите кои от използваните инструменти вероятно попадат в обхвата на Акта за ИИ и какво си струва да проверите първо — преди да го поиска следващият клиентски одит.