Кой контролира Акта за ИИ в България? Член 70 и ролята на КЗЛД

Представете си следната ситуация. Инструментът за автоматична преселекция на кандидати, който отделът Ви по човешки ресурси инсталира миналата година заедно с новата HR система, отхвърля кандидат, а той подава жалба. Или чатботът за обслужване на клиенти на българска аутсорсинг компания започва да дава грешни или подвеждащи отговори, и голям чуждестранен клиент ескалира случая официално. Първият Ви въпрос вероятно е кого да уведомите. Органа по защита на личните данни, който вече познавате от ОРЗД? Някакъв нов орган, за който досега не сте чували? Или секторен регулатор, който вече Ви надзирава по други причини? Честният отговор е, че към момента на писане на тази статия България, подобно на повечето държави членки, все още не е напълно финализирала кой орган или органи ще носят пълна компетентност по Акта за изкуствен интелект — Регламент (ЕС) 2024/1689. Именно затова си струва да знаете какво вече е сигурно, какво все още предстои, и към кого можете да се обърнете, ако Ви трябва отговор още сега.

Какво изисква член 70 от Акта за ИИ от всяка държава членка

Член 70 от Акта за ИИ задължава всяка държава членка да определи поне един нотифициращ орган, който оценява и надзирава органите за оценяване на съответствието за определени системи с ИИ, и поне един орган за надзор на пазара, който проверява текущо дали системите с ИИ, реално пуснати на пазара, отговарят на изискванията на регламента. Органът за надзор на пазара е този, с когото обикновена компания най-вероятно ще влезе в контакт на практика — той може да поиска документация, да разследва жалба, да наложи коригиращи мерки или, при по-сериозни нарушения, да наложи глоба съгласно член 99. Крайният срок за определянето на тези органи беше 2 август 2025 г. Регламентът не налага единен модел: всяка държава членка може да възложи ролята на нов орган, да я разпредели между съществуващи секторни регулатори, или да съчетае двата подхода. България, както и повечето държави от ЕС, не спази този срок.

Къде стои България днес по отношение на определянето на органи

Националното законодателство за прилагане, което ще определи точно кой поема ролята на орган за надзор на пазара и на нотифициращ орган съгласно член 70, все още не е окончателно завършено. В публичното пространство Комисията за защита на личните данни (КЗЛД, международно позната и като CPDP) се очертава като вероятен кандидат, предвид съществуващата ѝ надзорна роля в областта на защитата на данните и факта, че по-голямата част от системите с ИИ, които използват българските МСП, обработват лични данни. Това обаче не бива да се приема за окончателно или потвърдено — може да се промени до приключването на законодателния процес. Ако Ви е нужен сигурен отговор за конкретна дата или решение, проверете директно на сайта на КЗЛД актуалното състояние, вместо да разчитате единствено на тази статия.

Сигурната роля на КЗЛД: компетентността по ОРЗД не се променя

Каквото и да е крайното разпределение на компетенциите съгласно член 70, едно нещо вече е сигурно. КЗЛД остава независимият надзорен орган на България по ОРЗД, и тази роля не се засяга от Акта за ИИ. Тъй като системите с ИИ, които реално използват българските МСП — инструменти за преселекция на кандидати, чатботове за обслужване на клиенти, модели за кредитен скоринг или за оценка на клиенти — почти винаги обработват лични данни, КЗЛД вече е органът, с когото компания е много вероятно да влезе в контакт първи, независимо как в крайна сметка ще се оформи структурата по член 70. За много МСП КЗЛД няма да е единствената точка за контакт, но почти винаги ще е една от тях.

Кои секторни регулатори могат да се включат

Ако работите в регулиран сектор, е вероятно, наред с КЗЛД, да се включи и вече познат Ви надзорен орган — въз основа на съществуваща секторна компетентност, а не на нов „орган по ИИ“. Изброените по-долу случаи са примерни, а не потвърдени:

• Финансови услуги, кредитен скоринг, алгоритмично управление на риска: вероятно е Българската народна банка да има роля, но точният ѝ мандат по Акта за ИИ не е потвърден.
• Здравеопазване и медицински изделия, напр. диагностика с подпомагане от ИИ: възможно е компетентен здравен орган да се включи наред с КЗЛД.
• Потребителски приложения, маркетинг, ценообразуване, онлайн продажби: вероятна роля на органите за защита на потребителите.
• Нищо от изброеното не Ви засяга? КЗЛД е най-вероятната отправна точка.

Какво означава това на практика точно сега

Фактът, че окончателната надзорна структура все още не е финализирана, не означава, че си струва да чакате бездействащи. Етапите на прилагане, нивата на риск и системата от санкции по член 99 важат независимо от това кой орган в крайна сметка официално ще поеме надзора, а МСП винаги се възползват от по-ниския от двата прага на глобите. За повечето МСП, които придобиват функционалности с ИИ основно като част от готов софтуер, практическото значение на крайната структура вероятно ще се сведе до това къде точно да изпратят документация при проверка — не до това дали задълженията им се променят. Затова си струва да напреднете с вътрешната работа — картографиране къде се използва ИИ, класифициране по ниво на риск, изясняване дали действате като доставчик или като внедрител — независимо кога българското законодателство ще финализира надзорната структура. Когато това стане, ще трябва просто да съпоставите готовата документация с правилния орган, а не да започвате от нулата под напрежение.

Списък за проверка, за да се ориентирате

• Обработва ли използвана от Вас система с ИИ лични данни, пряко или косвено? Тогава КЗЛД почти сигурно Ви засяга, независимо от крайното определяне по член 70.
• Работите ли в регулиран сектор — финанси, здравеопазване, наблюдение на служители? Очаквайте да се включи и съответният секторен регулатор.
• Попада ли някое от Вашите приложения в списъка с висок риск по Приложение III, напр. преселекция на кандидати, кредитен скоринг или медицинска диагностика? Подгответе се за по-строг надзор, независимо кой орган го упражнява.
• Проверихте ли актуалното състояние директно на сайта на КЗЛД, преди да базирате конкретно решение единствено на тази статия?

Обща информация, не правен съвет

Изложеното по-горе представлява обща информация, а не правен съвет, съобразен с конкретното положение на Вашата компания. Процедурата по определяне на органи съгласно член 70 в България не е приключила към момента на писане на тази статия, а крайната структура, както и точната дата на нейното финализиране, могат да се променят. Когато Komplya публикува съдържание от този вид, ясно разграничава правно прегледания материал от съдържанието, което все още е в чернова, за да можете съзнателно да оцените разликата.

Най-прекият начин да преминете от несигурността „кой в крайна сметка ще ни провери“ към конкретна картина е да картографирате системите с ИИ на компанията си една по една. Попълнете краткия въпросник за приложимост на Акта за ИИ във Вашата компания и получете ясна представа къде точно се намирате.