Прилагат ли се ОРЗД и Актът за ИИ за моята американска компания?

Американска SaaS компания, която продава лицензи на клиент в Берлин, магазин в Shopify, който изпраща поръчки до Франция, доставчик на HR-технологии, чийто модел за оценяване се използва от нидерландски работодател — никоя от тези три компании няма офис в ЕС, банкова сметка в ЕС или регистрирано юридическо лице в ЕС. И все пак всичките три могат ясно да попаднат под ОРЗД, под Акта за ИИ, или под двата акта едновременно. Това, което задейства приложимостта, не е къде е регистрирана компанията ви. Задейства я къде се намират клиентите ви, към кого е насочен маркетингът ви и къде накрая се използва резултатът от вашата ИИ система. Това е съвсем различен въпрос от онзи, който всъщност си задават повечето американски компании — обикновено някакъв вариант на "ние сме американска компания, защо изобщо би трябвало да важи правото на ЕС за нас".

Тестът по ОРЗД: насочвате ли се към хора в ЕС, или наблюдавате поведението им

Териториалният обхват на ОРЗД, член 3(2) от Регламент (ЕС) 2016/679, не се интересува от мястото на регистрация. Прилага се към компания извън ЕС винаги когато тя предлага стоки или услуги на хора в ЕС — дори безплатно — или наблюдава поведението им. Регулаторите гледат намерението за насочване, не самата достъпност: цените на сайта ви са в евро, предлагате ли езикови версии за пазари в ЕС, пускате ли реклами, насочени географски към европейска публика, споменавате ли клиенти или отзиви от ЕС, изпращате ли физически до адреси в ЕС, или използвате домейн с код на държава като .de или .fr? Американска компания, чийто сайт просто е достъпен от Брюксел, защото интернет е глобален, не попада автоматично в обхвата. Американска компания с плащане в евро, страници на френски и немски и реклами, насочени географски към Париж и Берлин, е съвсем друг случай — независимо къде се намират сървърите или седалището й. "Наблюдението на поведение" обхваща напълно отделна група: бисквитки, инструменти за анализ и рекламни пиксели, които следят посетители от ЕС, дори на сайт, който никога изрично не е бил насочен към продажби в Европа.

Тестът по Акта за ИИ: няма значение къде се намира компанията ви, а само къде попада резултатът

Актът за ИИ, Регламент (ЕС) 2024/1689, разпростира още по-широка мрежа за американски доставчици на ИИ. Член 2(1)(в) се прилага към доставчици и внедрители, разположени в трета държава, винаги когато резултатът, произведен от тяхната ИИ система, се използва в ЕС. Това е тест, основан на резултата, а не на установяването, и не изисква изобщо продажба в ЕС. Американска компания за HR-технологии, чийто инструмент за оценяване на кандидати се използва от само един нидерландски работодател, попада в обхвата, дори ако самата американска компания няма никакъв клиент, договор или маркетинг в ЕС. На 2 август 2026 г. влязоха в сила задълженията за високорискови системи от приложение III и задълженията за прозрачност по член 50 за всеки доставчик и внедрител, чийто резултат достига до ЕС, включително доставчици от трети държави — срок, който вече е реален, а не теоретичен.

Задължението, което почти всички американски компании пропускат: назначаване на представител в ЕС

Ако ОРЗД се прилага за вас по член 3(2), член 27 изисква да определите представител, установен в държава членка на ЕС — формална точка за контакт за надзорните органи и субектите на данни, отделна от всеки адвокат, който вече сте наели. Пропускането на това не е административен пропуск, който регулаторите игнорират: член 83 определя санкцията за неопределяне на представител до 10 милиона евро или 2% от глобалния оборот, в допълнение към всяка санкция, приложима за самото обработване. Актът за ИИ съдържа паралелно задължение за доставчиците извън ЕС на високорискови системи, които трябва да определят собствен упълномощен представител, установен в ЕС, преди да пуснат тази система на европейския пазар. Двете задължения съществуват именно защото ЕС очаква да си има работа с компании от трети държави без офис в ЕС, и двете обикновено са първото, което пропуска проверката за съответствие на американска компания — "нужен ли ни е американски адвокат" и "нужен ли ни е представител в ЕС" не изглеждат като един и същ въпрос, докато някой не посочи, че не са взаимозаменяеми алтернативи.

Кой всъщност може да наложи това срещу компания без активи в ЕС

Тук всичко става доста по-неясно, щом излезем от текста на закона и погледнем какво се случва на практика. Най-ясният показателен случай е Clearview AI: нидерландският, френският, италианският и гръцкият орган за защита на данните са наложили общо на американската компания за лицево разпознаване санкции от около 100 милиона евро за нарушения на ОРЗД. Clearview няма офис в ЕС, няма представител в ЕС и няма активи в ЕС, и е заявила, че изобщо не извършва дейност в ЕС. Не съществува договорен механизъм, който да задължава американските съдилища да изпълнят санкция на европейски регулатор, и според повечето публично достъпни данни органите почти нищо не са събрали от нея.

Това не означава, че изложението на риск е теоретично за американска компания, която не е Clearview. Три неща хапят дори без събираема санкция. Първо, европейските бизнес клиенти все по-често провеждат проверка на доставчика при възлагане, която изисква подписано споразумение за обработване на данни, стандартни договорни клаузи, или доказателство за извършена оценка на риска, преди изобщо да подпишат договор — за американска SaaS компания, преследваща европейски корпоративни приходи, загубата на сделката е по-бърза и по-скъпа от загубата на битка, която регулаторът не може да събере. Второ, органите за надзор на пазара по Акта за ИИ имат правомощието да наредят пълно изтегляне на продукт от европейския пазар, което не изисква събиране на нищо, а просто прекратява продажбите в ЕС. Трето, публичната известност като компанията, която е игнорирала европейските регулатори, както вече е случаят с Clearview, е препоръка, която сериозен канал за продажби към ЕС не преживява.

Усложнението, което точно сега се добавя към всичко това: Рамката за защита на личните данни между ЕС и САЩ

Ако компанията ви прехвърля лични данни на европейски клиенти към сървъри в САЩ, това прехвърляне се нуждае от свое собствено правно основание, отделно от въпроса дали ОРЗД изобщо се прилага за вашето обработване. Повечето американски компании се основават на Рамката за защита на личните данни между ЕС и САЩ, решението за адекватност, прието от Европейската комисия през юли 2023 г. Това основание е под реален натиск към момента на публикуване на тази статия: решението на Върховния съд на САЩ от юни 2026 г. по делото Тръмп срещу Слотър премахна законоустановената независимост на комисарите на FTC, а Европейският комитет по защита на данните официално поиска от Комисията да провери дали решението за адекватност на DPF все още е валидно, тъй като то посочва независимостта на FTC като един от своите основни стълбове. Отделно обжалване вече е висящо пред Съда на ЕС. Никой все още не знае как ще завърши всяко от двете производства, но моделът ще изглежда познат на всеки, който е следил падането на Privacy Shield през 2020 г.: американска компания, която не е подготвила стандартни договорни клаузи като резервен вариант, носи втори, самостоятелен риск, добавен към вече съществуващото ѝ изложение по ОРЗД.

Какво да проверите в собствения си бизнес

• Насочени ли са вашият маркетинг, цени или процес на плащане конкретно към клиенти в ЕС — цени в евро, страници на езици от ЕС, географски насочени реклами — а не просто достъпни от ЕС?
• Произвежда ли някоя ИИ функция, която разработвате или използвате, оценка, решение или препоръка, използвана от някой, установен в ЕС, независимо дали имате дори един клиент в ЕС?
• Определили ли сте представител в ЕС по член 27 от ОРЗД, или по съответното задължение от Акта за ИИ за доставчиците на високорискови системи, или просто предполагате, че американска политика за поверителност вече покрива това?
• Ако прехвърляте лични данни на европейци към сървъри в САЩ, разчитате ли единствено на Рамката за защита на личните данни, и имате ли готови стандартни договорни клаузи, ако това решение за адекватност не устои на текущите правни предизвикателства?
• Бихте ли могли да представите днес оценка на риска по ОРЗД или класификация на риска по Акта за ИИ, ако екипът по обществени поръчки на европейски корпоративен клиент поиска това от вас утре?
• Проверили ли сте дали продуктът ви попада във високорискова категория от приложение III на Акта за ИИ за някой европейски потребител на резултата му, отделно от начина, по който е класифициран за американските ви клиенти?

Обща информация, не правен съвет: дали ОРЗД или Актът за ИИ засягат конкретния ви бизнес зависи от факти за вашия маркетинг, вашите клиенти и вашите ИИ системи, които тази статия не може да разреши за вас. Където Komplya публикува насоки като тази, ние ясно посочваме кои нива вече са правно прегледани и кои остават чернова, за да можете да ги преценявате съответно.

Може ли инструмент за съответствие, създаден за европейски МСП, наистина да помогне на американска компания? Логиката на приложимостта е един и същ тест и в двата случая: критериите за насочване и наблюдение по член 3(2) от ОРЗД и обхватът, основан на резултата, по член 2(1)(в) от Акта за ИИ, не се променят според мястото на регистрация на компанията ви. Отговорете на кратък въпросник за вашия маркетинг, клиенти и ИИ функции, насочени към ЕС, и Komplya посочва точно кои задължения се прилагат и генерира изготвени с ИИ Политика за поверителност, Политика за използване на ИИ или оценка на въздействието, обосновани с тези конкретни задължения — документация, която освен това е точно това, което вероятно ще поиска отделът за обществени поръчки на европейски корпоративен клиент. Това, което Komplya не прави, е да действа като вашия представител по член 27; това отделно правно назначение остава да бъде уредено отделно.

Вместо да гадаете, на хиляди километри разстояние, дали правото на ЕС засяга бизнеса ви, по-бързият път е да прегледате директно вашите реални клиенти, маркетинг и ИИ системи, насочени към ЕС, спрямо двата теста.