Лични данни и изкуствен интелект — GDPR и AI Act в пресечна точка (2026)

В тази статия ще научите

• Как GDPR и AI Act си взаимодействат при обработване на лични данни чрез AI
• Кои принципи на GDPR се прилагат при AI системи и какво означава “black box” проблемът
• Кога е задължителна DPIA и кога — FRIA (Оценка на въздействието върху основните права)
• Как да изберете правилното правно основание за обработване на данни чрез AI
• Какви права имат субектите на данни при автоматизирано вземане на решения (чл. 22 GDPR)
• Какви санкции грозят при нарушения по двата регламента

Двойният регулаторен режим — GDPR + AI Act

GDPR (в сила от 25 май 2018 г.)

Общият регламент относно защитата на данните (ОРЗД/GDPR) урежда обработването на лични данни на физически лица в целия ЕС. Той се прилага ВИНАГИ, когато AI система обработва лични данни — независимо дали системата е “high-risk” по AI Act или не. За подробно ръководство за GDPR съответствие, вижте нашата отделна статия.

AI Act (поетапно влизане в сила)

Законодателният акт за изкуствения интелект (AI Act) въвежда специфични задължения в зависимост от нивото на риск на AI системата:

Ключова разлика

• GDPR регулира данните — как се събират, обработват, съхраняват и споделят
• AI Act регулира системите — как се проектират, внедряват, използват и наблюдават

Важно: AI Act изрично посочва, че НЕ засяга прилагането на GDPR (чл. 2, пар. 7). Двата регламента се прилагат кумулативно — спазването на единия не освобождава от спазване на другия.

На практика — за компания, използваща AI система за обработване на лични данни (напр. HR скоринг, кредитна оценка, медицинска диагностика), и двата режима се прилагат едновременно.

Принципите на GDPR при внедряване на AI

AI системите трябва да спазват всичките 7 принципа на GDPR (чл. 5). Ако планирате внедряване на AI в бизнеса си, запознайте се и с нашето GDPR ръководство за бизнеса.

1. Законосъобразност, добросъвестност и прозрачност

• AI решенията трябва да имат валидно правно основание (виж секцията по-долу)
• Субектите на данни трябва да бъдат информирани, че техни данни се обработват от AI система
• “Black box” проблемът — липсата на обяснимост на AI решенията влиза в пряко противоречие с принципа за прозрачност

2. Ограничение на целите

• Данните, събрани за една цел, не могат да бъдат преизползвани за обучение на AI модел без ново правно основание
• EDPB Opinion 28/2024: разглежда кога и как AI моделите могат да се считат за “анонимни” и следователно извън обхвата на GDPR

3. Свеждане на данните до минимум

• AI системите по природа изискват големи обеми данни — това е в пряко напрежение с принципа за минимизиране
• Решение: privacy-enhancing technologies (PETs), федеративно обучение, синтетични данни

4. Точност

• AI моделите могат да генерират неточни или пристрастни резултати
• GDPR изисква данните да бъдат “точни и, когато е необходимо, поддържани в актуално състояние”
• Практическо предизвикателство: при обучение на модел с исторически данни, пристрастията от миналото се възпроизвеждат

5. Ограничение на съхранението

• Данните за обучение на модела — колко дълго могат да се съхраняват?
• Данните, обработвани от модела в реално време — различен retention период
• EDPB Opinion 28/2024: ако моделът е истински анонимен (преминава 3-те теста), GDPR не се прилага към модела, но към входните данни — да

6. Цялостност и поверителност (сигурност)

• AI системите като нова повърхност за атаки: model poisoning, data extraction, adversarial attacks
• GDPR чл. 32 изисква подходящи технически и организационни мерки

7. Отчетност

• Администраторът трябва да може да докаже съответствие — документация, одити, логове
• AI Act добавя: задължителни логове за минимум 6 месеца за high-risk системи

Жизненият цикъл на данните при AI системи

Фаза 1: Събиране на данни за обучение

• Правно основание за събирането?
• Информиране на субектите за бъдещо използване за AI обучение?
• Ако данните са събрани за друга цел → тест за съвместимост по чл. 6, ал. 4 GDPR

Фаза 2: Обучение на модела

• Обработването на лични данни за обучение = самостоятелна операция по обработване
• Необходимо правно основание (различно от или идентично с фаза 1)
• Ако моделът “запомня” лични данни → моделът съдържа лични данни → GDPR продължава да се прилага

Фаза 3: Внедряване и експлоатация

• Входни данни → AI обработка → изходни данни (решение/прогноза/препоръка)
• Ако входните данни са лични → GDPR
• Ако изходът засяга конкретно физическо лице → GDPR (дори ако входът е агрегиран)

Фаза 4: Мониторинг и подобряване

• Обратна връзка, re-training, fine-tuning
• Нови операции по обработване → нови оценки на съответствие

Правно основание за обработване на данни чрез AI

Изборът на правно основание (чл. 6 GDPR) е критичен и трябва да се направи ПРЕДИ внедряване на AI системата:

EDPB Opinion 28/2024 за легитимен интерес при AI

• Администраторът трябва да идентифицира конкретен, реален и настоящ интерес
• Обработването трябва да е необходимо (не просто удобно)
• Балансът трябва да е в полза на администратора, като се вземат предвид разумните очаквания на субектите
• При неправомерно обучен модел: EDPB признава, че не е автоматично необходимо целият модел да бъде унищожен — оценява се case-by-case

DPIA vs. FRIA — двете оценки на въздействието

DPIA (Оценка на въздействието върху защитата на данните) — GDPR чл. 35

• Задължителна когато обработването може да доведе до висок риск за правата и свободите на ФЛ
• Систематично и обширно профилиране → DPIA задължителна
• AI-базирано вземане на решения → DPIA задължителна
• КЗЛД е публикувала списък на дейности, за които DPIA е задължителна
• Съдържание: описание на обработването, оценка на необходимостта и пропорционалността, рискове, мерки за смекчаване

FRIA (Оценка на въздействието върху основните права) — AI Act чл. 27

• Задължителна за deployers (ползватели) на high-risk AI, които са:
  • Публични органи
  • Частни оператори, предоставящи обществени услуги
• Обхват: по-широк от DPIA — обхваща всички основни права (не само защита на данните)
• Срок: преди пускане в експлоатация

Кога се правят И ДВЕТЕ?

Ако AI системата е high-risk по Приложение III И обработва лични данни → DPIA + FRIA едновременно. Различен обхват, методология и документация, но могат да споделят общи елементи.

Профилиране и автоматизирано вземане на решения — чл. 22 GDPR + AI Act

Чл. 22 GDPR — правото да не бъдеш обект на автоматизирано решение

Изключения (чл. 22, пар. 2): необходимо за договор, разрешено от правото на ЕС/ДЧ, изрично съгласие.

CJEU дело SCHUFA (C-634/21, 07.12.2023): дори вероятностни скорове, използвани от трети лица, могат да представляват “решение” по чл. 22 → пряко релевантно за AI системи за скоринг. Ако използвате AI за рекрутиране и подбор на персонал, запознайте се с правните рискове.

AI Act — допълнителни права (чл. 86)

AI Act въвежда ново индивидуално право: всяко лице, засегнато от решение, взето/подпомогнато от high-risk AI система, има право на ясно обяснение (clear explanation). Това НАДХВЪРЛЯ правото по чл. 22 GDPR, което се прилага само при “solely automated” решения.

Практически последици

• AI препоръка + човешко одобрение → чл. 22 GDPR може да не се прилага (не е “solely automated”)
• НО AI Act чл. 86 → правото на обяснение СЕ ПРИЛАГА (дори при human-in-the-loop)
• Извод: human-in-the-loop вече не е достатъчна защита — нужно е meaningful човешко участие

“Black box” проблемът — прозрачност и обяснимост

Какво е “черната кутия”?

Много AI модели (особено deep learning) вземат решения по начин, който е практически невъзможно да се обясни човешки. Това е в пряко напрежение с:

• GDPR чл. 13-14 — право на информация за “логиката, участваща в обработването”
• GDPR чл. 15 — право на достъп до “смислена информация за използваната логика”
• AI Act чл. 13 — задължение за прозрачност на high-risk AI системи
• AI Act чл. 86 — право на обяснение

Практически подходи

1. Explainable AI (XAI) — техники като SHAP, LIME, attention maps
2. Model cards — стандартизирана документация за модела
3. Layered transparency — обяснение на различни нива за различни аудитории
4. Algorithmic audits — независими одити на AI системите

Споделяне на данни с AI платформи (трети лица)

Кога е администратор, кога — обработващ?

Задължения при споделяне с AI доставчици

• Договор по чл. 28 GDPR ако AI доставчикът е обработващ
• Международен трансфер — ако AI сървърите са извън ЕС (напр. OpenAI, Google AI) → Standard Contractual Clauses (SCCs) или адекватност
• Ежемесечна проверка какво става с данните: запазват ли се за обучение? споделят ли се?
• AI Act чл. 26, пар. 5 — договорни условия за deployers на high-risk AI

За повече информация относно регулацията на данните в ЕС, вижте нашия анализ на EU Data Act и приложението му в България.

Локално vs. облачно обработване

Санкционен режим — двойно натрупване

AI системи, обработващи лични данни, могат да бъдат санкционирани по И ДВАТА регламента за едно и също нарушение:

Кумулативен ефект: нарушение на AI система за рекрутиране може да доведе до GDPR санкция (до 4% от оборота) + AI Act санкция (до 3%) = до 7% от глобалния оборот.

За информация относно регулацията на цифровите услуги в ЕС, вижте и нашата статия за Digital Services Act в България.

Ролята на КЗЛД и националния AI надзор

КЗЛД (Комисия за защита на личните данни)

• Надзорен орган по GDPR и ЗЗЛД в България
• EDPB ясно заявява, че DPA трябва да бъдат определени като Market Surveillance Authorities по AI Act в много случаи
• КЗЛД вече участва в общоевропейски инициативи за AI и лични данни (Съвместно изявление от 2025 г. за AI-генерирани изображения)

Национален AI надзор

• Към април 2026 г.: България все още не е определила национален компетентен орган за AI Act
• Обсъждани кандидати: КЗЛД, КЗК, ДАЕУ
• Практическо значение: GDPR enforcement (чрез КЗЛД) ще бъде първата линия на приложение за AI нарушения, свързани с лични данни

За повече информация относно анонимизация и псевдонимизация по GDPR, вижте нашия анализ на насоките на EDPB.

10 практически стъпки за съответствие

1. Инвентаризирайте AI системите — кои обработват лични данни?
2. Класифицирайте по AI Act — забранена, high-risk, ограничен, минимален риск
3. Определете правно основание по GDPR за всяка AI операция
4. Извършете DPIA (GDPR чл. 35) за всяка AI система с високо-рискова обработка
5. Извършете FRIA (AI Act чл. 27) ако сте deployer на high-risk AI в публичен сектор
6. Актуализирайте информацията за субектите — уведомете ги за използване на AI
7. Проверете договорите с AI доставчици — чл. 28 GDPR + международен трансфер
8. Осигурете human-in-the-loop за решения с правни последствия (meaningful, не формален)
9. Документирайте всичко — логове (мин. 6 месеца по AI Act), DPIA, решения
10. Обучете персонала — HR, маркетинг, IT, management — всички, работещи с AI

Често задавани въпроси

Заключение

Пресечната точка между GDPR и AI Act създава нов, по-сложен регулаторен пейзаж за всяка компания, използваща изкуствен интелект за обработване на лични данни. Ключовите послания:

• Двата регламента се прилагат кумулативно — не се изключват взаимно
• DPIA е почти винаги задължителна при AI обработка на лични данни
• Прозрачността е критична — “black box” не е оправдание
• Санкциите се натрупват — до 7% от глобалния оборот
• 02.08.2026 г. е крайният срок за high-risk AI по Приложение III

Източници

• EDPB Opinion 28/2024 on AI models and GDPR
• EDPB Statement 3/2024 on DPAs’ role in AI Act
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2016/679 — GDPR
• КЗЛД — Съвременни заплахи и предизвикателства пред защитата на личните данни в контекста на AI
• CJEU Case C-634/21 SCHUFA
• AI Act meets GDPR — Pitch Law Analysis