AI Act и GDPR: какво да знаете, преди да пуснете AI чатбот

Решили сте да сложите AI чатбот на сайта: да отговаря за доставки, наличности и размери, докато вие спите. Технически това се прави за дни. Правната страна изисква малко повече мисъл – от 2024 г. в ЕС действа Регламентът за изкуствения интелект (AI Act), а GDPR се прилага за всеки разговор, в който клиентът пише име, телефон или номер на поръчка.

Тази статия не е правен съвет, а практическа карта за собственик на онлайн магазин или фирмен сайт. Ще видите в коя категория риск попада един обикновен чатбот, кои срокове са важни през 2026 г., какво изисква GDPR и как изглежда минималният пакет мерки, който прилагаме при внедряване.

Накратко:

• AI Act е Регламент (ЕС) 2024/1689, влязъл в сила на 1 август 2024 г., с поетапно прилагане на задълженията до 2027 г.
• Чатботът за обслужване на клиенти обикновено е система с ограничен риск – основното задължение е потребителят да знае, че разговаря с изкуствен интелект.
• Задълженията за прозрачност по член 50 от AI Act се прилагат от 2 август 2026 г. според първоначалния график на регламента.
• GDPR изисква правно основание, информация в политиката за поверителност, договор за обработване на данни с доставчика на чатбота и ограничен срок на съхранение на разговорите.
• Фирмата отговаря за това, което чатботът казва на клиентите, затова той трябва да отговаря само от проверена информация за цени, доставка и връщане.

Какво е AI Act и кога се прилага

AI Act е европейски регламент, което означава, че важи пряко във всички държави членки, включително България, без да чака отделен закон. Той не забранява изкуствения интелект, а го разделя по нива на риск и поставя различни изисквания за всяко ниво.

Дата	Какво започва да важи
1 август 2024 г.	Регламентът влиза в сила
2 февруари 2025 г.	Забранени практики и задължение за AI грамотност на служителите
2 август 2025 г.	Правила за моделите с общо предназначение (GPAI) и санкциите
2 август 2026 г.	Основната част от задълженията, включително прозрачността по член 50
2 август 2027 г.	Част от правилата за високорискови системи, вградени в регулирани продукти

В края на 2025 г. Европейската комисия предложи пакет за опростяване (т.нар. Digital Omnibus), който предвижда отлагане на част от сроковете, главно за високорисковите системи. Преди да планирате, проверете актуалното състояние на тези промени – за обикновен чатбот на сайт обаче основните изисквания остават същите.

В коя категория е вашият чатбот

AI Act има четири нива на риск. За типичен бизнес сайт само две са реално приложими:

• Неприемлив риск (забранено): манипулиране на поведението чрез подсъзнателни техники, социално оценяване, експлоатиране на уязвими групи. Нормален чатбот за магазин не прави нищо подобно.
• Висок риск: системи, които решават за кредити, наемане на работа, образование, достъп до основни услуги. Ако чатботът ви само отговаря на въпроси, не сте тук. Ако обаче оценява кредитоспособност при покупка на изплащане, ситуацията се променя.
• Ограничен риск: системи, които общуват с хора. Тук попада почти всеки чатбот за обслужване на клиенти.
• Минимален риск: филтри за спам, препоръки за продукти, вътрешни инструменти. Без специфични задължения.

Доставчик или внедрител

Регламентът различава доставчик (който създава системата) и внедрител (който я използва). Ако ползвате готова платформа за чатботове, доставчикът е тя, а вие сте внедрител. Ако агенция изгражда чатбот специално за вас върху модел на OpenAI, Anthropic или Google, ролите трябва да бъдат описани в договора. На практика задължението за прозрачност засяга и двете страни: доставчикът трябва да даде възможност, а вие – да я използвате.

Задължението за прозрачност на практика

Член 50 изисква системи, предназначени да общуват директно с хора, да ги информират, че разговарят с изкуствен интелект, освен ако това не е очевидно от контекста. Не разчитайте на „очевидно“ – добавете ясен текст. Примери, които работят:

• В заглавието на прозореца: „AI асистент на магазина“.
• В първото съобщение: „Здравейте, аз съм виртуален асистент с изкуствен интелект. Мога да помогна с поръчки, доставка и размери. За разговор с човек напишете „оператор“.“
• Видим бутон за връзка с човек или имейл за контакт.

Ако чатботът генерира изображения или видео, които изглеждат реални, важат и правила за обозначаване на генерираното съдържание.

AI грамотност

От февруари 2025 г. фирмите, които използват AI системи, трябва да вземат мерки служителите, работещи с тях, да имат достатъчно познания. За малка фирма това означава кратко вътрешно обучение: какво може и какво не може чатботът, как се проверяват отговорите му и какво се прави при оплакване.

GDPR: какво изисква за всеки разговор

Всеки чат, в който клиентът пише име, имейл, адрес или номер на поръчка, е обработване на лични данни. Ето минимумът:

Изискване	Какво означава за чатбота
Правно основание	Обикновено изпълнение на договор (въпроси за поръчка) или легитимен интерес (общи въпроси). За маркетинг – съгласие.
Информиране	Политиката за поверителност описва чатбота, доставчика, целите и срока на съхранение.
Договор с обработващ	Подписан договор за обработване на данни (DPA) с доставчика на чатбота и модела.
Трансфер извън ЕС	Ако сървърите са в САЩ, проверете дали доставчикът е сертифициран по EU-US Data Privacy Framework или ползва стандартни договорни клаузи.
Минимизиране	Ботът не иска ЕГН, данни от карти или здравна информация.
Срок на съхранение	Определен срок, например 90 дни, след който разговорите се изтриват или анонимизират.
Права на клиента	Процедура за достъп до разговорите и изтриването им при поискване.

Ако чат прозорецът зарежда бисквитки или проследяващи скриптове, които не са строго необходими, те трябва да попаднат в банера за съгласие. Подробно за това в статията ни за бисквитките и GDPR. Надзорният орган по защита на данните в България е Комисията за защита на личните данни (КЗЛД).

Обучение на модела с разговорите

Проверете в условията на доставчика дали разговорите се използват за обучение на модели. При бизнес версиите на основните платформи това обикновено е изключено по подразбиране, при безплатните – не винаги. Това трябва да е ясно, преди да пуснете чатбота пред клиенти.

Отговорност за грешните отговори

Това е рискът, който собствениците най-често подценяват. Ако чатботът обещае безплатна доставка, която не предлагате, или посочи грешен срок за връщане, клиентът ще се позове на това. По Закона за защита на потребителите подвеждащата информация е нарушение, независимо дали я е дал служител или програма. През 2024 г. съд в Канада задължи авиокомпания да изпълни обещание, което чатботът ѝ беше дал неправилно – добър пример, че „ботът сгреши“ не е защита.

Затова при внедряване ограничаваме чатбота до проверени източници: страниците за доставка, общите условия, продуктовите данни. Когато не знае отговора, той казва това и предлага контакт с човек, вместо да измисля. Повече за подхода има в статията чатбот за онлайн магазин.

Чеклист преди пускане

1. Чатботът ясно казва, че е AI асистент, още в първото съобщение.
2. Има лесен начин за връзка с човек.
3. Политиката за поверителност е обновена с раздел за чатбота.
4. Подписан е DPA с доставчика; проверени са трансферите извън ЕС.
5. Определен е срок за съхранение на разговорите.
6. Ботът не иска чувствителни данни и не взема решения с правни последици.
7. Отговорите за цени, доставка и връщане идват само от актуални вътрешни източници.
8. Служителите знаят как да проверяват и коригират отговорите.
9. Има процес за обновяване на базата знания при промяна на условията.

Какви са санкциите

AI Act предвижда глоби до 35 млн. € или 7% от световния оборот за забранени практики и до 15 млн. € или 3% за неизпълнение на други задължения, включително прозрачността. За малки и средни предприятия се прилага по-ниската от двете суми. GDPR има собствени санкции до 20 млн. € или 4% от оборота. За обикновен магазинен чатбот реалният риск не е толкова в глобите, колкото в оплакване до КЗЛД или КЗП и загуба на доверие.

Често задавани въпроси

Ако обмисляте AI чатбот за сайта, ние го изграждаме с прозрачност по AI Act, настройки по GDPR и отговори само от вашите проверени данни. За конкретни юридически въпроси ви препоръчваме да се консултирате и с юрист по защита на данните.