Законът за ИИ на ЕС официално се прилага, но с една уговорка

От началото на август 2026 г. Законът за изкуствения интелект на Европейския съюз премина от чакащ законодателен акт в реално приложимо право, което компаниите трябва да спазват. Последният бюлетин за защита на данните на TechGDPR отбелязва този важен момент, като посочва, че Законът е станал приложим, докато правилата за високорисковите системи с ИИ остават временно изключени. За всеки, който следи пресечната точка между регулирането на ИИ и защитата на личните данни, това е забележителен момент: законът технически действа, но една от най-съществените му глави е на пауза.

Законът за ИИ беше проектиран на базата на рисково-базирана рамка. Системите се категоризират от минимален до неприемлив риск, като задълженията нарастват съобразно категорията. Високорисковият ИИ – системи, използвани при наемане на работа, кредитен скоринг, правоприлагане или медицинска диагностика – винаги е трябвало да носи най-тежкото бреме на съответствие: оценки на съответствието, изисквания за човешки надзор и подробна документация. Фактът, че тези конкретни задължения се отлагат, дори когато по-широкият закон влиза в сила, показва колко трудно е било за регулаторите и индустрията да се споразумеят за сроковете за изпълнение на най-строгите разпоредби.

Защо правилата за високорисковия ИИ са на пауза

Отлагането не е знак, че регулаторите са смекчили позицията си по надзора на ИИ. Вместо това то отразява практическата реалност на въвеждането на толкова сложен закон. Органите по стандартизация, националните регулатори и Европейската комисия се нуждаеха от повече време, за да финализират техническите спецификации, на които доставчиците на високорисков ИИ трябва да отговорят. Вместо да принуждава компаниите да спазват правила, които не са напълно дефинирани, задълженията, свързани с високорисковите системи, бяха отложени, докато останалата част от Закона, включително разпоредбите за забранени практики и грамотност в областта на ИИ, напредна по график.

Това поетапно въвеждане е от особено значение за специалистите по защита на данните. Много от случаите на високорисков ИИ – биометрична идентификация, автоматизирано вземане на решения при наемане на работа или кредитиране – включват значително обработване на лични данни. Когато крайният срок за съответствие за тези системи се измести, се създава временна празнина, в която специфичните за ИИ защитни механизми все още не са приложими, въпреки че задълженията по GDPR за същите дейности по обработване на лични данни остават напълно в сила. Организациите не могат да третират отлагането като освобождаване от спазване на правилата за поверителност в общ план, а само като отлагане на допълнителния слой изисквания на Закона за ИИ за високорисковите категории.

Връзката с GDPR: Поверителността остава във фокуса

Едно от най-полезните неща, които трябва да се разберат за Закона за ИИ, е, че той не заменя GDPR, а действа успоредно с него. Всяка система с ИИ, която обработва лични данни, независимо дали е класифицирана като високорискова или не, все още трябва да отговаря на съществуващото законодателство за защита на данните: правно основание за обработване, прозрачност спрямо субектите на данни и предпазни мерки срещу злоупотреба. Законът за ИИ добавя секторно-специфични и рисково-специфични правила върху тази основа.

Този двустълбов подход не е уникален за ЕС. Режимите за защита на данните по света се сблъскват с подобни въпроси как да регулират новите технологии, без да оставят пропуски в надзора. Телекомуникационният регулатор на Зимбабве например се готви активно да прилага собствения си закон за защита на данните от септември 2026 г. – промяна, отразена в нашия доклад за плановете за правоприлагане на POTRAZ. На друго място предложения като плана на Южна Африка за свързване на регистрацията на мобилни SIM карти с цифрова идентичност пораждат сходни притеснения за това как се използват личните данни, след като бъдат събрани – тема, която изследвахме в отразяването на дебата за SIM-към-ID в Южна Африка. Различни региони, различни механизми, но същото основно напрежение: технологията се движи по-бързо от правилата, които трябва да я управляват.

Какво означава това за вас

Ако сте потребител, непосредственото практическо въздействие е ограничено. Разпоредбите за високорисков ИИ в Закона за ИИ на ЕС винаги бяха насочени към предприятията и публичните органи, внедряващи ИИ системи, а не към отделните потребители. Но по-широкото въвеждане си струва да се следи, защото то сигнализира колко сериозно регулаторите приемат обработването на данни, задвижвано от ИИ, и колко много работа остава, преди тези защити да бъдат изцяло в сила.

Ако работите в компания, която изгражда или внедрява ИИ инструменти, достигащи до потребители в ЕС, отлагането на задълженията за високорисков ИИ не означава, че можете да отложите подготовката. Регулаторите ясно показаха, че отсрочката е свързана с времето за въвеждане, а не с промяна в посоката. Ранното изпреварване с документацията, оценките на риска и управлението на данни ще има значение, когато крайните срокове за високорисковите системи влязат в сила.

Основни изводи

  • Законът за ИИ на ЕС стана приложим през август 2026 г., но задълженията за високорисковите ИИ системи бяха временно изключени в очакване на финализиране на техническите стандарти.
  • Задълженията по GDPR продължават да се прилагат в пълна степен, независимо от поетапното въвеждане на Закона за ИИ, така че обработването на лични данни, свързано с ИИ системи, все още изисква правно основание и прозрачност.
  • Бизнесите, внедряващи ИИ в ЕС, следва да третират отлагането като период за планиране, а не като изключение от съответствието, и да продължат да се подготвят за бъдещите изисквания за високорисков ИИ.
  • Наблюдаването на начина, по който други юрисдикции – от Зимбабве до Южна Африка – се справят с прилагането на защитата на данните, предлага полезен контекст за това как глобалният регулаторен импулс около личните данни се засилва успоредно с правилата, специфични за ИИ.