Актът за изкуствения интелект за публичните органи: какво да подготвите до декември 2027 г.

01Докъде стигнахме през есента на 2026 г.

Актът за изкуствения интелект (отваря външен сайт), Регламент (ЕС) 2024/1689, влезе в сила на 1 август 2024 г. и се прилага на етапи. През юли 2026 г. ЕС прие сборния пакет от мерки в областта на цифровите технологии и изкуствения интелект, Регламент (ЕС) 2026/1744 (отваря външен сайт), който отложи високорисковите правила и промени редица други разпоредби. Той влезе в сила на 27 юли 2026 г., няколко дни преди първоначалната дата за високорисковите системи.

Резултатът е график, в който някои задължения вече се прилагат, други идват в края на тази година, а най-тежките за публичните внедрители следват през декември 2027 г. В България все още няма определен орган за надзор по Акта за изкуствения интелект; законопроект, внесен през септември 2026 г., се обсъжда в Народното събрание (към ноември 2026 г.). Регламентът обаче се прилага пряко, така че датите по-долу важат и за министерствата, агенциите и общините, независимо от националните мерки.

Сборният пакет преформулира и член 4 за грамотността в областта на изкуствения интелект. Доставчиците и внедрителите вече трябва да предприемат мерки в подкрепа на грамотността на персонала си, вместо да гарантират достатъчното ѝ ниво. Задължението остава; променено е това, което трябва да покажете. Обучение, съобразено с всяка роля, и запис за него продължават да бъдат разумният отговор.

02Доставчик ли сте или внедрител?

Повечето публични органи са внедрители: те използват AI система под свой контрол. Доставчик сте, когато разработвате AI система или възлагате разработването ѝ и я пускате в действие от свое име. Това включва системи, изградени от собствения Ви екип или от изпълнител по Ваше задание.

Ролите могат и да се сменят. Съгласно член 25 внедрител, който съществено променя високорискова система или променя предназначението ѝ така, че тя става високорискова, поема задълженията на доставчик. Впишете очакваните роли в документацията за обществената поръчка и в договорите, за да не ги открие някой едва при одит.

03Кои от Вашите случаи на употреба са високорискови?

Приложение III изброява областите, в които AI системите се смятат за високорискови. За публичните органи най-важни са:

• Достъп до основни публични услуги и обезщетения: оценка на правото на помощ и предоставяне, намаляване, отнемане или връщане на обезщетения и услуги.
• Миграция, убежище и граничен контрол, правоприлагане и правораздаване.
• Образование и професионално обучение: прием, оценяване на резултатите от обучението, наблюдение по време на изпити.
• Заетост: подбор, повишения, разпределяне на задачи и наблюдение на служителите. Публичните органи също са работодатели.
• Критична инфраструктура: защитни елементи при управлението на цифровата инфраструктура, пътното движение и комуналните услуги.

Попадането в област по приложение III не приключва анализа. Съгласно член 6, параграф 3 система в такава област не е високорискова, когато не създава значителен риск от вреда, например защото изпълнява тясна процедурна задача, подобрява резултата от работа, която човек вече е свършил, открива модели, без да замества човешката оценка, или изпълнява подготвителна задача. Система, която профилира хора, винаги е високорискова. Ако се позовавате на това изключение, документирайте мотивите си.

Много полезни инструменти изобщо не са високорискови: помощ при изготвяне на документи, търсене във вътрешните знания, превод, обобщаване. За тях все пак се прилагат задълженията за прозрачност и Общият регламент относно защитата на данните (GDPR), но не и режимът за високорисковите системи.

04Какво трябва да правят внедрителите на високорискови системи

От 2 декември 2027 г. публичен орган, който внедрява високорискова система по приложение III, има задължения по член 26 (отваря външен сайт). Основните от тях:

• Използвайте системата според инструкциите за употреба на доставчика, с подходящи технически и организационни мерки.
• Възложете човешкия контрол на хора с необходимите компетентност, обучение и правомощия и им осигурете подкрепа.
• Погрижете се входните данни под Ваш контрол да са относими и достатъчно представителни за предназначението на системата.
• Наблюдавайте работата на системата и уведомявайте доставчика и органите без неоправдано забавяне за рискове и сериозни инциденти.
• Пазете автоматично генерираните записи поне шест месеца, освен ако правото на Съюза или националното право не предвижда друго.
• Информирайте представителите на работниците и засегнатите служители, преди да използвате високорискова система на работното място.
• Като публичен орган регистрирайте използването на системата в базата данни на ЕС, преди да я пуснете в употреба (член 26, параграф 8 и член 49). Нерегистрирана система не може да се използва.
• Информирайте хората, когато високорискова система се използва за вземане на решения за тях или за подпомагане на такива решения (член 26, параграф 11). Хората имат и право на обяснение на индивидуалните решения (член 86).

Оценката на въздействието върху основните права

Съгласно член 27 (отваря външен сайт) внедрителите, които са публични органи или частни субекти, предоставящи публични услуги, извършват оценка на въздействието върху основните права, преди да използват за първи път повечето системи по приложение III. Системите за критична инфраструктура са изключени. Оценката описва:

1. 01процесите, в които ще се използва системата, в съответствие с нейното предназначение;
2. 02периода и честотата на използване;
3. 03категориите лица и групи, които вероятно ще бъдат засегнати;
4. 04конкретните рискове от вреда за тези лица;
5. 05как е осигурен човешкият контрол;
6. 06какво се случва, ако рисковете се проявят, включително вътрешното управление и механизмите за подаване на жалби.

Резултатите се съобщават на органа за надзор на пазара. Оценката допълва оценката на въздействието върху защитата на данните по член 35 от GDPR и може да се основава на нея, затова извършвайте двете заедно. Член 27, параграф 5 възлага на Службата по изкуствен интелект да предостави образец на въпросник; проверете докъде е стигнал, преди да създадете свой. В някои държави вече има методики, например нидерландската Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Задължения за прозрачност, които вече се прилагат

От 2 август 2026 г. се прилага член 50. Доставчиците трябва да проектират системите, които общуват с хора, така че тези хора да бъдат уведомени, че имат работа с AI система, освен ако това е очевидно, и да маркират синтетичното съдържание в машинночетим вид. Внедрителите трябва да оповестяват убедителните фалшификати (deepfakes), както и текст, създаден или обработен с изкуствен интелект и публикуван, за да информира обществеността по въпроси от обществен интерес, освен ако човек го е прегледал и някой носи редакционна отговорност.

За публичен орган най-честият случай е чат асистент на сайта на общината или в канал за електронни административни услуги. Кажете ясно, че това е AI система, обяснете с какво може и с какво не може да помогне и предложете връзка със служител.

06План за подготовка за 2026 и 2027 г.

1. 01Списък на системите, още сега. Опишете всяка AI система, която се използва или е в процес на възлагане, включително функциите с изкуствен интелект в платформи, които вече лицензирате. Запишете отговорника, целта, доставчика, използваните данни и засегнатите хора.
2. 02Класифициране, до началото на 2027 г. Забранена, високорискова (с документирани мотиви по член 6, параграф 3), само със задължения за прозрачност или с минимален риск. За всяка система запишете дали сте доставчик или внедрител.
3. 03Уреждане на договорите, през 2027 г. Поискайте от доставчиците инструкции за употреба, документация за съответствие и достъп до записите. Включете като договорно задължение подкрепата за Вашата оценка на въздействието и за докладването на инциденти. В процедурите по Закона за обществените поръчки впишете тези изисквания още в техническата спецификация.
4. 04Проектиране на надзора. Определете ролите, обучете ги, дайте им правомощия да отменят резултата на системата и път за ескалация. Проектирайте срещу склонността да се разчита сляпо на автоматизацията; статията ни „Къде AI агентите се нуждаят от човешко одобрение“ показва как.
5. 05Записи и наблюдение. Пазете записите поне шест месеца, определете какво е сериозен инцидент и кой го докладва.
6. 06Преди първото използване. Извършете оценката на въздействието върху основните права заедно с оценката на въздействието върху защитата на данните, регистрирайте системата в базата данни на ЕС и информирайте служителите и засегнатите хора.
7. 07Поддържайте грамотността. Обучение по роли за потребители, проверяващи и хора, които вземат решения, обновявано при промяна на системите, със запис кой е обучен.

07Санкции и прилагане

Държавите членки определят правилата за санкциите. Член 99, параграф 8 позволява на всяка държава членка да реши дали и до каква степен могат да се налагат административни глоби на публичните органи и институции, установени на нейна територия. Това не е причина да чакате. Органите за надзор на пазара могат да изискват коригиращи действия, а легитимността на едно публично решение зависи от това дали то може да бъде обяснено и оспорено.

08Какво да следите през следващите месеци

• Насоките на Комисията за класифицирането на високорисковите системи (член 6, параграф 5) и вече публикуваните ѝ насоки за забранените практики (отваря външен сайт).
• Хармонизираните стандарти за високорисковите изисквания, с които доставчиците ще доказват съответствие.
• Определянето на органите за надзор на пазара в България: законопроектът, внесен в Народното събрание през септември 2026 г., още се обсъжда (към ноември 2026 г.). След това първите указания на определените органи за публичните внедрители.
• Образецът на Службата по изкуствен интелект за оценката на въздействието върху основните права.

AI Act Service Desk (отваря външен сайт) на Европейската комисия поддържа актуални официалния график и обясненията член по член. Запазете го в отметките си и поставяйте дата на всяка вътрешна бележка, която пишете за Акта: този текст все още се променя.