Законът на ЕС за ИИ: Пълно ръководство за съответствие (2025–2028)

Законът на ЕС за ИИ (Регламент 2024/1689) е първият в света всеобхватен закон за ИИ. Прилага се поетапно: забранени практики от февруари 2025 г., правила за GPAI от август 2025 г. и задължения за ИИ с висок риск от декември 2027 г. (Приложение III) и август 2028 г. (Приложение I) след измененията от omnibus 2026 г.

Какво е Законът на ЕС за ИИ?

Законът на ЕС за ИИ (Регламент (ЕС) 2024/1689) е първата в света всеобхватна хоризонтална правна рамка за изкуствен интелект. Той влезе в сила на 1 август 2024 г. и се прилага постепенно в четири нива на риска.

Законът използва подход, основан на риска: колкото по-голяма е потенциалната вреда, толкова по-строги са задълженията. Той не регулира целия софтуер — само системите, които се квалифицират като ИИ по определението в чл. 3(1) и Приложение I, което обхваща машинното обучение, подходите, основани на логика и знания, и статистическите модели.

Кой трябва да спазва изискванията?

Законът за ИИ се прилага за четири категории участници:

• Доставчици — организации, разработващи системи за ИИ или модели за ИИ с общо предназначение и пускащи ги на пазара на ЕС или въвеждащи ги в употреба в ЕС
• Крайни потребители — организации или физически лица, използващи системи за ИИ под тяхна отговорност в професионален контекст
• Вносители — субекти, установени в ЕС, които внасят системи за ИИ от трети страни
• Дистрибутори — субекти в доставъчната верига, различни от доставчиците и вносителите

Географски обхват: Законът се прилага, когато резултатите на системата за ИИ се използват в ЕС, независимо от местонахождението на доставчика. Доставчик, базиран в САЩ, чийто ИИ се използва от европейски компании, е в обхвата.

Четирите нива на риска

Времеви план за прилагане

Digital Omnibus 2026 за ИИ удължи двата крайни срока за ИИ с висок риск съответно с 16 и 24 месеца, без да променя самите задължения.

Системи за ИИ с висок риск: какво задейства пълните задължения?

Системата за ИИ е с висок риск по Приложение III, ако попада в една от следните осем области:

1. Биометрична идентификация и категоризация
2. Управление на критична инфраструктура (енергия, вода, транспорт)
3. Образование и професионално обучение (решения за достъп, оценяване)
4. Заетост — набиране, оценка на изпълнението, решения за повишение
5. Основни частни и публични услуги (кредитен скоринг, застраховане, спешни услуги)
6. Правоприлагане (оценка на риска, оценка на доказателства)
7. Миграция, убежище, граничен контрол
8. Отправяне на правосъдие и демократични процеси

Прилага се допълнителен филтър (чл. 6(3)): системите по Приложение III трябва да представляват значителен риск от вреди за здравето, безопасността или основните права. Инструменти за ИИ с нисък риск в тези сектори могат да бъдат освободени.

Ключови задължения за доставчиците на ИИ с висок риск

1. Система за управление на риска (чл. 9) — непрекъснат процес през целия жизнен цикъл
2. Управление на данните (чл. 10) — наборите от данни за обучение, валидиране и тестване трябва да бъдат подходящи
3. Техническа документация (чл. 11 + Приложение IV) — преди пускане на пазара
4. Прозрачност и регистриране (чл. 12–13) — автоматично регистриране, инструкции за потребителите
5. Човешки надзор (чл. 14) — мерки, позволяващи на хората да наблюдават и се намесват
6. Точност, надеждност, киберсигурност (чл. 15)
7. Система за управление на качеството (чл. 17)
8. Оценка на съответствието (чл. 43) — трета страна за някои категории
9. Регистрация в базата данни на ЕС (чл. 71)
10. CE маркировка (чл. 48) преди пускане на пазара

Сближаване с DORA и NIS2

Финансовите институции се изправят пред припокриващи се задължения по Закона за ИИ, DORA и NIS2. Системата за управление на риска по Закона за ИИ (чл. 9) тясно съответства на рамката за управление на ИКТ риска по DORA (чл. 5–16). Документацията с двойно картографиране намалява тежестта за съответствие. Вижте нашия анализ на сближаването →.