Изкуствен интелект и GDPR: какво трябва да знаят българските компании при използване на AI модели?
Изкуствен интелект (ИИ)
Изкуственият интелект вече не е тема само за големи технологични компании. Български бизнеси от различни сектори използват AI инструменти ежедневно — за клиентско обслужване, маркетинг, подбор на персонал, анализ на документи, преводи, автоматизация на имейли, обработване на заявки, оценка на риск, откриване на измами или управление на вътрешни процеси.
На пръв поглед това изглежда като въпрос на ефективност. В правен план обаче използването на AI модели често е и въпрос на GDPR/ОРЗД. Причината е проста: ако в AI система се въвеждат, анализират или генерират лични данни, компанията трябва да спазва правилата за защита на личните данни.
В този контекст Европейският комитет по защита на данните — EDPB European Data Protection Board — поставя все по-голям акцент върху прилагането на GDPR при разработването и използването на AI модели. В своя EDPB Opinion 28/2024 се посочва, че европейските надзорни органи разглеждат GDPR като приложим във всички фази от жизнения цикъл на AI моделите — разработване, обучение, тестване, внедряване и използване, когато се обработват лични данни. Това има пряко значение и за българските компании.
AI инструментът не е „само технология“
Много компании използват AI, без да го възприемат като обработване на лични данни. Например: служител въвежда клиентски имейл в AI инструмент, за да изготви отговор; HR отдел използва AI система за предварителен анализ на CV-та; онлайн магазин използва AI chatbot за обслужване на клиенти; маркетингова агенция използва AI за профилиране на аудитории; SaaS платформа предлага AI функция за анализ на потребителско поведение; адвокатска, счетоводна или консултантска фирма използва AI за обработка на документи.
Във всички тези случаи може да има лични данни: имена, имейли, телефонни номера, IP адреси, клиентска история, данни на служители, данни в договори, финансови данни, здравни данни или друга информация, която се отнася до идентифицирано или идентифицируемо физическо лице.
Затова първият въпрос не е просто:
„Използваме ли AI?“
а:
„Какви лични данни въвеждаме в AI системата, кой ги обработва, за каква цел, на какво правно основание и дали тези данни се използват за обучение на модела?“
Какво казва европейският подход?
EDPB Opinion 28/2024 разглежда три основни въпроса: кога един AI модел може да бъде счетен за анонимен, кога легитимният интерес може да служи като правно основание за обработване на данни при AI модели и какви са последиците, ако лични данни са били обработени неправомерно при разработването или обучението на модела.
Това е важно, защото много компании приемат, че след като използват готов AI инструмент, те не носят сериозна отговорност. Това не винаги е вярно.Ако българска компания използва AI система за свои клиенти, служители или партньори, тя може да има задължения като администратор на лични данни. Ако доставчикът обработва данни от нейно име, може да е необходим договор с обработващ лични данни. Ако данните се прехвърлят извън ЕС/ЕИП, възникват и въпроси за международен трансфер.
С други думи: AI compliance не заменя GDPR compliance. Двата режима трябва да се разглеждат заедно.
AI моделът не е автоматично анонимен
Една от най-опасните заблуди е, че AI моделът е „анонимен“, защото не показва директно имената или оригиналните данни, с които е обучен.
EDPB подхожда предпазливо към този въпрос. В разглеждания анализ се посочва, че според EDPB информация от обучителния набор, включително лични данни, може да бъде „абсорбирана“ в параметрите на модела. Ако лични данни могат по разумен начин да бъдат извлечени от модела или моделът може да разкрие информация от обучителния набор, тогава не следва автоматично да се приема, че моделът е анонимен.
За бизнеса това означава: Не е достатъчно доставчикът да твърди, че системата е „AI-based“, „анонимизирана“ или „сигурна“. Компанията трябва да знае какво реално се случва с данните.
Практическите въпроси са:
използват ли се въведените данни за обучение на модела;
може ли компанията да изключи използването на данни за training;
къде се съхраняват данните;
има ли достъп доставчикът до въведената информация;
могат ли данни да бъдат извлечени чрез prompt или друг технически метод;
има ли реална анонимизация или само псевдонимизация;
има ли трансфер към трета държава;
има ли договор за обработване на лични данни.
Тези въпроси са особено важни при използване на AI инструменти за клиентски запитвания, HR процеси, медицинска информация, финансови документи или чувствителна бизнес кореспонденция.
Може ли легитимният интерес да бъде правно основание?
В практиката много компании ще се опитат да използват легитимен интерес като правно основание по чл. 6, пар. 1, б. „е“ GDPR. Това е възможно, но не автоматично.
EDPB разглежда тристепенна проверка. Първо, трябва да има реален, законосъобразен и ясно формулиран интерес. Второ, обработването трябва да бъде необходимо за постигането му. Трето, трябва да се направи баланс между интереса на компанията и правата и свободите на засегнатите лица.
Това означава, че не е достатъчно в политиката за поверителност да се напише:„Използваме AI на основание легитимен интерес.“Необходима е конкретна и документирана преценка.
Например AI система за откриване на измами при онлайн плащания може да бъде по-лесно обоснована с легитимен интерес, ако се използват ограничени данни, има ясна цел, прозрачност, технически мерки и контрол от човек.
За разлика от това AI система за оценка на служители, която анализира поведение, комуникация, продуктивност или емоционални реакции, би била много по-рискова. Там балансът може да се наклони в полза на правата на служителите, особено ако липсват прозрачност, необходимост и пропорционалност.
Какво трябва да проверят българските компании?
Българските компании не трябва да спират да използват AI, но трябва да го правят контролирано. Един разумен първи подход включва следните стъпки:
Карта на използваните AI инструменти
Компанията трябва да знае кои AI системи използва — chatbot, CRM, HR software, маркетингова платформа, генеративен AI, автоматизиран превод, анализ на документи.
Проверка на даннитe
Трябва да се определи какви лични данни се въвеждат или обработват — клиентски, служителски, чувствителни, финансови, здравни или договорни.
Правно основание
За всяка обработка трябва да има основание: договор, законово задължение, легитимен интерес, съгласие или друго приложимо основание.
Договор с доставчика
Ако доставчикът обработва лични данни от името на компанията, трябва да има договор с обработващ лични данни.
Проверка за обучение на модела
Компанията трябва да знае дали въведените данни се използват за обучение или подобряване на AI системата.
Прозрачност
Клиентите, служителите или потребителите трябва да бъдат информирани, когато техни данни се обработват чрез AI инструмент.
DPIA / оценка на въздействието
При по-висок риск може да е необходима оценка на въздействието върху защитата на данните.
Права на субектите
Компанията трябва да може да отговори на искания за достъп, изтриване, корекция, ограничаване, възражение или преносимост, когато това е приложимо.
Вътрешна AI политика
Служителите трябва да знаят какво могат и какво не могат да въвеждат в AI системи.
Връзка с AI Act
Ако AI системата попада в обхвата на високорискови приложения или други специални категории, трябва да се направи и отделна проверка по AI Act.
Ресурси, разходи и реалността за МСП
Тук е необходима и критична перспектива. Новите изисквания към AI и GDPR могат да повишат защитата на гражданите, но създават значителна административна, техническа и финансова тежест за бизнеса. Това е особено чувствително за малките и средни предприятия.
Много български МСП нямат вътрешен DPO, IT security екип, AI governance специалист или юрист по технологично право. В същото време те използват същите инструменти като големите компании — ChatGPT, Copilot, Gemini, CRM системи, HR платформи, AI marketing tools или SaaS решения с вградени AI функции.
Ако от всяка малка компания се очаква да прави сложни технически тестове за извличане на лични данни от модел, подробни оценки на анонимност, DPIA, договорни анализи, легитимен интерес баланс тестове, политики, обучения и постоянна документация, това може да се окаже непропорционално.
При прилагането на изискванията, очертани от EDPB, може да изисква значителни ресурси и да доведе до високи разходи за компании, включително инвестиции в технически решения, обучения, одити и документационни процеси. Това може да бъде особено трудно за малки и средни предприятия. Това не означава, че МСП трябва да бъдат освободени от GDPR. Но означава, че подходът трябва да бъде рисково базиран и практически приложим.
За малък бизнес често първата добра стъпка не е сложен AI audit, а:
забрана за въвеждане на чувствителни лични данни в публични AI инструменти;
списък на използваните AI системи;
проверка на доставчиците;
кратка вътрешна политика;
актуализирана политика за поверителност;
минимизиране на личните данни;
документиран легитимен интерес там, където е приложимо.
Българската перспектива: ролята на КЗЛД
В България надзорен орган е Комисията за защита на личните данни (КЗЛД). Дори когато конкретният AI инструмент е разработен извън България, българската компания остава отговорна за начина, по който го използва в своята дейност.
Това е особено важно при:
обработване на данни на български клиенти;
обработване на данни на служители;
използване на AI в HR процеси;
онлайн магазини и клиентско обслужване;
медицински, козметични и здравни услуги;
финансови и застрахователни услуги;
обработване на данни на деца;
трансфер на данни извън ЕС.
Българските компании трябва да очакват, че AI и GDPR постепенно ще станат част от стандартните compliance проверки. Дори КЗЛД да не издаде веднага специфични указания за всеки AI сценарий, европейската линия на EDPB ще има значение за тълкуването и практиката.
Практически примери
Пример 1: AI chatbot на сайт
Компания поставя AI chatbot на сайта си, който отговаря на въпроси на клиенти. Ако клиентите въвеждат име, имейл, номер на поръчка или здравна/финансова информация, има обработване на лични данни. Необходими са информация към потребителите, проверка на доставчика, договор с обработващ и ясно определени срокове за съхранение.
Пример 2: HR инструмент за подбор
HR отдел използва AI за предварителен анализ на CV-та. Това засяга кандидати за работа и може да доведе до автоматизирано профилиране. Тук рискът е висок, защото могат да бъдат засегнати достъпът до работа, равнопоставеността и недискриминацията. Необходима е особена прозрачност, контрол от човек и внимателна оценка на риска.
Пример 3: AI в маркетингова агенция
Маркетингова агенция използва AI за сегментиране на аудитории и персонализирани кампании. Ако се използват данни за поведение, предпочитания, покупки или местоположение, трябва да се провери правното основание, прозрачността, бисквити/ePrivacy правилата и възможността за възражение.
Пример 4: Генеративен AI за документи
Служител въвежда клиентски договор или кореспонденция в публичен AI инструмент, за да направи резюме. Това може да създаде риск от неразрешено разкриване на лични данни и поверителна информация. Компанията трябва да има вътрешна политика какви данни могат да се въвеждат и в какви AI инструменти.
Какъв е разумният баланс?
Българските компании не трябва да възприемат AI само като риск. AI може да намали разходи, да подобри обслужването, да ускори работата и да помогне при анализ на големи масиви от информация.
Но използването на AI без правила може да доведе до сериозни проблеми:
неправомерно обработване на лични данни;
липса на прозрачност;
невъзможност да се отговори на искания на субекти;
незаконен трансфер на данни;
нарушение на трудови права;
дискриминационни резултати;
репутационен риск;
санкции.
Затова правилният подход е не забрана, а управлявано използване на AI.Компаниите трябва да изградят минимална, но реална AI и GDPR рамка: ясни правила, проверени доставчици, ограничаване на данните, документирани решения и обучение на служителите.
Заключение
Изкуственият интелект вече е част от ежедневието на българския бизнес. Но всяка употреба на AI, която включва лични данни, трябва да бъде разглеждана през GDPR.
Компаниите трябва да знаят какви данни въвеждат, кой ги обработва, дали се използват за обучение на модела, къде се съхраняват, дали има международен трансфер и дали засегнатите лица са надлежно информирани.
Най-голямото предизвикателство за българските МСП ще бъде балансът между иновации и compliance. От една страна, новите европейски изисквания могат да изглеждат тежки, скъпи и сложни. От друга страна, липсата на какъвто и да е контрол върху AI инструментите създава още по-голям риск.
Затова българските компании трябва да започнат с практичен подход: карта на AI инструментите, проверка на доставчиците, минимизиране на личните данни, вътрешни правила за служителите, прозрачност към клиентите и документиране на основните решения. AI не отменя GDPR. Напротив — прави го още по-важен.
Специално за МСП може да се информирате и тук.
Контакт (TK Techlaw)
Вашият бизнес обработва ли лични данни, но нямате ясно изградена GDPR стратегия?
Малките и средни предприятия често срещат трудности при прилагането на изискванията на GDPR поради липса на специализирана експертиза.
Ние помагаме на бизнеса да изгради практична и ефективна GDPR съответствие.
Запишете се за консултация, за да оценим вашите правни рискове.
Свържете се с нас:
Електронна поща: info@tk-techlaw.com
Уебсайт: www.tk-techlaw.com
Телефон: 00359 88 44 55 39
TK Techlaw - www.tk-techlaw.com
Имейл: info@tk-techlaw.com
Телефон 0889445539
Настоящият текст е с информационна цел и не представлява правен съвет.
Коментари