Анализи и Казуси
AI Act през 2026 г.: какво вече важи, какво беше отложено и какво значи това за вас
През лятото на 2026 г. Европейският съюз направи нещо, което почти никой не очакваше: отложи собственото си законодателство за изкуствения интелект — месеци преди най-тежката му част да влезе в сила.
Резултатът е объркване. Половината публикации още пишат за „2 август 2026 г.“ като дата за високорисковите системи, а другата половина обявява, че AI Act е „замразен“. Нито едното е вярно. Тази статия подрежда какво точно важи днес, какво се премести и какво означава това за българска фирма, която използва или разработва изкуствен интелект.
Ключови изводи
- AI Act не е отменен и не е замразен. Регламент (ЕС) 2024/1689 действа; промени се само графикът за част от задълженията.
- Промяната дойде с Регламент (ЕС) 2026/1744 — „Digital Omnibus“ за изкуствения интелект — приет на 8 юли 2026 г. и в сила от 27 юли 2026 г.
- Задълженията за високорисковите системи по Приложение III се отлагат за 2 декември 2027 г., а тези за вградените в продукти системи по Приложение I — за 2 август 2028 г.
- Забранените практики и изискването за ИИ грамотност важат от 2 февруари 2025 г. и не са отлагани — това е частта, която вече може да ви струва пари.
- Задълженията за прозрачност по член 50 се прилагат от 2 август 2026 г. Съществуващи генеративни системи имат срок до 2 декември 2026 г. да приведат маркирането на съдържанието в съответствие.
- Санкциите остават непроменени — до 35 млн. евро или 7 % от световния оборот за забранените практики.
- Отлагането е възможност, не отбой. Организациите, които използват отсрочката за изграждане на система за управление по ISO/IEC 42001, ще посрещнат 2027 г. с готов механизъм.
Какво се случи през юли 2026 г.
Регламент (ЕС) 2026/1744 изменя AI Act и променя част от сроковете му за прилагане. Приет е на 8 юли 2026 г. и влиза в сила на 27 юли 2026 г. Причината за отлагането е практическа: хармонизираните стандарти, по които производителите трябваше да доказват съответствие, не бяха готови навреме, а органите за надзор в повечето държави членки — също.
Важно е да се разбере какво не се промени. Структурата на регламента, рисковите категории, определенията и санкциите остават същите. Отложена е датата, от която определени задължения стават изискуеми — не самите задължения.
Внимавайте с източниците. В интернет още циркулират анализи отпреди юли 2026 г., които описват неуспешния кръг преговори през април и заключават, че отлагане няма да има. Други, по-стари текстове цитират 2 август 2026 г. като дата за високорисковите системи. И двете са остарели. Проверявайте датата на публикацията, преди да планирате по нея.
Календарът такъв, какъвто е днес
| Дата | Какво важи | Статус |
|---|---|---|
| 2 февруари 2025 г. | Забранени практики (чл. 5) и изискване за ИИ грамотност (чл. 4) | В сила |
| 2 август 2025 г. | Задължения за моделите с общо предназначение (GPAI) | В сила |
| 2 август 2026 г. | Прозрачност по член 50 за определени системи | В сила |
| 2 декември 2026 г. | Краен срок за съществуващи генеративни системи по чл. 50, ал. 2; две нови забрани по чл. 5 | Предстои |
| 2 декември 2027 г. | Високорискови системи по Приложение III (самостоятелни) | Отложено |
| 2 август 2028 г. | Високорискови системи по Приложение I (вградени в продукти) | Отложено |
Частта, която вече може да ви струва пари
Най-подценяваното обстоятелство е, че две задължения важат от февруари 2025 г. и не са били отлагани нито веднъж.
Забранените практики
Член 5 забранява определени приложения на изкуствения интелект изцяло. Сред тях са системите за социално оценяване, манипулативните техники, експлоатиращи уязвимости, и — най-релевантното за работодатели — разпознаването на емоции на работното място и в учебните заведения, извън тесни изключения за безопасност и медицински причини.
Това е конкретен риск за фирми, които са внедрили системи за наблюдение на служители с анализ на изражението, гласа или „ангажираността“. Санкцията за забранена практика достига 35 милиона евро или 7 % от световния годишен оборот, което е по-високо.
ИИ грамотност
Член 4 изисква доставчиците и внедрителите на ИИ системи да осигурят достатъчно ниво на ИИ грамотност на персонала, който работи с тях. Няма предписан формат, брой часове или сертификат — изискването е за реална компетентност, съобразена с контекста и ролята.
Практически минимум за изпълнение на член 4: определете кои роли използват ИИ инструменти; проведете обучение за възможностите, ограниченията и рисковете на конкретните инструменти; запишете кой е обучен, кога и по какво. Това е същата логика като компетентността по т. 7.2 от ISO 9001 — и се доказва по същия начин.
Кой е „доставчик“ и кой „внедрител“
Разграничението определя целия обем задължения и редовно се тълкува погрешно.
| Роля | Кой попада | Тежест на задълженията |
|---|---|---|
| Доставчик | Разработва ИИ система и я пуска на пазара или в употреба под своето име | Пълният набор — управление на риска, данни, документация, надзор, точност, киберсигурност |
| Внедрител | Използва ИИ система под собствена отговорност в професионална дейност | По-лек набор — употреба по предназначение, човешки надзор, информиране на засегнатите лица |
| Внедрител, който става доставчик | Слага своята марка върху чужда система или променя съществено предназначението ѝ | Пълният набор на доставчик |
Третият ред е капанът. Фирма, която купи готов ИИ инструмент, брандира го и го предложи на своите клиенти, става доставчик с всички произтичащи задължения — същата логика, която срещаме и при Регламента за киберустойчивост и при машините.
Как да използвате отсрочката
Отлагането до декември 2027 г. изглежда дълго, но при високорискова система подготовката включва управление на риска през целия жизнен цикъл, управление на качеството на данните, техническа документация, записи, човешки надзор и оценка на съответствието. Това не е тримесечен проект.
- Направете инвентаризация на ИИ системите. Включете и инструментите, които са влезли „отстрани“ — чрез SaaS абонамент или вградени в софтуер, който вече ползвате.
- Класифицирайте всяка система. Забранена, високорискова, с изискване за прозрачност или с минимален риск. От това зависи всичко останало.
- Изчистете забранените практики веднага. Те не чакат 2027 г. и носят най-високата санкция.
- Изпълнете член 4 по ролите. Обучение и записи за хората, които реално работят с ИИ инструменти.
- Определете ролята си за всяка система — доставчик или внедрител — и я документирайте, включително при брандиране на чужд продукт.
- Изградете система за управление по ISO/IEC 42001. Тя дава структурата, която регламентът изисква, без да се налага да я измисляте сами.
- Следете хармонизираните стандарти. Когато излязат, те стават най-краткият път към презумпция за съответствие.
Къде се вписва ISO/IEC 42001
ISO/IEC 42001 е стандартът за система за управление на изкуствения интелект и е най-близкото до „готова рамка“ за изпълнение на AI Act. Той не дава автоматично съответствие — регламентът не признава сертификати като доказателство — но покрива голяма част от изискваните процеси.
| Изискване на AI Act | Покрива ли го ISO/IEC 42001 |
|---|---|
| Система за управление на риска през жизнения цикъл | Да, като процес |
| Управление и качество на данните | Да, чрез контролите за данни |
| Техническа документация и записи | Частично — форматът по регламента е специфичен |
| Човешки надзор и роли | Да |
| Прозрачност към засегнатите лица | Частично |
| Оценка на съответствието и маркировка | Не — това е процедура по регламента |
Повече за самия стандарт има в статията ни за ISO 42001. Ако вече поддържате ISO 27001, значителна част от контролите се припокриват и двете системи се изграждат заедно по-евтино, отколкото поотделно.
Не знаете в коя категория попадат вашите ИИ системи?
Правим инвентаризация и класификация по AI Act, изчистваме забранените практики, изпълняваме изискването за ИИ грамотност и изграждаме система по ISO/IEC 42001 — с график, съобразен с новите срокове.
Заключение
Отлагането на високорисковите задължения е добра новина за фирмите, които бяха в паника, и лоша за тези, които приеха паузата за отмяна. Регламентът остава най-амбициозното законодателство за изкуствен интелект в света и няма признаци да бъде изоставен — забавянето беше за готовност на инфраструктурата, не за промяна на посоката.
Практическият съвет е кратък: направете инвентаризацията сега, докато е спокойно. Фирмите, които през декември 2027 г. ще търсят спешно консултант, ще плащат за срок, а не за качество — точно както се случи при последния преход по ISO 9001.
Често задавани въпроси
Отменен ли е AI Act?
Не. Регламент (ЕС) 2024/1689 действа и не е отменян. С Регламент (ЕС) 2026/1744, в сила от 27 юли 2026 г., бяха отложени сроковете за част от задълженията — основно за високорисковите системи. Структурата, рисковите категории и санкциите остават непроменени.
Кога влизат задълженията за високорисковите ИИ системи?
След изменението задълженията за самостоятелните високорискови системи по Приложение III се прилагат от 2 декември 2027 г., а за вградените в продукти системи по Приложение I — от 2 август 2028 г. Първоначалната дата беше 2 август 2026 г.
Какво важи от AI Act в момента?
В сила са забранените практики по член 5 и изискването за ИИ грамотност по член 4 от 2 февруари 2025 г., задълженията за моделите с общо предназначение от 2 август 2025 г. и изискванията за прозрачност по член 50 от 2 август 2026 г. До 2 декември 2026 г. съществуващите генеративни системи трябва да изпълнят изискванията по член 50, алинея 2.
Какви са санкциите по AI Act?
За забранени практики санкциите достигат 35 милиона евро или 7 процента от световния годишен оборот, като се прилага по-високата стойност. За нарушения на други задължения таванът е 15 милиона евро или 3 процента, а за предоставяне на невярна или подвеждаща информация на органите — 7,5 милиона евро или 1 процент.
Може ли да използваме ИИ за наблюдение на служители?
Разпознаването на емоции на работното място е забранена практика по член 5, извън тесни изключения по медицински причини и за безопасност. Тази забрана е в сила от 2 февруари 2025 г. и не е била отлагана. Други форми на наблюдение могат да попаднат във високорисковата категория и подлежат и на изискванията за защита на личните данни.
Какво означава изискването за ИИ грамотност?
Член 4 изисква доставчиците и внедрителите да осигурят достатъчно ниво на ИИ грамотност на персонала, който работи с ИИ системи, съобразено с контекста и ролята. Няма предписан формат или брой часове. На практика изискването се изпълнява с обучение за възможностите, ограниченията и рисковете на конкретните инструменти и със записи кой е обучен, кога и по какво.
Достатъчен ли е ISO/IEC 42001 за съответствие с AI Act?
Не е достатъчен сам по себе си — регламентът не признава сертификати като доказателство за съответствие. ISO/IEC 42001 обаче покрива голяма част от изискваните процеси: управление на риска през жизнения цикъл, управление на данните, роли и човешки надзор. Извън обхвата му остават оценката на съответствието и специфичният формат на техническата документация.