Когато поръчвате чатбот или гласов агент, първият въпрос обикновено е цената. По-важният е друг: кой носи отговорност, ако системата не отговаря на изискванията? По AI Act отговорът зависи от ролята доставчик или внедрител, а не от това чий е сървърът. Ако купувате AI система, това разграничение определя кои задължения падат върху вас и кои остават при фирмата, която я изработва.
Разликата между доставчик и внедрител по AI Act не е юридическа дреболия. Тя решава кой проектира разкриването „това е AI", кой отговаря пред надзорния орган и кой плаща глобата при пропуск. И в един конкретен случай, който повечето купувачи пропускат, тя се обръща: клиентът, който е поръчал системата, сам става доставчик.
Защо ролята, а не инфраструктурата, определя отговорността
Според Регламент (ЕС) 2024/1689 (EU AI Act) задълженията се разпределят по функция в жизнения цикъл на системата, не по собственост върху хардуера. Това е умишлено. Една и съща система може да работи на облак на клиента, но да е проектирана изцяло от изпълнителя, или обратното.
Аналогията, която работи за българския бизнес: точно както GDPR разделя администратор и обработващ данни, AI Act разделя доставчик (provider) и внедрител (deployer). Ролята носи задълженията, независимо кой притежава сървъра. Ако вече сте минали през GDPR картографирането, логиката е позната: първо определяш роля, после задължения.
Доставчик (provider): този, който проектира и разработва
Доставчик е субектът, който разработва AI системата или я пуска на пазара под свое име. Според Член 50 от Регламента върху доставчика падат двете „вградени" задължения:
- Проектиране на разкриването (50(1)). Системата трябва да е построена така, че човекът да разбере, че говори с изкуствен интелект, най-късно при първото взаимодействие. Това не е стикер отгоре: то се залага в самата логика на бота.
- Маркиране на AI-съдържанието (50(2)). Ако системата генерира аудио, образ, видео или текст, изходът трябва да носи машинно четима маркировка, че е AI-генериран.
За повечето български фирми доставчикът е агенцията или разработчикът, който изгражда системата. Ако поръчвате AI чатбот за обслужване на клиенти или гласов агент за входящи обаждания, задължението разкриването да е вградено в първото изречение е на изпълнителя-доставчик, не на вас.
Внедрител (deployer): този, който оперира системата към хората
Внедрител е субектът, който използва системата в реална експлоатация към крайните потребители. Според Член 50 върху внедрителя падат:
- Разкриване при разпознаване на емоции и биометрична категоризация (50(3)): информиране на изложените лица.
- Разкриване на дийпфейкове и AI-текст по обществен интерес (50(4)): обозначаване, че съдържанието е изкуствено генерирано или манипулирано.
- Забрана да се деактивира вграденото разкриване. Внедрителят не бива да изключва механизма „това е AI", който доставчикът е вградил.
В типичния сценарий за МСП вашата фирма е внедрителят: вие пускате бота към клиентите си. Доставчикът ви дава система с готово разкриване, а вие носите отговорност да не я осакатите и да покриете своите специфични задължения (напр. ако публикувате AI-генерирана реклама).
Роли и задължения: кратка карта
| Роля | Кой е | Основни задължения по Член 50 |
|---|---|---|
| Доставчик (provider) | Проектира/разработва системата или я пуска под свое име | 50(1) вградено разкриване при пряко взаимодействие; 50(2) машинно четимо маркиране на AI-съдържание |
| Внедрител (deployer) | Оперира системата към крайните потребители | 50(3) при разпознаване на емоции; 50(4) при дийпфейк/публичен текст; да не деактивира вграденото разкриване |
Според насоките на Европейската комисия по прозрачност (приети на 20 юли 2026) двете роли могат да съвпадат в едно лице, когато фирмата сама разработва и сама оперира системата. Тогава тя носи и двата пакета задължения.
Член 25: кога купувачът се превръща в доставчик
Тук е капанът, който повечето договори за изработка не адресират. Според Член 25 от Регламента внедрителят (клиентът) поема ролята на доставчик в няколко случая:
- Пуска системата под свое име или търговска марка. Ако купите „бял етикет" бот и го брандирате изцяло като свой продукт, регулаторно вие ставате доставчикът.
- Прави съществена модификация на системата след пускането ѝ.
- Променя предназначението на системата така, че тя да попадне в друга рискова категория.
Практическото следствие е директно: ако мислите, че сте „само клиент", но сте пребрандирали и преработили системата, задълженията на доставчика (вграденото разкриване, маркирането, техническата документация) вече са ваши. Затова при модела „изработка за клиента", където клиентът владее инстанцията, разпределението на ролите не е очевидно и трябва да се фиксира черно на бяло.
Митът „съответствието идва от Azure или Anthropic"
Често чуваме: „Ботът е на Azure OpenAI, значи съответствието по AI Act е тяхно." Това е правно неточно.
Доставчиците на модели с общо предназначение (GPAI: Claude, Gemini, GPT, моделите на ElevenLabs) имат собствени задължения от 2 август 2025, но те лежат върху доставчика на модела. Според разграничението в Регламента задължението за прозрачност по 50(1) е на този, който проектира приложението, не на този, който доставя модела. Моделът е компонент. Разкриването „това е AI" е отговорност на онзи, който строи системата върху него.
С други думи: изборът на американски или европейски модел не мести отговорността по Член 50. Затова и въпросът „къде отиват данните" е отделен от „кой разкрива, че е AI" – и двата трябва да имат отговор. Ако системата е тънка обвивка над чужд облак, наследявате юрисдикционен риск, който вграденото разкриване не покрива. Ние изграждаме на собствена инфраструктура под ЕС юрисдикция именно за да не се разминават двата въпроса.
Защо договорът трябва да разпределя ролите
Ако ролите не са записани, при проверка всяка страна ще сочи другата. Затова договорът за изработка на AI система трябва изрично да казва:
- Кой е доставчик и кой внедрител по смисъла на чл. 25.
- Кой осигурява и поддържа разкриването по Член 50 (проектиране от доставчика, неизключване от внедрителя).
- Кой носи AI грамотността (чл. 4): клиентът инструктира операторите си, че работят с AI система.
- Отговорност при съществена модификация: ако клиентът преработи системата, той приема ролята на доставчик.
От нашия опит с внедрявания това е един параграф в договора, но спестява целия спор „кой е виновен" по-късно. В договорите ни разпределението доставчик/внедрител по чл. 25 е стандартна клауза, а не добавка. Същата дисциплина, която прилагаме при ролите администратор/обработващ по GDPR при AI автоматизация, важи и тук.
Колко струва грешката при роля? Според чл. 99(4) нарушение на прозрачността по Член 50 се санкционира до 15 милиона евро или 3% от световния оборот, което е по-високо. За малки и средни предприятия обаче важи по-НИСКАТА от двете стойности (чл. 99(6)), тоест за микрофирма това е малка абсолютна сума. Реалната цена не е глобата, а объркването кой поема кое.
Какво да искате при поръчка на AI система
Кратък списък за купувача:
- Питайте кой е доставчикът в договора. Ако системата е под ваше име, вероятно сте вие (чл. 25).
- Искайте вграденото разкриване като част от доставката, не като допълнителна такса.
- Изяснете при съществена модификация кой поема ролята на доставчик след промяната.
- Уверете се, че разкриването не се наследява автоматично от доставчика на модела – то е на нивото на системата.
Типична инвестиция за внедряване на съответстваща AI система е между 2 500 и 15 000 евро според обхвата, с модел на тримесечна възвръщаемост. Разпределените роли и вграденото разкриване са част от изработката, не отделен разход.
Ако не сте сигурни коя роля носите за вашия чатбот или гласов агент, заявете безплатен анализ и ще картографираме ролите и задълженията ви за конкретната система.
ЧЗВ
Каква е разликата между доставчик и внедрител по AI Act?
Доставчик (provider) е този, който проектира, разработва или пуска AI системата под свое име: върху него падат вграденото разкриване по 50(1) и маркирането по 50(2). Внедрител (deployer) е този, който оперира системата към крайните потребители: негови са задълженията по 50(3) и 50(4), плюс да не деактивира вграденото разкриване. Ролята се определя по функция, не по това чий е сървърът.
Кога клиентът, който е поръчал системата, става доставчик?
Според чл. 25 от Регламента внедрителят поема ролята на доставчик, когато пуска системата под свое име или марка, прави съществена модификация или променя предназначението ѝ. Ако сте пребрандирали или сериозно преработили закупен бот, регулаторно вероятно сте станали доставчик и носите неговите задължения.
Ако ботът ни е на Azure OpenAI, тяхно ли е съответствието по Член 50?
Не. Доставчикът на модела (Azure OpenAI, Anthropic, Google) има свои задължения като GPAI доставчик, но задължението за прозрачност по 50(1) е на този, който проектира самото приложение. Съответствието по Член 50 е на ниво система и не се наследява от доставчика на модела.
Защо е важно ролите да са записани в договора?
Защото при проверка всяка страна сочи другата. Договорът трябва изрично да разпредели кой е доставчик и кой внедрител, кой поддържа разкриването и кой поема ролята на доставчик при съществена модификация. Без този запис отговорността остава спорна, а санкцията по чл. 99 пада върху неизяснената страна.
Вашият коментар