Всяка втора статия за EU AI Act започва с числото 35 милиона евро. За собственик на малка или средна фирма това звучи като екзистенциална заплаха. В нашите разговори със счетоводни кантори и производствени МСП точно това заглавие предизвиква първата паника: „ще ни фалира ли един чатбот?"
Отговорът е не. Числото 35 милиона изобщо не се отнася за вашия чатбот или гласов агент. Тази статия разделя реалния риск от заглавния шум и показва колко всъщност може да загуби едно МСП по AI Act глоби, ако не се съобрази с новите правила.
Откъде идва числото 35 милиона (и защо не е за вас)
Глобите по AI Act не са едно число. Според Член 99 от Регламент (ЕС) 2024/1689 санкциите са степенувани по тежест на нарушението, точно както и самата регулация степенува рисковете.
Таванът от 35 милиона евро (или 7% от световния годишен оборот) важи само за най-тежкото нарушение: забранените практики по Член 5. Това са неща като социално оценяване на граждани, манипулация чрез подсъзнателни техники или биометрична идентификация в реално време на обществени места.
Нито едно нормално МСП не прави такива неща. Чатбот на сайта, гласова рецепция, OCR за фактури или AI, който пише маркетингови текстове, нямат нищо общо с Член 5. Заглавието за 35 милиона е реално число, но е закачено на грешната кука, когато плаши малкия бизнес.
Реалният таван за Член 50: 15 милиона или 3%
Задължението, което засяга типичното МСП, е прозрачността по Член 50: чатботовете и гласовите агенти трябва да казват, че са изкуствен интелект. То влиза в сила на 2 август 2026.
Санкцията за нарушение на Член 50 попада в средната степен. Според чл. 99(4) таванът е до 15 милиона евро или 3% от световния годишен оборот, което от двете е по-високо. За голяма мултинационална корпорация „по-високото" означава процентът. За малка фирма картината е различна, и точно тук е облекчението, което заглавията пропускат.
Облекчението за МСП: важи по-ниската стойност
Ето разпоредбата, която променя цялата аритметика. Според чл. 99(6) за малки и средни предприятия и стартъпи при определяне на глобата се взема по-ниската от двете стойности, а не по-високата.
За вас това означава следното: сравняват се фиксираният таван (15 милиона евро) и процентът (3% от вашия оборот), и се прилага по-малкото число. За микрофирма с малък оборот 3% винаги е драстично под 15 милиона. С други думи, таванът от 15 милиона е математически недостижим за малкия бизнес.
Един конкретен пример прави разликата очевидна:
| Тип фирма | Годишен оборот | 3% от оборота | Фиксиран таван | Реален максимум (МСП) |
|---|---|---|---|---|
| Микрофирма | 400 000 евро | 12 000 евро | 15 000 000 евро | 12 000 евро (по-ниското) |
| Малко МСП | 2 000 000 евро | 60 000 евро | 15 000 000 евро | 60 000 евро (по-ниското) |
| Голяма корпорация | 1 млрд. евро | 30 000 000 евро | 15 000 000 евро | 30 000 000 евро (по-високото) |
Числата в таблицата са илюстративни изчисления по логиката на чл. 99(4) и чл. 99(6), не са реални санкции. Важното е принципът: за МСП експозицията е процент от малък оборот и е таван, който на практика няма да бъде достигнат, а не абсолютната цифра от заглавието.
Пълната стълбица на глобите по Член 99
За пълнота, ето трите степени според Член 99. Забележете, че за МСП навсякъде важи по-ниската стойност (чл. 99(6)).
| Нарушение | Член | Таван (общо правило) | Тежест |
|---|---|---|---|
| Забранени практики | Чл. 5 | 35 млн. евро или 7% | Най-тежко |
| Прозрачност и повечето задължения | Чл. 50 и др. | 15 млн. евро или 3% | Средно |
| Подвеждаща информация към органите | Член 99 | 7,5 млн. евро или 1% | Най-леко |
Правоприлагането е в ръцете на националните органи за пазарен надзор, а не на Брюксел. Това има пряко значение за България, както ще видите по-долу.
AI Act глоби ≠ GDPR глоби: две различни системи
Тук се прави най-честата грешка. Много собственици на бизнес чуват „глоби до милиони евро за AI" и автоматично ги смесват с познатите GDPR глоби. Това са две отделни регулации с отделни санкции и отделни надзорни органи.
- AI Act глоби (Член 99) наказват как е проектирана и разкрита самата AI система: дали чатботът казва, че е AI, дали съдържанието е маркирано. Надзорът е на органа за пазарен надзор.
- GDPR глоби наказват как обработвате лични данни: съгласие, основание, сигурност, права на субектите. Таванът там е 20 милиона евро или 4% от оборота, а надзорът в България е на КЗЛД, не на органа за AI надзор.
Двете могат да се приложат за едно и също решение по различни причини, но се изчисляват независимо. Един и същ чатбот може да е изряден по AI Act (казва, че е AI) и същевременно да наруши GDPR (изпраща данните на клиентите ви в американски облак без основание). Затова глобите по GDPR са отделни и се разглеждат самостоятелно. Ако темата за GDPR санкциите ви интересува конкретно, разгледали сме ги подробно в наръчника за глобите по GDPR при AI и автоматизация.
Запомнете простото правило: AI Act глоби не са GDPR глоби. Смесването им е причината за половината паника около 2 август.
Българският контекст: защо не бива да чакате
Логичният въпрос е: „щом в България още няма кой да ме глоби, защо да бързам?" Обосновано е, но краткосрочно.
Според публичните данни към лятото на 2026 г. България все още няма определен орган за пазарен надзор по AI Act, а санкциите по националното право не са фиксирани. Министерството на електронното управление е водещият орган, но междуведомственото съгласуване тепърва предстои.
Това обаче не е защита. Регламентът е с директно действие: Член 50 се прилага от 2 август 2026 в България независимо от липсата на национален закон. Липсата на определен надзорен орган забавя активното санкциониране, но не отменя задължението. Когато органът бъде назначен, задължението вече ще е било в сила, а несъответствието ви ще е било факт от първия ден.
Как реално да сведете риска до минимум
Добрата новина, която се губи под заглавията: за типичното МСП задачата по Член 50 е кратка и евтина. Рискът не се неутрализира с адвокати и одити за десетки хиляди, а с едно правилно изречение и правилна архитектура.
- Разкриване. Всеки чатбот и гласов агент трябва да казва, че е AI асистент, най-късно при първото взаимодействие. При AI чатбот за обслужване на клиенти това е един ред в първото съобщение; при гласовите системи е първото изговорено изречение.
- Роли в договора. При нова изработка искайте изрично разпределение доставчик/внедрител и клауза кой поддържа разкриването. Това предпазва и вас, и изпълнителя от прехвърляне на отговорност.
- Къде отиват данните. Разкриването е първата стъпка, но не единствената. Много решения на пазара са тънка обвивка над американски облак, което едновременно вкарва данните ви под чужда юрисдикция и умножава GDPR риска. Ние изграждаме на собствена инфраструктура под българска и ЕС юрисдикция, за да не разменяте съответствие по AI Act за нарушение по GDPR. Подробно за подхода: автоматизация на собствена инфраструктура за МСП.
От нашия опит с внедрявания на чатботове и гласови агенти реалната работа по Член 50 се измерва в часове, не в месеци. Типична инвестиция за внедряване на съответстваща AI система при нас е между 2 500 и 15 000 евро според обхвата, с модел на тримесечна възвръщаемост, а съответствието по Член 50 е вградено от деня на пускане, не е отделна такса.
Ако искате да знаете къде точно стоите преди 2 август, заявете безплатен анализ и ще прегледаме вашите системи за конкретните точки на риск.
ЧЗВ
Колко е максималната AI Act глоба за малка фирма?
За нарушение на прозрачността по Член 50 таванът е 15 милиона евро или 3% от световния годишен оборот (чл. 99(4)), но според чл. 99(6) за малки и средни предприятия важи по-ниската от двете стойности. За микрофирма това означава на практика 3% от малък оборот, а не 15 милиона. Таванът от милиони е математически недостижим за МСП.
Вярно ли е, че глобата е до 35 милиона евро?
Числото 35 милиона евро (или 7%) съществува, но се отнася само за забранените практики по Член 5, като социално оценяване и биометрична идентификация в реално време. Обикновен чатбот, гласов агент или OCR решение нямат нищо общо с тази степен. За тях важи по-ниският праг по чл. 99(4).
AI Act глобите същите ли са като GDPR глобите?
Не. Това са две отделни регулации. AI Act глобите (Член 99) наказват как е проектирана и разкрита AI системата и се налагат от органа за пазарен надзор. GDPR глобите (таван 20 милиона евро или 4%) наказват обработката на лични данни и се налагат от КЗЛД. Могат да се приложат за едно решение, но се изчисляват независимо.
Има ли смисъл да се съобразя, щом България още няма надзорен орган?
Да. Регламентът е с директно действие и Член 50 се прилага от 2 август 2026 независимо от липсата на назначен орган за пазарен надзор. Отсъствието на орган забавя активното санкциониране, но не отменя задължението. Съответствието е много по-евтино да се вгради предварително, отколкото да се коригира под натиск.
Вашият коментар