EU AI Act: какво трябва да знае малкият бизнес

Защо AI Act засяга и вас, не само големите AI компании

„AI Act е закон за OpenAI, Google и другите AI гиганти - мен не ме засяга, защото аз само ползвам чатбот и програма за фактури.“ Това е най-разпространената грешна представа сред собствениците на кантори, салони и малки офиси, откакто новината за европейския регламент за изкуствен интелект стигна до тях. Наполовина вярна е - и точно затова е опасна.

Вярно е, че по-голямата част от закона е насочена към компаниите, които създават AI модели: строги технически изисквания, документация, оценки на риска преди пускане на пазара. Ако не разработвате свой модел, тази тежка част не е за вас. Но регламентът въвежда и втора роля - „внедрител“ (deployer) - всеки бизнес, който използва AI инструмент в реалната си работа с клиенти или служители. Ако имате чатбот на сайта, гласов агент на телефона или инструмент, който чете фактури, вие сте внедрител по закона - независимо дали сте фирма с трима служители или с триста.

Обхватът на закона не зависи от размера на компанията, а от това какво прави конкретният AI инструмент и с чии данни работи. Затова следващите раздели тръгват не от юридическия текст, а от практическия въпрос, който наистина има значение: кои от инструментите, които вече ползвате, изискват действие от ваша страна - и кои изобщо не ви засягат.

Какво казва законът накратко - нива на риск

EU AI Act (Регламент за изкуствения интелект на Европейския съюз) разделя всеки AI инструмент в едно от четири нива на риск, а не третира „изкуствения интелект“ като едно цяло.

Недопустим риск обхваща практики, които законът забранява директно - например социален скоринг на граждани или манипулативни техники, които заобикалят волята на човека. Малко бизнеси някога се доближават до тази категория, но е важно да знаете, че съществува - защото някои доставчици на софтуер за наблюдение на служители минават точно през нея.

Висок риск обхваща системи, които влияят пряко на достъпа на човек до работа, кредит, застраховка или обществена услуга - AI за подбор на персонал, автоматична оценка на кредитоспособност, инструменти за застрахователно ценообразуване. Тук изискванията са сериозни: документация, човешки надзор, тестове преди употреба.

Ограничен риск е категорията, в която попадат повечето инструменти, които ползват счетоводна кантора, козметичен салон или адвокатска практика - чатботове, гласови агенти, генератори на текст и изображения. Изискването тук е далеч по-леко: прозрачност. Клиентът трябва да знае, че разговаря с AI, а не с човек, освен когато това е очевидно от контекста.

Минимален риск покрива всичко останало - инструменти за вътрешна организация, филтри за спам, повечето автоматизации на административни задачи. За тях законът не поставя нови задължения.

„Внедрител“ срещу „производител“ - вие сте в първата категория

Разликата между двете роли решава почти всичко за това какво реално се очаква от вас.

Производителят е компанията, която създава AI модела или системата и я пуска на пазара - тя носи тежестта на техническата документация, оценките на риска и съответствието на самия продукт с изискванията на закона. Ако купувате готов чатбот, гласов агент или инструмент за разпознаване на документи от доставчик, производителят на тази технология - не вие - носи тази отговорност.

Внедрителят е всеки, който използва готовия инструмент в своята работа. Задълженията тук са по-тесни, но не са нулеви: използвайте системата по предназначение и според инструкциите на производителя, осигурете човек, който може да наблюдава и да спре системата при нужда, пазете основна документация за това как и къде я използвате, и - при системи с висок риск - информирайте засегнатите служители.

За повечето собственици на бизнес добрата новина е точно тук: ако купувате доказан инструмент от сериозен доставчик, а не строите собствен AI модел, за вас важи само по-леката, внедрителска част от закона. Лошата новина е, че „по-лека“ не значи „никаква“ - и точно тази разлика е причината толкова много собственици на бизнес да останат неподготвени.

Кои от вашите AI инструменти реално попадат под закона

Практическата проверка е по-проста, отколкото звучи текстът на регламента. Минете инструмент по инструмент:

• Чатбот на сайта или в Messenger - ограничен риск. Задължението е клиентът да разбере, че говори с AI, освен ако това вече е очевидно (име като „AI асистент“, кратко съобщение при старт на разговора).
• Гласов агент по телефона - същата логика. Обаждащият се трябва да знае, че говори с AI, преди разговорът да продължи по същество.
• Инструмент за четене на фактури и документи (OCR) - обикновено минимален риск. Извлича данни, не взима решения за хора.
• AI за подбор на персонал или оценка на кандидати - висок риск, ако инструментът реално филтрира или отхвърля кандидати автоматично. Изисква документация и човешки контрол на всяко решение.
• Общ AI асистент (ChatGPT и подобни) за вътрешна употреба - минимален риск, стига да не взима самостоятелни решения за клиенти или служители.
• Инструмент за наблюдение на служители с разпознаване на емоции - тук е зоната, в която трябва да сте най-внимателни: определени форми на емоционално разпознаване на работното място са сред забранените практики.

Ако инструментът само отговаря на въпроси, чете документи или организира график, рискът е нисък и задължението е леко. Ако взима решение вместо човек за друг човек - кого да наемете, на кого да отпуснете кредит - рискът скача рязко и с него идва и тежестта на закона.

Срокове - кога влизат в сила отделните части

Регламентът не влиза в сила изведнъж - прилага се на етапи, което на практика ви дава време да се подготвите, но и означава, че „нищо още не важи“ спира да е вярно на различни дати за различни части от закона.

Забранените практики важат първи - те вече са в сила. Задълженията към моделите с общо предназначение (GPAI - технологиите, върху които са изградени повечето чатботове) следват скоро след това. Основната част от изискванията към системите с висок риск влиза в сила по-късно, с допълнителен гратисен период за системи, вградени в продукти, регулирани вече от друго европейско законодателство.

Глобите за най-тежките нарушения се изчисляват като процент от глобалния годишен оборот на компанията - достатъчно високи, за да са реален риск дори за фирма извън категорията на технологичните гиганти. За повечето бизнеси в България обаче по-реалният риск не е самата глоба, а спряна услуга, загубено доверие на клиент или доставчик, който внезапно спира да поддържа продукт, останал извън съответствие.

Как да сте готови без юрист на пълен щат

Не ви трябва вътрешен юридически отдел, за да сте в съответствие - трябва ви ред и няколко часа внимание.

1. Направете списък на всеки AI инструмент, който реално ползвате - чатбот, гласов агент, OCR за фактури, вътрешен асистент. Повечето собственици се изненадват колко дълъг излиза списъкът.
2. За всеки инструмент отбележете дали клиентът знае, че говори с AI. Ако не знае и не е очевидно от контекста, това е първата поправка, която трябва да направите.
3. Проверете дали някой инструмент взима решение вместо човек за друг човек - наемане, кредит, застраховка, оценка на служител. Това е сигналът за висок риск.
4. Поискайте документация от доставчика - при система с висок риск той е длъжен да ви я предостави. Ако отказва или няма такава, това само по себе си е тревожен знак.
5. Определете кой в бизнеса отговаря за всеки инструмент - дори ако това сте самите вие. Законът изисква някой да може да наблюдава и да спре системата, не изисква цял отдел.

Точно тук повечето собственици на бизнес правят една и съща грешка - опитват се да прегледат всичко наведнъж, вместо да го направят част от решението преди всяка следваща инвестиция. Преди да добавите нов AI инструмент, си струва да пресметнете с калкулатора колко часа реално ще спести той - защото инструмент, който не си заслужава времето за проверка на съответствието, вероятно не си заслужава и парите.

Ако списъкът с инструменти расте, а несигурността расте с него, ролята на стратегически партньор е точно тук - да прегледа всичките ви AI инструменти наведнъж, да сортира нивата на риск и да остави план, който не се налага да преправяте на всеки шест месеца. Това е и същността на нашето стратегическо AI консултиране.

Следващи стъпки

EU AI Act не е причина да спрете да ползвате AI инструменти - той е причина да знаете точно кой от тях какво изисква от вас, преди да добавите следващия. За повечето бизнеси, които купуват готови решения, а не строят собствени модели, задължението е леко: прозрачност към клиента, ясен собственик на решението и документация от доставчика. За малкото инструменти с по-висок риск - тези, които решават вместо хора - подготовката трябва да започне сега, не когато глобата стигне до пощата.

Ако не сте сигурни в коя категория на риска попада конкретен инструмент във вашия бизнес, вижте и как да вкарате AI в бизнеса си без излишни рискове или прочетете откъде да започнете AI стратегията на бизнеса си. А ако искате някой да прегледа реалните ви инструменти и да ви каже честно кое изисква действие и кое - не, пишете ни.