Как да спазвам GDPR с AI?
За да спазваш GDPR, когато използваш AI през 2026 г., трябва да третираш AI като обработване на лични данни: опиши целите и данните, избери правно основание, минимизирай и защити данните, направи DPIA при висок риск, уреди отношенията с доставчици (processors) с DPA, осигури прозрачност и права на субектите, и добави контролни точки за логове, модели и автоматизирани решения.
GDPR съответствието при AI не е документ, а набор от процеси: данни, договори, контрол и доказуемост.
Въведение
AI системите често обработват лични данни по повече канали, отколкото очакваш:
- входни данни (формуляри, тикети, чатове, документи),
- логове (prompts, отговори, telemetry),
- обучаващи данни (исторически записи),
- изходи (решения, профилиране, препоръки).
Това означава, че GDPR не е "странична тема"; то е архитектурно изискване.
Паралелно с GDPR, през 2026 г. вече тече и графикът на EU AI Act (различни дати на приложимост за различни задължения), което е важно при high-risk и регламентирани случаи.
Ако не знаеш къде се съхраняват prompt-овете, логовете и обучаващите ти данни, реално не контролираш личните данни.
Стъпка 1: Направи data mapping (карта на данните)
Цел: да можеш да отговориш "Какво имаме, къде е и как се трие?"
Направи таблица:
- категория данни (PII, чувствителни, идентификатори),
- източник (CRM, сайт, имейл, документи),
- цел (support, персонализация, риск),
- получатели (вътрешни екипи, доставчици),
- местоположение (регион),
- retention (дни/месеци),
- механизъм за изтриване.
Не забравяй:
- backup-и,
- observability системи,
- error tracking,
- експорти за анализ.
Стъпка 2: Определи ролите (controller/processor) и DPA
При AI доставчици почти винаги имаш:
- ти: controller (определяш целите),
- доставчикът: processor или понякога joint controller.
Провери договорно:
- има ли DPA,
- има ли sub-processors,
- има ли трансфери извън ЕИП,
- какво е обещано за използване на данните (например за обучение/подобряване),
- как се трият данните при прекратяване.
Стъпка 3: Правно основание и purpose limitation
Избери правно основание (контекст-зависимо):
- договор,
- легитимен интерес,
- съгласие,
- законово задължение.
Уточни "purpose limitation":
- ако събираш данни за поддръжка, не означава автоматично, че можеш да ги използваш за обучение на модели.
Практика: отдели "оперативно обработване" от "обучение/подобряване" като различни цели с различни оценки.
Стъпка 4: Минимизация и контрол на входовете (prompt hygiene)
AI обича да поглъща всичко, но GDPR не.
Мерки:
- redaction преди изпращане към модел (премахване на имена/ЕГН/телефони),
- allowlist на полета (пращаш само нужните),
- отделяне на идентификатор от съдържание (pseudonymization),
- забрана на потребителя да въвежда определени чувствителни данни (UI подсказки).
Пример: ако класифицираш тикет, често не ти трябват имена и телефони.
Стъпка 5: Прозрачност (privacy notice) и информираност
Осигури ясна информация:
- че използваш AI,
- за какви цели,
- какви категории данни,
- на кого се изпращат,
- retention,
- права и как да се упражнят.
Особено важно:
- ако записваш разговори за подобрение,
- ако има профилиране,
- ако AI влияе на значими решения.
Стъпка 6: Права на субектите (DSAR процес)
Провери дали реално можеш да изпълниш:
- достъп,
- изтриване,
- корекция,
- възражение,
- преносимост.
AI специфично:
- къде точно се намира данните (логове, datasets, storage),
- дали можеш да изтриеш или да "de-identify" записи,
- какво означава "изтриване" при агрегирани статистики.
Стъпка 7: DPIA (Data Protection Impact Assessment)
DPIA е нужна при висок риск.
AI често попада там, когато:
- обработва чувствителни данни,
- прави профилиране,
- влияе на достъп до услуги/работа/кредит,
- използва мащабно наблюдение.
DPIA минимум:
- описание на обработването,
- необходимост/пропорционалност,
- риск и вероятност,
- мерки и остатъчен риск,
- план за мониторинг.
Стъпка 8: Сигурност (security) и достъп
Минимум за продукция:
- криптиране в transit/at rest,
- IAM с least privilege,
- разделяне dev/stage/prod,
- мониторинг и alert-и,
- план за инциденти.
AI специфично:
- защита от prompt injection (ако има RAG/tools),
- филтриране на изхода за data exfiltration,
- rate limiting.
Стъпка 9: Retention и логове (най-честият провал)
Типични проблеми:
- prompts/outputs се логват без срок,
- данни се пазят "за всеки случай",
- няма процес за изтриване от backup-и.
Решение:
- дефинирай retention по тип данни (например 30/90/180 дни),
- отдели "оперативни логове" от "обучаващи данни",
- автоматизирай изтриване.
Стъпка 10: Автоматизирани решения и човешка намеса
Ако AI влияе на решения със значим ефект върху човек:
- осигури прозрачност и обяснение,
- осигури човешка намеса,
- осигури процес за оспорване,
- тествай за fairness и грешки.
Какво да следиш през 2026 (GDPR + AI Act)
- EDPB публикува резултати от ChatGPT Task Force (2024) като сигнал как DPA-тата гледат на прозрачност, правно основание и точност.
- EU AI Act има график с различни дати на приложимост; според официалната времева линия изискванията за high-risk системи се прилагат от 2 август 2026 г., което е важна дата за плановете ти.
Мини чеклист за екип
- Имаме ли карта на данните (включително логове и backup-и)?
- Имаме ли DPA и ясни условия за използване на данните?
- Имаме ли ретенция и автоматично изтриване?
- Имаме ли DPIA, ако рискът е висок?
- Имаме ли DSAR процес, който работи на практика?
Чести грешки, които да избягваш
- Липса на retention политика за AI логове.
- "Обучение върху всичко" без правно основание.
- Непрозрачни политики към потребителя.
- Няма процес за DSAR.
Често задавани въпроси (FAQ)
1) Ако ползвам AI API, пак ли съм controller?
В повечето бизнес случаи да, защото ти определяш целта и начина на използване. Провери договорите, но доставчикът често е processor.
2) Мога ли да използвам потребителски чатове за обучение?
Само при правно основание, прозрачност и минимизация, плюс механизми за отказ/изтриване. Често е по-безопасно да ползваш анонимизирани или синтетични данни.
3) DPIA задължителна ли е за всеки AI проект?
Не за всеки, но за много AI случаи рискът е висок (профилиране, чувствителни данни, решения с ефект). При съмнение направи DPIA.
4) Какво да правя с prompt логовете?
Третирай ги като лични данни: минимизирай съдържанието, дефинирай retention, контролирай достъпа и осигури изтриване.
5) GDPR и EU AI Act заменят ли се?
Не. GDPR остава законът за личните данни. EU AI Act добавя AI-специфични задължения, без да отменя GDPR.
Източници (проверени 2024-2026)