Регулацията на изкуствения интелект, касаещ интелектуална собственост, отговорност за вреди и защитата на лични данни в България, като страна-членка на ЕС.
1.Увод.
Изкуственият интелект (AI) навлезе масово в обществения и икономическия живот, като неговото приложение се разширява ежедневно – от автоматизация на процеси до генеративни модели, които създават текстове, изображения, музика и видео съдържание. Това поражда значителни въпроси относно авторското право, защитата на личните данни, гражданската и регулаторната отговорност, както и необходимите механизми за защита при злоупотреби като deepfake манипулации. Поради трансграничния характер на цифровите услуги и глобалното обучение на големи езикови модели, тези въпроси вече се разглеждат не само като част от вътрешното право, но и като елемент от общата нормативна архитектура на Европейския съюз и международното публично право. Настоящото становище обобщава действащата българска и европейска рамка, международните тенденции и набелязва ключови правни механизми за защита на засегнати лица.
2.Състояние на правната уредба в България.
Към настоящия момент Република България няма самостоятелен закон за изкуствения интелект. Въпреки това в сила са няколко групи закони, които се прилагат пряко към AI системите:
- GDPR (Общ регламент за защита на данните) — основен акт при работа с лични и биометрични данни;
- Закон за защита на личните данни (ЗЗЛД) - относно незаконната обработка на лични данни чрез изкуствен интелект;
- Закон за киберсигурност - относно престъпленията, базирани на изкуствен интелект;
- Закон за електронното управление - относно използването на изкуствен интелект в публичната среда;
- Закон за авторското право и сродните права (ЗАПСП) - относно лицензирането на авторско съдържание и преработването/обработването му с изкуствен интелект;
- Закон за защита на потребителите - относно регулацията на използването на изкустевен интелект при IoT устройставата;
- Наказателен кодекс, в частта за измами, изнудване, клевета, нерегламентиран достъп и др.
Тази законодателна рамка действа до окончателното въвеждане на Европейския регламент за AI (EU AI Act), който ще бъде централен нормативен акт в областта и ще се прилага пряко. Важно е да се подчертае, че при отсъствието на специален закон българското право разчита на функционална интеграция между съществуващи закони, което често създава празноти, тъй като разпоредби, създадени за традиционни цифрови системи, се оказват неприложими към самостоятелно обучаващи се модели, автономни алгоритми и нелинейни системи, генериращи предсказуемо, но не напълно контролируемо поведение.
3.Мястото на България в европейската рамка – Регламент (ЕС) за изкуствения интелект (EU AI Act)
EU AI Act е първият в света цялостен закон за изкуствения интелект. Той въвежда категоризация на AI системите на:
- Забранени системи – включва социално скориране, манипулативни алгоритми, неконтролируемо биометрично проследяване;
- Системи с висок риск – здравеопазване, транспорт, критична инфраструктура, образование, правоприлагане и др.;
- Системи с ограничен риск – чатботове, генеративни модели, препоръчителни системи;
- Минимален риск – игри, филтри, незначителни автоматизации.
За високорисковите системи се въвеждат задължения за: оценка на съответствието, регистрация, стриктна документация, човешки надзор и киберсигурност. Генеративните модели (като ChatGPT) ще трябва да изпълняват изисквания за прозрачност, маркиране на AI генерирано съдържание и технически мерки за предотвратяване на злоупотреби. България ще е задължена да създаде национален надзорен орган по AI и да прилага санкции при нарушения.
4.Авторското право в контекста на изкуствения интелект.
Развитието на изкуствения интелект (AI) поставя на дневен ред редица правни и етични въпроси, свързани с интелектуалната собственост. Един от най-актуалните въпроси е статутът на произведения, които са създадени с помощта на AI или изцяло от него. Дали алгоритъмът може да бъде признат за автор? Как се защитават произведенията, в които човек и машина работят съвместно? И кои ограничения трябва да се въведат при използването на защитени данни за обучение на модели? Тези въпроси не са само теоретични – те оказват влияние върху практиката на творците, технологичните компании и законодателите.
4.1. Може ли AI да бъде автор?
Според действащото европейско законодателство и законодателната ранка в България, както и съществуващата съдебна практика по темата, AI не може да бъде признат за автор. Основният аргумент е, че авторското право защитава единствено и само „човешкото творчество“, което предполага наличие на творчески избор, интуиция и субективно решение от човек. Машините, независимо колко сложни и способни са те, действат въз основа на алгоритми и статистически модели и нямат съзнание или индивидуално творчество в рамките на понятието "творчески принос". Оттук следват две ключови категории произведения:
- Произведения, създадени от човек с помощта на AI – тук човекът остава централният автор. Например, композитор, който използва генеративен AI за създаване на музикални идеи, аранжименти или кавъри, или художник, който дооформя визуални концепции, генерирани от алгоритъм, запазва авторските си права върху крайния продукт. Правната защита е е базирана на авторски принос на човечкото същество, защото творческият избор е направен именно от него на база на зададените параметри и задачи къ, изкуствения интелект;
- Произведения, генерирани изцяло от AI – такива произведения остават извън обхвата на авторското право, поне в ЕС, съптветно в България. Машината не може да бъде носител на авторски права, а произведението, създадено без човешка намеса, не се счита за „интелектуална собственост“ в традиционния смисъл на това понятие. Това създава правен вакуум, който засега остава нерешен и предизвиква дебати за бъдещи регулации от авторскоправно и етично естетсво.
4.2. Обучителни данни и авторски права.
Друг ключов аспект е въпросът за данните, използвани за обучение на AI. Големите езикови модели и генеративните системи се обучават върху огромни масиви текстове, изображения, видеа, снимки, дизайни, музика и други произведения, често защитени с авторски права. Използването на тези материали без съгласие на авторите поражда легални и етични проблеми.
В Европейския съюз се наблюдава тенденция към въвеждане на по-ясни правила, които да регулират този процес като например говорим за документиране на обучителните данни – създаването на прозрачни регистри с информация за използваните произведения ще улесни проследяването на авторството и правата върху съдържанието.
Но второ място е открит дебата и относно ограничаване на използването на защитени произведения без лиценз – AI системите ще трябва да получават разрешение или лиценз за включване на материали, които са обект на авторско право, като в този контекст се въвежда понятието „колективно лицензиране“ – въвеждането на механизми за групово лицензиране на големи тренировъчни набори ще позволи на разработчиците да работят законно с произведения, без да нарушават правата на отделни автори.
Тази еволюция в правната рамка цели да балансира интересите на технологичните иноватори и правата на творците, като същевременно осигури устойчиво развитие на AI индустрията.
5.Отговорност при вреди, причинени от AI.
Един от най-често поставяните въпроси във връзка с изкуствения интелект (AI) е: кой носи отговорност, ако AI даде грешна информация, доведе до вреди или подвежда потребителите? Това е ключов въпрос, тъй като системите с AI все по-често взимат решения, влияещи върху финансови, здравни или социални резултати, а границата между техническата неизправност и човешката грешка понякога е неясна.
5.1. Отговорността е многопластова.
Според законодателната рамка на Европейския съюз (ЕС) и предложените европейски правила за отговорност за AI, отговорността се разпределя между различни участници в екосистемата на AI, като всеки носи различен дял в зависимост от ролята си:
-Доставчикът – това е компанията или организацията, която е създала или разработила AI системата. Тя носи отговорност за дефекти в софтуера или алгоритъма, за липса на адекватен контрол и тестове, както и за недостатъчна прозрачност. Например, ако AI система за медицинска диагностика дава грешни препоръки за лечение поради дефектен алгоритъм, доставчикът може да бъде държан отговорен.
- Интеграторът или операторът – това е компанията, която внедрява AI системата в конкретна услуга или процес. Той носи отговорност, ако не е извършил необходимите проверки, обучения или настройки, които да гарантират безопасното функциониране на системата. Например, ако онлайн платформа използва AI за автоматично одобряване на кредити, но не обучи служителите как да контролират решенията на системата, интеграторът може да бъде частично отговорен.
- Потребителят – лицето или организацията, която използва AI системата, също носи отговорност, ако я използва в нарушение на указанията или без необходимия човешки контрол. Например, ако потребителят използва генеративен AI за създаване на юридически документи без проверка от квалифициран специалист и това доведе до финансови загуби, отговорността може да бъде прехвърлена към него.
Тази многопластова структура на отговорност цели да избегне сляпо обвинение на единствен участник и да гарантира, че всички участници в жизнения цикъл на AI поемат съответните рискове.
5.2. Облекчено доказване на вреди.
Европейските правила въвеждат и принципи, които облекчават доказването на вреди, причинени от AI системи. Те включват като базисна мярка правото на разкриване на вътрешна техническа документация – пострадалият може да поиска достъп до алгоритми, логове и други технически материали, които иначе са търговска тайна. Това помага да се докаже причинно-следствената връзка между поведението на AI и настъпилите вреди.
Второ – разработва се концепцията за презумпция за вина при определени AI системи – за високорискови AI системи законодателят може да предполага вина на оператора или доставчика, ако системата е причинила вреди, докато доказването на обратното остава на тях. Това намалява тежестта на доказване за пострадалите и стимулира създателите и операторите на AI да поддържат по-високи стандарти за безопасност и прозрачност.
Тези механизми показват, че ЕС се стреми не само да насърчава иновациите в AI, но и адекватно да защитава правата на гражданите, създавайки баланс между технологичен прогрес и обществена отговорност.
6.Защита при злоупотреба с биометрични данни и чувствителна информация.
Биометричните данни – като лице, отпечатъци, глас, походка и други уникални характеристики – са специална категория лични данни, наречени „чувствителни лични данни“. Те са особено уязвими към злоупотреба, тъй като могат да идентифицират индивиди с висока точност и да се използват за контрол, наблюдение или манипулация. Поради това спрямо тях се прилагат най-строгите правила за защита на личните данни и тежки санкции при нарушения.
6.1. Защита по GDPR.
Под европейския Регламент за защита на личните данни (GDPR) и националното законодателство, всеки засегнат има следните възможности:
- Жалба до Комисията за защита на личните данни (КЗЛД) – органът следи за нарушения на правата на физическите лица, включително неправомерна обработка на биометрични данни.
- Обжалване пред съда – прилагат се правилата за местна и родова подсъдност; съдът може да постанови спиране на обработката, премахване на данни или обезщетение за вреди.
- Търсене на обезщетение за вреди чрез иск по чл.45 от ЗЗД – пострадалият може да изисква компенсация за морални и материални щети, причинени от незаконното използване на данните по гражданскоправен път.
Санкциите в ЕС могат да бъдат изключително тежки – до 20 милиона евро или до 4% от годишния глобален оборот на нарушителя, в зависимост от това кое е по-голямо, като целта е да се създаде реален финансов стимул за спазване на правилата.
7. Deepfake, манипулации и фалшиви видео материали.
С разрастването на генеративния AI, злоумишлено създадените deepfake видеа, снимки, карикатури и други манипулирани материали представляват сериозна заплаха за личните права и репутация на хората. При използване на чужд образ без съгласие става въпрос за незаконна обработка на биометрични данни, тъй като се използва уникална идентифицираща характеристика на лицето.
От наказателноправна гледна точка тук е възможно да е налице престъпление по Наказателния кодекс (НК) – например клевета, измама, изнудване или други престъпления, свързани с нарушаване на лични права. Тук следва да бъдат сезирани прокуратурата и ГДБОП, сектор „Компютърни престъпления“.
Естествено се появяват и основания за граждански иск за вреди по чл.45 от ЗЗД, включително за морални и финансови щети, като в рамките на гражданския процес като обезпечителни мерки пострадалият може да поиска незабавно премахване на съдържанието от интернет чрез съдебни или извънсъдебни технологични мерки(чрез сигнали до социалните мрежи и Гугъл например).
При трансгранични нарушения може да се ангажира международна правна помощ, например чрез Европейската мрежа на органите за защита на данните, сезиране на „Европол“ при компютърни престъпления и т.н.
Съгласно EU AI Act, deepfake съдържанието трябва задължително да бъде маркирано като изкуствено, за да се гарантира прозрачност и защита на потребителите, като се предотвратят подвеждащи или манипулативни практики. Това правило е особено важно за политически кампании, медийни публикации и рекламни материали, където манипулацията може да има сериозни последствия.
8.Относно ролята на българските институции.
В България основните институции, които имат отношение към развитието, внедряването и надзора на AI системите, изпълняват специфични и допълващи се функции:
-Министерство на електронното управление – отговаря за дигиталната трансформация на публичния сектор, разработва политики за електронна идентичност и участва активно в европейски инициативи за AI. Министерството координира национални програми за внедряване на AI в държавната администрация и насърчава иновациите при цифровите услуги.
- Комисия за защита на личните данни (КЗЛД) – осъществява надзор върху обработката на лични данни от AI системи, включително биометрични и чувствителни данни. Комисията има право да налага санкции, да издава препоръки и да следи за спазването на GDPR и националното законодателство.
- Комисия за защита на потребителите (КЗП) – контролира подвеждащи услуги, неправомерни търговски практики и използването на AI за манипулация на потребителите. КЗП може да изисква премахване на подвеждаща информация и да налага глоби.
- Държавна агенция „Електронно управление“ (ДАЕУ) – отговаря за киберсигурността, определянето на стандарти и най-добри практики за внедряване на AI в публичния сектор. Агенцията следи за техническата безопасност и устойчивост на критични системи.
- Съдебната система – играе централна роля при защита на гражданите и бизнеса срещу вреди, причинени от AI, включително при deepfake съдържание, нарушения на авторски права или неправомерно използване на биометрични данни.
С влизането в сила на EU AI Act, България ще бъде задължена да създаде национален орган за надзор над AI, който ще координира контрола, сертифицирането и регулирането на високорисковите системи, съгласно европейските стандарти.
9.Бъдещо българско законодателство в областта на AI.
България е задължена да изгради своята национална законова рамка, касаеща изкуствения интелект, стъпвайки върху съществуващите европейски и национални регулации в ЕС както следва:
- EU AI Act – директно приложим европейски регламент, задаващ изисквания за безопасност, прозрачност и отговорност на AI системите;
- GDPR – защита на личните данни и права на физическите лица;
- Закон за авторското право и сродните му права (ЗАПСП) – защита на интелектуалната собственост върху създадени от AI произведения;
- Закон за електронното управление – регламентира цифровизацията и използването на AI в публичната администрация;
- Закон за защита на потребителите – защита на правата на потребителите при автоматизирани услуги;
От тази гледна точка новите европейски стандарти за сертифициране на AI – осигуряват унифицирани критерии за безопасност, надеждност и етика. На базата на тези нормативни основи националният закон ще трябва да уреди отговорност на оператори и доставчици – за дефекти, манипулации и вреди, причинени от AI системи.
Естествено като втора крачка трябва да презюмираме и задължението за сертифициране на високорискови системи – като автономни превозни средства, медицински AI приложения и биометрични технологии.
На трето място задължително е предвиден фокус върху етични принципи – тази мярка е свързана с гарантиране на прозрачност, недискриминация и безопасност при разработка и внедряване на AI технологии и тяхното хуманно отношение към човека и неговата морална, психологическа и физическа среда.
Критично важна ще е и уредбата по отношение на публична употреба на биометрични технологии – условия за наблюдение, идентификация и защита на личните данни при използване от държавни органи.
Тази рамка цели да създаде безопасна и устойчива среда за внедряване на AI, като същевременно защитава гражданите и бизнеса от рисковете на технологиите.
10.Сертифициране на AI продукти – европейска практика.
В Европейския съюз се изгражда нова система за сертифициране на AI, аналогична на CE маркировката, която гарантира съответствие със стандартите за безопасност и качество. Основните елементи са:
- AI conformity assessment – процедура за проверка дали системата отговаря на изискванията за безопасност, прозрачност и етични стандарти.
- Нотифицирани органи – акредитирани институции, които извършват независими проверки и одобряват сертифицирането на високорисковите системи.
- Стандарти, разработвани от CEN/CENELEC – европейски технически стандарти, гарантиращи съвместимост, надеждност и безопасност на AI продуктите.
Сертифицирането ще бъде задължително за високорискови системи, като автономни транспортни средства, медицински AI приложения, които подпомагат диагностика или лечение, системи за биометрично разпознаване и идентификация, критични инфраструктурни системи, включително енергетика и киберсигурност.
Това сертифициране ще служи като инструмент за повишаване на доверието на потребителите и бизнеса в AI, като същевременно намалява риска от инциденти и правни спорове.
10.Заключение:
Правната рамка за изкуствения интелект в България и света се намира в динамично развитие. Макар към днешна дата да липсва български специален закон, европейската регулация дава стабилна основа за защита на личните данни, авторските права, потребителите и засегнатите лица при deepfake и други злоупотреби. С приемането на EU AI Act ще се въведе предвидима и хармонизирана система в целия Европейски съюз, включително режими за отговорност, сертифициране и прозрачност.
Засегнатите физически и юридически лица разполагат с богат набор от механизми за защита — от GDPR и граждански искове до наказателноправни средства и специализирани процедури за сваляне на вредно съдържание. Бъдещото българско законодателство ще стъпи върху тези стандарти и ще развие национална рамка, която да отговори на нуждите на обществото и бизнеса в контекста на бързо развиващите се AI технологии.
Автор: адв. Атанас Костов