GDPR и AI Act през 2026: какво реално трябва малкият бизнес, ако имаш чатбот на сайта
От 2 август 2026 действат нови правила за прозрачност на AI. Кой държи данните на клиентите ти, какво е ДОЛД и защо бекъпът не е техническа подробност.
Ако си сложил AI чатбот, автоматичен имейл асистент или друг AI инструмент на сайта през последната година, вероятно не си чел цялата уредба зад него. Не си сам — но от 2 август 2026 част от тази уредба вече е в сила, а не „предстояща". Ето какво реално значи за малка фирма, без юридически жаргон.
Какво влезе в сила на 2 август 2026
Регламентът на ЕС за изкуствен интелект (AI Act) въведе задължение за прозрачност по член 50: ако AI система разговаря директно с хора, потребителят трябва да знае, че говори с машина. Практически това означава:
- Видим индикатор на чатбот widget-а или встъпително съобщение „Аз съм AI асистент" — не имитация на служител.
- Ясен път до човек — един клик до телефон, имейл или „свържи ме с оператор".
Задължението важи независимо от размера на фирмата — 5 или 500 служители, правилото е едно и също. За малкия бизнес санкциите на практика са пропорционални, но реалният риск не е глобата: изгубено доверие, когато клиент разбере, че „консултантът" на сайта всъщност е бот, представен за човек.
GDPR не отиде никъде
AI Act добави нов слой, но GDPR продължава да важи изцяло — и за повечето сайтове точно той е по-практичният проблем. Ако свързваш чатбот с OpenAI, Anthropic или друг доставчик, ти си администратор на лични данни, доставчикът е обработващ. Това означава:
- Нужно е споразумение за обработка на данни (ДОЛД / DPA) с доставчика — не е формалност, а изискване по чл. 28 GDPR.
- Трябва да знаеш къде физически се съхраняват данните — в ЕС, или напускат съюза (и тогава какви гаранции — стандартни договорни клаузи).
- Ако доставчикът ползва подизпълнители (subprocessors), по договор обикновено дължи предизвестие преди да добави нов — струва си да провериш условието, а не да приемеш мълчаливо.
Ако вече ползваш готов widget (Intercom, Crisp, Tidio с AI функция), провери дали има публикуван DPA — сериозните доставчици го имат на сайта си, обикновено в секция „Legal" или „Trust".
Кой реално държи данните на клиентите ти
Изборът на архитектура на AI инструмента директно определя къде отиват разговорите и запитванията на клиентите ти.
| Вариант | Къде отиват данните | Контрол | Типична цена |
|---|---|---|---|
| Готов SaaS widget с AI (Intercom, Tidio) | Сървъри на доставчика, често извън ЕС | Нисък — условията на доставчика | ~20–100 €/мес |
| Custom бот през API (OpenAI/Anthropic) | При модел-доставчика, по договор без обучение върху твоите данни | Среден — ти контролираш какво изпращаш | Проект + разход по употреба |
| Self-hosted / отворен модел | На твоя инфраструктура или избран EU хостинг | Висок — но и ти носиш отговорността за сигурността | По-висок начален разход |
За повечето малки фирми вариант 2 е разумният баланс: договорна защита от сериозен доставчик, без цената и сложността на самостоятелен хостинг.
Бекъпите не са техническа подробност — те са част от GDPR
Чл. 33 GDPR изисква уведомяване на КЗЛД до 72 часа след установяване на пробив в данните. Това правило не работи, ако нямаш откъде да възстановиш данни, за да установиш какво точно е засегнато.
Минимумът, който всяка малка фирма трябва да има:
- Правило 3-2-1 — 3 копия на данните, на 2 различни носителя, 1 извън основното място (отделен облак или доставчик).
- Автоматични, не ръчни бекъпи — ръчният бекъп е бекъп, който забравяш точно преди да ти потрябва.
- Писан план за инцидент — кой звъни на кого, кой пише до КЗЛД, до колко часа — написан преди да ти потрябва, не по време на паника.
Реалната практика на КЗЛД към малкия бизнес засега е далеч от максималните 20 млн. евро — административните санкции за по-леки нарушения обичайно са в порядъка на няколкостотин до няколко хиляди лева. Но глобата не е основният риск. Загубени данни на клиенти без бекъп е репутационна щета, която не се оправя с плащане.
Практически чеклист
- Чатботът/AI асистентът на сайта се представя ясно като AI, с път до човек.
- Имаш подписан DPA с всеки доставчик, който вижда лични данни на клиенти.
- Знаеш къде физически се съхраняват тези данни.
- Автоматичен бекъп по правилото 3-2-1, тестван поне веднъж — не само настроен.
- Кратък писан план какво правиш при съмнение за пробив.
Нищо от това не изисква сериозен бюджет — изисква половин ден фокус и малко ред. Точно тази логика стои зад вътрешните системи, които правим — например ERP-то на Studio Botema пази поръчки и клиентски данни на собствена инфраструктура с ясен контрол кой до какво има достъп, а не разпръснато между пет несвързани инструмента.
Ако имаш AI чатбот на сайта или обмисляш да сложиш, а не си сигурен дали е „по правилата" — опиши какво ползваш. Ще ти кажем честно дали е наред, или има един-два реда, които си струва да оправиш веднага.