# Каква е разликата между AI Act и GDPR?

URL: https://ergostrat.com/ai-act-readiness/ai-act-vs-gdpr.html
Език: [Български](https://ergostrat.com/ai-act-readiness/ai-act-vs-gdpr.html) · [English](https://ergostrat.com/en/ai-act-readiness/ai-act-vs-gdpr.html) · [Français](https://ergostrat.com/fr/ai-act-readiness/ai-act-vs-gdpr.html) · [Deutsch](https://ergostrat.com/de/ai-act-readiness/ai-act-vs-gdpr.html)

GDPR урежда обработването на лични данни. AI Act урежда AI системите според употребата, риска и ролята ви. Един инструмент може да попада и под двата режима. Проверявайте задълженията поотделно.

## Данни или риск: къде се различава обхватът?

При GDPR започнете с личните данни, целта на обработването и приложимия териториален и материален обхват. Име, имейл или снимка могат да са лични данни, но наличието им само по себе си не решава всички въпроси за приложимостта. Има и изключения.

При AI Act проверете предназначението на системата и ролята на организацията. Система може да попада в обхвата без лични данни. Компонент за безопасност в електро- или водоснабдяването може да е високорисков при законовите условия; не всеки инфраструктурен софтуер е такъв.

При подбор на персонал или кредитно оценяване разгледайте и двата режима. Съответствието с единия не доказва съответствие с другия.

## Как се различават таваните на глобите?

По член 83 GDPR таваните според нарушението са 10 милиона евро или 2%, и 20 милиона евро или 4%. За предприятие се сравнява фиксираната сума с процента от общия световен годишен оборот за предходната финансова година и се взема по-високата стойност.

Член 99 AI Act има отделни тавани: 35 милиона евро или 7% за забранени практики, 15 милиона евро или 3% за изброените други нарушения, 7,5 милиона евро или 1% за определени нарушения при предоставяне на информация. Общото правило е по-високата стойност; за отговарящи на условията МСП — по-ниската. Облекчението за малките предприятия със средна пазарна капитализация (SMC) не обхваща тавана за забранените практики. Процентът отново е върху общия световен годишен оборот за предходната финансова година.

Това са максимуми, а не автоматични санкции. Конкретното нарушение, обстоятелствата, категорията на предприятието и процедурата се оценяват отделно. Не събирайте процентите като готова сметка за отговорността си.

## С какво се различават DPIA и FRIA?

DPIA е оценка на въздействието върху защитата на данните. Член 35 GDPR я изисква преди обработване, което вероятно поражда висок риск за правата и свободите на хората. Използването на AI само по себе си не е единственият критерий.

FRIA е оценката на въздействието върху основните права по член 27 AI Act. Тя е за определени внедрители и високорискови употреби: публичноправни органи, частни организации, предоставящи публични услуги, и посочените кредитни и застрахователни употреби. Приложение III, точка 2 е изключено от този обхват. Не всяка застраховка или AI система изисква FRIA.

Когато задължения вече са изпълнени чрез DPIA, FRIA я допълва. Съществуващата оценка не замества автоматично проверката по AI Act. Съпоставете покритите въпроси и липсите; проверете приложимата дата и преходните правила за конкретната употреба.

## Кой орган е компетентен за случая ви?

По GDPR действат национални органи за защита на данните, включително правила за трансгранични случаи. По AI Act компетентността зависи от системата, ролята и съответната национална или европейска процедура. Не приемайте, че двата режима имат един и същ орган.

За случай в България проверете действащите национални правила и компетентния орган.

## Въпроси

### Готовността по GDPR означава ли готовност по AI Act?

Не. Документите за данните могат да помогнат, но проверете отделно ролята, употребата и задълженията по AI Act. Отбележете какво е покрито и какво още изисква оценка.

### Забранява ли GDPR всички автоматизирани решения?

Член 22 се отнася до решения, основани единствено на автоматизирано обработване, с правни или подобни съществени последици за човека. Има условни изключения и гаранции. Съответствие с AI Act не отменя тази проверка.

### Може ли AI Act да важи без лични данни?

Да. Проверете предназначението, ролята и законовите условия за категорията на системата. Липсата на лични данни не е общо освобождаване от AI Act.

## Източници

- [Регламент (ЕС) 2016/679 — GDPR.](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)
- [Регламент (ЕС) 2024/1689 — AI Act.](https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng)
- [Регламент (ЕС) 2026/1744 — изменения.](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng)
- [Европейски комитет по защита на данните — надзор и глоби.](https://www.edpb.europa.eu/sme/find-practical-info/data-protection-authority-you_en)

## Още по темата

- [Трябва ли да обозначавате съдържание, създадено с AI?](https://ergostrat.com/ai-act-readiness/ai-content-labelling.html)
- [Какво изисква AI грамотността по член 4 от AI Act?](https://ergostrat.com/ai-act-readiness/ai-literacy.html)
- [Digital Omnibus: кои срокове по AI Act се промениха?](https://ergostrat.com/ai-act-readiness/digital-omnibus.html)

## Свържете инструмента със задължение и източник.

Готовността за AI Act подрежда инструментите, употребите и приложимите задължения с източници и дати. Въпросите за покритието по GDPR се отделят за правна проверка; това не е удостоверяване на съответствие с GDPR.

[Попитайте за Готовност за AI Act](mailto:contact@ergostrat.com?subject=%D0%92%D1%8A%D0%BF%D1%80%D0%BE%D1%81%20%D0%B7%D0%B0%20AI%20Act%20%D0%B8%20GDPR)