Регулаторни пясъчници за AI: правилата на ЕС са ясни и можете да кандидатствате в чужбина

От 1 декември 2026 г. всички регулаторни пясъчници за AI в ЕС ще работят по едни и същи правила. Европейската комисия прие Регламент за изпълнение (ЕС) 2026/2487 на 10 ноември и го обнародва в Официален вестник ден по-късно. В него е казано кой може да кандидатства, за колко време органът трябва да отговори, кой плаща и с какво компанията излиза накрая.

За българска фирма най-полезният ред лесно се пропуска: можете да кандидатствате за пясъчник в държава членка, различна от тази, в която сте регистрирани. Това е важно, защото България е една от шестте държави, които по данни на Комисията, цитирани от POLITICO на 8 ноември, все още не са избрали национален орган за прилагане на AI Act, повече от година след срока от август 2025 г. Днес лидерите на ЕС провеждат първата си стратегическа дискусия за AI на неформалния Европейски съвет в Дъблин. Правилата за пясъчниците са от малкото неща в този дневен ред, по които една компания може да направи нещо още следващото тримесечие.

Моят прочит е прост. Пясъчникът не е за всеки и повечето компании спокойно могат да не се занимават с него. Но за тесния кръг фирми, които сами разработват AI с вероятност да попадне във високорисковите правила, той току-що стана реална възможност. А документите, които изисква, така или иначе ще им трябват.

Първо проверете дали това се отнася до вас

Пясъчникът е контролирана среда, в която компетентен орган наблюдава разработването, обучението, тестването и валидирането на AI система за ограничено време, преди тя да бъде пусната на пазара или въведена в експлоатация. Така го описва член 57 от AI Act, а новият регламент запазва тази рамка.

Кой може да кандидатства? Доставчици или бъдещи доставчици. Според регламента, както го обобщава Lovguiden, кандидатурата трябва да е за някой от следните случаи:

• AI система, която още не е пусната на пазара или въведена в експлоатация;
• система, която предстои да бъде съществено променена;
• система, която е станала високорискова заради начина, по който се използва.

Ако фирмата ви купува Microsoft Copilot, ChatGPT Business или готов чатбот и го ползва както е доставен, вие сте внедрител, не доставчик. Пясъчникът няма какво особено да ви даде. Картината се променя, когато сами изградите нещо, дори върху чужд модел, и го пуснете в употреба под свое име. Инструмент, който подрежда кандидати за работа, оценява кредитни искания или оценява служители, е много близо до областите от Приложение III. След Digital Omnibus задълженията за високорисковите системи по Приложение III се прилагат от 2 декември 2027 г., както писахме в календара след Omnibus.

Какво всъщност обещават новите правила

Най-ценното в регламента е, че прави процеса предвидим. За бизнес решение важат следните неща.

Отговор до три месеца. Органът трябва да съобщи резултата не по-късно от три месеца след подаване на пълна кандидатура или след крайния срок на поканата. Отказът може да се обжалва по националните правила за административните актове.

Безплатно за МСП, на себестойност за останалите. Малките и средните предприятия, включително стартъпите, имат приоритетен достъп, а регулаторните насоки, консултациите и надзорът са безплатни, включително надзорът на тестове в реални условия. Извънредни разходи все пак може да бъдат начислени, но трябва да са обявени преди началото. От по-големите компании може да се иска пълната себестойност, като списъкът с такси се публикува при отваряне на кандидатстването. Доставчици без офис в ЕС плащат такса за участие и трябва да посочат упълномощен представител.

Пет критерия за подбор. Органите оценяват поне нуждата от участие заради конкретни регулаторни или практически трудности, потенциала за регулаторно учене, приноса към обществения интерес и политиките на Съюза, зрелостта на предложението и доколко иновативна е системата. „Искаме правна сигурност“ не е сред тях. Трябва ви конкретен отворен въпрос.

План за пясъчника. Одобрените участници договарят план с органа: срокове, роли, кои изисквания се проверяват, как се обработват лични данни, мерки срещу рискове, процедура при сериозни инциденти и евентуални тестове в реални условия. Когато има лични данни, органът по защита на данните трябва да участва в надзора.

Изходен доклад, който тежи в целия ЕС. Накрая органът издава писмено доказателство за проведените дейности и изходен доклад, който трябва да получите до 45 работни дни. Нито едното, нито другото не е декларация за съответствие, а участието не е разрешение за пускане на пазара. Но органите за надзор на пазара и нотифицираните органи във всяка държава членка са длъжни да признават тези документи, а според член 57, параграф 7 те трябва да се отчитат положително, за да се ускори оценката на съответствието.

Има и една защита, която лесно остава незабелязана. Според член 57, параграф 12 участниците продължават да носят отговорност за вреди, причинени на трети лица по време на експеримента. Докато обаче спазват плана и следват добросъвестно насоките на органа, не им се налагат административни глоби за нарушения на AI Act. Това не е имунитет, но реално намалява регулаторния риск по време на тестовете.

Хипотетичен пример

Да си представим българска фирма за подбор на персонал със 180 служители. През зимата тя изгражда инструмент върху търговски езиков модел, който чете автобиографии и предлага кратък списък с кандидати за всяка обява на клиент. Иска да го ползва за клиентите си от есента на 2027 г.

Подборът и изборът на кандидати са в списъка на Приложение III, така че фирмата трябва да приеме, че ще бъде третирана като доставчик на високорискова система. С под 250 служители тя най-вероятно е МСП, значи насоките и надзорът в пясъчник ще са безплатни. Понеже не е нужно да чака български пясъчник, тя може да следи списъка с планирани и действащи пясъчници, който AI Office е длъжен да публикува по член 57, параграф 15, и да кандидатства там, където първо се отвори покана. Дания например вече има пясъчник към своята Агенция за цифрово управление и органа по защита на данните, с програми от септември до декември 2026 г., според Lovguiden.

Въпросът, с който фирмата би отишла, е конкретен: как да покаже, че краткият списък не поставя системно в неизгодно положение определени групи кандидати и какъв човешки преглед е достатъчен. Точно на такъв въпрос органът може да помогне, а отговорът остава в документ, който другите регулатори трябва да признаят.

Преди пясъчниците да отворят

Националните пясъчници трябва да работят до 2 август 2027 г. Звучи далеч, но кандидатура, която се оценява и по „зрелост на предложението“, изисква подготовка отрано.

Започнете с класификацията. Прегледайте AI, който разработвате сами, а не този, който купувате, и отбележете какво може да попадне в Приложение III. Ако не сте сигурни, тестът за готовност по AI Act е бърз първи филтър, преди да говорите с юрист.

След това решете какво остава поверително. Според регламента информацията от проекта в пясъчника се счита за подлежаща на публикуване, освен ако не е отбелязана като поверителна в плана или от участника преди края на проекта. Самият изходен доклад се публикува само ако двете страни са съгласни. Решете рано кои части от данните за обучение, промптовете и резултатите от оценките трябва да защитите, и го запишете в плана, вместо да го откриете по-късно.

Накрая определете отговорник. Някой във фирмата трябва да отговаря за плана, регистъра на рисковете и контакта с органа. Без такъв човек планът се превръща в документ, който никой не обновява, и изходният доклад ще отрази точно това.

Какво остава неясно

Регламентът определя правилата, но не и капацитета. Още не знаем колко пясъчника ще отворят преди август 2027 г., кои сектори органите ще поставят на преден план и колко бързо пясъчник в друга държава ще приеме на практика български кандидат. България тепърва трябва да определи свои органи, а докато не го направи, вътрешен път няма.

За компания, която разработва високорисков AI, това не е причина да чака. Планът за пясъчника изисква същите доказателства за управление на риска, качество на данните и човешки надзор, които AI Act ще изисква от декември 2027 г. Ако ги подготвите сега, или влизате в пясъчник със силна кандидатура, или стигате до оценката на съответствието с половината работа свършена.