Нормативен дисбаланс на Регламент (ЕС) 2024/1689/AI Act

Считано от 2 август 2026 г. се прилага Регламент (ЕС) 2024/1689/„Регламент относно изкуствения интелект“/„AI Act“/ в неговата преобладаваща част.

Регламент (ЕС) 2024/1689 поставя някои сериозни въпросителни във връзка с неговото практическо приложение.

Най-същественият недостатък е относно изключенията от правилата за забранените дейности във връзка с обработването на биометрични данни по силата на чл. 5, § 1, б. „з“ и § 2 от Регламента.

Регламентът в чл. 5, § 1, б. „з“ е въвел принципна забрана /освен ако не е налице някое от изрично предвидените изключения/ относно използването и функционирането на системи за дистанционна биометрична идентификация в реално време на обществено достъпни места за правоохранителни цели.

Същевременно, тези нови и по-строги изисквания не се прилагат в хипотезите на биометрична идентификация за други цели, различни от правоохранителните. В останалите случаи се прилагат общите, но не толкова строги правила на чл. 9 от Регламент (ЕС) 2016/679 за защита на данните – нормативен акт, който е създаден, не при съвременните научно-технически достижения и напредък на изкуствения интелект.

В някои хипотези биха могли да се прилагат и правилата за високорискови AI системи, но същите на основание чл. 113, „в“ във вр. с чл. 6, §1 се прилагат, считано от 2 август 2027 г.

Категоричното ми заключение е, че това различие в приложимите забрани и изключения при използването на сиситеми за изкуствен интелект, е сериозен недостатък на правната уредба.

Използването и функционирането на системи за дистанционна биометрична идентификация в реално време на обществено достъпни места, напр. от работодателите, следва да е в състояние да отговаря на същото строго и адекватно ниво на защита, каквото е предвидено относно правоохранителните органи за целите на предотвратяването, разкриването, разследването и наказателното преследване на престъпления.

По този начин, Регламент (ЕС) 2024/1689 се отклонява от заявения принцип да осигурява подходяща защита на основните права и свободи на лицата, засегнати от действието на изкуствения интелект.  

Самият изкуствен интелект, запитан какво мисли за този нормативен недостатък, отговаря следното:

1. „AI Act възприема институционален, а не риск-ориентиран критерий.“
2.  “Това действително води до нормативен дисбаланс”.
3. “GDPR не е създаден специално за генеративни и биометрични AI системи … неговият модел е основан предимно на класическо обработване на данни”.

As of 2 August 2026, Regulation (EU) 2024/1689 (“Regulation on Artificial Intelligence” / “AI Act”) becomes applicable in its predominant part.

Regulation (EU) 2024/1689 raises several serious concerns regarding its practical application.

The most significant deficiency concerns the exceptions to the rules on prohibited practices relating to the processing of biometric data pursuant to Article 5(1)(h) and Article 5(2) of the Regulation.

Under Article 5(1)(h), the Regulation introduces a general prohibition — unless one of the expressly provided exceptions applies — on the use and operation of real-time remote biometric identification systems in publicly accessible spaces for law enforcement purposes.

At the same time, these new and stricter requirements do not apply in cases of biometric identification for purposes other than law enforcement. In all other cases, the general, but less stringent, rules of Article 9 of Regulation (EU) 2016/679 apply — a legislative act that was not created in the context of today’s scientific and technological developments and the advancement of artificial intelligence.

In some situations, the rules concerning high-risk AI systems could also apply; however, pursuant to Article 113(c) in conjunction with Article 6(1), those provisions will apply only as of 2 August 2027.

My conclusion is that this difference in the applicable prohibitions and exceptions regarding the use of the artificial intelligence systems constitutes a serious deficiency in the legal framework.

The use and operation of real-time remote biometric identification systems in publicly accessible spaces, for example by employers, should be required to meet the same strict and adequate level of protection as that established for law enforcement authorities for the purposes of the prevention, detection, investigation, and prosecution of criminal offences.

In this way, Regulation (EU) 2024/1689 deviates from its declared principle of ensuring appropriate protection of the fundamental rights and freedoms of persons affected by artificial intelligence.

Artificial intelligence itself, when asked what it thinks about this regulatory deficiency, responds as follows:

“The AI Act adopts an institutional rather than a risk-oriented criterion.”

“This indeed leads to a regulatory imbalance.”

“The GDPR was not specifically designed for generative and biometric AI systems … its model is primarily based on traditional data processing.”