GHID · AI ACT
AI Act: ce înseamnă pentru o firmă mică din România?
Pentru cele mai multe firme mici din România, AI Act înseamnă trei lucruri: iei măsuri ca oamenii care lucrează cu AI să-l înțeleagă, clienții află când vorbesc cu un sistem AI, iar folosirea AI în angajări sau credit cere reguli mult mai stricte. Ghidul este informativ, actualizat la 20 octombrie 2026, și nu înlocuiește consultanța juridică.
Ce este AI Act și pe cine vizează?
AI Act este Regulamentul (UE) 2024/1689, regulamentul european dedicat inteligenței artificiale. A intrat în vigoare la 1 august 2024 și se aplică în etape. Statele membre desemnează autoritățile care îl supraveghează și stabilesc regulile concrete de sancționare.
Legea împarte responsabilitățile între furnizor și implementator. Furnizorul dezvoltă un sistem AI sau îl pune pe piață sub numele lui. Implementatorul este firma care folosește sistemul în activitatea profesională. Dacă folosești un chatbot cumpărat, ești de regulă implementator.
Există și un caz intermediar. Definiția de furnizor îi include și pe cei care pun pe altcineva să dezvolte sistemul și apoi îl pun în funcțiune sub propriul nume. Dacă îți comanzi un agent AI făcut la cerere, clarifică în contract cine răspunde de fiecare obligație.
Ghidul este informativ și nu înlocuiește consultanța juridică. Pentru situații concrete, mai ales în HR, credit sau decizii despre persoane, cere părerea unui avocat.
Ce niveluri de risc are AI Act și unde se încadrează firma ta?
AI Act nu tratează la fel orice folosire a AI. Regulile cresc odată cu riscul pentru oameni: practici interzise, sisteme cu risc ridicat, sisteme cu obligații de transparență și restul, pentru care nu există cerințe specifice.
Interzise sunt, de exemplu, manipularea care produce prejudicii, scorul social și recunoașterea emoțiilor la locul de muncă, în afara motivelor medicale sau de siguranță. Cu risc ridicat sunt utilizările din Anexa III, printre care recrutarea și evaluarea candidaților sau evaluarea bonității persoanelor fizice.
Transparența privește chatboturile și conținutul generat: oamenii trebuie să afle că vorbesc cu o mașină, iar deepfake-urile trebuie semnalate. Pentru filtre de spam sau jocuri video, Comisia Europeană spune că nu există reguli specifice.
Încadrarea depinde de scopul concret, nu de tehnologie. Un sistem din Anexa III poate să nu fie considerat cu risc ridicat dacă face doar o sarcină procedurală îngustă sau una pregătitoare. Dacă face profilarea persoanelor, rămâne mereu cu risc ridicat, iar furnizorul care aplică excepția trebuie să-și documenteze evaluarea.
| Utilizare | Unde se încadrează probabil | Ce implică pentru tine |
|---|---|---|
| Chatbot pe site sau pe WhatsApp care răspunde clienților | Obligații de transparență (art. 50) | Clientul află că vorbește cu un sistem AI, cel târziu la prima interacțiune, dacă nu e evident din context. |
| Agent care pregătește cereri de ofertă pentru aprobare | Nu apare în Anexa III | Reguli generale: pregătirea oamenilor (art. 4), GDPR și transparență dacă agentul scrie direct clienților. |
| Extragerea datelor din facturi | Nu apare în Anexa III | Fără cerințe de risc ridicat. Rămân pregătirea oamenilor și GDPR, dacă documentele conțin date personale. |
| Scorarea sau filtrarea candidaților la angajare | Risc ridicat (Anexa III, punctul 4) | Obligații stricte din 2 decembrie 2027: supraveghere umană, jurnale păstrate, informarea angajaților și a persoanelor vizate. |
| Scoring de credit pentru persoane fizice | Risc ridicat (Anexa III, punctul 5 litera b) | Aceleași obligații stricte. Excepție: sistemele folosite pentru detectarea fraudei financiare. |
| Recunoașterea emoțiilor angajaților | Practică interzisă (art. 5) | Nu se folosește, în afara motivelor medicale sau de siguranță. |
Când se aplică AI Act? Calendarul în 2026
AI Act se aplică în etape. Datele de mai jos sunt cele din textul consolidat după modificările intrate în vigoare în iulie 2026.
- 1 august 2024: regulamentul intră în vigoare.
- 2 februarie 2025: se aplică interdicțiile și obligația privind alfabetizarea în domeniul AI.
- 2 august 2025: se aplică regulile de guvernanță și obligațiile pentru modelele AI de uz general (GPAI).
- 2 august 2026: regulamentul devine aplicabil în general, inclusiv regulile de transparență pentru chatboturi și conținut generat, cu unele excepții.
- 2 decembrie 2026: se aplică două interdicții noi, pentru imagini intime realiste create fără consimțământ și pentru materiale cu abuz sexual asupra copiilor. De la aceeași dată, furnizorii sistemelor generative introduse pe piață înainte de 2 august 2026 trebuie să marcheze conținutul generat.
- 2 decembrie 2027: se aplică obligațiile pentru sistemele cu risc ridicat din Anexa III, de exemplu angajare, educație sau evaluarea bonității.
- 2 august 2028: se aplică obligațiile pentru AI integrat în produse reglementate din Anexa I, de exemplu lifturi sau jucării.
Ce este AI Omnibus și a fost adoptat?
Pe 19 noiembrie 2025, Comisia Europeană a propus AI Omnibus, un pachet de simplificare care amâna o parte din obligații. Nu mai este o propunere: după acordul politic din 7 mai 2026, regulamentul de modificare a intrat în vigoare la 27 iulie 2026.
Principala schimbare pentru firme este calendarul. Obligațiile pentru sistemele cu risc ridicat din Anexa III se aplică de la 2 decembrie 2027, în loc de 2 august 2026, iar cele pentru produsele din Anexa I de la 2 august 2028. Au apărut două interdicții noi, iar unele facilități pentru IMM-uri au fost extinse și la companiile mici cu capitalizare medie (small mid-caps).
S-a schimbat și obligația de alfabetizare AI. Furnizorii și implementatorii trebuie să ia măsuri care sprijină dezvoltarea competențelor oamenilor, fără să garanteze un anumit nivel pentru fiecare persoană. Comisia și statele membre trebuie să sprijine aceste eforturi, mai ales la IMM-uri.
Calendarul a fost deja modificat o dată după adoptarea regulamentului. Înainte de o decizie importantă, verifică datele pe paginile oficiale ale Comisiei.
Ce trebuie să facă o firmă mică care folosește chatbot sau agenți AI?
Dacă folosești un chatbot pe site, un asistent pe WhatsApp sau un agent care pregătește oferte, obligațiile sunt puține, dar concrete. Lista amestecă cerințe din lege cu bune practici, iar fiecare punct spune ce este.
- Fă inventarul: notează ce instrumente AI folosește firma, cine le folosește și în ce scop. Fără listă nu poți încadra nimic. (bună practică)
- Pregătește oamenii: ia măsuri ca angajații care lucrează cu AI să înțeleagă ce face instrumentul, unde poate greși și ce date nu au voie să-i dea. (cerință, art. 4)
- Spune clientului că vorbește cu AI: pe WhatsApp sau pe site, primul mesaj al asistentului spune clar că este un sistem automat. Informarea trebuie să fie clară și să vină cel târziu la prima interacțiune. (cerință, art. 50)
- Lasă oamenii să aprobe deciziile importante: oferte, prețuri, termene, răspunsuri la reclamații. Agentul pregătește, omul aprobă. (bună practică; obligatoriu pentru sistemele cu risc ridicat, art. 26)
- Păstrează jurnale: ce a primit agentul, ce a propus și cine a aprobat. Pentru sistemele cu risc ridicat, implementatorul păstrează jurnalele cel puțin șase luni. (bună practică; obligatoriu la risc ridicat)
- Respectă în continuare GDPR: AI Act nu afectează regulile de protecție a datelor. Verifică temeiul prelucrării, informarea clienților și unde ajung datele trimise furnizorului de AI. (cerință, GDPR)
- Cere documentația furnizorului: ce model folosește, unde sunt procesate datele, ce instrucțiuni de utilizare există și cine se ocupă de transparență. (bună practică)
- Verifică înainte să folosești AI în HR sau credit: filtrarea candidaților și evaluarea bonității intră la risc ridicat și cer o analiză separată. (de verificat, Anexa III)
Cine supraveghează AI Act în România?
Prin memorandumul aprobat de Guvern pe 12 martie 2026, ANCOM a fost propusă ca autoritate de supraveghere a pieței și punct unic de contact pentru AI Act. Autoritatea pentru Digitalizarea României (ADR) a fost propusă ca autoritate de notificare, pentru organismele de evaluare a conformității.
Pentru sistemele cu risc ridicat din serviciile financiare sunt propuse ASF și BNR. ANSPDCP este propusă pentru unele sisteme cu risc ridicat, de exemplu biometria folosită în aplicarea legii și sisteme din gestionarea frontierelor, migrație și azil, justiție și procese democratice.
Pe 24 iulie 2026, ANCOM a anunțat că legea națională care stabilește atribuțiile și sancțiunile este în elaborare și că autoritățile pot verifica și sancționa doar după intrarea ei în vigoare. La data acestui ghid nu am găsit confirmarea că legea a fost adoptată. Regulamentul se aplică totuși de la 2 august 2026, cu excepțiile din calendar.
Ce amenzi prevede AI Act pentru firme?
Amenzile sunt stabilite în articolul 99. Pentru practici interzise, plafonul este de 35 de milioane de euro sau 7% din cifra de afaceri anuală mondială. Pentru alte obligații, inclusiv cele de transparență din articolul 50, plafonul este de 15 milioane de euro sau 3%. Informațiile incorecte sau înșelătoare date autorităților pot costa până la 7,5 milioane de euro sau 1%.
Pentru restul firmelor contează suma mai mare dintre cele două. Pentru IMM-uri și start-up-uri contează suma mai mică. Textul modificat extinde regula sumei mai mici și la companiile mici cu capitalizare medie, dar nu pentru practicile interzise.
Acestea sunt plafoane maxime, nu amenzi automate. În România, aplicarea lor depinde de legea națională, a cărei adoptare nu am putut-o confirma la data ghidului.