AI Act, adică Regulamentul (UE) 2024/1689 privind inteligența artificială, stabilește reguli pentru sistemele AI în funcție de riscul pe care îl prezintă: unele utilizări sunt interzise, altele sunt considerate cu risc ridicat și au obligații stricte, iar multe au doar obligații de transparență sau niciuna specifică. Pentru majoritatea firmelor care folosesc chatboți sau asistenți AI, obligațiile principale sunt instruirea oamenilor, informarea clară a utilizatorilor și evitarea utilizărilor interzise.
Regulamentul se aplică direct în toate statele membre, inclusiv în România, fără să fie nevoie de o lege națională care să-l transpună. Totuși, aplicarea este etapizată, iar unele termene sunt în discuție. Mai jos explicăm cadrul general pe înțelesul unui manager, fără jargon juridic inutil, și ce pași practici poate face o firmă mică sau mijlocie.
Pe scurt
AI Act clasifică sistemele AI pe patru niveluri de risc. Obligațiile depind de nivel și de rolul tău: furnizor (cel care dezvoltă sau pune pe piață sistemul) sau implementator (firma care îl folosește). Orice firmă care folosește AI în activitate trebuie să se asigure că angajații au un nivel suficient de cunoștințe despre AI. Termenele se aplică etapizat și pot fi modificate, așa că verifică mereu sursele oficiale.
Atenție
Acest articol are scop informativ și nu reprezintă consultanță juridică. Reflectă situația la data scrierii (octombrie 2026). Pentru situația concretă a firmei tale, consultă textul oficial pe EUR-Lex, paginile Comisiei Europene dedicate AI Act și, când e cazul, un avocat specializat.
Ce este AI Act și pe cine afectează?
AI Act este primul cadru legal cuprinzător al Uniunii Europene dedicat inteligenței artificiale. Scopul declarat este ca sistemele AI folosite în UE să fie sigure, transparente și să respecte drepturile fundamentale, fără să blocheze inovația.
Regulamentul nu se aplică doar companiilor de tehnologie. Se aplică și firmelor care folosesc AI în activitatea lor profesională, indiferent de domeniu: un magazin online cu chatbot, o firmă de recrutare care filtrează CV-uri cu ajutorul AI sau un call center care folosește un agent vocal. Se aplică și furnizorilor din afara UE, dacă sistemele lor sunt folosite pe piața europeană.
Există și excepții, de exemplu pentru uz strict personal, neprofesional, pentru cercetare științifică sau pentru scopuri militare. Pentru o firmă obișnuită, întrebarea relevantă nu este „mi se aplică?”, ci „ce nivel de risc au sistemele pe care le folosesc și ce rol am eu?”.
Cele patru niveluri de risc din Regulamentul UE privind inteligența artificială
Abordarea bazată pe risc este ideea centrală a regulamentului. Cu cât un sistem poate afecta mai grav siguranța sau drepturile oamenilor, cu atât regulile sunt mai stricte.
1. Practici interzise
Anumite utilizări sunt interzise, pentru că sunt considerate inacceptabile. Printre ele: tehnici manipulatoare care distorsionează comportamentul oamenilor și le pot face rău, exploatarea vulnerabilităților legate de vârstă sau situație socială, evaluarea socială a persoanelor („social scoring”), extragerea nețintită de imagini faciale de pe internet pentru baze de date de recunoaștere facială și, cu unele excepții, recunoașterea emoțiilor la locul de muncă și în educație.
2. Sisteme cu risc ridicat
Aici intră sisteme folosite în domenii sensibile, enumerate în regulament: de exemplu recrutare și evaluarea angajaților, evaluarea bonității pentru credite, accesul la educație sau la servicii esențiale, infrastructură critică și anumite produse deja reglementate, cum ar fi dispozitivele medicale. Aceste sisteme au obligații stricte: gestionarea riscurilor, calitatea datelor, documentație tehnică, jurnalizare, supraveghere umană, precizie și securitate.
3. Obligații de transparență
Pentru unele sisteme, principala cerință este ca oamenii să știe că au de-a face cu AI. Un chatbot sau un agent vocal trebuie să informeze utilizatorul că vorbește cu un sistem AI, cu excepția situațiilor în care acest lucru este evident. Conținutul generat sau manipulat artificial, cum ar fi imaginile, sunetul sau materialele de tip deepfake, trebuie marcat sau semnalat corespunzător.
4. Risc minim
Majoritatea aplicațiilor uzuale, cum ar fi filtrele anti-spam, recomandările simple de produse sau asistenții care ajută la redactarea textelor interne, nu au obligații specifice în plus față de cele generale. Codurile de conduită voluntare sunt încurajate.
Furnizor sau implementator: ce rol ai tu?
Regulamentul distinge între mai multe roluri, iar obligațiile diferă mult de la unul la altul. Cele două roluri care contează pentru majoritatea firmelor sunt:
- Furnizorul (provider): cel care dezvoltă un sistem AI sau îl pune pe piață sub numele propriu. Are cele mai multe obligații, mai ales pentru sistemele cu risc ridicat.
- Implementatorul (deployer): firma care folosește un sistem AI în activitatea sa profesională. Are obligații mai restrânse, dar reale: folosirea conform instrucțiunilor, supraveghere umană, informarea persoanelor afectate și, pentru risc ridicat, monitorizare și păstrarea jurnalelor.
Atenție la granița dintre roluri. Dacă o firmă își pune numele pe un sistem cu risc ridicat, îl modifică substanțial sau îi schimbă scopul astfel încât devine cu risc ridicat, poate fi tratată ca furnizor. De exemplu, un chatbot general reconfigurat pentru a decide singur ce candidați sunt respinși într-un proces de recrutare schimbă radical discuția.
Obligația de alfabetizare AI: ce înseamnă pentru angajați
Una dintre obligațiile care se aplică deja tuturor furnizorilor și implementatorilor, indiferent de nivelul de risc, este alfabetizarea în domeniul AI („AI literacy”). Firma trebuie să ia măsuri ca personalul care folosește sisteme AI să aibă un nivel suficient de cunoștințe, ținând cont de experiența lor și de contextul în care sunt folosite sistemele.
Regulamentul nu impune un curs anume sau o certificare. În practică, înseamnă ca oamenii să înțeleagă ce poate și ce nu poate face instrumentul, că rezultatele pot fi greșite, ce date nu au voie să introducă și cui raportează o problemă. O instruire scurtă, documentată și reluată periodic este un punct de plecare rezonabil.
Când se aplică AI Act? Termene și statut actual
Regulamentul a intrat în vigoare la 1 august 2024, dar obligațiile se aplică etapizat:
- 2 februarie 2025: interdicțiile pentru practicile inacceptabile și obligația de alfabetizare AI.
- 2 august 2025: regulile pentru modelele AI de uz general (cele pe care sunt construite instrumentele de tip ChatGPT) și structurile de guvernanță.
- 2 august 2026: majoritatea obligațiilor rămase, inclusiv cele de transparență și cele pentru multe sisteme cu risc ridicat.
- Mai târziu: anumite obligații, de exemplu pentru sistemele cu risc ridicat integrate în produse deja reglementate, au termene ulterioare.
Limită importantă
Comisia Europeană a propus modificări ale regulamentului, inclusiv amânarea unor termene, în special pentru obligațiile privind sistemele cu risc ridicat. La data scrierii (octombrie 2026), verifică pe EUR-Lex și pe site-ul Comisiei Europene dacă aceste propuneri au fost adoptate și ce termene sunt în vigoare pentru situația ta. Nu te baza doar pe calendarul de mai sus.
Ce trebuie să facă un IMM care folosește chatboți sau agenți AI?
Pentru o firmă mică sau mijlocie care folosește un chatbot pe site, un asistent intern sau un agent care automatizează sarcini, pașii de mai jos acoperă partea practică. Nu înlocuiesc o analiză juridică, dar te ajută să știi unde ești.
- Fă un inventar: ce instrumente AI folosește firma, cine le folosește, în ce scop și pe ce date.
- Stabilește rolul: pentru fiecare instrument ești doar utilizator (implementator) sau l-ai dezvoltat ori personalizat sub numele tău?
- Încadrează riscul: verifică dacă vreo utilizare intră în domeniile cu risc ridicat (de exemplu recrutare, evaluarea angajaților, decizii despre credite) sau, mai grav, într-o practică interzisă.
- Asigură transparența: chatbotul și agentul vocal spun clar, de la început, că sunt sisteme AI; conținutul generat cu AI publicat extern este semnalat unde este cazul.
- Organizează alfabetizarea AI: instruire scurtă pentru cei care folosesc instrumentele, cu reguli clare de utilizare.
- Păstrează supravegherea umană: deciziile cu impact asupra oamenilor (clienți, candidați, angajați) sunt verificate de o persoană.
- Documentează: o fișă simplă pe fiecare sistem, cu scopul, furnizorul, riscul estimat, responsabilul intern și data ultimei revizuiri.
- Verifică furnizorii: cere documentația și instrucțiunile de utilizare, mai ales pentru sistemele care pot intra la risc ridicat.
Sfat practic
AI Act nu înlocuiește GDPR. Dacă un chatbot sau un agent prelucrează date personale, regulile de protecție a datelor se aplică în paralel: temei legal, informarea persoanelor, contract cu furnizorul, securitate. Cele două analize se fac împreună, nu separat.
Greșeli frecvente și când nu e nevoie să complici lucrurile
Două extreme apar des. Prima este ignorarea completă: „suntem o firmă mică, nu ni se aplică”. Obligația de alfabetizare AI și interdicțiile se aplică oricărei firme care folosește AI profesional, iar transparența față de utilizatori este o cerință clară pentru chatboți.
A doua extremă este birocrația disproporționată. Un asistent care ajută echipa să redacteze e-mailuri interne nu cere aceeași documentație ca un sistem care decide cine primește un credit. Efortul de conformitate trebuie să fie proporțional cu riscul real. Dacă nu ești sigur în ce categorie intră o utilizare, aceea este întrebarea de pus unui jurist, înainte de lansare, nu după.
Cum te ajută WEB-AZ
Când construim chatboți, agenți AI sau agenți vocali, includem de la început elementele tehnice care țin de transparență și control: mesajul care anunță că utilizatorul vorbește cu un sistem AI, preluarea de către un om, jurnalizarea și limitarea datelor prelucrate. Nu oferim consultanță juridică, dar putem lucra împreună cu juristul tău, astfel încât deciziile lui să fie implementate corect în sistem.
Pași următori