Într-o companie medie poloneză, cu până la 200 de angajați, personalul utilizează neoficial cel puțin o duzină de instrumente diferite de inteligență artificială. Conducerea știe, de obicei, doar despre trei dintre ele. Lipsa de control asupra fluxului de informații creează o breșă juridică periculoasă. Deși pachetul de reglementare AI Omnibus adoptat în iunie 2026 a amânat o parte din termenele de punere în aplicare ale AI Act, cerințele-cheie și sancțiunile financiare severe se aplică necondiționat deja de acum.
Articolul de mai jos clarifică calendarul modificărilor, explică riscurile asociate cu software-ul neverificat și indică pașii concreți care vor permite protejarea organizației împotriva unor amenzi ce pot ajunge până la 35 de milioane de euro.
Ce este AI Act?
AI Act este cadrul de reglementare complex privind inteligența artificială, elaborat și adoptat de Parlamentul European și Consiliul Uniunii Europene. Acesta clasifică sistemele AI în funcție de gradul de risc pe care îl generează. Regulamentul introduce reguli riguroase de siguranță și transparență, impunând obligații concrete fiecărei organizații care proiectează, furnizează sau utilizează algoritmi pe piața Uniunii Europene. Ce înseamnă acest lucru în practică pentru o companie medie din Polonia?
Regulamentul se concentrează pe responsabilitatea deplină pentru contextul și modul de utilizare a instrumentelor AI. Un pilon esențial al noilor reglementări este necesitatea exercitării unei supravegheri permanente asupra proceselor în care folosim soluții din domeniul inteligenței artificiale. Companiile trebuie să ia în calcul amenzi financiare severe nu doar pentru utilizarea în sine a instrumentelor interzise, ci mai ales pentru lipsa procedurilor interne adecvate și lipsa cunoștințelor documentate ale personalului cu privire la sistemele utilizate.
Cele patru niveluri de risc conform AI Act – unde se află compania ta?
Regulamentul nu evaluează tehnologia în sine, ci contextul utilizării sale și impactul asupra drepturilor și siguranței oamenilor. În funcție de acest lucru, AI Act împarte instrumentele în patru categorii:
| Nivel de risc | Exemple de aplicare în companie | Principalele obligații juridico-organizaționale |
|---|---|---|
| 1. Inacceptabil | Analiza emoțiilor angajaților, scoringul social, manipularea subliminală | Interdicție totală de utilizare de la 2 februarie 2025 |
| 2. Ridicat | AI în recrutarea și evaluarea angajaților, scoringul de credit, evaluarea asigurărilor de sănătate | Înregistrarea în baza de date a UE, audituri, gestionarea datelor, supraveghere umană obligatorie |
| 3. Limitat | Chatboți de vânzări, generatori de conținut de marketing și materiale grafice | Obligația de a informa utilizatorul că vorbește cu un AI și marcarea conținutului (art. 50) |
| 4. Minim | Asistenți pentru corectarea ortografiei, filtre antispam, analitică internă de proces | Fără cerințe din AI Act (se aplică doar cerința de instruire din art. 4 și GDPR-ul general) |
Noul calendar de punere în aplicare a AI Act – ce înseamnă în practică pachetul AI Omnibus?
Timp de multe luni, sectorul de afaceri din întreaga Uniune Europeană a considerat data de 2 august 2026 drept momentul aplicării depline a reglementărilor privind sistemele de inteligență artificială cu risc ridicat. Totuși, acest calendar a suferit o modificare fundamentală. La jumătatea anului 2026, Parlamentul European și Consiliul UE au aprobat pachetul de amendamente cunoscut sub numele de Digital Omnibus on AI.
Calendarul actualizat de aplicare a prevederilor AI Act
| Data intrării în vigoare | Cerință sau prevedere legală | Statut formal |
|---|---|---|
| 1 august 2024 | Intrarea inițială în vigoare a regulamentului european AI Act | În vigoare |
| 2 februarie 2025 | Interzicerea practicilor nepermise (art. 5) și cerința de creștere a competențelor personalului (art. 4) | În vigoare |
| 2 august 2025 | Norme și obligații pentru furnizorii de modele AI de uz general | În vigoare |
| August 2026 | Lansarea autorităților naționale de supraveghere și începerea controalelor directe și a punerii în aplicare a normelor | Etapa actuală |
| 2 decembrie 2026 | Obligația de marcare digitală a conținutului generat de AI și normele de transparență (art. 50) | În curs de implementare |
| 2 decembrie 2027 | Obligații pentru sistemele autonome cu risc ridicat din Anexa III (inclusiv scoring de credit, evaluarea riscului de asigurare, sisteme de recrutare și evaluare a angajaților) | Amânat (AI Omnibus) |
| 2 august 2028 | Obligații pentru sistemele AI care constituie componente de siguranță ale produselor | Amânat (AI Omnibus) |
Obligații aplicabile necondiționat – aici și acum
Amânarea termenelor în cadrul pachetului Omnibus nu a vizat întregul conținut al regulamentului. Doi piloni ai reglementărilor au aplicabilitate juridică din 2 februarie 2025, iar companiile trebuie să își concentreze atenția asupra lor în primul rând.
Dezvoltarea competențelor personalului (art. 4)
Această prevedere le impune angajatorilor să asigure personalului care operează instrumente de inteligență artificială cunoștințele corespunzătoare. Angajații trebuie să înțeleagă modul de funcționare a algoritmilor, regulile de introducere a datelor și riscurile legate de luarea deciziilor de către mașini. Legislatorul european nu tratează această cerință ca pe o instruire unică. Dezvoltarea competențelor trebuie să constituie un element permanent al procedurilor interne ale companiei.
Din august 2026, autoritățile de supraveghere înființate vor începe controalele oficiale. Lipsa documentată a instruirilor și procedurilor cerute de Articolul 4 va fi tratată ca o circumstanță agravantă la impunerea amenzilor financiare.
Interdicția necondiționată a practicilor nepermise (art. 5)
De la începutul anului 2025, în întreaga Uniune Europeană este interzisă implementarea și utilizarea sistemelor AI destinate acțiunilor dăunătoare din punct de vedere social. Interdicția include soluțiile care utilizează manipularea subliminală, provocarea de modificări subconștiente în comportamentul oamenilor și așa-numitul scoring social, adică evaluarea credibilității persoanelor pe baza comportamentului din viața de zi cu zi. Normele interzic, de asemenea, utilizarea instrumentelor pentru analiza emoțiilor angajaților la locul de muncă și identificarea biometrică de la distanță în timp real în spațiile publice.
Software-ul neoficial și împărțirea rolurilor în lumina legii
Utilizarea de către angajați a generatorilor de conținut gratuit și accesibili public sau a modulilor (plug-in-uri) fără știrea departamentului IT (așa-numitul Shadow AI) creează o amenințare operațională uriașă. Introducerea documentelor financiare confidențiale, a bazelor de date cu clienți sau a contractelor comerciale în asistenți neautorizați generează un risc imediat de scurgere de informații, încălcare a GDPR și încălcare a secretului comercial.
Din punctul de vedere al supravegherii juridice, nu are importanță dacă tehnologia respectivă a fost achiziționată oficial de conducere sau lansată independent de către un angajat.
În același timp, prevederile AI Act diferențiază cu precizie responsabilitatea juridică în funcție de rolul pe care o entitate îl îndeplinește în ecosistemul tehnologic. Se disting următoarele două roluri:
- utilizatorul / entitatea care aplică (deployer) – organizația care folosește în activitatea sa un instrument AI gata creat, pus la dispoziție de o companie externă (de exemplu, un program pentru calcularea automată a bonității sau un sistem care sprijină recrutarea);
- furnizorul (provider) – entitatea care proiectează, creează și introduce pe piață un sistem AI sub propria denumire sau marcă înregistrată.
Există însă o capcană formală. O organizație care cumpără un software gata creat de la o companie externă și ulterior îi aduce modificări substanțiale sau îi schimbă scopul inițial, în lumina regulamentului încetează să mai fie doar o entitate care aplică. Aceasta preia automat responsabilitatea juridică și financiară deplină atribuită furnizorului.
Două exemple foarte concrete ilustrează situația în care o organizație trece de la rolul de utilizator (deployer) la cel de furnizor (provider).
Exemplul 1 – schimbarea scopului instrumentului (de ex. în departamentul HR)
O companie care a cumpărat o licență pentru un model general LLM / asistent de text, creat și destinat unor sarcini simple de birou (de ex. redactarea descrierilor de funcții sau redactarea de e-mailuri) își asumă rolul de utilizator (deployer).
Dacă însă departamentul de HR din cadrul companiei integrează acest model cu propriile baze de date și îl modifică astfel încât să analizeze, să puncteze și să clasifice automat CV-urile candidaților în procesul de recrutare, organizația schimbă scopul inițial al tehnologiei. Totul pentru că, potrivit AI Act, recrutarea și selecția angajaților constituie un domeniu de risc ridicat. În lumina legii, această companie devine furnizor al unui sistem cu risc ridicat.
Exemplul 2 – modificare tehnică profundă (fine-tuning) în sectorul financiar
O bancă sau o instituție de credit cumpără de la o companie IT externă un software de analiză gata făcut. În continuare, echipa internă IT efectuează o modificare substanțială (fine-tuning) – antrenează modelul pe propriile baze de date istorice unice și modifică algoritmii de scoring.
Ca urmare a acestei modificări, sistemul începe să ia independent sau să determine direct deciziile privind acordarea creditului. Din cauza intervenției profunde în funcționarea algoritmului, furnizorul inițial al software-ului nu mai răspunde pentru rezultatul final – responsabilitatea juridică și financiară deplină a furnizorului este preluată de bancă.
Ce înseamnă în practică o astfel de schimbare de rol pentru o companie?
Preluarea rolului de furnizor înseamnă că organizația nu se poate limita doar la aplicarea instrucțiunilor de utilizare. Ea trebuie, pe propria cheltuială, printre altele, să creeze și să mențină o documentație tehnică completă și un sistem de gestionare a riscurilor, să efectueze o evaluare formală a conformității și, conform art. 49 din AI Act, să înregistreze sistemul în baza de date a UE.
Pedeapsa pentru neștiință, adică riscurile financiare reale
Încălcarea cerințelor Regulamentului European privind Inteligența Artificială atrage, printre altele, amenzi severe. Cuantumul acestora depinde direct de amploarea abaterii și de cifra de afaceri anuală a întreprinderii din exercițiul financiar anterior:
- furnizarea de informații false sau înșelătoare autorităților de supraveghere – sancțiunile ajung până la 7,5 milioane de euro sau până la 1% din cifra de afaceri anuală.
- încălcarea obligațiilor utilizatorului sau furnizorului în cazul sistemelor cu risc ridicat și lipsa de transparență – amenzile sunt de până la 15 milioane de euro sau până la 3% din cifra de afaceri globală.
- utilizarea practicilor interzise de AI (art. 5) – amenzile ajung până la 35 de milioane de euro sau până la 7% din cifra de afaceri anuală totală la nivel mondial a întreprinderii.
Antreprenorii trebuie să rețină că valorile menționate reprezintă plafonul maxim, nu sume calculate automat. Autoritățile de control, la evaluarea abaterii, iau în considerare amploarea neglijenței, durata încălcării, colaborarea de până atunci și dacă firma a făcut încercări serioase de a documenta procedurile de conformitate.
Pe lângă amenzile bănești în sine, autoritățile de supraveghere a pieței au dreptul de a ordona sistarea imediată a utilizării instrumentului respectiv în organizație. La acestea se adaugă daunele de imagine și riscul unor cereri individuale de despăgubire depuse de angajați sau clienți pe cale civilă.
Cum să implementezi în siguranță inteligența artificială în companie?
Soluția la problemele legate de software-ul neoficial nu este interzicerea necondiționată a utilizării noilor tehnologii, ci crearea unui mediu de lucru sigur și auditat.
Un exemplu de abordare structurată este implementarea soluției Google Workspace cu asistentul Gemini. Datele introduse de angajați în sistem nu sunt utilizate pentru antrenarea modelelor publice de inteligență artificială și nici nu sunt puse la dispoziția unor terți. Prelucrarea informațiilor se face pe baza standardelor europene de protecție a datelor cu caracter personal, cu o împărțire transparentă a drepturilor de acces în interiorul organizației.
În paralel, este necesară crearea unei structuri de supraveghere organizațională. Reprezentanții departamentelor juridic, IT, financiar și HR ar trebui să elaboreze împreună regulile de acceptare a noilor instrumente.
În cazul proceselor care au un impact asupra oamenilor, este esențial să se garanteze supravegherea umană (așa-numita human in the loop). Recomandările generate de mașină – de exemplu cele privind evaluarea candidaților la angajare sau evaluarea serviciilor – trebuie să fie supuse de fiecare dată verificării și deciziei finale a unui angajat desemnat.
Calea de pregătire a organizației pentru AI Act pentru anul 2026
Adaptarea eficientă a companiei la cerințele AI Act necesită parcurgerea mai multor pași organizaționali într-o ordine bine definită:
- Efectuează un inventar complet al software-ului. Notează toate instrumentele care utilizează algoritmi AI în toate unitățile de afaceri – acordând o atenție deosebită aplicațiilor implementate în mod arbitrar de angajați (așa-numitul Shadow AI).
- Verifică procesele utilizate. Verifică acțiunile companiei din perspectiva practicilor interzise la articolul 5 (printre altele: analiza emoțiilor la locul de muncă, manipularea subliminală).
- Lansează un program de creștere a competențelor (art. 4). Organizează și documentează un ciclu permanent de instruire privind utilizarea sigură a AI pentru întregul personal.
- Evaluează rolul companiei și amploarea modificării modelelor. Stabilește dacă organizația acționează doar ca utilizator (deployer) sau dacă – prin modificare profundă sau ajustare (fine-tuning) a modelelor de uz general – preia obligațiile de furnizor.
- Analizează contractele cu furnizorii. Revizuiește și actualizează contractele sub aspectul clauzelor de responsabilitate, calității datelor de intrare, documentației tehnice și procedurilor de raportare a incidentelor.
- Implementează o politică internă privind AI și proceduri de supraveghere umană. Elaborează reguli de verificare a deciziilor algoritmice de către personal (Human in the Loop), de protecție a informațiilor confidențiale și de marcare digitală a conținutului sintetic (art. 50).
- Înregistrează sistemele și planifică audituri anuale. Declară sistemele cu risc ridicat în baza oficială de date a UE (conform art. 49) și stabilește un calendar de revizuiri regulate ale conformității.
Implementarea sigură a inteligenței artificiale cu FOTC
Pregătirea companiei pentru cerințele legale nu trebuie să însemne renunțarea la inovație. Echipa de experți FOTC sprijină organizațiile în fiecare etapă a adaptării sigure a tehnologiei:
- Implementăm și configurăm un ecosistem închis Google Workspace cu asistentul Gemini, asigurând confidențialitatea deplină a informațiilor prelucrate.
- Ajutăm la realizarea inventarului de software, identificăm breșele de securitate și sprijinim eliminarea amenințărilor legate de instrumentele neoficiale.
- Instruim echipele cu privire la utilizarea sigură a asistenților digitali, permițând îndeplinirea cerinței formale de creștere a competențelor din articolul 4.
Completează formularul de contact de pe site-ul nostru pentru a stabili o consultație gratuită cu un consultant FOTC.
Întrebări frecvente (FAQ)
Reglementările AI Act se aplică și companiilor mici și mijlocii?
Da. Supunerea la regulile regulamentului este determinată de scopul utilizării sistemului de inteligență artificială și de impactul acestuia asupra oamenilor, nu de mărimea entității sau de valoarea capitalului său. O companie mică de recrutare care folosește algoritmi pentru evaluarea candidaților se supune cerințelor în aceeași măsură ca o corporație mare.
Prin ce se diferențiază AI Act de Regulamentul GDPR (RODO)?
GDPR se concentrează pe protecția datelor cu caracter personal și a vieții private a persoanelor fizice. AI Act reglementează însă chestiunile legate de proiectarea, implementarea și utilizarea sigură a sistemelor de inteligență artificială în sine, acordând o atenție deosebită minimizării riscului tehnic și protecției drepturilor fundamentale.
Când are o companie obligația de a informa clientul că vorbește cu un bot?
Obligația de informare prevăzută la articolul 50 apare imediat, la prima interacțiune. Un consilier virtual sau un chatbot care deservește un magazin online trebuie să comunice clar clientului, chiar la începutul conversației, caracterul său sintetic. Informația ascunsă în regulamentul site-ului este insuficientă.