AI Act: calendarul obligațiilor pentru companii (2025–2027)

Regulamentul (UE) 2024/1689, cunoscut ca AI Act, a intrat în vigoare la 1 august 2024. Spre deosebire de GDPR, nu se aplică dintr-o dată: legiuitorul a ales un calendar etapizat, ca organizațiile să aibă timp să se pregătească. Pentru o companie, asta înseamnă că unele obligații sunt deja aplicabile, iar altele sosesc treptat până în 2027.

AI Act împarte obligațiile în funcție de rol. Furnizorul (provider) este cel care dezvoltă un sistem AI sau îl introduce pe piață sub propriul nume. Implementatorul (deployer) este organizația care folosește un sistem AI sub autoritatea sa, în activitatea profesională.

Majoritatea companiilor sunt implementatori: folosesc un asistent conversațional, un modul de scoring dintr-un ERP sau un instrument de recrutare cumpărat de la un terț. Rolul se poate schimba însă. Dacă îți pui marca pe un sistem, îi modifici substanțial funcționarea sau îl folosești într-un scop cu risc ridicat pentru care nu a fost conceput, poți ajunge să ai obligațiile unui furnizor.

• Ai cumpărat un SaaS cu funcții AI și îl folosești intern — de regulă ești implementator.
• Ai construit un model propriu și îl vinzi clienților — ești furnizor.
• Ai integrat un model de uz general într-un produs pe care îl comercializezi — verifică atent obligațiile de furnizor.

Regulamentul nu tratează orice AI la fel. Obligațiile cresc odată cu riscul pentru sănătate, siguranță și drepturi fundamentale.

Pentru o companie obișnuită, zona cea mai sensibilă este HR: un instrument care filtrează CV-uri, clasifică candidați sau evaluează performanța angajaților intră, de regulă, în categoria de risc ridicat.

Nivelul de transparență atinge și mai multe companii decât pare. Dacă publici pe site un chatbot de suport, oamenii trebuie să afle că vorbesc cu un sistem AI, cu excepția cazului în care este evident. Dacă folosești imagini, video sau audio generate ori manipulate cu AI care pot fi confundate cu realitatea, Art. 50 cere ca acestea să fie dezvăluite ca atare, cu excepții limitate pentru conținutul artistic sau satiric.

Articolul 4 cere furnizorilor și implementatorilor să ia măsuri pentru a asigura, în cea mai mare măsură posibilă, un nivel suficient de alfabetizare AI pentru personalul lor și pentru alte persoane care lucrează cu sisteme AI în numele lor. Nivelul se raportează la cunoștințele tehnice, experiența, educația și contextul în care sunt folosite sistemele.

Obligația se aplică din 2 februarie 2025 și nu depinde de nivelul de risc: dacă angajații folosesc un chatbot general pentru e-mailuri sau rezumate, ea te privește. Regulamentul nu cere un certificat anume. Contează să poți arăta ce ai făcut: cine a fost instruit, pe ce teme, când și cum ai adaptat conținutul la roluri diferite.

• Ce poate și ce nu poate face un model de limbaj (inclusiv „halucinațiile”).
• Ce date nu au voie să ajungă în unelte publice: date personale, secrete comerciale, cod sursă.
• Cum verifici un rezultat înainte să-l folosești într-o decizie.
• Cui raportezi o utilizare greșită sau un incident.

Dacă folosești un sistem din Anexa III, regulamentul îți cere, ca implementator, câteva lucruri concrete:

1. Să folosești sistemul conform instrucțiunilor furnizorului.
2. Să atribui supravegherea umană unor persoane competente, instruite și cu autoritatea necesară.
3. Să te asiguri că datele de intrare aflate sub controlul tău sunt relevante și suficient de reprezentative.
4. Să monitorizezi funcționarea și să informezi furnizorul despre riscuri sau incidente grave.
5. Să păstrezi jurnalele generate automat, aflate sub controlul tău, cel puțin șase luni.
6. Să informezi reprezentanții lucrătorilor și angajații afectați înainte de a folosi sistemul la locul de muncă.

În anumite cazuri se adaugă o evaluare a impactului asupra drepturilor fundamentale: pentru organismele publice, pentru unele entități private care prestează servicii publice și pentru sistemele de scoring de credit sau de stabilire a prețului asigurărilor de viață și sănătate.

Pentru companiile mari se aplică valoarea mai mare dintre cele două; pentru IMM-uri și start-up-uri, valoarea mai mică. Sumele sunt plafoane, nu tarife fixe: autoritățile țin cont de gravitate, durată și cooperare.

1. Fă inventarul sistemelor AI folosite, inclusiv al celor adoptate de echipe fără aprobare (shadow AI).
2. Stabilește rolul (furnizor sau implementator) și nivelul de risc pentru fiecare sistem.
3. Elimină orice practică interzisă — termenul a trecut deja.
4. Organizează instruirea de alfabetizare AI și păstrează dovezile.
5. Pentru sistemele cu risc ridicat, numește responsabili de supraveghere și verifică păstrarea jurnalelor.
6. Adoptă o politică de utilizare AI și leag-o de procesele existente de securitate și GDPR.

Detaliile operaționale sunt în ghidul nostru despre guvernanța AI în practică. Dacă ești și entitate NIS2, merită aliniat efortul cu răspunderea conducerii din NIS2.