EU AI Act pentru companii: ce faci din august 2026

Din 2 august 2026 se aplică cea mai mare parte a obligațiilor din EU AI Act, adică Regulamentul (UE) 2024/1689. Regulamentul e în vigoare din 1 august 2024, dar aplicarea a fost eșalonată pe etape, iar etapa din august 2026 e cea care atinge companiile obișnuite: firmele care folosesc AI, nu cele care construiesc modele.

Articolul ăsta e pentru a doua categorie, de departe cea mai numeroasă în România: ai un chatbot pe site, folosiți Copilot sau Claude în echipă, aveți un SaaS de HR care face screening de CV-uri. Ce ți se cere concret, ce nu ți se cere, și în ce ordine faci pașii. Nu e consultanță juridică; e o hartă practică, cu trimitere la sursele oficiale.

Ce s-a schimbat pe 2 august 2026

Calendarul regulamentului, pe scurt:

• 2 februarie 2025: au intrat în aplicare interdicțiile (articolul 5: manipulare subliminală, social scoring, scraping nedirecționat de imagini faciale și altele) și obligația de alfabetizare AI a personalului (articolul 4).
• 2 august 2025: regulile pentru modelele de uz general (GPAI), structura de guvernanță și regimul de sancțiuni.
• 2 august 2026: restul, adică partea care contează pentru majoritatea companiilor: obligațiile pentru sistemele cu risc ridicat din Anexa III și obligațiile de transparență din articolul 50.
• 2 august 2027: termen extins pentru sistemele cu risc ridicat încorporate în produse deja reglementate (Anexa I) și pentru modelele GPAI puse pe piață înainte de august 2025.

Deci dacă firma ta folosește AI dar nu vinde AI, august 2026 e momentul în care regulamentul ajunge la tine. Vestea bună: pentru un utilizator obișnuit, lista de făcut e mai scurtă decât pare din presă.

Ești furnizor sau utilizator? Distincția de care atârnă tot

Regulamentul împarte lumea în furnizori (provider: cine dezvoltă un sistem AI sau îl pune pe piață sub numele lui) și utilizatori profesioniști (deployer: cine folosește un sistem AI în activitatea proprie). Aproape toate companiile din România sunt deployeri: folosesc modele și produse construite de alții.

Distincția contează pentru că obligațiile grele (documentație tehnică, evaluarea conformității, marcaj CE, sistem de management al calității) cad pe furnizor. Deployerul are obligații mai puține și mai operaționale: să folosească sistemul conform instrucțiunilor, să asigure supraveghere umană, să monitorizeze.

O nuanță de reținut: rolurile pot aluneca. Dacă iei un model existent, îl modifici substanțial și îl pui pe piață sub marca ta, poți deveni furnizor, cu tot pachetul de obligații. Simpla folosire a unui API sau fine-tuning intern pentru uz propriu nu te mută, de regulă, în categoria furnizorilor.

Pasul 1: inventarul sistemelor AI

Nu poți clasifica ce nu știi că ai. Primul livrabil real de conformitate e o listă: ce sisteme cu componente AI folosește firma, la ce, cu ce date, cine e responsabil de fiecare.

Capcana e AI-ul ascuns în SaaS-uri: CRM-ul care face lead scoring, platforma de HR care ordonează candidații, sistemul de suport care sugerează răspunsuri, filtrele antifraudă din gateway-ul de plăți. Treci prin lista de aplicații folosite în firmă și întreabă furnizorii ce funcții AI sunt active. Inventarul are nevoie de un proprietar cu nume și prenume, altfel moare în două luni.

Pasul 2: clasificarea pe risc

Fiecare intrare din inventar primește una din patru etichete:

• Interzis (articolul 5): manipulare, social scoring, recunoaștere a emoțiilor la locul de muncă în afara excepțiilor. Rar în practică; dacă găsești așa ceva, oprești, nu documentezi.
• Risc ridicat (Anexa III): AI folosit la recrutare și decizii de HR, scoring de credit, acces la servicii esențiale, educație și examinare, componente de siguranță. Aici se concentrează obligațiile noi din august 2026.
• Risc limitat (articolul 50, transparență): chatboturi, conținut generat, deepfake-uri. Obligația e să spui, nu să autorizezi.
• Risc minim: restul, adică majoritatea. Filtre de spam, corectură gramaticală, completare de cod, recomandări interne. Nicio obligație nouă.

Pentru o firmă românească tipică, distribuția arată cam așa: zero sisteme interzise, zero sau unu cu risc ridicat (aproape întotdeauna în HR sau creditare), câteva cu obligații de transparență, restul risc minim.

Pasul 3: transparența, obligația care atinge pe toată lumea

Din august 2026, articolul 50 cere trei lucruri simple:

• Persoanele care interacționează cu un AI trebuie informate că vorbesc cu un AI, dacă nu e evident din context. Chatbotul de pe site primește o propoziție de disclosure.
• Conținutul generat sau manipulat semnificativ de AI trebuie marcat. Pentru deepfake-uri și pentru texte publicate pe teme de interes public, dezvăluirea e explicită; pentru restul, marcajul tehnic cade în principal pe furnizorul uneltei.
• Alfabetizarea AI (articolul 4, aplicabilă deja din februarie 2025): oamenii care folosesc sisteme AI în firmă trebuie să aibă un nivel rezonabil de înțelegere a ce fac uneltele și unde greșesc. Un training intern scurt, repetat la schimbări majore, e răspunsul proporțional.

Pasul 4: dacă ai un sistem cu risc ridicat

Aici obligațiile de deployer devin serioase (articolul 26): folosești sistemul conform instrucțiunilor furnizorului, desemnezi oameni instruiți pentru supraveghere umană, te asiguri că datele de intrare sunt relevante pentru scopul sistemului, monitorizezi funcționarea și suspenzi utilizarea dacă apare un risc, păstrezi log-urile generate automat cel puțin șase luni, iar înainte să folosești un astfel de sistem la locul de muncă îți informezi angajații și reprezentanții lor.

La fel de important e ce ceri furnizorului prin contract: declarația de conformitate, instrucțiunile de utilizare, informațiile necesare pentru propriile evaluări (inclusiv DPIA pe GDPR, care nu dispare și nu e înlocuit de AI Act), și suport pentru supravegherea umană. Dacă furnizorul unui sistem din Anexa III nu poate produce aceste documente în 2026, ăsta e un semnal de schimbat furnizorul.

Ce nu trebuie să faci

• Nu îți trebuie certificare pentru un chatbot intern. Nu există certificare AI Act pentru utilizatori; evaluarea conformității e treaba furnizorului, și doar la risc ridicat.
• Folosirea GPT sau Claude ca unealtă nu te face furnizor de GPAI.Obligațiile de model cad pe OpenAI, Anthropic, Google, nu pe firma care folosește API-ul sau abonamentul.
• Nu totul e risc ridicat. Eticheta se aplică pe cazuri de utilizare enumerate în Anexa III, nu pe tehnologie. Același model e risc minim într-un rezumat de ședință și risc ridicat într-o decizie de angajare.
• AI Act nu interzice AI-ul generativ și nu cere acordul unei autorități ca să folosești AI în firmă. Pentru majoritatea cazurilor cere doar onestitate (transparență) și igienă operațională.

Amenzi și cine controlează în România

Plafoanele din regulament sunt mari, gândite pentru marile platforme: până la 35 de milioane de euro sau 7% din cifra de afaceri globală pentru practici interzise, până la 15 milioane sau 3% pentru încălcarea majorității celorlalte obligații, până la 7,5 milioane sau 1% pentru informații incorecte transmise autorităților. Pentru IMM-uri se aplică pragul mai mic. Sancțiunile se aplică proporțional; scenariul realist pentru o firmă care folosește AI cu bună-credință și își face inventarul nu e amenda, ci corecția.

Pe partea de supraveghere, la nivel european funcționează Oficiul pentru IA (AI Office) pentru modelele de uz general. La nivel național, la data scrierii acestui articol, cadrul instituțional din România era încă în curs de finalizare; propunerile publice au vizat ANCOM ca autoritate de supraveghere. Până la clarificare, reperul practic rămâne textul regulamentului și ghidurile publicate de Comisia Europeană.

De unde începi

Ordinea rezonabilă pentru o companie care pornește de la zero: inventarul sistemelor AI, clasificarea pe risc, propozițiile de transparență acolo unde lipsesc, un training scurt de alfabetizare AI, și abia apoi, dacă ai ceva în Anexa III, dosarul serios de deployer. Primele două etape sunt exact genul de lucru care se face o dată, bine, cu cineva care a mai văzut sisteme AI în producție: inventarul și clasificarea sunt primul livrabil al unei analize AI făcute ca lumea, împreună cu harta de oportunități. Restul pașilor decurg din el.