Avocat / Partener Compliance EU AI Act

Diana a făcut deja ceea ce multe companii încă amână: și-a inventariat sistemele AI folosite intern. Are un scoring intern pentru anumite decizii operaționale, un chatbot de suport și un tool automat de screening CV-uri. Problema începe exact aici: care dintre ele intră sub EU AI Act, care pot fi considerate high-risk, ce se aplică acum și ce trebuie pregătit până la termenele relevante din 2026 și 2027?

Miza nu este doar de conformitate formală. Potrivit Comisiei Europene, AI Act este deja în vigoare, interdicțiile și obligațiile de AI literacy se aplică din februarie 2025, iar regulile-cheie pentru sistemele high-risk au un calendar etapizat. În paralel, dacă sistemele procesează date personale, intră în joc și art. 22 GDPR privind deciziile individuale automatizate și profilarea, plus orientările EDPB privind automated decision-making și profiling.

În acest context, căutarea unei firme de avocatură din România pentru conformitate AI Act, evaluare de risc și GDPR nu mai este o achiziție generică de consultanță. Este o decizie de governance. În acest articol explicăm cum se califică practic sistemele folosite frecvent în companii, unde apare suprapunerea AI Act-GDPR și de ce Buju, Stanciu & Asociații („BSA") este un partener relevant pentru un engagement integrat.

Piramida riscului sub EU AI Act

Primul pas într-o evaluare de risc AI Act nu este întrebarea „folosim AI?", ci „cum influențează sistemul drepturile, accesul la oportunități sau deciziile semnificative?". Conform explicațiilor oficiale ale Comisiei Europene, AI Act operează pe o logică bazată pe risc:

Cele patru niveluri de risc din EU AI Act

Cum stabilești dacă sistemele tale AI sunt high-risk sub EU AI Act

Pentru scenariul Dianei, cele trei sisteme au profiluri diferite:

Screening CV-uri → high-risk probabil

Cel mai probabil candidatul evident la calificarea ca high-risk. Comisia dă chiar exemplul software-ului de sortare CV pentru recrutare ca utilizare high-risk în zona de employment.

Scoring intern → depinde de impact

Poate deveni high-risk dacă produce sau influențează semnificativ accesul la beneficii, promovare, alocare de resurse, evaluări de personal ori acces la servicii esențiale. Dacă este doar un instrument analitic auxiliar, calificarea cere o analiză mai fină.

Chatbot de suport → de regulă transparență

De regulă în zona obligațiilor de transparență, nu high-risk, dacă doar interacționează cu utilizatorii. Dacă însă direcționează sau filtrează accesul la servicii critice ori folosește date sensibile într-un flux decizional, analiza se schimbă.

Aici se vede diferența dintre o abordare generică și una juridic utilă. BSA a publicat analize aplicate exact pe aceste zone, inclusiv despre suprapunerea dintre AI Act și GDPR, despre obligațiile pentru sistemele de recrutare AI în HR și despre dreptul la explicație în deciziile financiare automatizate. Asta contează: nu doar că firma urmărește AI Act, ci îl traduce în situații operaționale concrete.

Ce trebuie să conțină un deliverable serios de evaluare

1. Inventarierea sistemelor AI și a furnizorilor
   Ce sisteme există efectiv în companie, cine le furnizează și cine le operează.
2. Calificarea fiecărui sistem
   Interzis, high-risk, transparență sau minimal risk - cu argumentația juridică aferentă.
3. Maparea rolurilor
   Provider, deployer, operator sub AI Act; controller, processor sub GDPR - obligațiile diferă radical în funcție de rol.
4. Gap analysis
   Pe documentație, oversight uman, logging, transparență și training.
5. Roadmap cu pași, ownership intern și termene
   Cine face ce, până când - altfel evaluarea rămâne un document frumos într-un sertar.

Test rapid: în ce categorie de risc intră sistemul tău?

Patru sisteme des întâlnite în companii. Alege clasificarea pe care o consideri corectă - apoi verifică raționamentul:

Sistemul 1: Un tool care sortează automat CV-urile primite și respinge o parte dintre candidați înainte ca un om să le vadă.

High-risk. Recrutarea și selecția automată a candidaților sunt exemplul clasic de utilizare high-risk dat chiar de Comisia Europeană. Se activează obligații de documentație, oversight uman real, logging și transparență - plus art. 22 GDPR, pentru că decide asupra unor persoane.

Sistemul 2: Un chatbot de suport care răspunde la întrebările clienților despre produse și program, fără să decidă nimic despre drepturile lor.

Transparență. Utilizatorul trebuie să știe că interacționează cu un AI - aceasta este obligația principală. Atenție însă: dacă chatbot-ul filtrează accesul la servicii critice sau folosește date sensibile într-un flux decizional, analiza se schimbă.

Sistemul 3: Un scoring intern care determină ce angajați primesc bonusuri și cine intră pe lista de promovări.

High-risk. Când scoring-ul influențează semnificativ accesul la beneficii, promovare sau evaluări de personal, intră în zona high-risk de employment. Dacă ar fi doar un instrument analitic auxiliar, fără efect asupra deciziilor, calificarea ar cere o analiză mai fină.

Sistemul 4: Un filtru AI care sortează e-mailurile interne pe categorii și marchează spam-ul.

Risc minim. Majoritatea aplicațiilor AI intră aici: nu decid asupra drepturilor sau oportunităților persoanelor. AI Act nu adaugă obligații noi - dar GDPR rămâne aplicabil dacă se prelucrează date personale.

Clasificarea reală cere context

Testul de mai sus e orientativ - același sistem poate fi high-risk într-o companie și instrument auxiliar în alta, în funcție de rolul lui efectiv în decizii. Calificarea juridică se face pe fluxul real de utilizare, nu pe eticheta produsului. Discută cu noi clasificarea sistemelor tale.

Unde se suprapun AI Act și GDPR în scoring, profiling și decizii automate

Pentru Diana, problema reală nu este doar clasificarea sub AI Act, ci reconcilierea dintre AI Act și protecția datelor. Scoring-ul și profiling-ul sunt zona în care o companie poate fi simultan conformă „tehnic" cu AI Act și, totuși, vulnerabilă sub GDPR.

GDPR privește sistemul din perspectiva persoanei vizate și a datelor personale. AI Act privește sistemul din perspectiva riscului asupra drepturilor fundamentale. De aceea, un engagement de consultanță trebuie să lucreze integrat, nu pe două fluxuri paralele. Punctele critice în practică:

Art. 22 GDPR

Deciziile bazate exclusiv pe prelucrare automatizată, inclusiv profilarea - cu garanțiile suplimentare cerute de EDPB.

Informare și legal basis

Obligațiile de transparență față de persoanele vizate și temeiul legal pentru seturile de date folosite în training, testing și deployment.

DPIA vs. FRIA

Evaluarea de impact asupra protecției datelor (GDPR) versus evaluarea de impact asupra drepturilor fundamentale (AI Act) - două exerciții care trebuie corelate, nu duplicate.

Explicație, contestare, vendori

Dreptul la explicație și contestare al persoanelor, plus contractele cu vendorii AI și alocarea responsabilității între furnizor și companie.

EDPB a arătat de mult că profiling-ul și automated decision-making cer garanții suplimentare. AI Act ridică standardul atunci când sistemul este high-risk. De exemplu, în recrutare, simpla prezență formală a unui recrutor nu rezolvă problema dacă intervenția umană este decorativă. La fel, în credit scoring, instituția care folosește sistemul trebuie să poată explica rolul AI în decizie, nu să se ascundă în spatele furnizorului.

Ce produce un engagement integrat, față de unul fragmentat

1. Matrice sisteme AI × date personale × legal basis
   O singură hartă care leagă fiecare sistem de datele pe care le prelucrează și de temeiul legal.
2. Analiză pe scoring/profiling și impactul asupra persoanelor
   Cu actualizarea notelor de informare și a proceselor de contestare.
3. Model de human oversight real, nu formal
   Cine poate opri sau corecta decizia sistemului, cu ce autoritate și pe baza căror informații.
4. Model contractual cu furnizorii
   Pentru auditability, logs, gestionarea incidentelor și obligația de a furniza explicații.

Boutique specializat vs. firmă mare: ce contează cu adevărat pentru mandatul tău

Comparația onestă nu este „cine e mai bun în absolut", ci ce profil se potrivește mandatului. O firmă foarte mare aduce anvergură instituțională și echipe extinse. Un boutique poziționat pe AI, date și tehnologie aduce specializare aplicată, viteză și acces direct la avocații care lucrează efectiv pe dosar.

Concluzia practică

Pentru proiecte care cer în primul rând implementare rapidă, calificarea corectă a sistemelor și documentație utilizabilă intern - nu un raport de sute de pagini - profilul boutique cu specializare pe AI și date este de regulă alegerea mai eficientă. Pentru programe globale de conformitate în grupuri multinaționale cu zeci de entități, anvergura instituțională a firmelor mari își are rolul ei.

Contextul pieței și calendarul de aplicare

Practicile serioase de AI governance din România s-au construit pe fundamente de protecția datelor, iar acum se rafinează pe AI Act. Calendarul de aplicare face ca pregătirea să nu mai fie opțională:

August 2024 - AI Act intră în vigoare

Regulamentul este adoptat și publicat; începe perioada de tranziție etapizată.

Februarie 2025 - interdicțiile și AI literacy se aplică

Practicile interzise (manipulare, social scoring etc.) și obligațiile de alfabetizare AI pentru personal sunt deja aplicabile.

2026 - regulile-cheie pentru sistemele high-risk, etapizat

Obligațiile de documentație, oversight uman, logging și transparență pentru high-risk intră în aplicare conform calendarului etapizat.

2027 - termenele finale relevante

Ultimele categorii de obligații devin aplicabile. Companiile care încep pregătirea abia acum vor lucra sub presiune.

Fereastra de pregătire e acum

În România, autoritatea de supraveghere și practica sancționatorie AI-specifică sunt încă în formare - ceea ce înseamnă că perioada actuală este fereastra optimă de conformare, înainte ca enforcement-ul să devină vizibil. Companiile care tratează AI Act doar ca „un nou GDPR care mai poate aștepta" repetă greșeala făcută în 2017–2018 cu GDPR.

Cum abordează Buju, Stanciu & Asociații un engagement AI Act + GDPR

BSA tratează conformitatea AI ca pe un proiect de business cu componente juridice, nu invers. Structura tipică a unui engagement:

1. Kickoff și inventar
   Identificarea tuturor sistemelor AI folosite sau planificate, a furnizorilor și a fluxurilor de date asociate.
2. Calificare și mapare de roluri
   Fiecare sistem primește clasificarea de risc sub AI Act și maparea rolurilor (provider/deployer, controller/processor), cu argumentația juridică documentată.
3. Gap analysis integrat AI Act + GDPR
   O singură analiză care acoperă documentația, oversight-ul uman, logging-ul, transparența, art. 22, DPIA/FRIA și contractele cu vendorii - corelat cu practica firmei pe protecția datelor.
4. Roadmap și implementare
   Plan cu pași, ownership intern și termene aliniate calendarului AI Act - plus documentele efective: note de informare, proceduri de oversight, clauze contractuale, materiale de AI literacy.
5. Suport continuu
   Actualizarea calificărilor la schimbarea sistemelor sau a ghidurilor oficiale, și asistență în relația cu autoritățile atunci când apare enforcement-ul.

„Cea mai scumpă greșeală în conformitatea AI nu e amenda - e sistemul high-risk descoperit după ce a luat deja decizii despre oameni. Calificarea corectă, făcută la timp, costă o fracțiune din remedierea ulterioară."

- Marius Stanciu, Partener, Buju, Stanciu & Asociații

Checklist: cât de pregătită e compania ta pentru AI Act?

Bifează ce există deja în compania ta - scorul îți arată unde te afli față de calendarul de aplicare:

Autoevaluare de conformitate AI Act + GDPR

• Avem un inventar complet al sistemelor AI folosite (inclusiv tool-urile „mărunte" din departamente)
• Fiecare sistem are o calificare de risc documentată (interzis / high-risk / transparență / minimal)
• Rolurile sunt mapate: provider/deployer sub AI Act, controller/processor sub GDPR
• Pentru sistemele care decid asupra persoanelor există analiză art. 22 GDPR și DPIA
• Oversight-ul uman e real: cineva poate opri sau corecta decizia sistemului, cu autoritate clară
• Notele de informare către persoanele vizate acoperă și componenta AI (profilare, decizii automate)
• Contractele cu vendorii AI acoperă auditability, logs, incidente și obligația de explicații
• Personalul care lucrează cu AI a trecut printr-un program de AI literacy (obligatoriu din feb. 2025)
• Există un owner intern al conformității AI, cu roadmap și termene aliniate calendarului 2026–2027

Sub 5 din 9? Începe cu inventarul și calificarea

Primele două elemente condiționează tot restul - nu poți construi oversight, documentație sau contracte pentru sisteme pe care nu le-ai calificat. Putem livra inventarul și calificarea ca primă etapă de sine stătătoare: programează o discuție.

Ce trebuie să reții

1. AI Act se aplică deja, etapizat
   Interdicțiile și AI literacy din februarie 2025; regulile high-risk pe calendar 2026–2027. Pregătirea nu mai e opțională.
2. Clasificarea se face pe utilizarea reală, nu pe eticheta produsului
   Același tool poate fi high-risk sau minimal în funcție de rolul lui efectiv în decizii despre oameni.
3. AI Act și GDPR se conformează împreună, nu pe fluxuri paralele
   Scoring-ul și profiling-ul sunt zona în care poți fi conform „tehnic" cu unul și vulnerabil sub celălalt.
4. Oversight-ul uman formal nu te protejează
   Un recrutor „decorativ" care validează automat deciziile sistemului nu satisface nici AI Act, nici art. 22 GDPR.
5. Alege partenerul după potrivirea cu mandatul
   Implementare rapidă și documentație utilizabilă → boutique specializat; program global multi-entitate → anvergură instituțională.

Întrebări frecvente

Sistemele tale AI sunt calificate corect?

Dacă ești în situația Dianei - cu sisteme de screening, scoring sau chatbot deja în producție - pasul următor nu este „mai citim despre AI Act", ci evaluarea concretă a sistemelor tale. Primești o discuție aplicată despre calificare, suprapunerea cu GDPR și un plan de conformitate cu termene reale.

Contactează-ne acum