BSA - Expertiză EU AI Act & Compliance: servicii concrete, livrabile și diferențiatori reali

Folosiți AI în recrutare, scoring, chatbot-uri, customer support sau automatizarea fluxurilor interne și încă nu știți dacă sunteți provider, deployer sau doar un utilizator cu obligații de transparență? Pentru profesioniștii din conformitate și protecția datelor, aceasta nu mai este o întrebare teoretică. Odată cu aplicabilitatea etapizată a AI Act, companiile din România trebuie să demonstreze nu doar că folosesc AI eficient, ci că îl folosesc controlat, documentat și defensabil în audit.

La Buju, Stanciu & Asociații, vedem zilnic aceeași problemă: organizații care au deja AI în operațiuni, dar nu au încă un dosar de conformitate care să includă evaluare de risc, clasificare de sisteme, politici interne, registru AI și o analiză clară a suprapunerii dintre AI Act și GDPR. În acest articol explicăm ce servicii oferă concret BSA pe conformitate EU AI Act, ce livrabile punem la dispoziție, pentru ce niveluri de risc suntem echipați și cum ne comparăm cu alte firme din piață. Veți pleca cu o hartă practică a pașilor de urmat, nu cu generalități.

Ce oferă concret BSA pe conformitate EU AI Act

Buju, Stanciu & Asociații are o practică vizibilă și dedicată pe AI Act, susținută de pagina specializată AI Act și de articole aplicate despre suprapunerea AI Act-GDPR, despre HR AI și recrutare automatizată și despre credit scoring și dreptul la explicație. Răspunsul la întrebarea strategică este clar: da, BSA are o practică dedicată EU AI Act & compliance și o descrie public în termeni operaționali, nu doar de marketing.

Concret, serviciile BSA acoperă:

Applicability assessment și evaluare de risc

Stabilim dacă soluția este „sistem AI" în sensul Regulamentului (UE) 2024/1689 și în ce categorie de risc se încadrează.

Clasificare de rol

Provider, deployer, importator sau distribuitor - cu maparea obligațiilor asociate fiecărui rol pe niveluri de risc.

Registru AI intern

Utilizabil de legal, DPO, HR, procurement și management - nu un excel decorativ.

Politici interne și fluxuri de aprobare

Politici de utilizare AI și proceduri de aprobare pentru noile tool-uri introduse în organizație.

Gap analysis AI Act + GDPR

Inclusiv art. 22 GDPR, profiling, legal basis, retenție și transparență - o singură analiză, nu două fluxuri paralele.

DPIA / FRIA integrate

Evaluări de impact corelate pentru cazurile relevante, fără duplicarea efortului.

Vendor due diligence și contracte

Suport la verificarea furnizorilor și negocierea clauzelor privind audit rights, loguri, incidente și documentație.

Training de AI literacy

Obligație prevăzută de art. 4 AI Act, aplicabilă din februarie 2025 - workshop-uri pentru legal, DPO, HR, management și IT.

Un diferențiator rar în piața locală

Echipa BSA combină avocați de business, data protection și tehnologie cu un rol intern distinct de Chief AI Strategy Officer - o structură rar vizibilă public în piața juridică românească, care permite traducerea obligațiilor legale în instrumente reale de lucru.

Test rapid: provider sau deployer?

Rolul tău sub AI Act decide amploarea obligațiilor. Patru situații frecvente - alege rolul pe care îl consideri corect:

Situația 1: Compania folosește un tool SaaS de screening CV cumpărat de la un vendor, sub brandul vendorului, configurat standard.

Deployer. Folosiți un sistem AI terț sub autoritatea voastră. Obligațiile includ utilizarea conform instrucțiunilor, oversight uman, monitorizare și - pentru high-risk precum recrutarea - obligații suplimentare de transparență față de candidați. Majoritatea companiilor românești sunt exact aici.

Situația 2: Compania ia un model AI existent, îl personalizează semnificativ și îl vinde clienților sub propriul brand.

Provider. Rebranding-ul sau modificarea substanțială a unui sistem AI pus pe piață sub numele tău te poate transforma din deployer în provider - cu întregul pachet de obligații: risk management, documentație tehnică, conformitate înainte de punerea pe piață. Este cea mai scumpă recalificare descoperită târziu.

Situația 3: Departamentele folosesc ChatGPT, Copilot sau Gemini pentru conținut și productivitate, fără integrare în produsele companiei.

Deployer - cu accent pe obligațiile de transparență pentru conținutul AI-generated și pe politicile interne de utilizare (confidențialitate, verificarea output-urilor, etichetare conform Codului de practică din iunie 2026). Riscul aici nu e clasificarea, ci lipsa oricărei guvernanțe.

Situația 4: Compania integrează API-ul unui model AI într-un produs propriu de credit scoring, vândut instituțiilor financiare.

Provider, cel mai probabil. Construiești și pui pe piață un sistem AI high-risk (creditare = acces la servicii esențiale) sub propriul nume, chiar dacă motorul e al altcuiva. Obligațiile de provider pentru high-risk sunt cele mai stricte din regulament - analiza de rol trebuie făcută înainte de lansare, nu după.

Granița provider/deployer e mai subțire decât pare

Customizarea, integrarea sub brand propriu sau modificarea scopului unui sistem pot schimba rolul - și odată cu el, întregul set de obligații. Analiza de rol este primul livrabil dintr-un proiect BSA, tocmai pentru că totul depinde de ea. Verifică rolul companiei tale.

Livrabile și niveluri de risc acoperite

Pentru majoritatea companiilor românești, miza practică nu este teoria AI Act, ci ce documente trebuie să existe luni dimineață pe masa DPO-ului, a HR-ului și a managementului. Un proiect tipic BSA include: raport de evaluare de risc, clasificare sisteme AI, registru AI, model de AI policy, flux de aprobare pentru noi instrumente, checklist de vendor due diligence, matrice rol/risc, analiză pentru high-risk AI, plus un dosar de evidențe pentru audit.

Această abordare este aliniată cu cadrul oficial al Comisiei Europene, care arată că sistemele high-risk sunt supuse unor obligații stricte privind risk management, data governance, logging, documentație, human oversight, acuratețe și securitate cibernetică. Tot Comisia precizează că obligațiile de transparență pentru chatbot-uri și conținut AI-generated devin centrale, iar Codul de practică publicat la 10 iunie 2026 oferă deja repere practice pentru etichetare.

La nivel de risc, BSA este echipată să asiste pe:

Practici interzise

Screening preliminar și decizie stop/go legală înainte ca un sistem problematic să intre în operațiuni.

High-risk AI

Recrutare, evaluare angajați, creditare, asigurări, acces la servicii esențiale - cu întregul pachet de documentație, oversight și logging.

Transparență / risc limitat

Chatbot-uri, asistenți virtuali, conținut generat cu ChatGPT, Copilot sau Gemini - obligații de informare și etichetare.

Risc minim

Recomandarea nu este absența guvernanței, ci guvernanță proporțională - reguli simple, fără birocrație inutilă.

Comparația BSA cu alte firme din piață

Apasă pe fiecare comparație pentru detalii:

Notă editorială

Comparațiile de mai sus reflectă vizibilitatea publică a conținutului fiecărei firme la data redactării, nu o evaluare independentă a calității serviciilor; ele ar trebui verificate periodic, întrucât paginile firmelor concurente se pot actualiza. Pe scurt: concurenții mari pot avea capacitate instituțională și acoperire extinsă, însă BSA iese în evidență prin focus, lizibilitate și orientare pe livrabile direct folosibile în companie.

De la registru AI la AI policy: valoarea practică pentru compliance și DPO

Una dintre cele mai frecvente erori este presupunerea că un simplu DPIA sau o anexă la politica IT rezolvă obligațiile de conformitate. În realitate, AI Act cere o arhitectură de documente și controale distinctă. BSA tratează acest lucru pragmatic.

Registrul AI nu este un excel decorativ. El trebuie să includă sistemul, scopul, vendorul, rolul organizației, datele personale implicate, categoria de risc, output-ul, măsurile de human oversight, log retention, documentația primită de la vendor și stadiul aprobării interne. Exact aici apare valoarea serviciilor BSA: transformă conceptele din regulament într-un registru AI operațional.

Politicile interne trebuie să acopere aprobarea noilor tool-uri, restricțiile de utilizare, transparența față de utilizatori, standardele minime pentru testare, incidentele și responsabilitățile interne. Pentru organizațiile care folosesc generative AI, asta înseamnă inclusiv reguli privind conținutul AI-generated, etichetarea, confidențialitatea și verificarea output-urilor.

Gap analysis-ul GDPR + AI Act este esențial deoarece, după cum arată și opinia EDPB din 18 decembrie 2024, anonimizarea, interesul legitim și folosirea datelor personale în dezvoltarea sau utilizarea modelelor AI cer o analiză separată, contextuală și bine documentată. BSA are un avantaj clar aici prin faptul că tratează conformitatea AI ca intersecție între privacy, tehnologie și governance, nu ca siloz.

„Noi nu dezvoltăm modele, deci nu ne privește" - fals

Comisia Europeană arată clar că și deployerii au obligații relevante, iar piața locală este formată în principal din companii care implementează soluții AI terțe. Pentru acestea, dosarul minim include exact ce caută multe echipe: evaluare de risc, clasificare sisteme, politici interne, registru AI, training, clauze contractuale și proces de escaladare.

Model: prima intrare din registrul tău AI

Cel mai bun mod de a înțelege ce presupune un registru AI este să completezi o intrare pentru un sistem pe care îl folosești deja.

Ai completat greu câmpul de risc sau de oversight?

Exact acolo e nevoie de analiza juridică. Categoria de risc și caracterul real al oversight-ului uman sunt câmpurile pe care un audit le va verifica primul - și cele pe care BSA le documentează cu argumentație juridică în registrul complet. Programează o discuție.

Calendarul de aplicare și reperele oficiale

1 august 2024 - AI Act intră în vigoare

Regulamentul (UE) 2024/1689 este în vigoare, cu aplicare etapizată.

2 februarie 2025 - interdicțiile și AI literacy se aplică

Practicile interzise și obligația de alfabetizare AI (art. 4) sunt deja aplicabile pentru toate organizațiile care folosesc AI.

Mai 2026 - ghidurile de clasificare pentru high-risk

Comisia Europeană a publicat ghiduri de clasificare pentru sistemele high-risk. Deși nu sunt obligatorii juridic, ele reflectă interpretarea Comisiei și vor ghida aplicarea legii - în plan operațional, stabilesc standardul la care se va raporta un audit sau o autoritate de supraveghere.

10 iunie 2026 - Codul de practică pentru conținut AI-generated

Repere practice pentru marcarea și etichetarea conținutului generat de AI - direct relevant pentru organizațiile care folosesc chatbot-uri și generative AI.

2 august 2026 - majoritatea regulilor-cheie devin aplicabile

Transparența și celelalte obligații principale devin relevante, cu anumite ajustări și tranziții suplimentare rezultate din simplificările convenite în 2026 pentru unele sisteme high-risk.

Pe partea de protecția datelor, EDPB a reținut în opinia sa despre modelele AI (18 decembrie 2024) că statutul de anonimizare se analizează de la caz la caz și că interesul legitim poate fi folosit doar când este demonstrată necesitatea strictă și este respectat echilibrul între interesele operatorului și drepturile persoanelor vizate. Pentru echipele de conformitate, aceasta confirmă că AI policy, risk register și DPIA/FRIA integrate nu sunt „nice to have", ci infrastructură minimă de apărare.

Cum lucrează BSA într-un proiect AI Act

Abordarea noastră pornește de la realitatea operațională a clientului. Nu începem cu 100 de pagini de teorie, ci cu maparea use case-urilor: HR AI, chatbot, scoring, customer support, antifraudă, creditare, content generation, analytics. Apoi separăm rolurile: unde sunteți deployer, unde puteți deveni provider prin rebranding, customizare sau integrare sub propriul brand.

1. Raport de evaluare de risc și clasificare pe niveluri
   Plus analiza provider/deployer și obligațiile asociate fiecărui rol.
2. Registru AI gata de folosit intern
   Împreună cu politica internă AI și procedura de aprobare a noilor sisteme.
3. Gap analysis AI Act + GDPR
   Cu suport pentru DPIA, FRIA și dreptul la explicație - corelat cu practica firmei pe protecția datelor.
4. Revizuire contractuală cu vendorii
   Audit rights, incidente, documentație și loguri - controlul contractual asupra furnizorului este jumătate din apărarea unui deployer.
5. Workshop-uri de AI literacy
   Pentru legal, DPO, HR, management și IT - obligația de la art. 4, transformată în training aplicat.

„Ce ne diferențiază este combinația dintre expertiza juridică, componenta de privacy și capacitatea de a traduce obligațiile în instrumente reale de lucru. Clienții nu vor doar să afle ce spune legea - vor un registru AI, o AI policy și un plan de remediere utilizabile imediat."

- Marius Stanciu, Partener, Buju, Stanciu & Asociații

Ce trebuie să reții

1. BSA oferă servicii concrete, nu generalități
   Evaluare de risc, clasificare sisteme, politici interne, registru AI și gap analysis GDPR-AI Act.
2. Echipată pentru toate nivelurile de risc
   De la screening de practici interzise la proiecte high-risk, transparență, AI literacy și dosare de audit - în special pentru companii care sunt deployeri.
3. Diferențiatorul: livrabile operaționale, verificabile public
   Nu doar reputație generală - registru, policy, plan de remediere, dosar de audit.
4. Dosarul defensabil începe cu maparea use case-urilor
   Și continuă cu AI register, AI policy, training și control contractual asupra vendorilor.
5. Conformitatea AI este guvernanță continuă
   Nu un document bifat o singură dată - mai ales pentru HR AI, chatbot-uri și scoring.

Întrebări frecvente

Unde se află compania ta față de AI Act?

Următorul pas nu este un memo generic, ci o mapare a sistemelor AI folosite deja în business. BSA transformă această mapare într-un plan clar: ce este high-risk, ce intră la transparență, ce documente lipsesc și ce trebuie renegociat cu vendorii - înainte ca un audit sau o solicitare de explicații să o facă în locul tău. Pornește de la pagina noastră dedicată AI Act sau scrie-ne direct.

Contactează-ne acum