Conformitate EU AI Act: ce servicii, livrabile și dosar îți trebuie ca să treci un audit

Folosești AI în recrutare, scoring, chatbot-uri, antifraudă, customer support sau automatizarea fluxurilor interne? Atunci întrebarea nu mai este dacă tehnologia aduce eficiență, ci dacă ai un dosar real de conformitate EU AI Act și GDPR care rezistă într-un audit, într-o negociere cu un vendor sau în fața unei autorități.

Presiunea din 2026 este concretă: îți trebuie o clasificare a sistemelor, o evaluare de risc, politici interne, AI literacy, un registru AI și o separare clară între rolurile de provider și deployer. Din 2 august 2026 intră în vigoare majoritatea regulilor, inclusiv transparența și regimul principal pentru multe sisteme high-risk.

Acest articol descrie serviciile Buju, Stanciu & Asociații pe conformitate EU AI Act în România: practica dedicată, livrabilele, nivelurile de risc acoperite și o comparație structurată, neutră, cu alte case de avocatură active pe subiect.

Ce înseamnă conformitatea EU AI Act și cum o abordează BSA

Buju, Stanciu & Asociații are o practică vizibilă pe inteligență artificială, susținută de conținut specializat, expertiză privacy și o componentă tehnică internă - echipa include atât avocați de business și data protection, cât și un rol dedicat de Chief AI Strategy Officer.

Abordarea pornește din suprapunerea dintre AI Act și GDPR: o companie poate fi conformă pe un palier și vulnerabilă pe altul - date de antrenare, profiling, dreptul la explicație, DPIA versus FRIA, relația provider-deployer și contractele cu vendorii. Ca poziționare, BSA se adresează în principal companiilor care implementează sau folosesc sisteme AI terțe (rol de deployer), nu celor care dezvoltă un foundation model - situația majorității organizațiilor din piața locală.

Livrabile concrete: de la evaluarea de risc la training

Un proiect tipic începe cu inventarierea use case-urilor și continuă cu documente utilizabile efectiv de compliance, DPO, procurement, HR și management:

1. 01

   AI Act applicability assessment

   Evaluare de risc inițială: dacă soluția intră în definiția de sistem AI și ce regim i se aplică, raportat la Regulamentul (UE) 2024/1689 și la ghidurile Comisiei privind definiția sistemului AI și practicile interzise.

2. 02

   Clasificare pe niveluri de risc și roluri

   Încadrarea fiecărui sistem ca risc minim, transparență, high-risk sau potențial interzis, cu delimitarea rolului organizației: provider, deployer, importator sau distribuitor.

3. 03

   Registru AI

   Un registru intern al sistemelor AI: scop, vendor, flux de date, utilizatori interni, tip de output, impact asupra drepturilor, temei GDPR, human oversight, păstrarea logurilor și stadiu de aprobare.

4. 04

   Gap analysis AI Act + GDPR

   Analiza comună AI Act-GDPR: legal basis, profiling, art. 22 GDPR, minimizare, retenție, transferuri, contracte și documentație, în linie cu opinia EDPB din 18 decembrie 2024.

5. 05

   Politici interne și AI governance

   Politica de utilizare AI, procedura de aprobare a noilor tool-uri, vendor due diligence, reguli de etichetare și transparență, proces de escaladare, human oversight și AI literacy. Art. 4 privind AI literacy este aplicabil din 2 februarie 2025.

6. 06

   DPIA, FRIA și evaluări integrate

   Evaluări integrate de risc pentru sisteme cu impact relevant, aliniate proceselor interne astfel încât să poată fi folosite efectiv în decizii de implementare.

7. 07

   Vendor contracting și negociere

   Revizuirea clauzelor privind performanța, explainability, asistența la audit, incident reporting, drepturile de acces la documentație și loguri, plus remediile pentru neconformitate.

8. 08

   Training și workshop-uri pe scenarii

   Sesiuni de AI literacy pentru management, HR, product, legal, IT și compliance, construite pe scenarii concrete: recrutare automată, scoring și customer support.

Obligații pe niveluri de risc și roluri

AI Act este bazat pe risc, iar obligațiile diferă în funcție de rolul organizației. Pe scurt, cine ce datorează:

Această mapare rol × risc este scheletul oricărui dosar de conformitate: fără ea, nu știi ce documente și ce controale îți lipsesc.

Proces de lucru și termene orientative

Fluxul tipic al unui proiect de conformitate AI Act. Termenele sunt orientative și variază în funcție de numărul de sisteme, complexitatea organizației și disponibilitatea informațiilor interne. Etapele 4–7 se pot desfășura parțial în paralel.

1. Discovery (1–2 săptămâni). Inventarierea use case-urilor AI, identificarea vendorilor și a fluxurilor de date.
2. Clasificare (1–2 săptămâni). Încadrarea sistemelor pe niveluri de risc și roluri (provider/deployer).
3. Registru AI (1 săptămână). Construirea registrului intern al sistemelor AI.
4. Politici interne (2–3 săptămâni). Redactarea politicii de utilizare AI și a procedurilor asociate.
5. DPIA / FRIA (2–4 săptămâni). Evaluări de impact pentru sistemele cu risc relevant.
6. Contractare (2–4 săptămâni, în paralel). Revizuirea și renegocierea clauzelor cu vendorii AI.
7. Training (1–2 săptămâni). Sesiuni de AI literacy pentru echipele relevante.

Discută procesul pentru compania ta

Ce conține un registru AI operațional

Un registru AI funcțional include, de regulă, câmpuri minime precum:

• Denumire sistem și scop / caz de utilizare
• Vendor și rol organizațional (provider, deployer, importator, distribuitor)
• Nivel de risc AI Act și categoria Anexă III, dacă e cazul
• Date personale procesate: categorii și temei GDPR
• Utilizatori interni și tip de output (scor, decizie, conținut generat)
• Impact asupra drepturilor persoanelor vizate
• Măsuri de human oversight și politică de retenție a logurilor
• Documentație vendor disponibilă și stadiu de aprobare internă
• Data ultimei revizuiri

Structura unei politici interne de utilizare AI

O politică internă funcțională acoperă, de regulă, următoarele secțiuni:

• Scop și domeniu de aplicare
• Definiții și termeni cheie (sistem AI, provider, deployer, high-risk)
• Roluri și responsabilități (comitet AI, DPO, IT, business owners)
• Procesul de aprobare pentru noi instrumente AI
• Cerințe de vendor due diligence
• Reguli de etichetare și transparență pentru utilizatori/clienți
• Protocol de human oversight pentru sisteme high-risk
• Gestionarea incidentelor și proces de escaladare
• Cerințe de documentare și păstrare a logurilor
• Program de AI literacy și instruire periodică
• Revizuire periodică a politicii

Comparație de piață: vizibilitate publică, nu clasament

Matricea de mai jos se bazează exclusiv pe materiale publice (iulie 2026) și reflectă informații identificabile, nu opinii. Rândurile „nespecificat public" indică lipsa unei confirmări publice identificate, nu absența capacității reale a firmei.

Comparația arată diferențe de vizibilitate publică între firme, nu neapărat diferențe de capacitate reală - de aici nevoia verificării directe cu fiecare firmă.

Expert insights

Potrivit Comisiei Europene, AI Act este primul cadru juridic comprehensiv pentru AI la nivel global, bazat pe risc, iar sistemele high-risk sunt supuse unor cerințe stricte privind risk management, calitatea datelor, logging, documentație, human oversight, robustețe și cybersecurity.

În calendarul standard, din 2 august 2026 intră în vigoare majoritatea regulilor, inclusiv transparency rules și aplicarea principală pentru sistemele high-risk din Anexa III. La interfața cu protecția datelor, EDPB subliniază rolul principiilor GDPR în susținerea unei dezvoltări responsabile a AI, inclusiv în privința anonimizării, interesului legitim și utilizării datelor.

Din perspectiva pieței românești, România rămâne în principal un ecosistem AI reglementat la nivel UE, iar implementarea locală se construiește în jurul autorităților desemnate și al obligațiilor sectoriale.

Concluzii cheie

• BSA are o practică dedicată de EU AI Act & Compliance, documentată prin conținut public specific.
• Livrabilele sunt concrete: evaluare de risc, clasificare sisteme, registru AI, politici interne, gap analysis GDPR-AI Act și training.
• Poziționarea acoperă high-risk AI, HR AI, credit scoring, chatbot-uri și proiecte în care providerul și deployerul împart obligații.
• Un dosar de conformitate defensabil presupune atât documentele de mai sus, cât și un proces intern repetabil de actualizare.

Întrebări frecvente