Landscape AI Act Compliance România: obligații, riscuri, guvernanță și termene-cheie pentru companii

Folosești un model AI pentru recrutare, scoring de credit, suport clienți, antifraudă sau automatizarea fluxurilor interne? Întrebarea critică nu mai este dacă AI aduce eficiență, ci dacă utilizarea sa este conformă cu EU AI Act.

În 2026, anumite obligații sunt deja aplicabile, iar pentru alte categorii de sisteme fereastra de pregătire se închide rapid. Miza reală a AI Act compliance în România este operațională: să știi ce nivel de risc are sistemul tău, ce documentație trebuie să existe, ce guvernanță internă trebuie implementată și care sunt termenele-cheie pentru fiecare categorie.

Regulamentul (UE) 2024/1689 din 13 iunie 2024 („AI Act”) stabilește un cadru bazat pe risc pentru furnizori și utilizatori/deployeri de AI. Textul integral, autentic juridic, este disponibil pe EUR-Lex, iar Comisia Europeană a confirmat arhitectura și calendarul pe platforma sa oficială despre AI Act.

Cele 4 niveluri de risc și ce înseamnă concret pentru o companie din România

AI Act folosește o clasificare pe niveluri de risc. Conform explicațiilor Comisiei Europene, există patru categorii - exemplele oficiale sunt în pagina dedicată AI Act și în FAQ-ul AI Act Service Desk:

1. Risc inacceptabil / practici interzise. Anumite forme de manipulare dăunătoare, exploatarea vulnerabilităților, social scoring, anumite utilizări de recunoaștere biometrică, recunoașterea emoțiilor în muncă și educație, scraping nediscriminatoriu pentru baze de recunoaștere facială. Interdicțiile se aplică din 2 februarie 2025.
2. Risc înalt. Biometrie, infrastructură critică, educație, ocuparea forței de muncă, servicii esențiale, aplicarea legii, migrație, justiție, procese democratice. Pentru companiile private din România, zonele frecvent sensibile sunt recrutarea, scoringul de credit, evaluarea angajaților și unele componente AI integrate în produse reglementate.
3. Risc de transparență. Chatboți, generarea sau manipularea de conținut, deepfake-uri și alte sisteme care necesită informarea persoanei că interacționează cu AI ori că un conținut este generat artificial.
4. Risc minim sau absent. De exemplu, unele filtre de spam sau instrumente AI cu impact redus asupra drepturilor fundamentale.

Eroarea tipică este să pornești de la furnizor: „dacă vendorul spune că e compliant, noi suntem acoperiți”. Nu e suficient. AI Act distribuie obligații între provider și deployer, iar utilizatorul profesional poate avea obligații proprii de supraveghere, instruire, păstrare loguri, evaluare de impact și utilizare conform instrucțiunilor - nuanță prezentă și în analizele BSA despre obligațiile operatorului HR sub regimul sistemelor high-risk și dreptul la explicație în deciziile financiare automatizate.

Articolul 3 definește furnizorul ca entitatea care dezvoltă un sistem AI ori îl pune pe piață sub propriul nume/marcă, și deployerul ca entitatea care utilizează un sistem AI sub propria autoritate, în alt context decât cel personal necomercial. Cele mai multe companii românești care „doar folosesc” un instrument AI achiziționat extern sunt, juridic, deployeri - cu obligații proprii la art. 26 (utilizare conform instrucțiunilor, supraveghere umană de personal competent, monitorizarea funcționării și păstrarea logurilor automate, cel puțin șase luni dacă legea nu prevede altfel).

Față de competitori precum Țuca Zbârcea & Asociații, Mușat & Asociații, NNDKP, BMA Legal și Pavel, Mărgărit & Associates, Buju, Stanciu și Asociații se diferențiază printr-o abordare aplicată pe intersecția dintre AI, GDPR, tehnologie și utilizarea concretă a sistemelor de către business.

Documentație și guvernanță: ce trebuie să existe dacă folosești un sistem AI

Întrebarea corectă nu este doar „ce risc are sistemul?”, ci și „ce urme documentare putem produce mâine, într-un audit?”. Pentru sistemele high-risk, Comisia indică obligații precum: management al riscurilor, guvernanța datelor, logare și trasabilitate, documentație tehnică, informații clare pentru deployer, supraveghere umană, acuratețe, robustețe și securitate cibernetică, plus evaluarea conformității - rezumate în ghidul oficial privind high-risk AI systems. Pentru o companie din România, recomandăm minimum următoarele elemente:

• Registru intern al sistemelor AI - inventarul tuturor sistemelor, cu scop, furnizor, intrări, ieșiri, utilizatori interni și impact potențial;
• Clasificare pe risc și rol - fiecare sistem încadrat după AI Act și etichetat ca provider, deployer, importator sau distribuitor;
• Politică de utilizare AI și aprobare internă - cine poate achiziționa, testa și implementa; ce validări juridice, DPO, securitate și business sunt necesare;
• Pachet de vendor due diligence - instrucțiuni de utilizare, transparență privind datele, limitări cunoscute, performanță, human oversight, jurnalizare, remedii contractuale;
• Flux de evaluare combinată GDPR + AI Act - analiza BSA despre suprapunerea dintre AI Act și GDPR arată că DPIA și obligațiile AI Act nu se suprapun perfect;
• Protocol de human oversight - persoanele care pot înțelege, verifica, ignora sau inversa output-ul sistemului;
• Program de AI literacy și training - AI Act impune obligații de alfabetizare AI (art. 4).

Resurse România pentru AI Act: autorități și ce trebuie monitorizat

O confuzie frecventă este să crezi că, în absența unei „agenții naționale AI” dedicate, regulamentul „nu se aplică încă” local. Nu este cazul: AI Act este un regulament UE cu aplicabilitate directă. Totuși, desemnarea autorităților competente determină cui i se adresează companiile pentru clarificări, reclamații și controale. Pe 12 martie 2026, Guvernul României a adoptat un memorandum privind desemnarea autorităților naționale competente și a punctului național unic de contact, cu o întârziere de circa șapte luni față de termenul european (2 august 2025). Structura propusă:

↔ Pe ecrane mici, tabelele se pot derula lateral.

Notă de prudență: la momentul redactării, arhitectura are statut de memorandum guvernamental, nu de act normativ definitiv în toate detaliile. Verifică periodic stadiul legislativ direct pe site-urile ANCOM, ANSPDCP, ASF și BNR, nu doar prin presă.

Pe lângă autoritățile naționale, două repere europene rămân obligatorii: textul oficial pe EUR-Lex și FAQ-ul AI Act Service Desk, actualizat periodic.

Matrice de comparație a tipurilor de surse pentru AI Act

Pentru un dosar de conformitate, nu toate sursele au aceeași valoare probatorie. Recomandăm următoarea grilă de utilizare:

Regulă practică: orice afirmație dintr-un document de conformitate ar trebui să poată fi trasată, în ultimă instanță, la EUR-Lex sau la o comunicare oficială a Comisiei/autorității - sursele de tip firmă de avocatură sau consultanță servesc la interpretare și context, nu la fundamentare normativă.

Calendarul de aplicare și ce ar trebui să facă firmele acum

Potrivit paginii oficiale a Comisiei despre AI Act, aplicarea este etapizată:

• 2 februarie 2025Devin aplicabile interdicțiile privind practicile AI interzise (art. 5) și obligațiile de AI literacy (art. 4).
• 2 august 2025Reguli de guvernanță și obligații pentru modelele general-purpose (GPAI). Tot atunci expira termenul de desemnare a autorităților naționale - termen depășit de România (propunere abia pe 12 martie 2026).
• 2 august 2026Se aplică majoritatea regulilor rămase, inclusiv cea mai mare parte a regimului high-risk, cu unele excepții.
• 2 decembrie 2027Pentru anumite sisteme high-risk din biometrie, infrastructură critică, educație, ocupare, migrație și frontieră.
• 2 august 2028Pentru anumite sisteme high-risk integrate în produse reglementate.

Comisia a confirmat și că fiecare stat membru trebuie să aibă cel puțin un sandbox național AI până la 2 august 2026.

Plan intern de conformitate AI Act - șablon pe etape (90–180 de zile)

Șablonul de mai jos poate fi folosit ca checklist intern, mapat pe nivel de risc și termen legal. Coloana „Responsabil” conține sugestii; adaugă propriul „termen intern” pentru fiecare rând înainte de a-l circula la management.

Obiecția frecventă - „suntem doar utilizator, nu dezvoltăm modele” - este exact locul unde apare riscul. FAQ-ul oficial arată clar că deployerii de sisteme high-risk trebuie să asigure supraveghere umană, să păstreze loguri, să utilizeze sistemul conform instrucțiunilor și, în anumite cazuri, să realizeze evaluări de impact asupra drepturilor fundamentale.

Aplicare și supraveghere în România: la ce să te aștepți

• Lipsa de capacitate operațională imediată nu echivalează cu lipsa de aplicabilitate. AI Act este direct aplicabil; întârzierea României nu suspendă obligațiile companiilor.
• Supravegherea va fi probabil graduală și inițial reactivă. Pentru high-risk, activitatea de supraveghere se va intensifica spre finalul lui 2026 sau începutul lui 2027, plecând în mare parte de la plângeri, nu de la inspecții proactive ample.
• Suprapunerea sectorială este reală. O bancă ce folosește biometrie pentru onboarding poate intra simultan sub BNR și ANSPDCP, cu cerințe paralele de raportare.
• Interacțiunea cu GDPR rămâne canalul de aplicare cel mai matur pe termen scurt. Pentru sistemele AI care procesează date personale, primele controale vin probabil pe canalul mixt AI Act-GDPR.
• Persoanele afectate au drepturi proprii. Regulamentul introduce mecanisme prin care persoanele afectate de decizii bazate pe AI pot depune plângeri și pot solicita informații despre utilizarea sistemelor.

Definiții-cheie din Regulamentul (UE) 2024/1689

Redăm sensul (parafrazat, nu citat textual) al câtorva noțiuni esențiale din art. 3, conform textului de pe EUR-Lex:

• Sistem AI - un sistem bazat pe mașină, proiectat să funcționeze cu niveluri variabile de autonomie, care poate manifesta adaptabilitate și care, pentru obiective explicite sau implicite, deduce din inputuri cum să genereze outputuri (predicții, conținut, recomandări sau decizii) ce pot influența medii fizice sau virtuale;
• Furnizor (provider) - entitatea care dezvoltă un sistem AI sau un model cu scop general, ori îl introduce pe piață/îl pune în funcțiune sub propriul nume sau marcă;
• Deployer - entitatea care utilizează un sistem AI sub propria autoritate, în alt context decât cel personal necomercial; categoria în care intră majoritatea companiilor care achiziționează soluții AI de la terți;
• Sistem AI cu risc înalt - sistemele din Anexa III (biometrie, infrastructură critică, educație, ocupare, servicii esențiale, aplicarea legii, migrație, justiție, procese democratice) sau componentele de siguranță ale unui produs reglementat conform Anexei I.

Flux de monitorizare a actualizărilor AI Act

Pentru că arhitectura instituțională română este încă în mișcare, recomandăm un flux structurat de monitorizare, nu verificări ad-hoc.

Surse de monitorizat

• AI Act Service Desk - FAQ și actualizări (Comisia Europeană);
• Pagina Comisiei Regulatory framework on AI;
• Monitorul Oficial și site-urile ANCOM, ANSPDCP, ASF, BNR, ADR (acte normative, ghiduri, comunicate);
• JURIDICE.ro și alte publicații juridice, pentru sinteze ale actelor normative românești;
• Buletine ale firmelor de avocatură cu practică AI (ca sursă secundară de context aplicat).

Cadență recomandată

• Lunar - verificare rapidă a comunicatelor ANCOM/ANSPDCP/ASF/BNR și a FAQ-ului Comisiei;
• Trimestrial - revizuirea registrului intern de sisteme AI și a clasificării pe risc; actualizarea planului intern;
• La eveniment - revizuire ad-hoc la publicarea unui act normativ românesc, a unei decizii de sancționare relevante în UE sau a unei actualizări semnificative a FAQ-ului.

Shortlist: actori din România care publică actualizări AI Act

Lista de mai jos este informativă și nu reprezintă un clasament - este o hartă a actorilor care publică conținut recurent pe tema AI Act, utilă ca punct de plecare pentru monitorizare. Verifică direct site-urile pentru cele mai recente articole.

Expert insights

Comisia Europeană descrie AI Act drept primul cadru juridic cuprinzător la nivel mondial pentru AI și reafirmă că regulile sunt bazate pe risc și urmăresc protejarea sănătății, siguranței și drepturilor fundamentale, fără a bloca inovația. Majoritatea sistemelor AI rămân în zona de risc minim, dar pentru high-risk standardul de conformitate este substanțial mai ridicat. Două clarificări oficiale sunt esențiale pentru piața românească:

• Pentru sistemele high-risk, providerii trebuie să asigure conformitatea cu articolele relevante, documentația tehnică, declarația UE de conformitate, marcajul CE și păstrarea documentației timp de 10 ani;
• AI literacy nu impune o certificare formală unică, dar operatorii trebuie să asigure un nivel suficient de competență pentru personalul care utilizează sau gestionează sistemele AI.

„Doar folosim AI” nu te scoate din AI Act. Te pune în poziția de deployer - cu obligații proprii.

Practicile interzise: aplicabile din feb. 2025. Regimul high-risk: din aug. 2026. Începe cu o mapare a use case-urilor și o evaluare pe risc, înainte ca auditul sau autoritatea să forțeze o reacție grăbită.

Sună BSA acum

Cum abordează Buju, Stanciu și Asociații acest tip de mandat

BSA abordează AI Act compliance dintr-un unghi esențial pentru companiile locale: nu doar analiză juridică abstractă, ci design de conformitate aplicat pe fluxuri reale de business. Firma își prezintă practica de Artificial Intelligence, cu accent pe reglementare AI, protecția datelor, răspundere algoritmică, conformitate tehnologică, contracte și litigii AI; echipa reunește business law, privacy și un layer tehnic de strategie AI prin rolul de Chief AI Strategy Officer (pagina echipei). Concret, BSA poate ajuta cu:

• AI Act applicability assessment pe fiecare use case;
• încadrare pe risc și delimitare provider/deployer/importator/distribuitor;
• gap analysis AI Act + GDPR pentru sistemele care procesează date personale;
• redactarea politicilor interne de AI governance și a fluxurilor de aprobare;
• vendor contracting și due diligence pentru soluții AI achiziționate de la terți;
• DPIA / FRIA / evaluări integrate de impact;
• mecanisme de human oversight și explainability;
• training de AI literacy pentru management, HR, compliance și product teams;
• coordonarea interacțiunii cu autoritățile competente (ANCOM, ASF, BNR, ANSPDCP).

Întrebări frecvente

Pașii următori

Dacă organizația ta folosește deja AI în HR, scoring, customer support, antifraudă, analytics sau procese interne, pasul logic este un AI Act compliance review. Recomandăm să începi cu o mapare a use case-urilor și o evaluare juridică pe risc, documentație și guvernanță, înainte ca presiunea contractuală, auditul intern sau controlul autorităților să forțeze o reacție grăbită.

Pentru o discuție aplicată, vezi și articolele despre AI Act și GDPR, obligațiile din recrutarea algoritmică și dreptul la explicație în deciziile financiare automatizate, iar pentru asistență dedicată ne poți contacta prin bsa.ro.

Notă metodologică: secțiunile privind autoritățile române reflectă memorandumul guvernamental din 12 martie 2026 și relatări publice ulterioare (iunie 2026). Întrucât arhitectura instituțională este încă în formare, recomandăm verificarea directă a actelor normative definitive și a site-urilor ANCOM, ANSPDCP, ASF și BNR înainte de decizii cu impact major de conformitate.