AL+

RO EN

Scrieți-ne

AI Act: ce obligații au firmele mici. Începeți cu un inventar

Începeți analiza AI Act cu sistemele folosite, rolul firmei și scopul lor. Furnizorii de chatboturi trebuie să verifice și marcarea automată a conținutului.

. De . Afaceri cu software

Read this article in English

Pe 21 mai 2024, Consiliul UE a dat aprobarea finală pentru AI Act (în engleză), iar presa din săptămâna aceea a vorbit despre niveluri de risc, interdicții și amenzi calculate ca procent din cifra de afaceri mondială. După doi ani și jumătate, cele mai multe reguli se aplică, termenele pentru sistemele cu risc ridicat s-au mutat, iar căutările despre regulament scot pagini întregi de oferte de conformitate.

Cred că majoritatea firmelor mici și mijlocii au nevoie de mult mai puțină muncă de conformitate decât li se vinde. O firmă care folosește instrumente AI sau adaugă un chatbot ori o funcție AI în produsul ei, fără să construiască sisteme cu risc ridicat, ar trebui să înceapă cu trei verificări practice: să știe ce sisteme AI folosește și în ce rol, să ia măsuri ca oamenii care le folosesc să le înțeleagă și să stabilească obligațiile de transparență ale sistemelor. Pentru furnizorii de chatboturi, informarea vizibilă este doar una dintre ele. O firmă care cumpără un program amplu de conformitate înainte de acest inventar plătește pentru frică, pentru că încă nu știe ce reguli i se aplică.

Ce s-a aprobat și ce s-a schimbat de atunci

Comunicatul Consiliului descria o lege construită pe niveluri de risc: practici interzise, cum ar fi evaluarea socială a persoanelor („social scoring”), sisteme cu risc ridicat permise, dar supuse unor cerințe înainte de a ajunge pe piață, și obligații de transparență foarte ușoare pentru sistemele cu risc limitat. TechCrunch (în engleză) încadra chatboturile, chiar în aceeași zi, în această ultimă categorie. Textul a apărut în Jurnalul Oficial ca Regulamentul (UE) 2024/1689 pe 12 iulie 2024 și a intrat în vigoare la 1 august 2024, cu aplicare etapizată.

Din etapizare a venit cea mai mare parte a confuziei de mai târziu. În iulie 2026, UE a adoptat Regulamentul (UE) 2026/1744, „Digital Omnibus on AI”, în vigoare de la 27 iulie 2026. Considerentele lui spun că întârzierea standardelor și a cadrelor naționale a dus la o sarcină de conformitate mai mare decât cea anticipată. Citit împreună cu regulamentul inițial, calendarul arată așa în noiembrie 2026:

Regula Se aplică de la
Practicile interzise (articolul 5) și obligația privind cunoștințele despre AI (articolul 4) 2 februarie 2025
Două interdicții noi: imagini sexuale generate fără consimțământ și materiale cu abuz sexual asupra copiilor 2 decembrie 2026
Obligațiile de transparență pentru chatboturi, deepfake-uri și conținut generat (articolul 50) 2 august 2026
Marcarea conținutului generat într-un format care poate fi citit automat, pentru sistemele aflate pe piață înainte de 2 august 2026 2 decembrie 2026
Sistemele cu risc ridicat din anexa III (angajare, credit, educație și altele) 2 decembrie 2027
Sistemele AI cu risc ridicat din produse reglementate (anexa I) 2 august 2028

Mare parte din ce s-a scris despre regulament înainte de iulie 2026 dă vechile termene pentru riscul ridicat. Verificați data oricărui sfat înainte să plătiți pentru el.

Întrebarea care decide totul: furnizor sau implementator

Regulamentul împarte obligațiile după rol. Furnizorul (articolul 3 punctul 3) este cel care dezvoltă un sistem AI sau comandă dezvoltarea lui și îl introduce pe piață ori îl pune în funcțiune sub propriul nume sau propria marcă. Implementatorul (articolul 3 punctul 4; în engleză, „deployer”) este oricine folosește un sistem AI aflat sub autoritatea sa, în afara unei activități strict personale, fără caracter profesional.

O firmă care plătește abonamente ChatGPT sau Copilot pentru angajați este implementator. Furnizorul este producătorul instrumentului, iar obligațiile grele sunt ale lui.

Cazul care merită mai multă atenție este firma mică ce construiește un chatbot pentru clienți folosind API-ul unui model și îl pune pe propriul site, sub propriul nume. După cum citesc eu articolul 3 punctul 3, firma aceasta este furnizorul chatbotului ca sistem AI, chiar dacă modelul din spate l-a antrenat altcineva. Contează pentru mai mult decât o informare vizibilă. Articolul 50 alineatul (1) pune informarea în sarcina furnizorului: persoanele trebuie să afle că interacționează cu un sistem AI, cu excepția cazului în care lucrul acesta este evident pentru o persoană rezonabil de bine informată, atentă și prudentă, în împrejurările date. Alineatul (5) cere ca informarea să ajungă la ele cel târziu la prima interacțiune. Articolul 50 alineatul (1) exceptează și sistemele autorizate prin lege pentru detectarea, prevenirea, investigarea sau urmărirea penală a infracțiunilor, cu garanții pentru terți, cu excepția celor puse la dispoziția publicului pentru raportarea unei infracțiuni. Pentru un chatbot obișnuit destinat clienților, punctul de plecare este o frază clară în fereastra de chat și în primul mesaj, o informare care trebuie verificată și pentru accesibilitate și momentul afișării.

Articolul 50 alineatul (2) cere și marcarea într-un format care poate fi citit automat și detectarea conținutului sintetic generat de sisteme AI: text, sunet, imagine sau video. Soluțiile trebuie să fie eficace, interoperabile, robuste și fiabile în măsura posibilului tehnic, ținând seama de limitele conținutului, costuri și stadiul tehnicii. Sunt exceptate sistemele în măsura în care asistă editarea obișnuită sau nu modifică substanțial datele introduse de implementator ori sensul lor, precum și utilizările autorizate prin lege în materie penală. Generarea liberă într-un chatbot nu este automat editare obișnuită. Notați ce model sau platformă asigură marcajele, dacă aplicația le păstrează la afișare și export, cum verificați detectarea și temeiul oricărei excepții. Eticheta din fereastra de chat nu rezolvă singură această obligație.

Cum arată inventarul

Inventarul este un document scurt, ținut la zi, cu un rând pentru fiecare sistem AI: instrumentul sau funcția, cine îl folosește, pentru ce, dacă sunteți furnizor sau implementator și dacă folosirea lui atinge vreuna dintre categoriile numite în regulament. La majoritatea firmelor mici încape pe o pagină.

Articolul 4, modificat prin Omnibus, cere măsuri care să sprijine dezvoltarea cunoștințelor despre AI ale personalului și ale celor care folosesc sistemele în numele firmei, în funcție de pregătire și de context. Nu cere garantarea unui anumit nivel pentru fiecare persoană. Aceasta este o parafrază a textului englez, nu un citat din versiunea oficială română. Inventarul vă arată cine are nevoie de instruire și despre ce. Un ghid scurt și evidența parcurgerii lui pot fi un punct de plecare, dar măsurile trebuie potrivite riscurilor și utilizării reale.

Inventarul arată și cazurile în care articolul 50 îi privește pe implementatori: recunoașterea emoțiilor sau clasificarea biometrică (alineatul 3), deepfake-urile de imagine, audio sau video (alineatul 4) și textul generat cu AI publicat pentru a informa publicul despre chestiuni de interes public, cu excepția textului verificat de un om, pentru care cineva își asumă responsabilitatea editorială.

Unde concluzia nu se aplică

La unele firme, inventarul scoate la iveală muncă reală.

Angajare, credit și alte utilizări din anexa III. Anexa III enumeră, printre altele, sistemele AI folosite pentru analizarea și filtrarea candidaturilor și evaluarea candidaților. Un sistem care ierarhizează sau respinge candidați pe baza evaluării lor este exemplul relevant de risc ridicat. Un instrument care doar reformatează CV-uri nu este automat echivalent. Articolul 6 alineatul (3) permite excluderea unor sisteme din anexa III dacă nu prezintă un risc semnificativ pentru sănătate, siguranță sau drepturi fundamentale, inclusiv prin faptul că nu influențează semnificativ deciziile, și îndeplinesc una dintre condiții: sarcină procedurală restrânsă, îmbunătățirea unei activități umane încheiate, detectarea tiparelor fără înlocuirea ori influențarea evaluării umane încheiate fără o verificare adecvată sau o sarcină pregătitoare. Sistemele din anexa III care creează profiluri ale persoanelor rămân cu risc ridicat. Furnizorul care invocă excluderea trebuie să documenteze evaluarea și să înregistreze sistemul potrivit alineatului (4). De la 2 decembrie 2027, articolul 26 le cere implementatorilor sistemelor care rămân încadrate cu risc ridicat să folosească sistemul conform instrucțiunilor, să încredințeze supravegherea umană unor oameni cu competența și autoritatea necesare, să urmărească funcționarea sistemului, să păstreze cel puțin șase luni jurnalele pe care le controlează și să-i informeze pe reprezentanții angajaților și pe angajații vizați înainte de a-l folosi la locul de muncă. Asta chiar înseamnă un program de conformitate, deși unul cu limite clare.

Furnizor fără să vreți. Potrivit articolului 25, implementatorul care își pune numele pe un sistem cu risc ridicat, îl modifică substanțial astfel încât rămâne cu risc ridicat sau schimbă scopul unui sistem general astfel încât acesta devine cu risc ridicat preia obligațiile furnizorului. O firmă de software care adaugă în produsul ei de resurse umane o ierarhizare automată a candidaților se află exact în situația aceasta. De aceea inventarul trebuie să noteze scopul: scopul decide clasificarea.

Practicile interzise. Rareori privesc o firmă obișnuită, dar se aplică deja și au cele mai mari amenzi: până la 35 de milioane de euro sau 7% din cifra de afaceri mondială.

Protecția datelor. Articolul 2 alineatul (7) spune că regulamentul nu afectează GDPR. Un chatbot care primește date ale clienților ridică mai întâi întrebări de protecție a datelor, iar inventarul își are locul lângă evidențele pe care le țineți deja pentru GDPR.

Cel mai puternic contraargument

Argumentele pentru a cheltui devreme sunt serioase. Amenzile pentru încălcarea articolului 50 sau a obligațiilor implementatorilor pot ajunge la 15 milioane de euro sau 3% din cifra de afaceri mondială, oricare este mai mare. Aplicarea diferă de la un stat la altul și nimeni nu poate spune ce cazuri vor da tonul. Clienții mari trimit chestionare de achiziții care cer politici de guvernanță AI, iar furnizorul mic fără răspunsuri pierde contractul.

Fiecare argument este corect, dar niciunul nu schimbă ordinea muncii. Pentru IMM-uri, articolul 99 alineatul (6) plafonează fiecare amendă la valoarea cea mai mică dintre cele două, nu la cea mai mare: la o cifră de afaceri de 2 milioane de euro, 3% înseamnă 60.000 de euro. Amenda efectivă depinde de încălcare și de factorii prevăzuți de lege. Identificați și îndepliniți obligațiile aplicabile înainte să cumpărați un program generic. La un chestionar de achiziții răspundeți cu inventarul concret al sistemelor, evaluarea rolului firmei, măsurile de instruire și controalele de transparență.

Un chestionar de achiziții se răspunde mai bine cu inventarul concret: sistemele, rolurile, măsurile de instruire și controalele de transparență. Nu presupuneți că eventualele întârzieri ale aplicării la nivel național suspendă obligațiile regulamentului.

Acolo unde un buget de conformitate se justifică, inventarul îl face eficient, pentru că îi arată consultantului ce sisteme au nevoie de atenție.

Poziția

Scrieți întâi lista, apoi verificați obligațiile pentru fiecare sistem. O firmă care folosește instrumente obișnuite și una care furnizează un chatbot generativ au sarcini diferite. Furnizorul chatbotului trebuie să verifice informarea și marcarea automată a conținutului, implementarea tehnică și eventualele excepții. Utilizările în angajare, credit și educație cer o evaluare documentată a clasificării; inventarul este începutul analizei, nu dovada conformității complete.

Oferta noastră de agenți AI prevede descrierea fluxurilor de date și a limitelor aprobării umane înainte de dezvoltare. Pentru un sistem care interacționează cu oamenii, proiectul trebuie să stabilească explicit rolul firmei, clasificarea și controalele de transparență aplicabile.

Surse