Editor: Echipa Permis de Antreprenor • Actualizat la: 4 februarie 2026
AI Act 2026 pentru companii nu este despre „dacă folosești ChatGPT la marketing”. Este despre cum controlezi riscul când AI intră în decizii, procese și produse: HR (CV-uri), scoring, antifraudă, chatbot-uri, recomandări, moderare, documente generate automat, asistenți interni, automatizări în suport clienți. În 2026, miza e simplă: să știi exact ce AI folosești, în ce categorie de risc intră și ce dovezi minime ai că îl folosești responsabil.
Acest ghid îți dă un „sistem” ușor de aplicat: inventar → clasificare → politici → contracte → evidențe, plus checklist copy/paste și plan 7-30-90 zile.
Notă: material informativ, orientat pe practică. Pentru interpretare și implementare pe cazul firmei tale (mai ales în domenii reglementate), discută cu un avocat/consilier de conformitate.
Start rapid (1 minut):
- Hub: Noutăți legislative
- Alertă cyber (util în tandem cu AI): Directiva NIS2 România 2026
- Dacă folosești AI cu date personale, tratează obligatoriu și GDPR + securitate (acces, loguri, retenție, drepturi).
- Dacă ai site sau magazin online B2C, pune pe listă și accesibilitatea obligatorie: European Accessibility Act EAA pentru site-uri e-commerce (checklist + plan 7–30–90).
- Siguranța produselor (e-commerce/marketplace): GPSR 2026 pentru e-commerce marketplace
Pentru cine este acest ghid
- Firme care folosesc AI intern (HR, suport, vânzări, operațiuni) sau în produs/serviciu.
- Companii care cumpără tool-uri „AI-powered” de la furnizori (SaaS, call center, antifraudă, CRM, recrutare).
- Manageri/owner + IT + HR + Legal/Compliance care au nevoie de un plan realist, fără „teorie de 200 pagini”.
Idei principale
- 2026 e anul „intrării în joc”: majoritatea obligațiilor devin aplicabile din august 2026 (de regulă, pentru utilizarea și punerea pe piață a sistemelor AI).
- Primul pas nu e „politica AI”, ci inventarul: ce AI avem, unde, cu ce date, cine decide, ce impact are.
- Rolurile contează: poți fi „deployer” (folosești), „provider” (pui pe piață), sau ambele (îți construiești intern și îl folosești).
- Contractele cu furnizorii sunt un punct critic: ai nevoie de clauze despre documentație, transparență, logging, suport la audit și incidente.
Cuprins
- Ce înseamnă 2026 în AI Act (pe scurt)
- Mini-ghid: îți clasifici folosirea AI în 10 minute
- Tabel: roluri (provider/deployer) → obligații → dovezi
- Documente minime (nu „bibliotecă de policies”)
- Clauze minime pentru furnizori (copy/paste)
- Checklist copy/paste pentru companie
- Greșeli frecvente (și cum le eviți)
- Plan 7-30-90 zile
- FAQ – întrebări scurte
- Surse și resurse utile
AI Act 2026 pentru companii: ce se aplică efectiv în 2026
În termeni practici, 2026 este anul în care „proiectele AI” trebuie să aibă control, evidențe și responsabilitate, nu doar rezultate.
- 2 februarie 2025: se aplică capitolele generale + practicile interzise (și cerințe precum „AI literacy” – pregătirea oamenilor care folosesc AI).
- 2 august 2025: intră în aplicare părți de guvernanță și obligații relevante pentru modele AI de uz general (GPAI) + infrastructura de supraveghere.
- 2 august 2026: se aplică, în general, restul obligațiilor (momentul care lovește cel mai des companiile care folosesc/cumpără AI în procese).
Pe scurt: dacă în 2026 încă nu știi „ce AI ai în firmă” și „în ce categorie intră”, vei cheltui mai mult și mai haotic când apare cererea de dovezi (de la clienți mari, audit, autorități sau asigurători).
Mini-ghid: îți clasifici folosirea AI în 10 minute
Răspunde în ordinea asta. Dacă bifezi „da”, urci nivelul de risc și cresc cerințele.
- 1) Influențează decizii despre oameni? (angajare, concediere, promovare, credit, acces, preț personalizat, evaluări) → probabil risc ridicat sau cerințe de transparență.
- 2) E folosit în HR / educație / servicii esențiale / aplicarea legii / migrație? → crește probabilitatea de risc ridicat.
- 3) Face identificare biometrică sau recunoaștere emoții? → zonă sensibilă; verifică strict dacă nu intră la interzis / condiții speciale.
- 4) Interacționează direct cu clienții ca „AI”? (chatbot, voicebot, asistent) → ai obligații de transparență (să fie clar că e AI).
- 5) Doar te ajută intern (rezumate, drafturi, căutare, suport pentru texte) fără decizii automate → de regulă risc minim/limitat, dar ai nevoie de reguli de utilizare și securitate.
Regulă de business: dacă AI poate produce o decizie sau recomandare care îți schimbă semnificativ riscul (legal, financiar, reputațional), trateaz-o ca pe un proces critic: owner, evidențe, control, auditabilitate.
Tabel: roluri (provider/deployer) → obligații → dovezi
| Rol în AI Act | Ce înseamnă în companie | Dovezi minime (practic) |
|---|---|---|
| Deployer (utilizator în firmă) | Folosești un sistem AI cumpărat sau intern pentru procese/decizii | Inventar AI + owner + scop + date + risc; procedură de utilizare; instruire; loguri/rapoarte de utilizare; monitorizare erori |
| Provider (pui pe piață / în serviciu) | Vinzi/lansezi un produs/serviciu cu AI către clienți | Documentație tehnică; managementul riscului; testare; conformitate; transparență către clienți; suport la audit |
| Ambele | Construiești intern + îl folosești + îl distribui (sau îl pui în grup) | Set complet: guvernanță + contracte + evidențe + controale + proces de incident |
| Achiziție AI (vendor) | Cumperi un tool „AI-powered” și îl bagi în HR/CRM/antifraudă | Due diligence: ce categorie de risc, ce documente oferă, ce loguri, ce limitări; clauze contractuale minime |
Documente minime (nu „bibliotecă de policies”)
Dacă vrei ceva realist pentru 2026, începe cu 6 documente scurte (1–3 pagini fiecare). Le poți face în 1–2 săptămâni, dacă ai owner și template.
- Inventar AI (registru): nume sistem, furnizor, scop, departament, date folosite, output, impact, owner, nivel risc.
- Politică de utilizare AI: ce e permis, ce e interzis, reguli pentru date sensibile, revizie umană, aprobări.
- Evaluare rapidă de risc (1 pagină/proiect): cine e afectat, ce poate merge prost, controale, plan de monitorizare.
- Procedură de transparență: când și cum spui „interacționezi cu AI”, plus mesaj standard pentru chatbot/voicebot.
- Procedură de incident AI: cum raportezi erori grave, bias, scurgeri, output periculos; cine decide oprirea.
- Checklist de achiziție AI: întrebări obligatorii pentru furnizori + clauze (mai jos).
Dacă ai și cerințe de securitate (clienți enterprise), aliniază procedura de incident cu zona cyber (ex.: NIS2) ca să nu ai „două lumi” paralele.
Clauze minime pentru furnizori (copy/paste)
Copy/paste (adaptabil):
- Documentație & încadrare: Furnizorul confirmă categoria de risc (AI Act) și pune la dispoziție documentația relevantă (descriere, limitări, date de antrenare la nivel permis, măsuri de control, instrucțiuni).
- Transparență & loguri: Furnizorul oferă posibilitatea de logging/audit al utilizării (minim: cine, când, ce input, ce output, erori), respectând confidențialitatea.
- Schimbări semnificative: Furnizorul notifică înainte orice schimbare majoră de model/funcționalitate care modifică performanța, riscul sau comportamentul.
- Incident & suport: Termen de notificare pentru incidente grave/defecte + suport pentru investigație și măsuri corective.
- Drept de audit: Beneficiarul poate solicita dovezi de conformitate (rapoarte, certificări, declarații) și poate audita procesele relevante, proporțional cu riscul.
Checklist copy/paste pentru companie
Checklist AI Act 2026 (copy/paste):
- [ ] Am inventar AI (toate tool-urile „AI-powered”, inclusiv trial-uri și plug-in-uri).
- [ ] Pentru fiecare sistem: owner, scop, departament, date folosite, integrare, output.
- [ ] Am făcut încadrare pe risc (minim/limitat/risc ridicat/interzis) și am păstrat justificarea.
- [ ] Pentru chatbot/voicebot: mesaj clar „interacționezi cu un sistem AI” + escaladare la om.
- [ ] Pentru HR/scoring/antifraudă: există revizie umană și reguli când se ignoră recomandarea AI.
- [ ] Am politică de utilizare AI (date sensibile, confidențialitate, prompturi, interdicții).
- [ ] Oamenii care folosesc AI au instruire (AI literacy): ce e permis, ce e riscant, cum verifici output-ul.
- [ ] Am clauze minime cu furnizorii AI (documentație, loguri, schimbări, incidente, audit).
- [ ] Există monitorizare: erori, halucinații, bias, impact, reclamații.
- [ ] Există procedură de incident AI + persoană de decizie pentru oprire/rollback.
- [ ] Am păstrat evidențe (procese, decizii, update-uri) într-un folder dedicat „AI Compliance”.
Greșeli frecvente (și cum le eviți)
- „Noi doar folosim tool-ul, nu avem obligații.” → Ca deployer, ai obligații de utilizare responsabilă, transparență și control (mai ales în zone sensibile).
- „Facem o politică AI și gata.” → Fără inventar + evidențe + owner + contracte, politica e decor.
- „Nu contează dacă e în HR, e doar o recomandare.” → Dacă influențează oamenii, trebuie control, revizie și justificare.
- „Furnizorul zice că e conform.” → Cere documente minime și pune clauze; altfel rămâi fără dovezi la nevoie.
Plan 7-30-90 zile
În 7 zile (rapid și realist)
- Fă inventarul AI (inclusiv extensii și tool-uri folosite de marketing/HR).
- Alege un owner (AI Compliance) + owner pe fiecare sistem.
- Clasifică „grosier” pe risc (minim/limitat/ridicat) și marchează zonele sensibile (HR/scoring/biometric).
În 30 zile (dovezi minime + control)
- Finalizează 6 documente minime (inventar, politică, risc, transparență, incident, achiziție).
- Implementează mesaj standard pentru chatbot + escaladare la om (dacă ai).
- Actualizează contractele cu furnizorii (clauze minime) și cere documentația.
În 90 zile (maturizare și auditabilitate)
- Setează logging/monitorizare + raport lunar (incidente, erori, reclamații, update-uri).
- Rulează un „tabletop exercise” de incident AI (scenariu: output greșit grav / bias / leak).
- Fă un audit intern scurt: fiecare sistem are owner, risc, documente, contracte, evidențe.
FAQ – întrebări scurte
Dacă folosesc un chatbot pe site, intru automat la „risc ridicat”?
Nu automat. De regulă, ai obligații de transparență (să fie clar că e AI) și controale ca să nu inducă în eroare utilizatorii. Dacă începe să influențeze decizii sensibile (ex.: eligibilitate, scoring), crește riscul.
Dacă folosesc AI în recrutare (screening CV), ce e critic în 2026?
Critic este controlul: încadrarea pe risc, revizie umană, justificarea criteriilor, evitarea discriminării, evidențe și limitări clare ale tool-ului. În practică, ai nevoie și de reguli privind datele și păstrarea lor.
„AI Act” se aplică și dacă eu doar cumpăr un tool din UE?
Da, pentru că tu ești deployer (utilizator în companie). Diferența este nivelul obligațiilor: de regulă, providerul are documentația „grea”, iar tu trebuie să arăți control, utilizare corectă, instruire și evidențe.
Care e primul lucru care mă scapă de haos?
Inventarul AI + owner + încadrare pe risc. Fără asta, orice politică și orice discuție cu furnizorii e „în aer”.
Surse și resurse utile
Surse oficiale (UE)
- Textul oficial: Regulation (EU) 2024/1689 (AI Act) – EUR-Lex
- Guvernanță și autorități: AI Act – governance & enforcement (Comisia Europeană)
- Penalități (explicat pe articole): AI Act Service Desk – Article 99 (Penalties)
- Context (intrare în vigoare): AI Act enters into force (Comisia Europeană)
Linkuri interne (hub Permis de Antreprenor)
- Hub: Noutăți legislative
- Cyber/compliance: Directiva NIS2 România 2026
Cum folosim ghidul
Cum să folosești materialul: tratează-l ca pe un checklist de implementare. Ținta nu este „perfecțiune juridică” din prima, ci control demonstrabil: inventar, încadrare pe risc, politici minimale, contracte și evidențe.
Actualizări: AI Act are ghiduri și clarificări care apar pe parcurs (standardizare, coduri de conduită). Recomandare practică: revizuiește inventarul și politica AI trimestrial, mai ales când schimbi furnizori sau modele.
Add comment