AI Act: ce trebuie să facă o firmă mică în 2026

AI Act e primul regulament european despre inteligența artificială și se aplică direct în toate statele UE, fără să fie nevoie de o lege românească pentru obligații. Cele mai multe reguli privesc firmele care fac modele AI sau sisteme cu risc ridicat. O firmă mică are însă câteva obligații concrete, iar una a început pe 2 august 2026. Mai jos e ce se aplică, de când și ce faci practic.

Cum funcționează AI Act

Regulamentul împarte sistemele AI după risc:

Contează și rolul firmei. Furnizorul dezvoltă sistemul sau îl pune în funcțiune sub numele lui; implementatorul (utilizatorul) îl folosește în activitatea lui. O firmă care folosește ChatGPT e implementator. O firmă care își comandă un chatbot și îl pune pe site sub numele ei e, pentru acel chatbot, furnizor.

Calendarul

Ultimele trei date vin din Omnibusul digital privind AI, Regulamentul (UE) 2026/1744, publicat pe 24 iulie 2026. El a amânat regulile pentru risc ridicat, care ar fi trebuit să se aplice din august 2026, și a lăsat neschimbat termenul pentru transparență.

Ce înseamnă pentru o firmă mică

Angajații folosesc ChatGPT, Claude sau Copilot

Articolul 4 cere furnizorilor și utilizatorilor de AI să ia măsuri pentru alfabetizarea în AI a personalului. Omnibusul a rescris obligația: firmele iau măsuri care susțin alfabetizarea, fără să trebuiască să garanteze un anumit nivel pentru fiecare om. Practic ajung:

• o listă cu uneltele AI folosite în firmă și pentru ce;
• o regulă scrisă, de o pagină: ce date nu se pun în AI (date personale ale clienților, secrete comerciale), cine verifică ce produce AI-ul înainte să ajungă la client;
• o scurtă instruire pentru cine le folosește.

Pe lângă AI Act rămâne GDPR: datele clienților nu se pun în planuri care pot folosi conversațiile la antrenare. Diferențele dintre planuri sunt în articolul ChatGPT pentru firmă.

Ai un chatbot pe site, pe WhatsApp sau un asistent la telefon

Din 2 august 2026, articolul 50 cere ca oamenii să fie informați că interacționează cu un sistem AI, cel târziu la prima interacțiune, dacă nu e evident din context. Informarea trebuie să fie clară și accesibilă. Pe chat, chatbotul o spune în primul mesaj; la telefon, asistentul se prezintă din prima frază. Exemple concrete găsești la chatbot pe WhatsApp și la asistentul vocal AI.

Publici imagini, clipuri sau voci generate cu AI

Articolul 50 îi obligă pe cei care folosesc AI să spună când o imagine, un clip sau o înregistrare audio generată sau modificată cu AI seamănă cu oameni, obiecte, locuri sau întâmplări reale și poate fi luată drept autentică (deepfake). Pentru lucrări evident artistice, creative sau satirice, informarea se face fără să strice lucrarea. O ilustrație desenată cu AI care nu imită realitatea nu intră aici; o poză „cu clienți mulțumiți” care nu au existat, da, și ar fi oricum înșelătoare pentru clienți.

Textele generate cu AI și publicate ca să informeze publicul despre chestiuni de interes public trebuie și ele marcate, cu excepția celor revizuite de un om care își asumă responsabilitatea editorială. Un articol de blog verificat și semnat de cineva din firmă e în a doua situație.

Marcarea tehnică a fișierelor generate, ca filigranul invizibil, e obligația furnizorilor de unelte generative, nu a ta.

Folosești AI ca să triezi CV-uri sau să evaluezi angajați

Sistemele AI folosite la recrutare, la promovări sau la evaluarea angajaților sunt cu risc ridicat. Obligațiile pentru utilizatori se aplică din 2 decembrie 2027: supraveghere umană, informarea angajaților și a candidaților, păstrarea evidențelor. Recunoașterea emoțiilor angajaților la locul de muncă e interzisă de la 2 februarie 2025, cu excepții pentru motive medicale sau de siguranță.

Amenzile

La firmele mari se aplică suma mai mare dintre cele două; la IMM-uri, inclusiv start-up-uri, cea mai mică.

Situația în România

Pe 12 martie 2026, Guvernul a adoptat un memorandum prin care ANCOM devine autoritatea de supraveghere a pieței și punctul unic de contact pentru AI Act. ASF și BNR supraveghează sistemele cu risc ridicat din serviciile financiare, ANSPDCP pe cele din biometrie, justiție sau migrație, iar Autoritatea pentru Digitalizarea României e autoritatea de notificare.

Un memorandum nu dă însă puteri de control și sancționare. În august 2026, legea națională care stabilește procedurile și sancțiunile era încă în elaborare. Obligațiile se aplică oricum, pentru că regulamentul e direct aplicabil, iar clienții și concurenții le pot invoca. Sancțiunile vor veni după adoptarea legii.

Ce faci în firma ta, pe scurt

1. Fă lista uneltelor AI folosite și a celor care le folosesc.
2. Scrie regula internă de o pagină și fă o instruire scurtă.
3. Verifică chatboții și asistenții vocali: spun din prima că sunt AI?
4. Marchează imaginile, clipurile și vocile care imită realitatea.
5. Nu folosi AI pentru recunoașterea emoțiilor angajaților.
6. Dacă triezi CV-uri cu AI, pregătește-te pentru decembrie 2027.
7. Verifică planurile și contractele cu furnizorii de AI pentru GDPR.

Chatboții, asistenții vocali și agenții AI pe care îi construim spun din primul mesaj sau din prima frază că sunt AI, au transfer spre un om și păstrează datele cu acordul și în contractele cerute de GDPR. Detaliile sunt pe pagina de automatizări AI.