16 octombrie 2026
O companie de treizeci de persoane poate folosi inteligența artificială în patru locuri diferite: redactarea propunerilor pentru clienți cu un asistent; clasificarea candidaților în platforma de recrutare; configurarea chatbotului de pe site-ul principal de către o agenție; procesarea facturilor primite cu o funcție automată apărută în programul de contabilitate.
Toate aceste integrări se acumulează organic.
Din exterior poate veni și o cerință de claritate legată de integrări: un chestionar de conformitate de la un client corporativ, o condiție obligatorie într-o licitație publică, o listă de verificare de la un partener sau o solicitare directă din partea unui auditor. Pentru majoritatea întreprinderilor mici, a răspunde înseamnă să stabilești cum tratează legea fiecare dintre aceste sisteme și cine poartă fiecare obligație.
Regulile nu se scalează după dimensiunea companiei
Regulamentul (UE) 2024/1689 stabilește obligații legale în funcție de capacitățile sistemelor și de rolurile organizaționale. Capacitatea și rolul determină cerința. O firmă de paisprezece persoane care dezvoltă o aplicație cu risc ridicat are obligații de bază identice cu cele ale unui furnizor multinațional de tehnologie.
Testul IMM al Guvernului Irlandei pentru AI Act (februarie 2025) reia constatarea Comisiei: IMM-urile care construiesc aplicații cu risc ridicat suportă costuri similare cu cele ale companiilor mari. Concluzionează, de asemenea, că multe IMM-uri vor avea un impact inexistent sau minim, având în vedere riscul mai scăzut al sistemelor pe care le folosesc.
Resursele limitate determină cât de ușor absoarbe o organizație aceste costuri tehnice. Recunoscând acest dezechilibru financiar, legiuitorii europeni au ajustat calendarul de implementare.
Ce s-a schimbat în 2026: Omnibusul digital
Omnibusul digital privind IA (Regulamentul (UE) 2026/1744, în vigoare din 27 iulie 2026) a modificat Regulamentul (UE) 2024/1689 (precum și Regulamentele (UE) 2018/1139 și 2023/1230), mutând mai multe termene majore de conformitate:
- Sisteme autonome cu risc ridicat din Anexa III: data de aplicare a fost mutată de la 2 august 2026 la 2 decembrie 2027.
- Sisteme încorporate cu risc ridicat din Anexa I: componentele de siguranță din echipamentele reglementate au fost mutate de la 2 august 2027 la 2 august 2028.
- Implementări ale autorităților publice: termenul de 2 august 2030 pentru sistemele cu risc ridicat destinate utilizării de către autoritățile publice exista deja în textul inițial (articolul 111 alineatul (2)) și se menține. Omnibusul a reformulat alineatul și a clarificat modul în care se aplică perioada de grație sistemelor introduse pe piață înainte de începerea aplicării regulilor pentru risc ridicat.
- Spații de testare naționale în materie de reglementare: termenul până la care statele membre trebuie să înființeze spații de testare operaționale a fost mutat de la 2 august 2026 la 2 august 2027.
Cele șaisprezece luni suplimentare pentru sistemele din Anexa III le permit întreprinderilor mici să audieze sistemele interne, să obțină documentația furnizorilor și să construiască măsuri operaționale de protecție înainte de aplicarea integrală.
Celelalte termene legale rămân active.
Ce se aplică chiar acum
1. Obligații de transparență (articolul 50)
Din 2 august 2026, persoanele care interacționează cu inteligența artificială trebuie informate că o fac, cu excepția cazului în care acest lucru este evident pentru o persoană rezonabil de bine informată. Obligația pentru sistemele care interacționează direct cu persoanele revine furnizorului, în timp ce articolul 50 stabilește obligații suplimentare de transparență pentru implementatori.
O firmă care cumpără un chatbot de la un terț acționează ca implementator și trebuie să ceară furnizorului său sisteme conforme. O întreprindere care construiește un agent personalizat acționează ca furnizor și poartă obligația direct. Pentru furnizorii de sisteme care generează conținut audio, imagine, video sau text sintetic, introduse pe piață înainte de 2 august 2026, obligația de marcare în format care poate fi citit automat din articolul 50 alineatul (2) are un termen prelungit, până la 2 decembrie 2026. Această perioadă de grație acoperă doar articolul 50 alineatul (2).
2. Alfabetizarea în domeniul IA (articolul 4)
În vigoare din 2 februarie 2025, articolul 4 vizează organizațiile din toate nivelurile de risc. Omnibusul digital i-a atenuat formularea: textul inițial cerea furnizorilor și implementatorilor să ia măsuri pentru a asigura, în cea mai mare măsură posibilă, un nivel suficient de alfabetizare în domeniul IA în rândul personalului. Textul modificat cere măsuri de sprijinire a dezvoltării alfabetizării în domeniul IA, fără obligația de a garanta un nivel anume, și încredințează în plus Comisiei și statelor membre sarcina de a sprijini și facilita aceste eforturi, în special pentru IMM-uri. Cine se bazează pe această dispoziție ar trebui să citească formularea actuală, nu pe cea din 2024.
3. Practici interzise (articolul 5)
Se aplică din 2 februarie 2025, iar sancțiunile, din 2 august 2025. O interdicție ajunge direct în locurile de muncă obișnuite: recunoașterea emoțiilor la locul de muncă (și în instituțiile de învățământ, cu excepția motivelor medicale sau de siguranță), o capacitate care apare în unele instrumente comerciale de resurse umane și de ședințe.
4. Cele două categorii care prind nepregătite întreprinderile mici
Majoritatea instrumentelor administrative folosite de echipele mici se încadrează la risc minim sau la regulile de transparență de bază. Două dispoziții specifice din Anexa III afectează frecvent organizațiile mici.
Ocuparea forței de muncă și gestionarea lucrătorilor (Anexa III, punctul 4)
Sistemele destinate recrutării sau selecției candidaților la angajare intră în categoria cu risc ridicat, inclusiv software-ul pentru plasarea de anunțuri de angajare direcționate, analizarea CV-urilor și evaluarea candidaților. Punctul 4(b) adaugă deciziile care afectează raportul de muncă (promovarea, încetarea, alocarea sarcinilor și monitorizarea performanței), atunci când aceste decizii se bazează pe comportamentul individual sau pe trăsături personale.
Platformele de recrutare care punctează automat CV-urile intră în această definiție legală.
Evaluarea bonității (Anexa III, punctul 5(b))
Instrumentele destinate evaluării bonității persoanelor fizice sau stabilirii scorului lor de credit intră sub regulile pentru risc ridicat, cu excepția software-ului dedicat detectării fraudei. Punctul 5(c) include evaluarea riscurilor și stabilirea prețurilor în asigurările de viață și de sănătate.
Firmele care folosesc un instrument destinat evaluării bonității consumatorilor persoane fizice, de exemplu înainte de acordarea unor termene de plată, intră sub aceste dispoziții legale specifice.
Rolurile organizaționale determină obligațiile legale. O firmă care folosește software de resurse umane de la un terț acționează ca implementator, cu un set distinct de obligații operaționale. O firmă care modifică sau construiește un astfel de software acționează ca furnizor și poartă răspunderea integrală pentru conformitatea sistemelor cu risc ridicat.
Cât costă
Estimările costurilor de conformitate variază mult în rapoartele din industrie.
Un studiu al Centre for European Policy Studies (CEPS, cu ICF și Wavestone), comandat în sprijinul evaluării impactului realizate de Comisia Europeană, estimează costul de înființare al unui sistem de management al calității complet nou între 193.000 € și 330.000 €, la care se adaugă 71.400 € pe an pentru întreținere. Aceste costuri sunt suportate integral doar de o companie care nu are deloc un sistem de management al calității și revin furnizorilor de sisteme cu risc ridicat.
O altă cifră, de până la 400.000 € pentru un singur produs de IA cu risc ridicat, a circulat pe scară largă în comentarii și în presă. Provine dintr-o lucrare a Center for Data Innovation. CEPS a observat că aceasta a adunat, probabil, pur și simplu cifrele sale de 330.000 € și 71.400 €, prezentând suma drept costul unui singur produs.
Citirea sursei primare înainte de bugetare produce o cifră care corespunde obligației pe care trebuie să o acopere.
Ce pune Regulamentul în balanță
Dispoziții legale specifice abordează provocările operaționale ale firmelor mai mici:
- Plafon mai scăzut al amenzilor (articolul 99 alineatul (6)): amenzile sunt plafonate la suma fixă sau la procentul din cifra de afaceri, oricare este mai mare pentru companiile mari; pentru IMM-uri și start-up-uri, oricare este mai mică. Întreprinderile mici cu capitalizare medie beneficiază de aceeași regulă pentru amenzile prevăzute la articolul 99 alineatele (4)–(5) (articolul 99 alineatul (6a)).
- Documentație tehnică simplificată (articolul 11 alineatul (1)): Comisia stabilește un formular simplificat pentru IMM-uri, inclusiv start-up-uri, și pentru întreprinderile mici cu capitalizare medie; organismele notificate trebuie să îl accepte.
- Management al calității simplificat (articolul 63 alineatul (1)): IMM-urile fără întreprinderi partenere sau legate pot respecta anumite elemente ale sistemului de management al calității într-o manieră simplificată. Aceasta nu le scutește de articolele 9–15, 72 și 73.
- Spații de testare în materie de reglementare (articolele 57, 58 și 62): accesul trebuie să fie gratuit pentru IMM-uri, cu acces prioritar pentru IMM-uri (articolul 62 alineatul (1) litera (a)). Raportul de ieșire este luat în considerare în mod pozitiv de autorități (articolul 57 alineatul (7)), iar participanților care respectă planul și îndrumările autorității cu bună-credință nu li se aplică amenzi administrative, deși răspunderea pentru prejudiciile cauzate terților rămâne (articolul 57 alineatul (12)).
- Întreprinderi mici cu capitalizare medie: Omnibusul extinde asupra lor formularul simplificat de documentație, managementul proporțional al calității și regula amenzii mai scăzute de mai sus. Separat, Oficiul pentru IA poate înființa un spațiu de testare la nivelul Uniunii, cu acces prioritar pentru IMM-uri și întreprinderi mici cu capitalizare medie (articolul 57 alineatul (3a)). Managementul simplificat al calității (articolul 63) și accesul gratuit la spațiile de testare rămân limitate la IMM-uri.
Plafoanele de amenzi și accesul la spațiile de testare reduc cheltuielile operaționale directe. Formularele tehnice simplificate ușurează raportarea administrativă, păstrând în același timp cerințele de fond privind înregistrarea tehnică a evenimentelor și auditabilitatea datelor.
Cine îl aplică și ce înseamnă asta în practică
Statele membre desemnează autorități naționale de supraveghere a pieței care se ocupă de controlul la nivel local.
România ilustrează decalajul dintre adoptarea la nivel european și aplicarea administrativă la nivel local. ANCOM a fost propusă, printr-un memorandum guvernamental din 12 martie 2026, ca autoritate de supraveghere a pieței și punct unic de contact. Un memorandum nu conferă competențe de inspecție sau de sancționare. La mijlocul lunii octombrie 2026, legea națională care îi definește atribuțiile și sancțiunile aplicabile este încă în pregătire, potrivit ANCOM. Potrivit unui articol din presa românească despre o analiză Deloitte Legal actualizată în iulie 2026, România se numără printre implementatorii parțiali, alături de Austria, Belgia, Bulgaria, Croația, Estonia și Slovacia.
Acest calendar administrativ produce două realități operaționale:
- Reglementările europene obligă organizațiile imediat: dispozițiile legale privind transparența, utilizările interzise și alfabetizarea personalului se aplică în toate statele membre, indiferent de întârzierile procedurale locale.
- Infrastructura de aplicare locală se dezvoltă continuu: organizațiile care își pregătesc poziția de conformitate se plasează înaintea cadrelor naționale de inspecție finalizate.
Ce să faci de acum până în decembrie 2027
Construirea unei poziții de conformitate rezistente necesită patru pași practici:
- Un registru al sistemelor de IA: un inventar complet al instrumentelor interne, al principalelor cazuri de utilizare operațională, al nivelurilor de risc atribuite și al responsabililor de sistem.
- O politică funcțională de utilizare: reguli clare care stabilesc instrumentele permise, categoriile de date restricționate, canalele de aprobare pentru software nou și procedurile de validare a rezultatelor.
- Supraveghere umană proiectată: protocoale explicite care definesc unde intervin angajații, ce autoritate au și cum pot suprascrie deciziile automate.
- Dovezi de control pe trei niveluri: dovezi verificabile că regulile de politică există pe hârtie, funcționează în configurațiile tehnice ale software-ului și ghidează deciziile zilnice ale angajaților.
Finalizarea acestor patru pași înainte de sfârșitul lui 2027 transformă termenele legale în verificări administrative de rutină.
Organizațiile care își evaluează expunerea la reglementare pot completa cadrul nostru structurat de evaluare pentru a analiza pregătirea operațională actuală.