Auditul în era inteligenței artificiale: ordine, tipologii și aplicabilitate pentru IMM-uri

20 octombrie 2026

Evaluarea unei organizații în raport cu tehnologiile bazate pe inteligență artificială presupune fie evaluarea proceselor interne, fie verificarea modelelor tehnice, fie atestarea formală a conformității. Pentru o echipă de conducere este determinantă alocarea de resurse și achiziții de servicii conectate la stadiul real al operațiunilor.

Succesiunea naturală a evaluărilor

Înainte de a alege un tip de audit, o companie are interes să respecte o succesiune logică a etapelor.

1. Auditul de Pregătire (Readiness Audit): Se execută primul, înainte de orice achiziție majoră sau dezvoltare internă.
2. Auditul de Guvernanță și Securitate (Governance & Security Audit): Se realizează în faza de proiectare și integrare, stabilind regulile de acces, proprietarii de date și barierele de control.
3. Auditul de Model și Sistem (Model & AI Systems Audit): Se efectuează în mediu de testare și la lansarea în producție, verificând acuratețea, performanța și rezistența tehnică.
4. Evaluarea Formală de Conformitate sau Certificarea (ISO 42001 / EU AI Act): Se desfășoară la final, pe un sistem deja stabil, documentat și supravegheat.

Încercarea de a parcurge un audit de certificare sau o evaluare formală de conformitate fără un audit de pregătire și fără o guvernanță funcțională poate obliga organizația să reconstruiască din temelii arhitectura de date în timpul verificării externe.

Readiness Audit versus AI Systems Audit

Obiectul, temporizarea și finalitatea juridică separă evaluarea de pregătire de auditul de sistem.

Auditul de Pregătire (Readiness Audit) este orientat către viitor. Analiza vizează organizația în ansamblu: calitatea surselor de date, maturitatea proceselor de business, nivelul de alfabetizare al angajaților și claritatea rolurilor și responsabilităților interne. Derulat înainte de angajarea unor investiții masive, acest audit determină dacă firma deține infrastructura necesară pentru a adopta sisteme generative sau predictive. Rezultatul constă într-un plan de acțiune structurat pe etape, conceput să elimine blocajele de proces și să identifice prioritățile de integrare.

Auditul Sistemelor AI (AI Systems Audit) este ancorat în prezent. Obiectul său îl constituie modelele, aplicațiile și fluxurile automatizate aflate în producție sau pregătite pentru lansare. Scopul este verificarea riguroasă a performanței tehnice, a securității cibernetice și a capacității de supraveghere umană. Rezultatul este un registru de constatări clasificate după severitate, însoțite de măsuri de remediere și responsabili desemnați.

Tipuri specializate de audit

Pe măsură ce utilizarea tehnologiei avansează, evaluarea se divide pe domenii funcționale specifice.

• Auditul de Securitate: Analizează configurațiile de infrastructură, permisiunile de acces la date, expunerea interfețelor API și rezistența sistemului la atacuri de tip prompt injection sau exfiltrare de date.
• Auditul de Model: Evaluează parametrii algoritmici ai sistemului. Include verificarea părtinirii (bias), explicabilitatea deciziilor și robustețea modelului în fața datelor incomplete.
• Auditul de Guvernanță: Examinează structurile decizionale, politicile interne, fluxurile de date și existența unor puncte reale de aprobare umană (human-in-the-loop).
• Auditul de Certificare ISO/IEC 42001:2023: Verifică dacă Sistemul de Management al Inteligenței Artificiale (AIMS) îndeplinește cerințele standardului internațional.

Evaluarea conformității în EU AI Act: Cadrul normativ

Regulamentul (UE) 2024/1689 impune proceduri de evaluare a conformității pentru sistemele clasificate ca având risc ridicat. Înțelegerea acestui cadru necesită integrarea actualizărilor legislative și tehnice adoptate în 2026.

Calendarul de aplicare și Regulamentul (UE) 2026/1744

Pachetul de simplificare adoptat prin Regulamentul (UE) 2026/1744 (Digital Omnibus on AI) a modificat calendarele inițiale. Obligațiile de conformitate pentru sistemele cu risc ridicat autonome prevăzute în Anexa III devin aplicabile de la 2 decembrie 2027, oferind un interval suplimentar de șaisprezece luni pentru pregătirea documentației și a sistemelor de calitate.

Evaluare a conformității

• Controlul intern: Furnizorul evaluează el însuși conformitatea pe baza cerințelor legale și a standardelor armonizate. Aceasta este ruta aplicabilă majorității sistemelor autonome din Anexa III.
• Evaluarea prin organism notificat (Anexa VII): Un auditor terț independent verifică sistemul și procesele. Pentru sistemele biometrice din Anexa III punctul 1, furnizorul poate alege între controlul intern și această rută dacă a aplicat standardele armonizate; evaluarea prin organism notificat devine obligatorie dacă standardele nu există, nu au fost aplicate sau au fost aplicate doar parțial.
• Sistemele integrate în produse reglementate (Anexa I): Dispozitivele medicale urmează procedura din legislația sectorială (Regulamentul privind dispozitivele medicale), iar Articolul 43 alineatul (3) adaugă evaluarea sistemului de management al calității din Articolul 17 și aplicarea unor puncte din Anexa VII. Mașinile (Regulamentul (UE) 2023/1230) au fost mutate prin Regulamentul (UE) 2026/1744 în secțiunea B a Anexei I: Articolul 43 nu li se mai aplică, iar cerințele pentru IA urmează să fie integrate în regulamentul privind mașinile.

Primul standard armonizat: EN 18286:2026

Standardul EN 18286:2026 (Inteligență artificială – Sistem de management al calității pentru scopuri de reglementare sub EU AI Act) a fost citat în Jurnalul Oficial al Uniunii Europene prin Decizia de punere în aplicare (UE) 2026/2274 a Comisiei din 12 octombrie 2026, publicată în Jurnalul Oficial pe 14 octombrie 2026. Acesta este primul standard armonizat care detaliază modul în care un furnizor de sisteme cu risc ridicat își construiește Sistemul de Management al Calității cerut de Articolul 17 din Regulament.

În privința efectelor sale juridice, deși Decizia Comisiei a fost adoptată, domeniul exact al prezumției de conformitate oferite de EN 18286 rămâne de interpretat: Articolul 40 alineatul (1) acordă prezumția de conformitate pentru cerințele esențiale din Secțiunea 2 a Capitolului III (Articolele 8–15), în timp ce Articolul 17 este în Secțiunea 3. Comisia Europeană și CEN-CENELEC comunică totuși că standardul oferă prezumție de conformitate pentru cerințele articolului 17 pe care le acoperă. Aplicarea standardelor armonizate rămâne la decizia organizațiilor.

Regula de independență în consultanță și audit

O regulă esențială în achiziția serviciilor de evaluare este separarea strictă dintre consultanță și auditul de certificare.

Conform ISO/IEC 17021-1 (clauza 5.2.5), un organism de certificare și entitățile aflate sub controlul său organizațional nu au voie să ofere consultanță în sisteme de management. Un furnizor care concepe arhitectura de guvernanță a unei companii nu poate fi, pentru aceeași organizație, și organismul care o certifică.

Pentru o organizație, acest lucru înseamnă că parcursul se împarte în două roluri distincte: consultantul de guvernanță care ajută la cartografiere, proiectare și pregătire, și organismul acreditat care vine ulterior să efectueze evaluarea independentă.

Ghid practic pentru IMM-uri: Ce audit se folosește, când și de ce

Pentru un IMM cu resurse limitate, parcurgerea tuturor tipurilor de audit poate reprezenta o risipă. Selectarea trebuie să urmărească strict faza de dezvoltare și expunerea reală.

Axe de maturitate operațională pentru IMM-uri

1. Faza de debut: Auditul de Pregătire (Readiness Audit)

• De ce se face: O firmă mică riscă să cumpere licențe sau să dezvolte un instrument pe un fond de date necurățate și fără permisiuni clare.
• Cu ce ajută: Identifică dacă sursele interne conțin date cu caracter personal neprotejate și stabilește dacă soluția dorită are un ROI real înainte de a semna un contract.
• Riscul ignorării: Alocare de capital în software care rămâne neutilizat sau care expune datele comerciale către modele publice.

2. Faza de adopție: Auditul de Guvernanță și Securitate

• De ce se face: Majoritatea IMM-urilor au deja aplicații AI folosite informal de angajați (Shadow AI).
• Cu ce ajută: Stabilește o politică simplă de utilizare, blochează introducerea secretelor comerciale în chat-uri publice și creează un registru minim al uneltelor active.
• Riscul ignorării: Exfiltrarea neintenționată de proprietate intelectuală și posibila încălcare a obligațiilor de securitate din articolul 32 din GDPR, atunci când prin aplicații neadministrate se prelucrează date personale fără măsuri adecvate riscului.

3. Faza de furnizor sau utilizator de sisteme cu risc ridicat: Evaluarea de Conformitate

• De ce se face: Dacă un IMM folosește o platformă de recrutare care filtrează automat CV-urile sau dezvoltă un astfel de sistem, intră sub incidența cerințelor legale din EU AI Act pentru sistemele cu risc ridicat.
• Cu ce ajută: Permite firmei să solicite furnizorului de software dovezile de conformitate sau, dacă își dezvoltă propriul sistem, să își structureze Sistemul de Management al Calității conform EN 18286 (Articolul 17) și să își construiască Documentația Tehnică conform cerințelor din Articolul 11 și Anexa IV.
• Riscul ignorării: Blocarea în licitații enterprise unde clienții mari cer dovadă de conformitate și expunerea la controale ale autorităților, după intrarea în vigoare a legii naționale.

Alegerea corectă a momentului și a tipului de evaluare permite companiilor să își protejeze activele informaționale și să răspundă cerințelor de piață fără a îngreuna operațiunile zilnice.

Referințe și Cadru Normativ

• ISO/IEC 42001:2023: Information technology — Artificial intelligence — Management system (Clauzele 4-10 și Anexa A cu cele 38 de controale grupate în 9 domenii).
• Decizia de punere în aplicare (UE) 2026/2274 a Comisiei din 12 octombrie 2026: Citarea standardului armonizat EN 18286:2026 în Jurnalul Oficial al Uniunii Europene (publicată la 14 octombrie 2026).
• Regulamentul (UE) 2024/1689 (EU AI Act): Articolul 11 (Documentația tehnică), Articolul 17 (Sistemul de management al calității), Articolul 40, Articolul 43, Anexa IV, Anexa VI și Anexa VII.
• Regulamentul (UE) 2026/1744 (Digital Omnibus on AI): Amânarea termenelor pentru Anexa III până la 2 decembrie 2027; mutarea Regulamentului (UE) 2023/1230 privind mașinile în Anexa I secțiunea B.
• ISO/IEC 17021-1: Cerințe pentru organismele care furnizează audit și certificare ale sistemelor de management (Regula de independență, clauza 5.2.5).