Chatbot AI pe site — obligații de informare

Un chatbot cu inteligență artificială de pe site trebuie să informeze clar utilizatorul că discută cu un sistem de IA, nu cu un om. Obligația se aplică în toată Uniunea Europeană de la 2 august 2026, conform art. 50 din AI Act. Chatbotul intră și sub regulile GDPR, iar comerciantul răspunde pentru răspunsurile greșite date de bot.

Pe scurt

Dacă folosești un chatbot bazat pe inteligență artificială (IA) pe site-ul tău, ai obligația legală de a-i spune clientului că vorbește cu un sistem de IA, nu cu un om — cerință care se aplică în toată Uniunea Europeană de la 2 august 2026, în temeiul art. 50 din Regulamentul (UE) 2024/1689 (AI Act). În plus, chatbotul prelucrează de regulă date cu caracter personal, așa că intervin și obligațiile GDPR (informare, temei legal, drepturi), iar pentru răspunsurile eronate ale botului comerciantul răspunde ca și cum ar fi fost date de propriul personal. Acest articol explică cele trei planuri de obligații — transparența IA, protecția datelor și răspunderea — și oferă o listă concretă de conformare.

Cadrul legal

Obligațiile privind un chatbot AI pe site provin din trei surse care se aplică simultan: reglementarea IA, protecția datelor și dreptul consumatorului.

1. Transparența IA — AI Act (art. 50)

Art. 50 alin. (1) din Regulamentul (UE) 2024/1689 (AI Act) — Furnizorii se asigură că sistemele de IA destinate să interacționeze direct cu persoane fizice sunt proiectate și dezvoltate astfel încât persoanele fizice să fie informate că interacționează cu un sistem de IA, cu excepția cazului în care acest lucru este evident din perspectiva unei persoane rezonabil de bine informate, atente și avizate, ținând seama de circumstanțe și context.

Art. 50 alin. (2) — Conținutul (audio, imagine, video sau text) generat de un sistem de IA trebuie marcat într-un format care poate fi citit automat și detectabil ca fiind generat artificial.

Art. 50 alin. (5) — Informarea se face clar și distinct, cel târziu la momentul primei interacțiuni, în mod accesibil.

Sursa: Regulamentul (UE) 2024/1689, art. 50 (accesat 2026-08-23)

Art. 50 se aplică de la 2 august 2026. Atenție: „Regulamentul omnibus digital privind IA” — Regulamentul (UE) 2026/1744, în vigoare de la 27 iulie 2026 — a amânat regimul sistemelor cu risc ridicat (până în 2 decembrie 2027, respectiv 2 august 2028), dar NU a amânat art. 50. Obligația de a informa clientul că discută cu un chatbot este, așadar, deja în vigoare.

Cât de sigură este neamânarea? Concluzia este solidă și se sprijină pe modul în care omnibusul a operat: el a rescris regimul tranzitoriu (art. 113 AI Act) doar pentru cohorta high-risk (anexele I și III), lăsând art. 50 în cohorta de aplicare de la 2 august 2026. Art. 50 nu figurează în lista dispozițiilor amânate, iar scopul de „simplificare” al omnibusului nu se traduce automat în amânare pentru obligațiile de transparență. Sancțiunile din art. 99 pentru încălcarea art. 50 devin, prin urmare, aplicabile de la 2 august 2026 (în funcție însă de existența cadrului național de aplicare — vezi secțiunea Legislație europeană). De monitorizat: Ghidul Comisiei privind art. 50 (20 iulie 2026), viitoarele coduri de practică privind marcarea conținutului generat de IA și eventuale acte de modificare ulterioare.

Sursa: Regulamentul (UE) 2026/1744 (accesat 2026-08-23)

2. Protecția datelor — GDPR

Un chatbot preia nume, adresă de e-mail, date despre comandă și chiar conținutul conversației — deci prelucrează date cu caracter personal. Se aplică Regulamentul (UE) 2016/679 (GDPR): principiile din art. 5 (minimizarea datelor, limitarea scopului), un temei legal valabil (art. 6 — de regulă executarea contractului sau interesul legitim), informarea persoanei vizate (art. 13), iar dacă botul ia decizii automate cu efecte semnificative, art. 22.

Sursa: Regulamentul (UE) 2016/679 (GDPR) (accesat 2026-08-23)

3. Dreptul consumatorului și comerțul electronic (RO)

Chatbotul face parte dintr-un serviciu al societății informaționale în sensul Legii nr. 365/2002 privind comerțul electronic (art. 1 pct. 1), iar comerciantul rămâne ținut de obligațiile de identificare și de informare precontractuală din Legea 365/2002 (art. 5) și din OUG nr. 34/2014 privind drepturile consumatorilor. Un bot care se dă drept om sau furnizează informații false despre produs/preț poate constitui practică comercială înșelătoare în sensul Legii nr. 363/2007.

Surse: Legea 365/2002 (DetaliiDocument/37075); OUG 34/2014 (DetaliiDocument/159448); Legea 363/2007 (DetaliiDocument/88780) (accesat 2026-08-23)

Explicație detaliată

Cine are obligația: „furnizor” vs. „operator”

AI Act distinge între furnizorul sistemului de IA (cel care dezvoltă/introduce pe piață chatbotul) și operatorul (în engleză deployer — cel care îl folosește sub autoritatea sa, adică magazinul tău). Cele mai multe magazine online nu construiesc propriul model, ci integrează o soluție terță (un chatbot „la cheie” sau un asistent construit peste un model de uz general). În acest scenariu:

• obligația de marcare a interacțiunii ca fiind cu o IA (art. 50 alin. (1)) revine în principal furnizorului, prin proiectarea sistemului, dar în practică tu, comerciantul, ești cel care afișează botul publicului — deci tu trebuie să te asiguri că mesajul de transparență chiar apare;
• ca operator, îți revin obligațiile din art. 50 alin. (3)-(4) (ex. recunoașterea emoțiilor, „deep fake”-uri) și, prin GDPR, calitatea de operator de date pentru conversațiile purtate pe site-ul tău.

Concluzia practică: indiferent de repartiția tehnică, răspunderea față de client și față de autorități este a ta, comerciantul care pune botul la dispoziția publicului.

Poți fi sancționat pentru botul „la cheie" al furnizorului?

Da — chiar dacă defectul de transparență a fost „proiectat" de furnizorul terț. Deși obligația de a concepe botul astfel încât să se anunțe drept IA revine în principal furnizorului (art. 50 alin. (1)), tu, ca operator, ai obligații proprii sub AI Act: art. 26 îți impune să utilizezi sistemul conform instrucțiunilor de utilizare și să asiguri controlul uman, iar art. 50 alin. (4) îți atribuie direct sarcina de a dezvălui conținutul generat/manipulat de IA. Practic, dacă botul are capacitatea tehnică de a afișa mesajul „sunt o IA", dar tu l-ai configurat cu un nume și un avatar de persoană și fără nicio mențiune, neconformitatea este a ta — și tu ești cel pe care autoritatea de supraveghere îl poate sancționa în temeiul art. 99, pentru că tu ești cel care oferă botul publicului din România.

De aceea, riscul se gestionează contractual, nu se elimină:

• garanție de conformitate — furnizorul garantează în scris că sistemul respectă art. 50 (mesaj de transparență la prima interacțiune, marcare mașină-lizibilă a conținutului generat, informare „accesibilă");
• clauză de despăgubire/indemnizare — furnizorul suportă amenzile și prejudiciile rezultate dintr-un defect de proiectare (nu din configurarea greșită făcută de tine);
• documentație și instrucțiuni de utilizare — furnizorul îți predă informațiile din art. 13 AI Act, ca să poți dovedi utilizarea conformă (art. 26);
• localizarea datelor și antrenarea modelului — clauze exprese despre transferul internațional și despre reutilizarea conversațiilor.

Aceste clauze îți permit să recuperezi de la furnizor pierderea, dar nu te scutesc, față de client și autoritate, de răspunderea de „linia întâi".

B2B: se aplică și când clientul e o firmă?

Obligația din art. 50 AI Act rămâne, pentru că textul vizează orice „persoană fizică", nu doar „consumatorul" — deci chiar și pe un site B2B, dacă interlocutorul botului este un om (un angajat, un achizitor care acționează pentru firmă), el trebuie informat că discută cu o IA. La fel, GDPR se aplică dacă acea persoană fizică este identificabilă (nume, e-mail de serviciu, conținutul conversației).

Ce dispare în scenariul B2B este stratul de protecție a consumatorului: definiția „consumatorului" din Legea nr. 363/2007 (art. 2) și din OUG nr. 34/2014 acoperă doar persoana fizică ce acționează în afara activității sale profesionale. Un profesionist care cumpără pentru firmă nu este consumator, așa că nu beneficiază de regimul practicilor comerciale înșelătoare din Legea 363/2007, de informarea precontractuală specifică din OUG 34/2014 și nici de dreptul de retragere în 14 zile. Răspunderea comerciantului pentru afirmațiile eronate ale botului rămâne, dar se mută pe dreptul comun — răspunderea civilă și regulile Codului civil privind formarea contractului.

Când botul „promite" ceva: ofertă sau simplă informare?

Răspunderea pentru „halucinațiile" botului nu se reduce la sancțiunea pentru practică înșelătoare. Un mesaj al botului poate, în anumite condiții, să constituie o ofertă fermă de a contracta în sensul art. 1188 Cod civil (Legea nr. 287/2009): o propunere este ofertă dacă este suficient de precisă (produs, preț, condiții) și exprimă intenția emitentului de a se obliga în caz de acceptare. Dacă botul spune „ai 50% reducere la acest produs, comandă acum" într-un mod precis și necondiționat, iar clientul „acceptă", se poate naște un contract obligatoriu — dincolo de amenda pentru practică înșelătoare.

Delimitarea vine din art. 1189 Cod civil: propunerea adresată unor persoane nedeterminate (publicitate, catalog, mesaj generic) nu este, în principiu, ofertă, ci invitație de a oferta (solicitare de ofertă), afară de cazul în care rezultă altfel din împrejurări. Practic:

• mesaj precis + necondiționat de la bot („prețul tău final este X, valabil acum") → risc real de a fi tratat drept ofertă fermă (art. 1188);
• mesaj generic/promoțional („avem des reduceri", „verifică oferta pe pagina produsului") → mai degrabă invitație de a oferta (art. 1189).

Cum te protejezi: configurează botul să nu confirme prețuri/termeni ca definitivi și adaugă mențiuni de tip „ofertă supusă disponibilității și confirmării în coș, conform Termenilor și condițiilor". Astfel eviți ca un răspuns eronat să te lege contractual.

Surse: Codul civil (Legea 287/2009), art. 1187–1190 (DetaliiDocument/109884); Legea 363/2007, art. 2 (DetaliiDocument/88780) (accesat 2026-08-23)

Chatbotul care interacționează cu minori

Dacă magazinul vinde produse pentru copii/adolescenți și botul poate ajunge să dialogheze cu minori, apar obligații suplimentare:

• Consimțământul și pragul de vârstă (art. 8 GDPR + Legea nr. 190/2018). Pentru oferirea directă a unui serviciu al societății informaționale către un copil, prelucrarea bazată pe consimțământ este legală doar dacă copilul are cel puțin 16 ani — pragul stabilit de România prin art. 8 din Legea nr. 190/2018. Sub 16 ani este nevoie de consimțământul/autorizarea titularului răspunderii părintești. Practic, dacă temeiul e consimțământul, botul nu poate colecta liber date de la un minor sub 16 ani.
• AI Act — practici interzise (art. 5). Un sistem de IA nu poate exploata vulnerabilitățile legate de vârstă pentru a denatura comportamentul și a cauza un prejudiciu; botul nu trebuie să manipuleze copilul spre cumpărături impulsive.
• Protecția consumatorului vulnerabil. Legea nr. 363/2007 evaluează practicile și prin prisma grupului vulnerabil vizat (copiii) — un mesaj înșelător adresat minorilor e cu atât mai grav.
• Adaptarea transparenței. Mesajul „vorbești cu o IA" și informarea GDPR trebuie formulate în limbaj simplu, adecvat vârstei, astfel încât copilul să înțeleagă efectiv.

Surse: Legea nr. 190/2018, art. 8 (prag 16 ani) (DetaliiDocument/203151); Regulamentul (UE) 2016/679, art. 8; AI Act, art. 5 (accesat 2026-08-23)

Ce înseamnă, concret, „informarea că e o IA”

Cerința din art. 50 alin. (1) este îndeplinită printr-un mesaj clar, vizibil și anterior interacțiunii — nu ascuns în Termeni și condiții. Exemple conforme:

• eticheta ferestrei de chat: „Asistent virtual (AI)” în loc de un simplu prenume („Ana”);
• un prim mesaj automat: „Bună! Sunt un asistent automat bazat pe inteligență artificială. Pot prelua cererea ta sau te pot conecta cu un coleg.”;
• un indicator persistent pe durata conversației, nu doar la deschidere.

Excepția „evident” (art. 50 alin. (1) teza finală) se aplică rar în e-commerce: faptul că interlocutorul e o IA trebuie să fie evident pentru o persoană rezonabil de atentă. Un bot cu nume și avatar de persoană, care poartă o conversație naturală, nu se califică pentru excepție — dimpotrivă, crește riscul de a induce în eroare.

Momentul și forma informării

Art. 50 alin. (5) cere ca informarea să fie clară și distinctă, cel târziu la prima interacțiune. Practic: mesajul de transparență trebuie să apară înainte ca utilizatorul să scrie primul mesaj sau odată cu deschiderea ferestrei, nu după ce a furnizat deja date.

Accesibilitate (nu doar „contrast"). Cerința ca informarea să fie „accesibilă" din art. 50 alin. (5) se suprapune cu o obligație distinctă și mai concretă: Directiva (UE) 2019/882 (European Accessibility Act), transpusă în România prin Legea nr. 232/2022, aplicabilă serviciilor de comerț electronic de la 28 iunie 2025. Sub EAA, interfața magazinului (inclusiv fereastra de chat) trebuie să respecte standardul EN 301 549 (care preia WCAG 2.1 nivel AA): compatibilitate cu cititoarele de ecran, navigare completă din tastatură, contrast suficient, text alternativ, focus vizibil. Microîntreprinderile care prestează servicii (sub 10 angajați și sub 2 mil. EUR cifră de afaceri) beneficiază de o scutire de la unele cerințe, dar restul comercianților online sunt ținuți. Cele două regimuri se cumulează: informarea „vorbești cu o IA" trebuie să fie în același timp accesibilă juridic (clară, la timp) și accesibilă tehnic (perceptibilă de utilizatorii cu dizabilități, conform EN 301 549).

În ce limbă? Pentru clienții din România, mesajul de transparență și informarea GDPR din fereastra de chat ar trebui furnizate în limba română. Deși art. 50 alin. (5) nu numește o limbă, o informare pe care destinatarul nu o înțelege nu este „accesibilă"; în plus, legislația de protecție a consumatorului (OUG nr. 34/2014, OG nr. 21/1992) impune ca informațiile către consumatorul român să fie aduse la cunoștință în limba română. Un chatbot care operează exclusiv în engleză pe un magazin adresat publicului din România riscă să nu îndeplinească nici cerința de accesibilitate a art. 50, nici obligațiile de informare a consumatorului. Soluția: română ca limbă implicită pentru informări, cu engleza (sau altă limbă) ca opțiune suplimentară.

Surse: Legea nr. 232/2022 (EAA) (DetaliiDocument/257778); Directiva (UE) 2019/882 (EUR-Lex 32019L0882); OG nr. 21/1992 privind protecția consumatorilor (DetaliiDocument/44580) (accesat 2026-08-23)

Conținutul generat de IA și „watermarking-ul”

Dacă botul (sau un alt instrument de pe site) generează text, imagini sau descrieri de produs cu IA, art. 50 alin. (2) cere ca acel conținut să fie marcat mașină-lizibil ca generat artificial. Pentru sistemele generative introduse pe piață înainte de 2 august 2026 există o perioadă de grație până la 2 decembrie 2026 (introdusă prin Regulamentul (UE) 2026/1744) până când obligația de marcare devine pe deplin aplicabilă. Obligația de a informa că utilizatorul discută cu o IA (alin. 1) nu beneficiază de această amânare.

Stratul GDPR: datele colectate prin chatbot

Fiecare conversație produce date personale. Ca operator trebuie să:

1. stabilești un temei legal (art. 6 GDPR) — de obicei executarea contractului (o cerere de suport legată de o comandă) sau interesul legitim; pentru scopuri suplimentare (marketing, antrenarea modelului) ai nevoie, de regulă, de consimțământ separat;
2. informezi utilizatorul (art. 13) — cine e operatorul, ce date se colectează, în ce scop, cât timp se păstrează conversația, cu cine se partajează (ex. furnizorul chatbotului, eventual în afara UE) și care sunt drepturile lui. Un link vizibil către politica de confidențialitate în fereastra de chat este soluția standard;
3. respecți minimizarea (art. 5) — nu cere prin bot mai multe date decât e necesar și nu transforma logurile în arhive nelimitate;
4. verifici dacă furnizorul folosește conversațiile pentru antrenarea propriilor modele — dacă da, e o prelucrare care trebuie dezvăluită și, adesea, temeiată pe consimțământ;
5. evaluezi necesitatea unei DPIA (art. 35) când chatbotul procesează date la scară largă sau categorii sensibile.

Răspunderea pentru ce „spune” botul

Un chatbot poate „halucina” — poate promite o reducere inexistentă, un termen de livrare greșit sau o politică de retur mai generoasă decât cea reală. În raport cu consumatorul, aceste mesaje sunt comunicări ale comerciantului: nu te poți disculpa spunând „a fost doar botul”. Dacă botul afirmă ceva, clientul se poate baza pe acea informație, iar o afirmație falsă poate fi tratată drept practică comercială înșelătoare (Legea 363/2007) sau poate angaja răspunderea precontractuală. De aceea, disclaimerul „răspunsurile pot conține erori, verificați cu un consultant” reduce, dar nu elimină răspunderea — mai ales dacă botul a determinat decizia de cumpărare.

Aspecte practice

Listă de conformare (checklist)

Transparență IA (art. 50 AI Act):

• Fereastra de chat este etichetată vizibil drept asistent AI / virtual (nu un simplu nume de persoană).
• Primul mesaj declară că utilizatorul discută cu un sistem automat de IA.
• Există opțiunea de preluare de către un operator uman (handoff), comunicată clar. Dacă botul ia decizii automate (art. 22 GDPR — ex. eligibilitatea unei oferte), handoff-ul devine obligație legală (intervenția umană din art. 22 alin. (3)), nu doar bună practică.
• Dacă botul generează text/imagini publicate pe site, acestea sunt marcate ca generate de IA (ai în vedere termenul de 2 decembrie 2026 pentru sistemele mai vechi).
• Informarea este furnizată în limba română pentru clienții din România.
• Fereastra de chat respectă cerințele de accesibilitate EN 301 549 / WCAG 2.1 AA (Legea nr. 232/2022 — EAA, aplicabilă e-commerce din 28 iunie 2025): cititoare de ecran, navigare din tastatură, contrast, text alternativ.

Protecția datelor (GDPR):

• Link vizibil către politica de confidențialitate în fereastra de chat.
• Ai stabilit și documentat temeiul legal al prelucrării (art. 6).
• Colectezi doar datele necesare; logurile au o durată de păstrare definită.
• Ai verificat unde stochează furnizorul datele (transfer în afara UE?) și dacă le folosește la antrenarea modelului — dacă da, ai temei/consimțământ.
• Ai încheiat un contract de prelucrare (art. 28) cu furnizorul chatbotului.

Consumator și răspundere:

• Botul nu se prezintă drept persoană umană și nu induce în eroare privind preț, stoc, livrare, retur.
• Informațiile de identificare a comerciantului (Legea 365/2002) rămân disponibile independent de bot.
• Ai o clauză în Termeni și condiții care descrie rolul asistentului AI și limitele lui — fără a exclude însă răspunderea legală față de consumator.
• În contractul cu furnizorul botului „la cheie" ai garanție de conformitate art. 50 și clauză de despăgubire/indemnizare pentru defecte de proiectare (răspunderea de „linia întâi" rămâne a ta — art. 26 AI Act).
• Botul e configurat să nu confirme prețuri/termeni ca definitivi (evită ca un răspuns eronat să constituie ofertă fermă în sensul art. 1188 Cod civil).
• Dacă publicul poate include minori, ai reglat colectarea datelor la pragul de 16 ani (art. 8 GDPR + Legea 190/2018) și mesaje adaptate vârstei.

Greșeli frecvente

• „E doar un chatbot, nu trebuie declarat.” Fals — art. 50 se aplică din 2 august 2026, indiferent de dimensiunea magazinului.
• Confuzia cu „amânarea AI Act”. Amânarea din Regulamentul (UE) 2026/1744 privește doar sistemele high-risk, nu transparența chatbotului.
• Botul cu nume și avatar uman, fără nicio mențiune că e AI — cel mai mare risc de inducere în eroare.
• Absența informării GDPR în fereastra de chat, deși botul cere e-mail și date de comandă.
• Tratarea disclaimerului ca scut absolut — nu anulează răspunderea pentru afirmațiile pe care s-a bazat clientul.

Legislație europeană

Obligațiile chatbotului AI se sprijină pe două tipuri de acte europene cu efecte juridice diferite: regulamente — direct aplicabile în România fără nicio transpunere (AI Act și GDPR) — și directive, care produc efecte prin legile românești care le transpun (cadrul comerțului electronic și al protecției consumatorului). Această secțiune sistematizează cadrul european și adaugă jurisprudența CJUE relevantă.

Directive și regulamente aplicabile

Regulamente (direct aplicabile, identice în toată UE):

Regulamentul (UE) 2024/1689 (AI Act), art. 50 — obligația de transparență: utilizatorul trebuie informat că interacționează cu un sistem de IA (aplicabil de la 2 august 2026). Detaliat în secțiunea Cadrul legal. Sursa: Regulamentul (UE) 2024/1689 (accesat 2026-08-23)

Regulamentul (UE) 2016/679 (GDPR) — prelucrarea datelor colectate prin chatbot; relevante mai ales art. 13 (informare), art. 15 (acces) și art. 22 (decizii individuale automate). Sursa: Regulamentul (UE) 2016/679 (accesat 2026-08-23)

Regulamentul (UE) 2026/1744 („Digital Omnibus IA”) — a amânat regimul sistemelor cu risc ridicat, dar nu art. 50. Sursa: Regulamentul (UE) 2026/1744 (accesat 2026-08-23)

Directive (aplicabile prin transpunere în legea română):

Directiva 2000/31/CE privind comerțul electronic — definește „serviciile societății informaționale” și obligațiile de identificare/informare ale prestatorului. Sursa: Directiva 2000/31/CE (accesat 2026-08-23)

Directiva 2005/29/CE privind practicile comerciale neloiale (UCPD) — un bot care induce în eroare privind preț, stoc sau caracteristici poate constitui practică înșelătoare. Sursa: Directiva 2005/29/CE (accesat 2026-08-23)

Directiva 2011/83/UE privind drepturile consumatorilor — informarea precontractuală și identitatea comerciantului rămân obligatorii, indiferent de canalul (bot) folosit. Sursa: Directiva 2011/83/UE (accesat 2026-08-23)

Directiva (UE) 2019/770 privind conținutul digital și serviciile digitale — conformitatea serviciilor digitale furnizate consumatorului. Sursa: Directiva (UE) 2019/770 (accesat 2026-08-23)

Transpunerea în dreptul român

Distincția regulament/directivă explică de ce unele obligații sunt „europene direct”, iar altele apar sub formă de legi românești:

În schimb, AI Act și GDPR nu se transpun — se aplică ca atare. România nu poate adăuga, elimina sau „dilua” obligația de transparență din art. 50; nu există, la acest moment, un fenomen de gold-plating național pentru chatboți.

Cine supraveghează AI Act în România?

Art. 70 AI Act obligă fiecare stat membru să desemneze o autoritate de supraveghere a pieței și un punct unic de contact (termen: 2 august 2025). România a acționat cu întârziere: printr-un memorandum guvernamental din 12 martie 2026 sunt propuse:

• ANCOM (Autoritatea Națională pentru Administrare și Reglementare în Comunicații) — autoritate de supraveghere a pieței și punct unic de contact;
• ADR (Autoritatea pentru Digitalizarea României) — autoritate de notificare;
• competențe sectoriale: ASF și BNR (sistemele high-risk din sectorul financiar), ANSPDCP (sistemele biometrice pentru aplicarea legii, frontiere, justiție).

Atenție (stadiu la august 2026): memorandumul nu conferă puteri efective de inspecție și sancționare — acestea apar doar după intrarea în vigoare a legii naționale de punere în aplicare, aflată încă în lucru. ANCOM însăși a confirmat (comunicat din 24 iulie 2026) că poate sancționa nerespectarea AI Act abia după adoptarea actului normativ național. Practic, deși art. 50 se aplică din 2 august 2026, la momentul redactării nu există încă un „ghișeu” funcțional unde un consumator sau un concurent să depună formal sesizări și nici cadrul prin care amenzile art. 99 să fie efectiv aplicate în România. Stratul GDPR rămâne însă operațional: pentru prelucrarea datelor prin chatbot, autoritatea competentă este ANSPDCP, indiferent de stadiul legii AI Act.

Sursă: JURIDICE.ro — Autoritățile naționale competente pentru aplicarea Regulamentului privind AI; comunicat ANCOM 24.07.2026 (accesat 2026-08-23)

Jurisprudență CJUE

Nu există (încă) hotărâri CJUE care să interpreteze direct art. 50 din AI Act. Există însă jurisprudență esențială privind deciziile automate — relevantă atunci când chatbotul nu doar informează, ci profilează utilizatori sau pregătește/ia decizii (eligibilitatea unei oferte, aprobarea unei cereri, un scor):

Cauza C-634/21, SCHUFA Holding (Scoring) (CJUE, 7 decembrie 2023, ECLI:EU:C:2023:957) — calcularea automată a unei valori de probabilitate (scor) pe care un terț se bazează „în mod determinant” pentru a acorda sau refuza un contract constituie ea însăși o decizie individuală automată în sensul art. 22 GDPR, chiar dacă decizia formală o ia terțul. O interpretare restrânsă ar crea o lacună de protecție. Sursa: CJUE, C-634/21 (accesat 2026-08-23)

Cauza C-203/22, CK / Dun & Bradstreet Austria (CJUE, 27 februarie 2025, ECLI:EU:C:2025:117) — în temeiul art. 15 alin. (1) lit. (h) GDPR, persoana vizată de o decizie automată are dreptul la „informații semnificative despre logica implicată”, într-o formă concisă și inteligibilă care să îi permită să înțeleagă și să conteste decizia; secretul comercial nu justifică un refuz total al explicației. Sursa: CJUE, C-203/22 (accesat 2026-08-23)

Concluzia practică: dacă botul tău doar răspunde la întrebări, se aplică regimul de transparență (art. 50 AI Act) și informarea GDPR (art. 13). Dacă botul decide ceva cu efecte asupra clientului, se adaugă regimul strict al art. 22 GDPR, așa cum a fost conturat de CJUE — inclusiv dreptul clientului la o explicație inteligibilă a logicii și la contestarea deciziei.

Handoff comercial vs. dreptul la intervenție umană (art. 22 GDPR)

Opțiunea ca discuția să fie preluată de un operator uman (handoff) are două regimuri diferite, care nu trebuie confundate:

• Handoff comercial — bună practică de customer service: clientul cere „să vorbească cu un coleg". Nu decurge dintr-o obligație legală anume; ține de calitatea serviciului.
• Dreptul la intervenție umană — obligație legală atunci când botul ia o decizie exclusiv automată cu efecte juridice sau similar semnificative asupra persoanei (art. 22 GDPR). În acest caz, art. 22 alin. (3) GDPR garantează persoanei vizate dreptul de a obține intervenția unui operator uman, de a-și exprima punctul de vedere și de a contesta decizia — nu ca opțiune comercială, ci ca drept.

Linia de demarcație: dacă botul doar informează sau recomandă (fără efect determinant), handoff-ul rămâne o bună practică; dacă botul stabilește eligibilitatea unei oferte, aprobă/refuză o cerere sau calculează un scor pe care te bazezi „în mod determinant" (a se vedea SCHUFA, C-634/21), atunci intervenția umană devine obligatorie ca garanție a art. 22 alin. (3). Practic, pentru orice flux în care botul poate „decide", trebuie să existe o cale reală (nu formală) către un om care poate reevalua decizia.

Sursă: Regulamentul (UE) 2016/679, art. 22 (accesat 2026-08-23)

Aspecte practice din perspectivă europeană

• Un singur set de reguli, o singură conformare. Fiind regulamente, AI Act și GDPR îți permit să folosești aceeași soluție de chatbot și același mesaj de transparență în toate statele membre — nu ai nevoie de variante naționale ale informării „vorbești cu o IA”. Adaptarea locală privește doar limba și trimiterile la legile de consumator transpuse.
• Ghișeul unic GDPR (one-stop-shop). Dacă prelucrezi date prin chatbot transfrontalier (clienți din mai multe state), mecanismul de coerență din GDPR permite, în principiu, un interlocutor principal — autoritatea de protecție a datelor din statul stabilimentului principal.
• Furnizori din afara UE. Multe soluții de chatbot rulează pe modele găzduite în afara UE; verifică temeiul transferului internațional (cap. V GDPR) și dacă furnizorul reutilizează conversațiile pentru antrenarea modelelor.
• Ce urmează. Ghidul Comisiei privind art. 50 (iulie 2026) va ghida interpretarea autorităților naționale; se conturează și primele orientări privind marcarea conținutului generat de IA (watermarking) în format lizibil de mașină. Urmărește actualizările pe eur-lex.europa.eu și comunicările AI Office.

Întrebări frecvente

1. Trebuie neapărat să scriu că este un chatbot AI, chiar dacă e evident? Da, ca regulă. Art. 50 alin. (1) din AI Act impune informarea, iar excepția „evident” se interpretează restrictiv. Un bot cu nume și avatar de persoană, care conversează natural, nu se califică pentru excepție — deci mesajul de transparență este obligatoriu.

2. De când se aplică obligația și mai e valabilă după „amânarea” AI Act? De la 2 august 2026. Regulamentul (UE) 2026/1744 a amânat doar regimul sistemelor cu risc ridicat (până în 2027-2028); art. 50 (transparența chatbotului) nu a fost amânat.

3. Ce risc dacă nu informez utilizatorul? Încălcarea obligațiilor de transparență din art. 50 poate atrage, conform art. 99 din AI Act, amenzi de până la 15.000.000 EUR sau 3% din cifra de afaceri anuală mondială (cea mai mare valoare). Se adaugă riscul de sancțiuni GDPR și de la ANPC pentru practici incorecte.

4. Chatbotul meu colectează e-mailuri și date de comandă — ce trebuie să fac pentru GDPR? Stabilește un temei legal (art. 6), afișează în fereastra de chat un link către politica de confidențialitate cu informarea din art. 13, colectează doar datele necesare, definește o durată de păstrare a conversațiilor și încheie un contract de prelucrare (art. 28) cu furnizorul botului.

5. Răspund pentru un răspuns greșit dat de bot? Da. Mesajele botului sunt comunicări ale comerciantului. O informație falsă despre preț, stoc sau retur poate angaja răspunderea ta și poate fi tratată drept practică comercială înșelătoare. Un disclaimer reduce, dar nu elimină răspunderea.

6. E suficient să pun mențiunea „AI” doar în Termeni și condiții? Nu. Informarea trebuie să fie clară și distinctă, la prima interacțiune, direct în interfața de chat — nu ascunsă într-un document pe care utilizatorul nu îl citește.

7. Dacă botul generează descrieri de produs cu IA, trebuie să le marchez? Da, art. 50 alin. (2) cere marcarea conținutului generat de IA într-un format lizibil de mașină. Pentru sistemele generative existente înainte de 2 august 2026 există o perioadă de grație până la 2 decembrie 2026.

8. La ce autoritate reclamă un client din România încălcarea obligației de transparență? Pentru stratul AI Act, autoritatea de supraveghere a pieței propusă este ANCOM (prin memorandumul din martie 2026), cu ADR ca autoritate de notificare — dar aplicarea efectivă a sancțiunilor din art. 99 depinde de legea națională de punere în aplicare, încă în lucru. Pentru stratul GDPR (date colectate prin chatbot), autoritatea competentă este ANSPDCP și e deja pe deplin funcțională. Practicile comerciale înșelătoare se reclamă la ANPC.

9. Botul deservește un site B2B — mai trebuie să anunț că e o IA? Da. Art. 50 AI Act se aplică oricărei „persoane fizice", deci și profesionistului care dialoghează cu botul; GDPR rămâne și el aplicabil. Dispare doar protecția consumatorului (Legea 363/2007, OUG 34/2014) — care acoperă numai persoana fizică ce acționează în afara activității profesionale.

10. Chatbotul meu poate funcționa doar în engleză pentru clienți din România? Nu este recomandat. Pentru clienții din România, mesajul de transparență și informarea GDPR ar trebui furnizate în limba română: o informare pe care clientul nu o înțelege nu este „accesibilă" (art. 50 alin. (5)), iar legislația de protecție a consumatorului (OUG 34/2014, OG 21/1992) cere informarea în limba română. Engleza poate fi o opțiune suplimentară, nu una exclusivă.

11. Botul poate discuta cu minori — ce se schimbă? Dacă temeiul prelucrării este consimțământul, botul nu poate colecta liber date de la un minor sub 16 ani fără acordul părintelui (art. 8 GDPR + Legea nr. 190/2018). În plus, botul nu are voie să exploateze vulnerabilitățile de vârstă (art. 5 AI Act), iar mesajele de transparență trebuie formulate într-un limbaj adecvat vârstei.

Practică și opinii

⚠️ Orientări oficiale — Comisia Europeană, Ghidul privind obligațiile de transparență în temeiul art. 50 din AI Act (publicat la 20 iulie 2026) Comisia a emis orientări neobligatorii care detaliază, cu exemple practice, cum trebuie îndeplinită obligația de informare (inclusiv pentru chatboți). Deși nu au forță de lege, autoritățile naționale se vor raporta la ele în interpretare și control. Sursa: comunicări ale Comisiei Europene privind AI Act, 2026 (accesat 2026-08-23)

⚠️ Opinie de practică — analize de conformare AI Act (2026) Casele de avocatură care au analizat „Digital Omnibus”-ul (Regulamentul (UE) 2026/1744) subliniază un mesaj recurent: amânarea vizează doar sistemele high-risk, nu transparența. Formularea „AI Act a fost amânat” este înșelătoare pentru comercianții cu chatbot — pentru ei, termenul rămâne 2 august 2026. Sursa: analize Gibson Dunn, Goodwin, Usercentrics privind Reg. (UE) 2026/1744 (accesat 2026-08-23)

⚠️ Notă de risc — răspunderea pentru afirmațiile botului Tema răspunderii comerciantului pentru mesajele eronate ale unui chatbot a fost consacrată în practica internațională (notoriu, cazul Moffatt v. Air Canada, 2024, în care compania a fost obligată să onoreze o informație greșită dată de propriul chatbot). Deși este o decizie din afara UE și nu constituie precedent în România, ilustrează direcția generală: interlocutorul digital este tratat ca vocea comerciantului. Analiza aplicabilității în dreptul român rămâne de făcut de la caz la caz.

Referințe

1. Regulamentul (UE) 2024/1689 (AI Act) — de stabilire a unor norme armonizate privind inteligența artificială, art. 50 (obligații de transparență), art. 99 (sancțiuni), art. 113 (aplicare). ELI: http://data.europa.eu/eli/reg/2024/1689/oj · EUR-Lex: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32024R1689
2. Regulamentul (UE) 2026/1744 — „Regulamentul omnibus digital privind IA” (modifică Reg. 2024/1689; amână regimul high-risk; nu amână art. 50). ELI: http://data.europa.eu/eli/reg/2026/1744/oj
3. Regulamentul (UE) 2016/679 (GDPR) — art. 5, 6, 13, 22, 28, 35. ELI: http://data.europa.eu/eli/reg/2016/679/oj
4. Legea nr. 365/2002 privind comerțul electronic (republicată) — art. 1, art. 5. https://legislatie.just.ro/Public/DetaliiDocument/37075
5. OUG nr. 34/2014 privind drepturile consumatorilor — informații precontractuale, identitatea comerciantului. https://legislatie.just.ro/Public/DetaliiDocument/159448
6. Legea nr. 363/2007 privind combaterea practicilor comerciale incorecte — practici înșelătoare. https://legislatie.just.ro/Public/DetaliiDocument/88780
7. OUG nr. 141/2021 privind contractele de furnizare de conținut digital și de servicii digitale. https://legislatie.just.ro/Public/DetaliiDocument/250054
8. Codul civil (Legea nr. 287/2009) — art. 1187–1190 (oferta de a contracta / invitația de a oferta). https://legislatie.just.ro/Public/DetaliiDocument/109884
9. Legea nr. 232/2022 privind cerințele de accesibilitate aplicabile produselor și serviciilor (transpune Directiva (UE) 2019/882 — EAA; e-commerce de la 28 iunie 2025). https://legislatie.just.ro/Public/DetaliiDocument/257778 · Directiva (UE) 2019/882: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32019L0882
10. Legea nr. 190/2018 (măsuri de punere în aplicare a GDPR) — art. 8 (prag 16 ani, consimțământ minori). https://legislatie.just.ro/Public/DetaliiDocument/203151
11. OG nr. 21/1992 privind protecția consumatorilor — informarea în limba română. https://legislatie.just.ro/Public/DetaliiDocument/44580
12. Comisia Europeană — Ghid privind obligațiile de transparență în temeiul art. 50 din AI Act (20 iulie 2026, orientări neobligatorii).
13. Autoritățile de aplicare a AI Act în România (memorandum guvernamental martie 2026: ANCOM — supraveghere piață/punct unic de contact; ADR — notificare; ASF/BNR și ANSPDCP sectorial) — JURIDICE.ro.
14. ⚠️ Analize de specialitate privind Reg. (UE) 2026/1744 (Digital Omnibus): Gibson Dunn, Goodwin, Usercentrics, Cloud Security Alliance (2026) — pentru delimitarea amânării high-risk vs. transparență.