AI Act — obligații pentru provideri și deployeri de AI

AI Act (Regulamentul UE 2024/1689) impune obligații în funcție de rol: furnizorul care dezvoltă sau introduce pe piață un sistem de IA poartă sarcinile cele mai grele, iar implementatorul care doar îl folosește are obligații de transparență și supraveghere umană. Cerințele maxime revin sistemelor cu risc ridicat, precum recrutarea sau scoringul de credit. Prin Regulamentul omnibus 2026/1744, termenele pentru high-risk au fost amânate, dar interdicțiile, transparența și regulile GPAI se aplică deja.

Pe scurt

AI Act (Regulamentul (UE) 2024/1689) este primul cadru juridic european care reglementează sistemele de inteligență artificială pe niveluri de risc și impune obligații diferite în funcție de rolul companiei: furnizor (provider — cel care dezvoltă sau introduce pe piață un sistem de IA) sau implementator (deployer — cel care folosește un sistem de IA în activitatea sa profesională). Obligațiile cele mai grele revin furnizorilor de sisteme cu risc ridicat (recrutare, scoring de credit, educație etc.), dar și un IMM care doar folosește un chatbot sau generează conținut cu IA are obligații de transparență. Prin Regulamentul omnibus (UE) 2026/1744, termenele pentru sistemele high-risk au fost amânate (Anexa III → 2 decembrie 2027), însă interdicțiile, transparența și regulile GPAI se aplică deja.

Cadrul legal

Reglementarea de bază este Regulamentul (UE) 2024/1689 (denumit AI Act sau Regulamentul privind inteligența artificială), în vigoare de la 1 august 2024. Fiind un regulament, se aplică direct în România, fără a fi nevoie de o lege de transpunere — obligațiile există indiferent dacă statul român a adoptat sau nu legislație națională de punere în aplicare.

Art. 3 — definiții-cheie. „Furnizor" (provider) este persoana/entitatea care dezvoltă un sistem de IA (sau un model GPAI) ori pune să fie dezvoltat și îl introduce pe piață sub numele său. „Implementator" (deployer) este persoana/entitatea care utilizează un sistem de IA aflat sub autoritatea sa, în cadrul unei activități profesionale. Sursa: Regulamentul (UE) 2024/1689, art. 3 (accesat 2026-09-10)

Regulamentul construiește o abordare pe niveluri de risc:

• Risc inacceptabil — practici interzise (art. 5): ex. scoringul social, exploatarea vulnerabilităților, categorisirea biometrică pe criterii sensibile, în anumite condiții recunoașterea facială în timp real în spații publice.
• Risc ridicat (high-risk) — permise, dar puternic reglementate (art. 6 + Anexa III pentru sisteme de sine stătătoare: recrutare/HR, evaluarea bonității/creditului, educație, infrastructură critică; Anexa I pentru IA integrată în produse deja reglementate — dispozitive medicale, mașini, jucării).
• Risc limitat — doar obligații de transparență (art. 50): chatboți, deepfake-uri, conținut generat de IA.
• Risc minim — fără obligații specifice (majoritatea aplicațiilor: filtre anti-spam, recomandări).

Pentru modelele de IA de uz general (GPAI — ex. modele lingvistice mari) există un regim distinct (art. 51, 53, 55).

Modificarea prin omnibus. Regulamentul (UE) 2026/1744 („Regulamentul omnibus în domeniul digital privind IA", 8 iulie 2026, în vigoare 27 iulie 2026) modifică AI Act: amână obligațiile pentru sistemele high-risk, simplifică cerințele pentru IMM și adaugă două noi interdicții. Nu schimbă arhitectura pe patru clase de risc.

Surse: Regulamentul (UE) 2024/1689 (CELEX 32024R1689) · Regulamentul (UE) 2026/1744 (CELEX 32026R1744) (accesate 2026-09-10)

Autoritățile competente în România

Prin Memorandumul Guvernului din 12 martie 2026, România a desemnat:

• ANCOM — autoritate de supraveghere a pieței și punct unic de contact;
• ADR (Autoritatea pentru Digitalizarea României) — autoritate de notificare;
• ASF și BNR — sistemele high-risk din serviciile financiare;
• ANSPDCP — biometrie în aplicarea legii, control la frontiere, justiție.

⚠️ Atenție (situație tranzitorie). La data redactării (septembrie 2026), legea națională care stabilește procedura de control și regimul sancțiunilor este încă în lucru. Obligațiile europene se aplică direct, dar mecanismul național de sancționare nu este încă pe deplin funcțional. Nu tratați acest „vid" ca pe o amânare a obligațiilor — ele rămân în vigoare. Sursa: JURIDICE.ro — AI Act se aplică în România, dar nu poate fi încă sancționat, 2026 (accesat 2026-09-10)

Explicație detaliată

Ce declanșează AI Act: definiția „sistemului de IA" (art. 3 pct. 1)

Regulamentul se aplică doar dacă ai de-a face cu un sistem de IA, definit (art. 3 pct. 1) ca un sistem bazat pe o mașină, proiectat să funcționeze cu diferite niveluri de autonomie, care poate prezenta adaptabilitate după implementare și care deduce (inferență), din datele de intrare, cum să genereze rezultate — predicții, conținut, recomandări sau decizii. Două criterii trag linia: autonomia (funcționează fără a fi comandat pas cu pas de om) și capacitatea de inferență (deduce reguli/rezultate din date, nu execută doar reguli scrise de un om).

Practic, software-ul determinist clasic NU este sistem de IA: un set de reguli „if-then" fixe, un calcul contabil, o regresie/optimizare statistică simplă executată după parametri prestabiliți de o persoană rămân în afara regulamentului. Un model care învață tipare din date și le aplică la cazuri noi (scoring care se ajustează, clasificatoare, modele de limbaj) este sistem de IA. Ghidul Comisiei privind definiția sistemului de IA (februarie 2026) oferă exemple pentru această delimitare — nu este obligatoriu, dar este reperul interpretativ recomandat.

Sursa: Regulamentul (UE) 2024/1689, art. 3 + Ghidul Comisiei privind definiția sistemului de IA, feb. 2026 (accesat 2026-09-11)

Cine ești în lanțul AI Act? (rolul contează mai mult decât dimensiunea)

AI Act nu impune aceleași obligații tuturor. Ele se atașează rolului pe care îl ai față de un sistem de IA:

• Furnizor (provider) — dezvolți un sistem de IA sau pui să fie dezvoltat și îl introduci pe piață/în uz sub numele ori marca ta. Ai obligațiile cele mai grele.
• Implementator (deployer) — folosești un sistem de IA în activitatea ta profesională (ex. folosești un instrument de screening CV-uri de la un furnizor terț). Cele mai multe IMM-uri românești sunt aici.
• Importator / distribuitor — introduci pe piața UE, respectiv pui la dispoziție un sistem de IA dezvoltat de altcineva; ai obligații de verificare.
• Reprezentant autorizat — reprezinți în UE un furnizor din afara Uniunii.

Atenție la o capcană: dacă modifici substanțial un sistem high-risk, îi schimbi scopul preconizat sau îl pui pe piață sub numele tău, poți deveni tu însuți furnizor — cu toate obligațiile aferente (art. 25).

Obligațiile furnizorului de sistem high-risk (art. 8–17)

Pentru un sistem clasificat drept high-risk (Anexa III), furnizorul trebuie, între altele, să:

• instituie un sistem de management al riscului pe tot ciclul de viață (art. 9);
• asigure guvernanța datelor — seturi de antrenare/validare/testare relevante, suficient de reprezentative și, în cea mai mare măsură posibilă, fără erori și complete în raport cu scopul (art. 10 alin. (3) — nu un standard de perfecțiune absolută, ci de efort rezonabil, vezi mai jos);
• întocmească documentația tehnică și să asigure jurnalizarea automată a evenimentelor (art. 11–12);
• asigure transparența și instrucțiuni de utilizare pentru implementator (art. 13);
• proiecteze sistemul pentru supraveghere umană efectivă (art. 14);
• atingă niveluri adecvate de acuratețe, robustețe și securitate cibernetică (art. 15);
• opereze un sistem de management al calității, să efectueze evaluarea conformității, să aplice marcajul CE și să înregistreze sistemul în baza de date UE (art. 16–17, 43, 47–49);
• efectueze monitorizare post-comercializare și să raporteze incidentele grave (art. 72–73).

Obligațiile implementatorului de sistem high-risk (art. 26–27)

Chiar dacă doar folosești sistemul, ai obligații proprii:

• să îl utilizezi conform instrucțiunilor furnizorului;
• să asiguri supraveghere umană din partea unor persoane competente și formate;
• să monitorizezi funcționarea și să suspenzi utilizarea dacă apar riscuri;
• să te asiguri că datele de intrare sunt relevante pentru scopul preconizat;
• să păstrezi jurnalele generate automat;
• să informezi lucrătorii și reprezentanții acestora înainte de a folosi un sistem high-risk la locul de muncă;
• pentru anumiți implementatori (organisme publice, servicii esențiale), să efectuezi o evaluare a impactului asupra drepturilor fundamentale (FRIA) înainte de punerea în funcțiune (art. 27).

Un sistem din Anexa III poate să NU fie high-risk (derogarea art. 6 alin. (3))

Simpla apartenență la o categorie din Anexa III nu face automat un sistem high-risk. Art. 6 alin. (3) prevede o derogare: sistemul nu este high-risk dacă nu prezintă un risc semnificativ de vătămare a sănătății, siguranței sau drepturilor fundamentale și nu influențează material rezultatul deciziei, într-una din situații:

• execută o sarcină procedurală îngustă (ex. structurează documente, detectează duplicate);
• îmbunătățește rezultatul unei activități umane deja finalizate;
• detectează abateri de la tipare decizionale, fără a înlocui/influența evaluarea umană fără verificare adecvată;
• execută o sarcină pregătitoare a unei evaluări.

⚠️ Excepție care anulează derogarea: dacă sistemul realizează profilarea persoanelor fizice, rămâne întotdeauna high-risk.

Derogarea nu este „gratuită". Furnizorul care o invocă trebuie să documenteze evaluarea înainte de introducerea pe piață (art. 6 alin. (4)) și să o pună la dispoziția autorităților la cerere; în plus, sistemul rămâne de înregistrat în baza de date UE chiar și ca „not high-risk" (art. 49 alin. (2)). Cine invocă greșit derogarea riscă recalificarea sistemului drept high-risk (cu toate obligațiile art. 8–17 devenite exigibile) și sancțiuni conform art. 99. Concluzie practică: autoevaluarea „not high-risk" este o decizie juridică ce trebuie fundamentată și arhivată, nu o simplă bifă.

Sursa: Regulamentul (UE) 2024/1689, art. 6 și art. 49 (accesat 2026-09-11)

Cât de „fără erori" trebuie să fie datele? (art. 10)

Formularea uzuală „date fără erori și complete" este înșelătoare: textul (art. 10 alin. (3)) cere ca seturile să fie lipsite de erori și complete „în cea mai mare măsură posibilă", raportat la scopul preconizat — deci un standard de efort rezonabil, nu de perfecțiune imposibilă. Ce se probează juridic nu este absența oricărei erori, ci aplicarea unor practici adecvate de guvernanță a datelor (art. 10 alin. (2)): proveniența și modul de colectare, pregătirea datelor, examinarea și atenuarea prejudecăților (bias), verificarea reprezentativității pe subgrupuri relevante. Dovada conformității = documentația acestor practici, nu un imposibil „zero erori".

Obligațiile de transparență — se aplică aproape oricui (art. 50)

Acestea nu depind de „risc ridicat" și lovesc direct IMM-urile:

• un chatbot sau alt sistem care interacționează cu oamenii trebuie să dezvăluie clar că persoana vorbește cu o IA;
• conținutul sintetic (text, imagine, audio, video — inclusiv deepfake-uri) trebuie marcat ca generat/manipulat artificial, într-un format lizibil automat;
• utilizarea recunoașterii emoțiilor sau a categorisirii biometrice obligă la informarea persoanelor vizate.

Modelele de uz general (GPAI) — art. 51, 53, 55

Furnizorii de modele GPAI (ex. modele lingvistice mari) trebuie să întocmească documentație tehnică, să pună informații la dispoziția furnizorilor din aval, să adopte o politică de respectare a dreptului de autor și să publice un rezumat al datelor de antrenament. Modelele cu risc sistemic au obligații suplimentare: evaluări și testare adversarială, raportarea incidentelor, securitate cibernetică (art. 55). Un ghid al Comisiei (28 aprilie 2026) clarifică cui i se aplică aceste obligații.

Regimul tranzitoriu (grandfathering) al modelelor existente. Modelele GPAI introduse pe piață înainte de 2 august 2025 beneficiază de un termen de conformare până la 2 august 2027 (art. 111 alin. (3)); aplicarea de către Oficiul pentru IA este eșalonată. Un furnizor român cu un model GPAI deja pe piață nu trebuie să se conformeze „peste noapte", dar trebuie să folosească această fereastră pentru documentație, politica de copyright și rezumatul datelor. Până la standarde armonizate, Codurile de bune practici GPAI (aprobate în 2025) sunt mijlocul practic de a demonstra conformitatea (art. 56) — atenție însă: aderarea la cod este un instrument de probă și un „adăpost" reputațional, nu o prezumție formală de conformitate (aceasta derivă doar din standardele armonizate, art. 40).

Copyright și datele de antrenament (intersecția cu Directiva 2019/790). Politica de copyright cerută de art. 53 se citește împreună cu regimul extragerii de text și date (TDM): excepția generală de TDM din art. 4 al Directivei (UE) 2019/790 permite antrenarea pe opere protejate doar dacă titularul nu și-a rezervat expres drepturile, iar rezervarea (opt-out) trebuie exprimată „prin mijloace care pot fi citite automat" pentru conținutul disponibil public online (art. 4 alin. (3)). Excepția pentru cercetare (art. 3) este mai largă, dar rezervată organizațiilor de cercetare/patrimoniu. Concret, o companie care antrenează sau ajustează un model trebuie să verifice și să respecte opt-out-ul titularilor și să documenteze proveniența datelor; scraping-ul care ignoră rezervarea drepturilor generează expunere la răspundere pentru încălcarea dreptului de autor, în plus față de riscul de neconformitate AI Act.

Surse: Regulamentul (UE) 2024/1689, art. 53, 55, 56, 111 · Directiva (UE) 2019/790, art. 3–4 (accesate 2026-09-11)

IA open-source: ce se exceptează și ce nu (art. 2 alin. (12), art. 53 alin. (2))

Regulamentul tratează favorabil software-ul liber și open-source, dar exceptarea are limite stricte:

• Sistemele de IA oferite sub licențe libere/open-source sunt în afara regulamentului numai dacă nu sunt introduse pe piață ca high-risk, ca practică interzisă (art. 5) sau ca sistem supus transparenței (art. 50) — art. 2 alin. (12). Adică exceptarea cade imediat ce sistemul intră într-o categorie reglementată.
• Modelele GPAI open-source sunt scutite de o parte din cerințele de documentație (art. 53 alin. (2)), dar nu de politica de copyright și de rezumatul datelor de antrenament (art. 53 alin. (1) lit. (c)–(d)), și deloc dacă modelul are risc sistemic (art. 55).

Pentru o companie care integrează un model open-source, analiza se schimbă puțin: dacă îl folosești ca atare ești implementator, cu obligațiile art. 26 și de transparență; dacă îl ajustezi substanțial, îl reintroduci pe piață sub numele tău sau îl folosești într-un scop high-risk, poți deveni furnizor (art. 25) — iar exceptarea open-source a autorului inițial nu te acoperă. „Open-source" reduce, dar nu elimină, obligațiile.

Sursa: Regulamentul (UE) 2024/1689, art. 2 alin. (12) și art. 53 (accesat 2026-09-11)

Drepturile persoanei afectate (art. 85–86)

Obligațiile companiei au drept corolar drepturi ale persoanei vizate de o decizie luată cu ajutorul IA:

• Art. 85 — dreptul de a depune plângere. Orice persoană care consideră că regulamentul a fost încălcat poate sesiza autoritatea de supraveghere a pieței (în România, ANCOM), care poate declanșa o investigație.
• Art. 86 — dreptul la explicație. Persoana afectată de o decizie individuală luată de/​cu un sistem high-risk din Anexa III, cu efecte juridice sau similare semnificative, are dreptul la o explicație clară și pertinentă privind rolul sistemului în procedura decizională și principalele elemente ale deciziei.

Concret, un candidat respins de un sistem automat de recrutare sau o persoană refuzată la creditare poate: (1) cere explicația deciziei (art. 86 AI Act, coroborat cu art. 15 alin. (1) lit. (h) GDPR — „logica implicată"); (2) invoca dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automatizată (art. 22 GDPR); (3) depune plângere la ANCOM (art. 85) și/sau la ANSPDCP (pe latura GDPR). Aceste drepturi se citesc împreună cu jurisprudența CJUE pe decizii automatizate (C-634/21 SCHUFA, C-203/22 Dun & Bradstreet) — vezi secțiunea Legislație europeană.

Sursa: Regulamentul (UE) 2024/1689, art. 85–86 (accesat 2026-09-11)

Ce a schimbat omnibusul (Reg. (UE) 2026/1744)

• Amânarea high-risk: obligațiile pentru sistemele high-risk de sine stătătoare (Anexa III) au fost mutate de la 2 august 2026 la 2 decembrie 2027, iar cele integrate în produse reglementate (Anexa I) la 2 august 2028. Datele sunt acum fixe, nu mai depind de publicarea standardelor.
• Două noi interdicții la art. 5, aplicabile de la 2 decembrie 2026: sistemele care generează/manipulează imagini intime neconsensuale și materiale de abuz sexual asupra copiilor (CSAM).
• Ușurări pentru IMM și „small mid-caps" (SMC): formular simplificat de documentație tehnică, cerințe proporționale de management al calității, plafoane reduse la amenzi, acces prioritar la sandbox-uri, plus un sandbox de reglementare la nivel UE operat de Oficiul pentru IA.

Surse: Regulamentul (UE) 2024/1689 · Regulamentul (UE) 2026/1744 (accesate 2026-09-10)

Aspecte practice

Calendarul de aplicare (după omnibus)

Pași concreți pentru un IMM românesc

1. Fă inventarul sistemelor de IA pe care le folosești sau le dezvolți (inclusiv funcții „ascunse" în software-ul terților).
2. Stabilește-ți rolul pentru fiecare: ești furnizor sau implementator? (Vezi capcana din art. 25 — o personalizare majoră te poate transforma în furnizor.)
3. Clasifică riscul: intră vreun sistem în lista interzisă (art. 5) sau în Anexa III (high-risk)? Ai chatboți / generezi conținut (transparență)?
4. Aplică imediat transparența (art. 50) — este deja în vigoare: etichetează conținutul generat de IA și anunță utilizatorii când interacționează cu un chatbot.
5. Asigură alfabetizarea IA (art. 4): personalul care folosește sisteme de IA trebuie să aibă un nivel adecvat de competență.
6. Dacă ai sisteme high-risk, folosește timpul până în decembrie 2027 pentru a construi documentația, supravegherea umană și, dacă e cazul, FRIA — nu ca scuză pentru a începe mai târziu.

Cum demonstrezi conformitatea: cele două rute (Anexa VI vs. Anexa VII)

Un furnizor de sistem high-risk trebuie să treacă printr-o evaluare a conformității înainte de marcajul CE. Există două rute:

• Control intern (Anexa VI) — autoevaluare: furnizorul verifică singur conformitatea, întocmește documentația tehnică și declarația UE de conformitate. Este ruta pentru majoritatea sistemelor high-risk din Anexa III.
• Organism notificat (Anexa VII) — un terț independent acreditat examinează sistemul. Este obligatorie pentru sistemele de biometrie din Anexa III atunci când furnizorul nu a aplicat standarde armonizate ori specificații comune (art. 43).

Problema momentului: standardele armonizate CEN-CENELEC nu sunt încă finalizate, deci prezumția de conformitate bazată pe standard (art. 40) nu este încă disponibilă. Până atunci, un furnizor demonstrează conformitatea prin: (1) specificațiile comune pe care le poate adopta Comisia (art. 41); (2) o documentație tehnică riguroasă aliniată la cerințele art. 8–15; (3) standarde internaționale recunoscute (ex. ISO/IEC) folosite ca bune practici. Pentru biometrie, în lipsa standardului, ruta rămâne organismul notificat.

Sursa: Regulamentul (UE) 2024/1689, art. 40–43 + Anexele VI–VII (accesat 2026-09-11)

Contractul cu furnizorul terț: ce clauze negociezi (art. 25)

Un IMM-implementator depinde adesea de un furnizor terț (frecvent din afara UE), dar răspunde el însuși pentru obligațiile de implementator (art. 26). Ca să și le poată îndeplini — și să nu suporte singur riscul de neconformitate al furnizorului — art. 25 (răspunderea pe lanțul valoric) presupune o alocare contractuală clară. Clauze minime de negociat:

• Acces la documentația tehnică și la instrucțiunile de utilizare (art. 13) — fără ele, implementatorul nu poate asigura supravegherea umană și utilizarea conformă;
• Garanții de conformitate — furnizorul confirmă că sistemul respectă AI Act și menține conformitatea (actualizări, marcaj CE, înregistrare);
• Cooperare la incidente și audituri — notificarea disfuncționalităților/incidentelor grave, sprijin la solicitările autorităților și la o eventuală FRIA;
• Despăgubiri (indemnizare) — suportarea de către furnizor a prejudiciilor cauzate de neconformitatea sistemului;
• Repartizarea rolurilor la modificări — cine devine furnizor dacă implementatorul personalizează substanțial sistemul (art. 25 alin. (1)).

Oficiul pentru IA poate publica clauze contractuale-tip neobligatorii (art. 25 alin. (4)) — un punct de plecare util pentru IMM-uri.

Sursa: Regulamentul (UE) 2024/1689, art. 25–26 (accesat 2026-09-11)

Sisteme high-risk la locul de muncă: nu doar „informarea" lucrătorilor

Art. 26 alin. (7) AI Act cere ca, înainte de a pune în funcțiune un sistem high-risk la locul de muncă (recrutare, evaluarea performanței, monitorizare — Anexa III), angajatorul-implementator să informeze reprezentanții lucrătorilor și lucrătorii afectați. În dreptul român, această obligație se suprapune cu o dimensiune colectivă mai amplă:

• Informare și consultare colectivă — pe lângă Codul muncii (Legea nr. 53/2003), Legea nr. 467/2006 impune informarea/consultarea reprezentanților angajaților asupra deciziilor care pot antrena modificări importante în organizarea muncii; introducerea unui sistem HR/monitorizare intră tipic aici. Rolul sindicatelor și negocierea colectivă (Legea dialogului social nr. 367/2022) devin relevante când măsura atinge condiții esențiale de muncă.
• Regulament intern — mijloacele de monitorizare trebuie prevăzute și aduse la cunoștința salariaților.
• GDPR — monitorizarea sistematică a angajaților impune de regulă o evaluare a impactului asupra protecției datelor (DPIA, art. 35 GDPR), un temei legal valabil și respectarea proporționalității.

Concluzie: un sistem high-risk de HR se implementează după informarea/consultarea reprezentanților, cu DPIA și reguli interne clare — nu doar cu o notificare formală.

Sursa: Regulamentul (UE) 2024/1689, art. 26 alin. (7); Legea nr. 53/2003 (Codul muncii); Legea nr. 467/2006; Reg. (UE) 2016/679 (GDPR), art. 35 (accesat 2026-09-11)

Sancțiuni — de ce nu poți ignora AI Act (art. 99)

• Încălcarea practicilor interzise (art. 5): până la 35.000.000 EUR sau 7% din cifra de afaceri mondială totală anuală (se aplică suma mai mare).
• Încălcarea altor obligații (inclusiv art. 16, 26, 50): până la 15.000.000 EUR sau 3%.
• Informații incorecte/înșelătoare către autorități sau organisme notificate: până la 7.500.000 EUR sau 1%.

Pentru IMM și startupuri se aplică cuantumul mai mic dintre procent și sumă — o protecție proporțională, dar amenzile rămân semnificative. Sursa: Regulamentul (UE) 2024/1689, art. 99 (accesat 2026-09-10)

Greșeli frecvente

• „Suntem doar utilizatori, nu ne privește." Implementatorii au obligații proprii (art. 26) și, mai ales, obligațiile de transparență (art. 50) se aplică deja.
• „Amânarea high-risk înseamnă că putem aștepta." Nu — interdicțiile, transparența și GPAI sunt deja aplicabile; doar cerințele high-risk s-au mutat.
• „În România nu se poate da amendă încă, deci suntem în siguranță." Vidul de procedură națională este tranzitoriu; obligațiile europene curg, iar expunerea juridică (inclusiv civilă) există.

Legislație europeană

AI Act (Regulamentul (UE) 2024/1689) nu operează izolat: el este centrul unui ecosistem UE de reguli privind produsele, datele și răspunderea. Blocul de față plasează obligațiile de mai sus în acest context european mai larg — actele conexe, jurisprudența CJUE relevantă și dimensiunea transfrontalieră — fără a relua textul AI Act deja prezentat.

Directive și regulamente conexe

Directiva (UE) 2024/2853 privind răspunderea pentru produsele cu defecte (de abrogare a Directivei 85/374/CEE) — extinde expres noțiunea de „produs" la software și sisteme de IA, astfel încât un sistem de IA defectuos care cauzează un prejudiciu atrage răspunderea operatorului economic. Introduce prezumții care ușurează sarcina probei pentru victimă în cazuri complexe (inclusiv IA). Excepție: software-ul liber/open-source furnizat în afara unei activități comerciale. Sursa: Directiva (UE) 2024/2853 (CELEX 32024L2853) · ELI: data.europa.eu/eli/dir/2024/2853/oj (accesat 2026-09-10)

Cele două regimuri sunt complementare: AI Act impune conformitatea ex ante (înainte de introducerea pe piață), iar Directiva 2024/2853 tratează răspunderea civilă ex post (după ce prejudiciul s-a produs).

Regulamentul (UE) 2016/679 (GDPR) — art. 22 interzice, ca regulă, deciziile bazate exclusiv pe prelucrare automatizată cu efecte juridice/similare semnificative, iar art. 15 alin. (1) lit. (h) dă persoanei dreptul la informații utile despre logica implicată. Pentru sistemele high-risk care prelucrează date personale (scoring de credit, recrutare — Anexa III AI Act), obligațiile GDPR se aplică în paralel cu cele din AI Act. Sursa: Regulamentul (UE) 2016/679, art. 22 (accesat 2026-09-10)

Pentru IA integrată în produse fizice, se adaugă Regulamentul (UE) 2023/1230 privind mașinile (modificat, alături de AI Act, prin omnibusul (UE) 2026/1744) și Regulamentul (UE) 2024/2847 (Cyber Resilience Act) pentru cerințele de securitate cibernetică ale produselor cu elemente digitale.

Transpunerea în dreptul român

AI Act, fiind regulament, se aplică direct în România, fără lege de transpunere (autoritățile naționale și „vidul" tranzitoriu de sancționare sunt tratate în secțiunea Cadrul legal). În schimb, Directiva (UE) 2024/2853 trebuie transpusă de România până la 9 decembrie 2026 — ea va adapta sau înlocui Legea nr. 240/2004 privind răspunderea pentru produse cu defecte. Chiar înainte de transpunere, instanțele române au obligația de interpretare conformă a dreptului intern în lumina directivei. Practic, o companie care dezvoltă sau folosește IA trebuie să se pregătească simultan pentru conformitatea AI Act și pentru noul regim de răspundere pentru produse.

Jurisprudență CJUE

AI Act este prea recent pentru a avea încă hotărâri CJUE pe propriul text. Standardul de transparență și de supraveghere umană așteptat de la sistemele automatizate este însă deja conturat de jurisprudența pe art. 22 GDPR, direct relevantă pentru sistemele high-risk de scoring și HR (Anexa III):

Cauza C-634/21, SCHUFA Holding (Scoring) (Marea Cameră, hot. 7 decembrie 2023) — generarea automată a unui scor de credit constituie o „decizie individuală automatizată" în sensul art. 22 GDPR atunci când un terț (creditorul) se bazează în mod determinant pe acel scor. Art. 22 alin. (1) este o prohibiție de principiu, iar obligația de conformare cade și pe agenția de scoring, nu doar pe cel care ia decizia finală. Sursa: CJUE, C-634/21 (ECLI:EU:C:2023:957) (accesat 2026-09-10)

Cauza C-203/22, CK v Dun & Bradstreet Austria (hot. 27 februarie 2025) — persoana vizată are dreptul (art. 15 alin. (1) lit. (h) coroborat cu art. 22 alin. (3) GDPR) la o explicație a procedurii și principiilor efectiv aplicate, care să îi permită să înțeleagă și să conteste decizia automatizată — inclusiv în ce măsură date diferite ar fi dus la un rezultat diferit. Secretul comercial (Directiva (UE) 2016/943) nu justifică un refuz total de a explica; instanța națională echilibrează cele două interese. Sursa: CJUE, C-203/22 (ECLI:EU:C:2025:117) (accesat 2026-09-10)

Concret: o companie care folosește un sistem high-risk de scoring sau de recrutare trebuie să poată explica logica deciziei și să asigure o supraveghere umană reală — cerințe pe care AI Act (art. 13–14, 26) și GDPR (art. 15, 22), citite împreună cu aceste hotărâri, le impun cumulativ.

Aspecte practice din perspectivă europeană

• Aplicabilitate directă, uniformă în UE. Ca regulament, AI Act creează un cadru unic în toate cele 27 de state membre — un sistem conform într-un stat este, în principiu, conform în întreaga Uniune (marcaj CE + înregistrare în baza de date UE pentru high-risk).
• Reach extrateritorial (art. 2). Regulamentul se aplică și furnizorilor/implementatorilor din afara UE dacă rezultatul sistemului de IA este utilizat în Uniune — o companie din SUA sau Marea Britanie care oferă un serviciu de IA clienților din România intră sub incidența AI Act.
• Interacțiunea cu alte acte UE. Pentru un singur sistem de IA pot fi incidente simultan AI Act (conformitate), GDPR (date personale), Directiva 2024/2853 (răspundere) și, după caz, Cyber Resilience Act (securitate) — conformitatea trebuie gândită integrat, nu act cu act.
• Evoluții. Omnibusul (UE) 2026/1744 a amânat termenele high-risk și a simplificat cerințele pentru IMM/SMC (vezi Aspecte practice); Comisia a emis deja ghiduri (GPAI, aprilie 2026) și continuă să adopte standarde armonizate și acte de punere în aplicare — sursa autoritativă rămâne eur-lex.europa.eu (text consolidat).

Întrebări frecvente

1. Firma mea doar folosește ChatGPT / un instrument de IA de la un furnizor. Am obligații? Da. Ești implementator (deployer). Ai obligații de transparență (art. 50) — de exemplu, să marchezi conținutul generat cu IA și să anunți când clienții vorbesc cu un chatbot — și, dacă folosești un sistem high-risk (ex. screening automat de CV-uri), obligațiile din art. 26 (supraveghere umană, informarea angajaților etc.).

2. Ce este un sistem „high-risk" și cum știu dacă am unul? Sunt sistemele din Anexa III (recrutare și management al angajaților, evaluarea bonității/creditului, educație, acces la servicii esențiale, infrastructură critică ș.a.) și IA integrată în produse reglementate (Anexa I — ex. dispozitive medicale). Dacă folosești IA pentru decizii cu impact asupra oamenilor, verifică lista din Anexa III.

3. Termenele pentru high-risk chiar au fost amânate? Da, prin Regulamentul omnibus (UE) 2026/1744: Anexa III → 2 decembrie 2027, Anexa I → 2 august 2028. Dar interdicțiile, transparența și regulile GPAI nu au fost amânate.

4. Trebuie să spun clienților că folosesc un chatbot? Da. Art. 50 impune ca sistemele care interacționează cu persoane să dezvăluie că sunt IA, iar conținutul sintetic (inclusiv deepfake-uri și texte/imagini generate) să fie marcat ca atare.

5. Cine mă poate sancționa în România? ANCOM este autoritatea de supraveghere a pieței și punctul unic de contact; ADR este autoritate de notificare; ASF/BNR acoperă serviciile financiare, iar ANSPDCP zona biometrică. La septembrie 2026, legea națională de procedură și sancțiuni era încă în lucru, dar obligațiile UE se aplică direct.

6. Ce amenzi riscă un IMM? Pentru practici interzise, până la 35 mil. EUR sau 7% din cifra de afaceri; pentru alte încălcări, până la 15 mil. EUR sau 3%. Pentru IMM și startupuri se aplică suma mai mică dintre plafonul în EUR și procent.

7. Sunt furnizor de model GPAI? Ce trebuie să fac? Dacă dezvolți un model de uz general, ai obligații de documentație, o politică privind dreptul de autor și un rezumat public al datelor de antrenament (art. 53); dacă modelul are risc sistemic, se adaugă evaluări, testare adversarială și raportarea incidentelor (art. 55).

8. Sistemul meu apare în Anexa III — e automat „high-risk"? Nu neapărat. Art. 6 alin. (3) prevede o derogare: dacă sistemul execută doar o sarcină procedurală îngustă, îmbunătățește o activitate umană deja finalizată sau pregătește o decizie, fără a o înlocui, poate să NU fie high-risk. Dar trebuie să documentezi această autoevaluare (art. 6 alin. (4)) și să înregistrezi sistemul în baza de date UE; dacă faci profilare, sistemul rămâne mereu high-risk.

9. Folosesc un model AI open-source. Sunt scutit de obligații? Doar parțial. Exceptarea open-source (art. 2 alin. (12)) NU se aplică dacă sistemul este high-risk, interzis (art. 5) sau supus transparenței (art. 50). Dacă ajustezi substanțial modelul sau îl folosești într-un scop high-risk, poți deveni chiar tu furnizor (art. 25).

10. Un candidat respins de un sistem AI de recrutare — ce drepturi are? Poate cere o explicație a deciziei (art. 86 AI Act + art. 15 GDPR), poate invoca dreptul de a nu fi supus unei decizii exclusiv automatizate (art. 22 GDPR) și poate depune plângere la ANCOM (art. 85) sau la ANSPDCP.

11. Cum îmi demonstrez conformitatea dacă standardele armonizate încă lipsesc? Prin control intern (autoevaluare, Anexa VI) cu documentație tehnică riguroasă; pentru sistemele biometrice fără standarde, prin organism notificat (Anexa VII). Comisia poate emite specificații comune (art. 41) care înlocuiesc temporar standardele armonizate.

Practică și opinii

⚠️ Opinie / analiză de specialitate — JURIDICE.ro (2026) Deși AI Act se aplică direct în România ca regulament european, mecanismul național de control și sancționare nu este încă funcțional, întrucât legea care stabilește atribuțiile autorităților, procedura de control și regimul sancțiunilor este încă în curs de adoptare. Obligațiile europene trebuie respectate, dar autoritățile române nu le pot încă sancționa efectiv — un „vid legislativ" tranzitoriu, nu o suspendare a obligațiilor. Sursa: JURIDICE.ro — „AI Act se aplică în România, dar nu poate fi încă sancționat", 2026 (accesat 2026-09-10)

⚠️ Opinie / analiză de specialitate — Cloud Security Alliance, „High-Risk Deadline: Deferred, Not Cancelled" (2026) Amânarea obligațiilor pentru sistemele high-risk nu trebuie interpretată ca o pauză în reglementarea IA în Europa. Recomandarea către echipele de conformitate este să folosească termenele din Regulamentul (UE) 2026/1744 pentru a lucra mai temeinic, nu ca motiv de a începe mai târziu. Sursa: CSA — EU AI Act High-Risk Deadline, 2026 (accesat 2026-09-10)

⚠️ Observație — analize juridice (White & Case, Cooley, 2026) Omnibusul nu este pură dereglementare: pe lângă simplificările reale pentru IMM/SMC (documentație tehnică mai ușoară, procedură unică pentru organismele notificate, prezumție de conformitate în securitate cibernetică), adaugă două noi interdicții absolute la art. 5 și un nou temei pentru prelucrarea datelor sensibile. Surse: White & Case — EU AI Omnibus enters into force · Cooley — Digital AI Omnibus Delays Key Deadlines (accesate 2026-09-10)

Referințe

1. Regulamentul (UE) 2024/1689 al Parlamentului European și al Consiliului de stabilire a unor norme armonizate privind inteligența artificială (AI Act) — CELEX 32024R1689. eur-lex.europa.eu (RO) · ELI: data.europa.eu/eli/reg/2024/1689/oj
2. Regulamentul (UE) 2026/1744 — Regulamentul omnibus în domeniul digital privind IA (de modificare a Reg. 2024/1689) — CELEX 32026R1744. ELI: data.europa.eu/eli/reg/2026/1744/oj
3. Regulamentul (UE) 2024/1689 — art. 3 (definiția sistemului de IA), art. 5 (practici interzise), art. 6 + Anexa III (high-risk și derogarea alin. (3)), art. 8–17 (cerințe și obligații furnizor), art. 10 (guvernanța datelor), art. 25 (răspunderea pe lanțul valoric), art. 26–27 (obligații implementator, FRIA, informarea lucrătorilor), art. 40–43 + Anexele VI–VII (evaluarea conformității), art. 49 (înregistrarea în baza de date UE), art. 50 (transparență), art. 51–56 (GPAI, Coduri de bune practici), art. 85–86 (drepturile persoanei afectate), art. 99 (sancțiuni), art. 111 (regim tranzitoriu GPAI).
4. Ghidul Comisiei Europene privind definiția sistemului de IA (februarie 2026) — orientări pentru delimitarea „sistemului de IA" (art. 3 pct. 1) față de software determinist/statistic clasic.
5. Directiva (UE) 2019/790 privind dreptul de autor pe piața unică digitală — art. 3–4 (excepția de extragere de text și date, opt-out lizibil automat) — CELEX 32019L0790. eur-lex.europa.eu. Transpunere RO: Legea nr. 8/1996 (modificată prin OUG nr. 6/2022).
6. Legea nr. 53/2003 — Codul muncii (republicată) și Legea nr. 467/2006 privind informarea și consultarea angajaților; Legea dialogului social nr. 367/2022 — dimensiunea colectivă la implementarea sistemelor high-risk de HR/monitorizare.
7. JURIDICE.ro — „AI Act se aplică în România, dar nu poate fi încă sancționat. Ce înseamnă vidul legislativ național pentru operatori" (2026). juridice.ro
8. Cloud Security Alliance — „EU AI Act's High-Risk Deadline: Deferred, Not Cancelled" (2026). labs.cloudsecurityalliance.org
9. White & Case — „EU AI Omnibus enters into force, amending the AI Act" (2026). whitecase.com
10. Cooley — „Digital AI Omnibus Delays Key Deadlines, Introduces New Rules" (2026). cdp.cooley.com
11. Gibson Dunn — „EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes" (2026). gibsondunn.com