AI Act Romania: Ce Trebuie sa Stie Firmele pana in August 2026

AI Act Romania intra in linie dreapta spre termenul final: pe 2 august 2026, Regulamentul UE 2024/1689 privind inteligenta artificiala devine pe deplin aplicabil pentru sistemele cu risc ridicat. Spre deosebire de GDPR, care a necesitat transpunere nationala, AI Act se aplica direct, fara lege nationala separata.

Asta inseamna ca firmele din Romania care folosesc AI in procese critice nu mai au niciun pretext pentru amanare. Orice companie care utilizeaza algoritmi de selectie a angajatilor, sisteme de scoring financiar, instrumente de diagnostic medical sau solutii AI in educatie trebuie sa fie in faza finala de pregatire.

Termenul de 2 august 2026 nu e o recomandare, e o obligatie legala impusa direct prin Regulamentul UE 2024/1689, fara transpunere nationala.

Cum s-a ajuns la aplicarea AI Act Romania in august 2026

Regulamentul a intrat in vigoare pe 1 august 2024, dupa publicarea in Jurnalul Oficial al UE, dar aplicarea lui a fost deliberat esalonata pe mai multe etape pentru a da firmelor timp de pregatire.

Prima transa, din 2 februarie 2025, a interzis practicile AI inacceptabile: sistemele de scoring social impuse de state cetatenilor, manipularea subliminala a comportamentului si recunoasterea biometrica in timp real in spatii publice (cu exceptii stricte pentru securitate nationala).

A doua etapa, din 2 august 2025, a impus obligatii pentru furnizorii de modele de inteligenta artificiala de uz general (GPAI) – adica modelele mari precum GPT, Claude sau Gemini. Aceste modele trebuie sa respecte cerinte de transparenta, documentatie tehnica si drepturi de autor.

Ce sisteme AI sunt incadrate la risc ridicat

Cea mai importanta distinctie din regulament este clasificarea sistemelor pe patru niveluri: interzise, risc ridicat, risc limitat si risc minim. Firmele romanesti trebuie sa stie exact in ce categorie intra solutiile lor. Categoria risc ridicat acopera opt domenii principale enumerate in anexele regulamentului.

• Selectia, evaluarea si promovarea angajatilor (inclusiv filtrarea CV-urilor)
• Acordarea creditelor si evaluarea financiara a persoanelor
• Diagnosticul medical si decizii in sanatate
• Evaluarea elevilor si studentilor in educatie
• Infrastructura critica: energie, apa, transport
• Migratie, azil si controlul frontierelor
• Aplicarea legii si urmarirea penala
• Administratia justitiei si procesele democratice

Daca folosesti un software de recrutare cu filtru automat de CV-uri sau o platforma bancara cu algoritm de scoring, esti vizat direct de aceasta categorie. Verificarea se face prin simpla analiza a ce decizie ia sistemul si daca afecteaza drepturile sau oportunitatile unei persoane fizice.

Obligatiile firmelor conform AI Act Romania – lista completa

Pentru sistemele incadrate la risc ridicat, regulamentul impune sapte categorii de obligatii cumulative, nu alternative. Toate trebuie implementate, nu doar cele mai convenabile:

• Managementul riscurilor – proces documentat care acopera intregul ciclu de viata al sistemului AI, de la proiectare la retragere.
• Guvernanta datelor – dovezi ca datele de antrenament sunt reprezentative, verificate si lipsite de bias sistemic.
• Documentatie tehnica – disponibila imediat la cererea autoritatilor de reglementare, nu dupa saptamani de cautari.
• Jurnale de audit – inregistrari care demonstreaza cum se comporta sistemul AI in conditii reale de productie.
• Supraveghere umana – mecanisme concrete care permit unui om sa revizuiasca si sa anuleze orice decizie automata.
• Transparenta – utilizatorii trebuie informati clar cand o decizie care ii afecteaza a fost luata sau influentata de AI.
• Marcajul CE – furnizorii de sisteme AI cu risc ridicat trebuie sa obtina marcajul CE, care certifica conformitatea tehnica.

Implementatorii – adica firmele care cumpara si folosesc sisteme AI de la furnizori externi – au si ei obligatii proprii. Printre acestea: evaluari ale impactului asupra drepturilor fundamentale si masuri interne de securitate specifice tipului de sistem folosit.

Amenzile AI Act Romania: cat de mult poti pierde

AI Act prevede cel mai sever regim de sanctiuni din legislatia digitala europeana, mai dur decat GDPR in anumite privinte. Amenzile sunt structurate pe trei niveluri distincte.

Primul nivel se aplica pentru practicile AI interzise: pana la 35 de milioane euro sau 7% din cifra de afaceri anuala globala, oricare suma este mai mare.

Al doilea nivel vizeaza nerespectarea obligatiilor privind sistemele cu risc ridicat: pana la 15 milioane euro sau 3% din cifra de afaceri. Al treilea nivel, pentru informatii incorecte furnizate autoritatilor, prevede pana la 7,5 milioane euro sau 1% din cifra de afaceri.

Pentru IMM-uri exista o flexibilitate: amenzile sunt proportionale cu capacitatea de plata, iar regulamentul prevede explicit ca sanctiunile sa nu pericliteze viabilitatea economica a firmelor mici. “Flexibil” nu inseamna insa “zero”.

Cine supravegheaza AI Act Romania: institutiile desemnate

Prin memorandumul guvernamental din 12 martie 2026, Romania si-a stabilit cadrul institutional. ANCOM (Autoritatea Nationala pentru Administrare si Reglementare in Comunicatii) devine autoritatea principala de supraveghere a pietei si punctul unic de contact cu Comisia Europeana.

ASF si BNR supravegheaza sistemele AI cu risc ridicat din sectorul financiar-bancar si al asigurarilor. ANSPDCP – deja cunoscuta din aplicarea GDPR – preia domenii sensibile: biometrie, justitie, controlul frontierelor si procesele democratice. Inspectia Muncii, ANMDM si ANPC intra si ele in joc pentru domeniile lor specifice.

Sectoarele din Romania cu cel mai mare risc sub AI Act Romania

Principalele industrii vizate sunt sectorul bancar si financiar (scoring credite, fraud detection), sectorul de resurse umane si recrutare (filtrare automata de candidati), sanatatea privata si companiile de asigurari, plus educatia cu platforme de evaluare automata a studentilor.

Sectoarele cu risc minim – filtre spam, recomandari de continut, asistenti virtuali pentru customer service fara decizii cu impact major – au cerinte mult mai reduse. Trebuie doar sa informeze utilizatorul ca interactioneaza cu un sistem AI. Potrivit Digi24, firmele romanesti au intarziat semnificativ in pregatirea pentru acest termen.

AI Act Romania si GDPR: doua reglementari simultane

Companiile care au trecut deja prin conformarea GDPR vor gasi un mediu familiar, dar cu un nivel suplimentar de complexitate. Un sistem AI care proceseaza date personale pentru a lua o decizie cu impact trebuie sa respecte simultan AI Act si GDPR. Evaluarile de impact pot fi uneori combinate, dar nu se inlocuiesc reciproc.

In plus, pentru companiile din infrastructura critica sau sectorul financiar, intra in ecuatie si Directiva NIS2 si Legea CRA (Cyber Resilience Act). Recomandarea specialistilor de la Wolf Theiss este un audit combinat care acopera toate cadrele simultan – GDPR, AI Act si NIS2.

Cum se pregatesc firmele mici pentru AI Act Romania in timp util

Nu ai nevoie de o consultanta costisitoare pentru a face primii pasi corecti. Incepe cu un inventar: lista tuturor toolurilor AI pe care le folosesti in firma, de la software de HR la CRM cu functii predictive. Pentru fiecare, intreaba-te: ia decizii automate care afecteaza angajati, clienti sau parteneri?

Daca folosesti sisteme AI cumparate de la furnizori SaaS, cere explicit documentatia de conformitate AI Act. Furnizorii care opereaza in UE sunt obligati prin lege sa o furnizeze. Potrivit legalmarketing.ro, multe firme romanesti nu au verificat inca statusul conformarii furnizorilor lor de AI.

Contextul adoptiei AI in Romania – inclusiv cat de rapid se extinde utilizarea acestor sisteme – il gasesti in studiul despre adoptia AI in Romania in 2026. Infrastructura nationala – inclusiv supercomputerul RO AI Factory – este detaliata in articolul despre fabricile AI din Romania.

Resurse disponibile pentru conformare AI Act Romania

Comisia Europeana a publicat ghiduri detaliate pentru conformarea cu AI Act Romania, accesibile gratuit pe portalul oficial. Mai multe firme de consultanta juridica si IT au inceput sa ofere audituri de conformitate specifice. Unele sunt disponibile si pentru IMM-uri la costuri reduse, in special prin programe cofinantate de Uniunea Europeana sau prin asociatii de profil.

Strategia Nationala de Inteligenta Artificiala a Romaniei 2024-2027 prevede si mecanisme de sprijin pentru firmele mici care trebuie sa se alinieze la noile cerinte. ADR (Autoritatea pentru Digitalizarea Romaniei) coordoneaza accesul la aceste resurse si la instruire specifica AI Act Romania.

Pasi concreti inainte de 2 august 2026

Un raccorci practic pentru firmele cu DPO angajat pentru GDPR: extinde-i mandatul explicit pentru a acoperi si conformarea AI Act. Nu e nevoie de un nou angajat, ci de o extindere a responsabilitatilor existente, insotita de training specific. Asta reduce semnificativ costurile si garanteaza continuitate cu ce s-a facut deja pentru GDPR.

Daca nu ai inceput inca, iata ordinea corecta de prioritati. Prima etapa: inventarierea tuturor sistemelor AI din companie si clasificarea lor pe niveluri de risc. A doua etapa: verificarea documentatiei furnizorilor externi. A treia etapa: desemnarea unui responsabil intern pentru supravegherea conformarii.

A patra etapa: implementarea jurnalelor de audit si a mecanismelor de supraveghere umana acolo unde lipsesc. A cincea etapa: instruirea angajatilor. AI Act impune explicit alfabetizarea in domeniul AI ca obligatie pentru organizatii, nu doar pentru furnizorii de sisteme.

Termenul de 2 august 2026 nu e capatul lumii, dar e un prag dupa care autoritatile pot verifica, sanctiona si obliga la corectii imediate. Un lucru e cert: pregatirea din timp este mai ieftina decat o amenda de 15 milioane euro.