Ce obligații au firmele care folosesc inteligența artificială în 2026

Firmele care folosesc sisteme de inteligență artificială au intrat într-o nouă etapă de aplicare a Regulamentului european privind inteligența artificială - AI Act. De la 2 august 2026 au devenit aplicabile obligațiile de transparență, iar autoritățile europene și naționale au primit competențe de supraveghere și control.

Este vizată inclusiv obligația companiilor de a lua măsuri pentru instruirea angajaților care utilizează sisteme AI. Această cerință se aplică încă din 2 februarie 2025, însă regulile de supraveghere și aplicare efectivă au devenit operaționale începând din august 2026.

Prima zi lucrătoare în care firmele trebuie să țină seama de noul regim este luni, 3 august.

Regulile nu se limitează la companiile care dezvoltă sisteme sofisticate de inteligență artificială. Poate intra sub incidența obligațiilor și o firmă ai cărei angajați folosesc ChatGPT sau alte instrumente similare pentru redactarea unor reclame, traducerea documentelor, analiza CV-urilor ori comunicarea cu clienții.

Comisia Europeană precizează explicit că o companie ai cărei angajați folosesc ChatGPT pentru redactarea textelor publicitare sau pentru traduceri trebuie să ia măsuri de instruire, inclusiv pentru ca personalul să cunoască riscul ca sistemul să furnizeze informații false sau inventate. Precizările Comisiei Europene privind instruirea în domeniul AI

Cine trebuie să-și instruiască angajații

Articolul 4 din AI Act se aplică atât furnizorilor de sisteme AI, cât și companiilor sau instituțiilor care le utilizează în activitatea proprie.

Obligația îi vizează pe angajații și colaboratorii care lucrează direct cu astfel de sisteme. Pot intra aici, în funcție de activitatea firmei:

• angajații care folosesc instrumente generative pentru texte, imagini, traduceri sau programare;
• personalul de resurse umane care utilizează aplicații pentru sortarea CV-urilor sau evaluarea candidaților;
• angajații care verifică rezultatele produse de algoritmi;
• operatorii unor chatboți destinați clienților;
• colaboratorii și prestatorii externi care folosesc AI în numele companiei;
• personalul care utilizează sisteme biometrice sau de recunoaștere a emoțiilor.

Regulamentul nu impune același curs tuturor angajaților și nici obținerea unui certificat european. Instruirea trebuie adaptată nivelului de pregătire al persoanelor, sistemului folosit, scopului utilizării și riscurilor produse.

Pentru un salariat care folosește un chatbot la redactarea unor e-mailuri poate fi suficient un program intern referitor la verificarea informațiilor, protecția datelor și interdicția introducerii documentelor confidențiale. Cerințele trebuie să fie mai stricte în cazul angajaților care folosesc AI pentru recrutare, evaluarea persoanelor, servicii financiare sau decizii care pot produce efecte juridice.

Comisia arată că simpla transmitere către salariați a instrucțiunilor de utilizare ale programului poate să nu fie suficientă. Compania trebuie să poată demonstra că a adoptat măsuri potrivite situației sale.

În schimb, nu este obligatorie desemnarea unui „responsabil AI”, după modelul responsabilului cu protecția datelor, și nici constituirea unui comitet special.

Ce trebuie să conțină instruirea

Un program minim de instruire ar trebui să explice ce sisteme AI sunt folosite în companie, cum funcționează acestea și ce riscuri prezintă.

Angajații trebuie să știe, de exemplu:

• că un sistem generativ poate produce informații, surse sau cifre inexistente;
• ce date personale ori informații confidențiale nu pot fi introduse într-un chatbot public;
• când un rezultat trebuie verificat de o persoană;
• în ce situații este obligatorie informarea clientului că interacționează cu un sistem automat;
• când un material generat sau modificat cu AI trebuie marcat;
• cui trebuie raportată o eroare, o discriminare sau o decizie suspectă produsă de sistem.

Companiile pot organiza cursuri, sesiuni interne, ghiduri, instrucțiuni diferențiate pe departamente sau combinații ale acestor măsuri.

AI Act nu obligă firmele să testeze fiecare angajat și nici să garanteze un anumit nivel uniform de competență. Angajatorul trebuie însă să poată arăta că a luat măsuri reale, adaptate riscurilor.

Chatboții trebuie să spună că sunt sisteme AI

De la 2 august au devenit aplicabile și obligațiile de transparență prevăzute de articolul 50 din AI Act.

Persoana care intră în contact direct cu un chatbot sau cu un alt sistem interactiv trebuie informată că discută cu un sistem AI, nu cu un om, cu excepția situațiilor în care acest lucru este evident.

Prin urmare, o firmă care instalează pe site un asistent virtual pentru clienți trebuie să afișeze o informare clară încă de la începutul conversației.

Furnizorii sistemelor care generează sau modifică imagini, sunete, videoclipuri ori texte trebuie, de asemenea, să permită identificarea tehnică a conținutului generat artificial, prin marcaje care pot fi citite automat.

Comisia Europeană arată că noile reguli urmăresc ca utilizatorii să știe când interacționează cu AI și când un conținut a fost generat sau modificat artificial.

Când trebuie marcat un material deepfake

Imaginile, înregistrările audio și videoclipurile de tip deepfake trebuie prezentate ca fiind generate sau manipulate cu ajutorul inteligenței artificiale.

Regula se aplică atunci când materialul seamănă cu persoane, obiecte, locuri sau evenimente reale și ar putea fi considerat în mod fals autentic.

Informarea trebuie să fie clară și vizibilă cel târziu în momentul primei expuneri a publicului la conținut.

Pentru operele evident artistice, satirice, creative sau fictive, informarea poate fi făcută într-o manieră care să nu afecteze inutil prezentarea operei, dar obligația de transparență nu dispare complet.

Nu toate textele scrise cu AI trebuie etichetate

Regulamentul nu cere aplicarea etichetei „generat cu AI” pe orice e-mail, ofertă comercială, traducere sau descriere de produs realizată cu ajutorul unui chatbot.

Obligația privește textele generate sau manipulate cu AI care sunt publicate pentru informarea publicului asupra unor probleme de interes public.

Comisia include în această categorie informațiile referitoare la politică, administrație publică, justiție, sănătate publică, siguranță, protecția mediului și evoluții economice, financiare, științifice sau culturale care pot constitui subiecte de dezbatere publică.

Există însă o excepție importantă: textul nu trebuie etichetat dacă a fost supus unei verificări umane reale sau unui control editorial și dacă o persoană fizică ori juridică își asumă răspunderea editorială pentru publicarea lui.

O simplă verificare gramaticală sau formală nu este suficientă. Potrivit ghidului Comisiei Europene, controlul editorial presupune verificarea substanței textului, a informațiilor și a credibilității surselor, precum și posibilitatea reală a editorului de a modifica sau respinge materialul.

Așadar, un articol inițial redactat cu ajutorul AI, dar verificat factual, rescris și aprobat de un jurnalist sau editor care își asumă răspunderea pentru publicare, nu trebuie obligatoriu marcat drept text generat de AI.

Ce documente ar trebui să pregătească firmele

Regulamentul nu introduce un formular unic și nici un certificat obligatoriu de „alfabetizare AI”. Comisia recomandă însă păstrarea unor evidențe interne privind instruirea și măsurile adoptate.

În eventualitatea unui control, o firmă ar trebui să poată prezenta cel puțin:

• inventarul sistemelor AI folosite oficial în companie;
• departamentele și persoanele care utilizează fiecare sistem;
• scopul utilizării și o evaluare simplă a riscurilor;
• politica internă privind folosirea AI;
• instrucțiunile referitoare la date personale, secrete comerciale și informații confidențiale;
• materialele de instruire și evidența persoanelor care au participat;
• procedura de verificare umană a rezultatelor;
• documentele furnizate de producătorul sistemului;
• dovezile privind informarea utilizatorilor unui chatbot;
• procedura de marcare a materialelor deepfake și a textelor care intră sub obligațiile de transparență;
• documentarea controlului editorial, atunci când firma invocă excepția de la etichetarea textelor.

Dacă sistemul prelucrează date personale, trebuie verificate separat și obligațiile impuse de GDPR. În anumite situații poate fi necesară o evaluare a impactului asupra protecției datelor.

România nu are încă finalizat mecanismul de control

Există însă o problemă importantă pentru aplicarea imediată a controalelor în România.

ANCOM a fost propusă de Guvern să devină autoritatea națională de supraveghere a pieței și punctul unic de contact pentru AI Act. Pentru anumite domenii ar urma să intervină autorități specializate precum BNR, ASF, ANSPDCP, ANPC sau Inspecția Muncii.

Cadrul național nu era însă finalizat înaintea datei de 2 august. Potrivit unei informări publicate de ANCOM la 24 iulie, autoritățile desemnate printr-un memorandum guvernamental lucrau încă la actul normativ care trebuie să stabilească atribuțiile, mecanismele de cooperare, procedura de sancționare și regimul concret al sancțiunilor.

ANCOM preciza că autoritățile române vor putea verifica și sancționa încălcarea AI Act numai după intrarea în vigoare a actului normativ național aflat în elaborare. Informarea ANCOM privind aplicarea AI Act în România

Prin urmare, obligațiile europene sunt deja aplicabile direct firmelor, dar declanșarea efectivă a controalelor și sancțiunilor în România depinde de finalizarea legislației naționale. Întârzierea autorităților nu reprezintă însă o perioadă de grație acordată companiilor.

Amenzi de până la 15 milioane de euro

Pentru încălcarea obligațiilor AI Act, altele decât cele referitoare la practicile complet interzise, plafonul european al amenzii poate ajunge la 15 milioane de euro sau la 3% din cifra de afaceri mondială totală din exercițiul financiar precedent.

Pentru companii se ia în calcul, în principiu, valoarea mai mare dintre suma fixă și procentul din cifra de afaceri, cu un tratament diferențiat pentru întreprinderile mici și mijlocii. Valoarea concretă trebuie stabilită în funcție de gravitatea, durata și caracterul intenționat sau neglijent al încălcării.

Practicile AI interzise pot atrage sancțiuni și mai mari, de până la 35 de milioane de euro sau 7% din cifra de afaceri mondială. Transmiterea unor informații incorecte, incomplete sau înșelătoare autorităților poate fi sancționată cu până la 7,5 milioane de euro sau 1% din cifra de afaceri. Cadrul european de supraveghere și sancționare

Sancțiunea maximă nu se aplică automat unei firme care nu a organizat un curs formal. În cazul instruirii angajaților, autoritatea trebuie să analizeze măsurile luate efectiv, riscurile sistemului și împrejurările concrete. Comisia avertizează însă că lipsa instruirii poate deveni mult mai gravă dacă produce un incident, o decizie discriminatorie, divulgarea unor date sau prejudicierea unei persoane.