AI Act 2026: ce trebuie să știe companiile și utilizatorii de AI

AI Act 2026 este subiectul juridic al anului pentru orice companie, antreprenor sau profesionist care folosește instrumente de inteligență artificială. Regulamentul (UE) 2024/1689 – primul cadru legislativ complet din lume dedicat inteligenței artificiale – a intrat în vigoare la 1 august 2024, iar în mai 2026 Uniunea Europeană a adoptat pachetul Omnibus care a modificat calendarul de aplicare. Fundația Centrul de Formare APSAP, furnizor de formare profesională cu peste 250.000 de participanți la programele sale, monitorizează permanent noutățile legislative cu impact asupra organizațiilor și le traduce în limbaj practic, înainte ca ele să devină obligații cu sancțiuni.

Ce este AI Act?

AI Act (Regulamentul (UE) 2024/1689 privind inteligența artificială) este legislația europeană care stabilește reguli armonizate pentru dezvoltarea, introducerea pe piață și utilizarea sistemelor de inteligență artificială în Uniunea Europeană. Fiind regulament, se aplică direct în România, fără a fi nevoie de o lege națională de transpunere. Logica sa este simplă: cu cât un sistem AI poate afecta mai grav sănătatea, siguranța sau drepturile fundamentale ale oamenilor, cu atât obligațiile sunt mai stricte.

Cui se aplică AI Act și de când?

AI Act 2026 nu vizează doar giganții tehnologici. Regulamentul se aplică:

• furnizorilor (providers) – cei care dezvoltă sau introduc pe piață sisteme AI sub nume propriu, indiferent dacă sunt stabiliți în UE sau în afara ei, atât timp cât sistemul este folosit în Uniune;
• utilizatorilor profesioniști (deployers) – companii, instituții și persoane fizice autorizate care folosesc sisteme AI în activitatea lor;
• importatorilor și distribuitorilor de sisteme AI;
• producătorilor de produse care integrează AI (echipamente medicale, mașini, jucării etc.).

Utilizarea strict personală, în afara activității profesionale, nu intră sub incidența regulamentului.

Calendarul aplicării este etapizat: interdicțiile privind practicile inacceptabile se aplică din 2 februarie 2025, regulile pentru modelele de AI de uz general (GPAI, precum modelele mari de limbaj) din 2 august 2025, iar obligațiile de transparență pentru utilizatori rămân aplicabile de la 2 august 2026. Termenele pentru sistemele cu risc ridicat au fost însă amânate prin pachetul Omnibus, detaliat mai jos.

Cum se clasifică riscurile în AI Act?

Regulamentul funcționează pe o piramidă a riscului, cu patru niveluri:

• Risc inacceptabil – interzis. Manipularea subliminală a comportamentului, scoringul social de tip guvernamental, exploatarea vulnerabilităților, identificarea biometrică în timp real în spații publice (cu excepții stricte). Din 2 decembrie 2026 se adaugă o interdicție nouă, introdusă prin Omnibus: sistemele AI care generează imagini intime neconsensuale (așa-numitele aplicații „nudifier”) sau materiale de abuz asupra copiilor.
• Risc ridicat – permis, cu obligații stricte. Sisteme AI folosite în recrutare și evaluarea angajaților, educație și examinare, acces la servicii esențiale, creditare, aplicarea legii, infrastructuri critice, dispozitive medicale. Aici se concentrează cele mai grele obligații: management al riscului, guvernanța datelor, documentație tehnică, supraveghere umană, înregistrare în baza de date europeană.
• Risc limitat – obligații de transparență. Chatboturile trebuie să informeze utilizatorul că interacționează cu un AI, iar conținutul generat artificial (deepfake, imagini, audio) trebuie marcat ca atare.
• Risc minim – fără obligații specifice. Majoritatea aplicațiilor uzuale: filtre de spam, AI în jocuri, sisteme de recomandare simple.

Sancțiunile pot ajunge la 35 de milioane de euro sau 7% din cifra de afaceri globală anuală pentru practicile interzise – un nivel comparabil cu GDPR, dar cu praguri superioare.

Responsabilitățile furnizorului vs. responsabilitățile utilizatorului

Distincția esențială pe care orice organizație trebuie să o înțeleagă în 2026:

Furnizorul (cel care dezvoltă sau comercializează sistemul AI) răspunde de: conformitatea sistemului înainte de introducerea pe piață, evaluarea conformității, documentația tehnică, sistemul de management al riscului, calitatea seturilor de date, marcarea în format citibil automat a conținutului generat (watermarking), monitorizarea post-comercializare și raportarea incidentelor grave.

Utilizatorul profesionist (compania sau instituția care folosește sistemul) răspunde de: utilizarea sistemului conform instrucțiunilor furnizorului, asigurarea supravegherii umane prin personal competent și instruit, calitatea datelor de intrare pe care le controlează, informarea persoanelor afectate atunci când un sistem cu risc ridicat ia decizii care le privesc, păstrarea logurilor și suspendarea utilizării dacă apar riscuri. Foarte important: obligația de alfabetizare AI (AI literacy) din articolul 4 se aplică deja – organizațiile trebuie să se asigure că personalul care operează sisteme AI are un nivel suficient de competențe.

Atenție la o capcană frecventă: un utilizator devine furnizor, cu toate obligațiile aferente, dacă modifică substanțial un sistem AI, îi schimbă destinația într-una cu risc ridicat sau îl rebranduiește sub nume propriu.

AI Act pe înțelesul tuturor: cinci spețe din viața reală

Cum arată AI Act 2026 tradus din limbajul juridic în activitatea de zi cu zi a unei companii? Iată cinci situații concrete prezentate de Bogdan Costin FÂRȘIROTU.

1. Chatbotul de pe site-ul magazinului online

Speța: Un magazin online din România folosește un robot conversațional care răspunde clienților la întrebări despre livrare și retur, cu nume de om și poză de profil.

Ce spune legea: Articolul 50 alineatul (1) obligă furnizorii să se asigure că persoanele fizice sunt informate că interacționează cu un sistem de IA, cu excepția cazului în care acest lucru este evident pentru o persoană rezonabil de bine informată.

Tradus: Dacă până acum puteai să-i spui robotului „Andreea de la suport” și să lași clientul să creadă că vorbește cu un om, de la 2 august 2026 clientul trebuie informat clar că discută cu un AI. Un simplu „Sunt asistentul virtual al magazinului” rezolvă problema. Această obligație NU a fost amânată de Omnibus.

2. Softul de recrutare care filtrează CV-uri

Speța: O companie cu 200 de angajați primește 500 de CV-uri pentru un post și folosește un instrument AI care respinge automat 400 dintre ele înainte ca un om să le vadă.

Ce spune legea: Anexa III punctul 4 clasifică drept sisteme cu grad ridicat de risc sistemele de IA utilizate pentru recrutarea sau selectarea persoanelor fizice, pentru analizarea și filtrarea candidaturilor și pentru evaluarea candidaților.

Tradus: Dacă până acum foloseai softul de filtrare fără nicio formalitate, de la 2 decembrie 2027 (termen amânat prin Omnibus de la 2 august 2026) vei avea nevoie de supraveghere umană documentată, de informarea candidaților și de garanția că furnizorul softului a trecut prin evaluarea de conformitate. Candidatul respins de un algoritm are dreptul să știe că un algoritm l-a respins.

3. Banca și scoringul de credit

Speța: O instituție financiară folosește AI pentru a decide automat cine primește un credit de nevoi personale.

Ce spune legea: Anexa III punctul 5 litera (b) include în categoria de risc ridicat sistemele de IA utilizate pentru a evalua bonitatea persoanelor fizice sau pentru a stabili punctajul lor de credit, cu excepția celor folosite pentru detectarea fraudelor.

Tradus: Dacă până acum algoritmul putea spune „nu” fără explicații, de la 2 decembrie 2027 banca trebuie să asigure supraveghere umană, loguri, transparență față de client și date de antrenare care nu discriminează – de exemplu, un sistem care refuză sistematic creditele în funcție de cartierul de domiciliu devine o problemă juridică, nu doar una de imagine.

4. Agenția de marketing și imaginile generate cu AI

Speța: O agenție creează pentru clienți vizualuri, voci și clipuri video generate integral cu instrumente de inteligență artificială.

Ce spune legea: Articolul 50 alineatul (2) obligă furnizorii de sisteme care generează conținut sintetic audio, imagine, video sau text să se asigure că rezultatele sunt marcate într-un format prelucrabil automat și detectabile ca fiind generate sau manipulate artificial.

Tradus: Dacă până acum o imagine generată de AI era imposibil de deosebit oficial de o fotografie, de la 2 decembrie 2026 (termen amânat prin Omnibus de la 2 august 2026 pentru sistemele deja aflate pe piață) instrumentele folosite trebuie să aplice watermarking automat, iar deepfake-urile trebuie declarate ca atare. Cine folosește instrumente fără aceste funcții își asumă riscul.

5. Mașina cu sistem AI de siguranță

Speța: Un producător integrează într-un vehicul sau într-un dispozitiv medical un sistem AI care ia decizii de siguranță – frânare autonomă, dozare, alertare.

Ce spune legea: Sistemele AI integrate drept componente de siguranță în produse deja reglementate european (Anexa I: vehicule, dispozitive medicale, ascensoare, echipamente radio) sunt tratate ca sisteme cu grad ridicat de risc.

Tradus: Dacă până acum conformitatea produsului se verifica doar după legislația sectorială, din 2 august 2028 (termen amânat prin Omnibus de la 2 august 2027) cerințele AI Act se adaugă la evaluarea de conformitate a produsului – cu clarificarea, adusă tot de Omnibus, că nu se vor dubla cerințele acolo unde legislația sectorială impune deja obligații echivalente.

Ce a prorogat pachetul Omnibus din mai 2026?

Pe 7 mai 2026, Parlamentul European și Consiliul au ajuns la un acord politic asupra pachetului „Digital Omnibus on AI” – primul set de modificări ale AI Act de la adoptare. Termenul „omnibus” (din latină, „pentru toți”) desemnează un act normativ care modifică simultan mai multe legi diferite și nu trebuie confundat cu „ombudsman”, instituția Avocatului Poporului. Parlamentul a votat formal pe 16 iunie 2026, Consiliul a dat aprobarea finală pe 29 iunie 2026, iar publicarea în Jurnalul Oficial al UE este așteptată în iulie 2026, înainte de termenul-cheie de 2 august 2026. Noul calendar:

• 2 decembrie 2027 – noul termen pentru obligațiile privind sistemele AI cu risc ridicat de sine stătătoare (Anexa III: recrutare, educație, creditare, aplicarea legii etc.), amânat de la 2 august 2026;
• 2 august 2028 – noul termen pentru sistemele AI cu risc ridicat integrate în produse reglementate (Anexa I: dispozitive medicale, echipamente radio, ascensoare), amânat de la 2 august 2027;
• 2 decembrie 2026 – termenul amânat pentru obligația de watermarking (marcarea automată a conținutului generat de AI) pentru sistemele deja aflate pe piață, amânat de la 2 august 2026;
• 2 august 2027 – noul termen pentru obligația statelor membre de a înființa sandbox-uri de reglementare, amânat cu un an.

Ce NU s-a amânat: interdicțiile deja în vigoare, regulile pentru modelele de uz general și obligațiile generale de transparență din articolul 50 (inclusiv informarea utilizatorilor că interacționează cu un AI), care se aplică de la 2 august 2026. Omnibus a introdus în plus interdicția aplicațiilor „nudifier”, o categorie nouă de întreprinderi (small mid-caps) cu obligații administrative reduse și clarificări privind suprapunerea cu legislația sectorială.

Ce trebuie să facă organizațiile acum?

Amânarea nu este o vacanță de conformare. Pașii practici recomandați de specialiștii APSAP:

1. Inventariați toate sistemele AI folosite în organizație – inclusiv cele „ascunse” în software-ul de HR, marketing sau contabilitate.
2. Clasificați fiecare sistem pe nivelurile de risc din AI Act.
3. Stabiliți dacă sunteți utilizator, furnizor sau ambele, pentru fiecare sistem.
4. Instruiți personalul – obligația de alfabetizare AI se aplică deja, iar competența angajaților este prima linie de apărare.
5. Pregătiți politici interne de utilizare a AI și mecanisme de supraveghere umană.

Perspectiva APSAP: între conformare europeană și dosarul cu șină

Bogdan-Costin Fârșirotu, Președintele Fundației Centrul de Formare APSAP, analizează fără menajamente contextul românesc:

„Există o ironie amară în toată discuția despre AI Act în România. Bruxelles-ul se teme că inteligența artificială ia decizii despre oameni fără supraveghere umană. La noi, riscul e invers: avem supraveghere umană din belșug, dar fără inteligență – nici artificială, nici instituțională. Suntem la coada Europei la competențe digitale de bază, iar prin multe instituții se merge, în 2026, tot cu dosarul cu șină. Paradoxal, putem sta relaxați: e greu să încalci regulile despre AI acolo unde AI-ul nici măcar n-a trecut de registratură.”

„Relaxarea asta e însă o capcană. Companiile românești care exportă, care lucrează cu multinaționale sau care folosesc un simplu tool de recrutare cu AI vor fi judecate după același regulament ca firmele din Germania sau Franța. Amânarea din mai 2026 nu e o scutire, e un termen de grație. Cine îl folosește pentru instruire și inventariere câștigă un avantaj competitiv. Cine îl folosește ca să nu facă nimic va plăti – la propriu, pentru că amenzile ajung la 7% din cifra de afaceri.”

Fundația Centrul de Formare APSAP, care lucrează în proporție de 85% cu companii, organizații, multinaționale și experți din mediul privat și aproximativ 15% cu sectorul public, include tematica AI Act în cursul de utilizare a inteligenței artificiale, susținut de lectori cu experiență practică, și în programele autorizate de securitate cibernetică. Programele acreditate ale fundației sunt autorizate de Ministerul Muncii, Familiei, Tineretului și Solidarității Sociale și de Ministerul Educației și Cercetării.

Întrebări frecvente despre AI Act

Ce este AI Act?

AI Act este Regulamentul (UE) 2024/1689 privind inteligența artificială, primul cadru legislativ complet din lume care reglementează dezvoltarea și utilizarea sistemelor AI, pe baza unei clasificări a riscurilor. A intrat în vigoare la 1 august 2024 și se aplică direct în România.

Cui se aplică AI Act?

AI Act se aplică furnizorilor care dezvoltă sau comercializează sisteme AI, utilizatorilor profesioniști (companii și instituții care folosesc AI), importatorilor, distribuitorilor și producătorilor de produse cu AI integrat. Utilizarea strict personală nu intră sub incidența regulamentului.

Ce a amânat pachetul Omnibus din mai 2026?

Pachetul Omnibus a amânat obligațiile pentru sistemele AI cu risc ridicat de sine stătătoare la 2 decembrie 2027, obligațiile pentru AI integrat în produse reglementate la 2 august 2028 și obligația de watermarking pentru sistemele existente la 2 decembrie 2026. Interdicțiile, regulile pentru modelele de uz general și obligațiile de transparență de la 2 august 2026 nu au fost amânate.

Ce riscă o companie care nu respectă AI Act?

Sancțiunile pot ajunge la 35 de milioane de euro sau 7% din cifra de afaceri globală anuală pentru practicile interzise, cu praguri mai mici pentru alte încălcări. În plus, rămân aplicabile legislația sectorială, GDPR și răspunderea civilă pentru prejudicii.