AI Act și GDPR pentru AI generativ
Oamenii folosesc deja ChatGPT în firmă, dar fără reguli scrise
Punem ordine în felul în care firma folosește AI generativ: aflăm ce tool-uri AI se folosesc și cu ce date, încadrăm fiecare utilizare pe riscuri, scriem politica internă, verificăm contractele cu furnizorii și instruim echipa. Lucrăm cu firme de 10 până la 250 de oameni, alături de juristul sau DPO-ul tău. Începem cu AI Act Check, o verificare cu scop fix.
Azi și după
Cum ajunge un document de client într-un tool AI.
O situație tipică într-o firmă de servicii cu 40 de oameni, construită ca exemplu pentru această pagină. Nu descrie un client anume.
Exemplu ilustrativ
Cum arată azi
Fiecare și-a făcut singur cont Fără regulă
Conturi personale, pe planuri gratuite sau plătite din buzunar. Firma nu știe câte sunt.
Datele clienților ajung în conversații Fără regulă
O reclamație, un contract, un Excel cu salarii, lipite ca să fie rezumate mai repede.
Nimeni nu știe ce se întâmplă cu ele Fără regulă
Nu există un acord de prelucrare a datelor, iar setările de antrenare au rămas cele implicite.
Textul generat pleacă direct la client Fără regulă
Fără să fie recitit și fără să se știe că a fost scris cu AI.
La prima întrebare de la un client mare, răspunsul lipsește Fără regulă
Nu există o listă a tool-urilor, o politică sau o dovadă că echipa a fost instruită.
Cinci goluri, niciunul vizibil până când întreabă cineva din afară.
Cum arată după
Conturi de firmă, pe planuri business Regulă scrisă
Cu acord de prelucrare a datelor semnat și cu antrenarea pe datele firmei oprită.
Politica spune ce date intră și ce nu Regulă scrisă
O pagină: tool-uri permise, date interzise, cine aprobă un tool nou.
Fiecare utilizare are un risc atribuit Regulă scrisă
Redactare și rezumate: risc minim. Chatbot pentru clienți: obligații de transparență. AI în recrutare: proiect separat.
Textul pentru clienți e recitit de un om Verificare umană
Iar acolo unde legea o cere, se spune clar că a fost generat cu AI.
Instruirea e ținută și păstrată Regulă scrisă
Echipa știe regulile, iar firma are dovada pentru DPO, pentru un client sau pentru un control.
Aceleași tool-uri, aceeași productivitate. În plus: reguli, contracte și dovezi.
Când se potrivește
Când merită și când nu.
Se potrivește dacă
- Oamenii folosesc ChatGPT sau alte tool-uri AI la lucru, dar nimeni nu are lista cu ce se folosește și cu ce date.
- Un client mare, o bancă sau un partener ți-a cerut o politică de utilizare AI sau răspunsuri despre cum le tratezi datele.
- Vrei să pui un chatbot pe site sau să publici conținut generat cu AI și trebuie să știi ce obligații de transparență ai.
- Te gândești să folosești AI în recrutare sau în evaluarea angajaților și vrei să știi ce înseamnă risc ridicat înainte să cumperi ceva.
- Juristul sau DPO-ul tău are nevoie de imaginea tehnică a fluxurilor de date, nu de încă o prezentare generală despre AI.
Nu se potrivește dacă
- Cauți un aviz juridic. Pentru asta ai nevoie de un avocat; noi lucrăm alături de el, nu în locul lui.
- Dezvolți și vinzi un sistem AI ca produs. Atunci ești furnizor în sensul AI Act, cu obligații mai grele, iar primul pas e o analiză juridică dedicată.
- Vrei un certificat de conformitate. Nu emitem certificate; îți dăm documentele și dovezile de care au nevoie juristul și DPO-ul tău.
- Firma nu folosește AI și nici nu plănuiește. O regulă scurtă scrisă de tine e suficientă; nu e nevoie de un proiect.
Ce facem
Componentele, una câte una.
Fiecare componentă se poate face separat. AI Act Check arată de care dintre ele ai nevoie și în ce ordine.
- 01
Inventarul utilizărilor AI
Aflăm ce tool-uri se folosesc efectiv, de cine, pentru ce și cu ce date, inclusiv conturile personale. Rezultatul e un registru simplu, pe care îl ține la zi un om din firmă.
- 02
Încadrarea pe riscuri
Fiecare utilizare primește o categorie după AI Act: practică interzisă, risc ridicat, obligații de transparență sau risc minim. Majoritatea utilizărilor de birou intră în ultima. Cazurile la limită ajung la juristul tău, cu analiza tehnică atașată.
- 03
Politica internă de utilizare AI
O politică scurtă, scrisă pentru oameni, nu pentru avocați: ce tool-uri sunt permise, ce date nu intră niciodată în ele, când un text generat trebuie recitit și cine aprobă un tool nou.
- 04
Instruirea echipei
O sesiune practică pe tool-urile și regulile firmei, cu exemple din munca de zi cu zi. Prezența și materialele se păstrează, ca dovadă a măsurilor de alfabetizare AI cerute de articolul 4 din AI Act.
- 05
Verificarea furnizorilor și a contractelor
Pentru fiecare tool verificăm planul folosit, acordul de prelucrare a datelor, dacă furnizorul antrenează modelele pe datele tale, unde sunt stocate și cât timp. Îți spunem ce plan trebuie schimbat și ce setare trebuie închisă.
- 06
Obligațiile de transparență
Unde un chatbot vorbește cu clienții sau unde publici conținut generat cu AI, stabilim ce trebuie spus și unde: în interfață, în nota de informare, pe conținut. Le aplicăm împreună cu echipa care face site-ul sau produsul.
Calculează
Câtă muncă trece deja prin AI, fără reguli?
Pune cifrele tale. Rezultatul arată cât din munca firmei se face deja cu tool-uri AI, adică partea la care se aplică regulile. Nu e o amendă estimată și nici o economie promisă.
Estimare
- Muncă făcută cu AI pe lună
- 100 ore
- Valoarea acestei munci
- 5.000 lei pe lună
Pe an: 60.000 lei
Ipotezele calculului
- Cu valorile de pornire: 400 sarcini × 15 minute = 100 ore pe lună. La 50 lei pe oră, prin tool-uri AI trece muncă de 5.000 lei pe lună.
- 400 de sarcini pe lună înseamnă, de exemplu, 20 de oameni care folosesc AI o dată pe zi lucrătoare. Întreabă câțiva colegi cât de des îl folosesc înainte să alegi cifra.
- Minutele sunt timpul de lucru al întregii sarcini, nu doar al conversației cu tool-ul AI.
- 50 de lei pe oră e o valoare de pornire pentru costul total al unei ore de lucru, nu o medie oficială. Folosește costul real din firma ta.
- Calculul nu estimează amenzi și nici costul unei scurgeri de date. Arată doar cât de mare e partea din muncă la care se aplică regulile.
- E o estimare orientativă, nu o ofertă.
Cum lucrăm
De la ce se folosește azi la reguli pe care echipa le respectă.
Primul pas e AI Act Check: o verificare cu scop fix, de cinci zile lucrătoare, care arată ce se folosește, cu ce date și ce trebuie făcut. Pașii următori se decid pe baza ei, împreună cu juristul sau DPO-ul tău.
- 01
AI Act Check
Discuții scurte cu fiecare echipă, un chestionar pentru toți și o privire în conturile și setările tool-urilor. Încadrăm fiecare utilizare pe riscuri.
Rezultat: inventarul utilizărilor, harta riscurilor și lista de acțiuni, în ordinea priorității.
- 02
Reguli și contracte
Scriem politica internă, verificăm planurile și acordurile de prelucrare, stabilim ce se schimbă și ce se oprește. Juristul tău validează textele.
Rezultat: politica aprobată, contractele în ordine, setările corectate.
- 03
Instruire
Ținem sesiunea cu echipa pe tool-urile permise și pe regulile noi, cu exemple din munca fiecăruia.
Rezultat: echipa instruită și dovada instruirii păstrată.
- 04
Revizuire
Revedem registrul când apare un tool nou, o utilizare nouă sau o schimbare în lege. Termenul de 2 decembrie 2027 pentru sistemele cu risc ridicat intră în calendar.
Rezultat: un om din firmă care răspunde de registru și știe când să ne cheme.
Limite
Ce nu facem și ce poate merge prost.
Nu e consultanță juridică
Noi facem partea tehnică și operațională: inventarul, fluxurile de date, politica, instruirea, setările. Interpretarea juridică și răspunderea pentru ea rămân la juristul sau DPO-ul tău, cu care lucrăm direct.
Datele pe care le vedem în verificare
Ca să facem inventarul, vedem ce date ajung în tool-urile AI. Pentru orice date la care avem acces semnăm un acord de prelucrare și lucrăm pe exemple anonimizate acolo unde se poate.
Regulile se schimbă
AI Act a fost deja modificat o dată, în iulie 2026, iar legea românească de aplicare nu era adoptată la data ultimei noastre verificări. De aceea fiecare document are data verificării și sursele, și se revede când se schimbă ceva.
Politica pe care nu o citește nimeni
O politică de 20 de pagini nu schimbă nimic în comportamentul oamenilor. Scriem una scurtă, o legăm de tool-urile pe care le folosiți deja și o verificăm la instruire, pe cazuri reale.
Întrebări despre AI Act și GDPR în firmă
Ce cere AI Act de la o firmă care doar folosește ChatGPT?
Firma e implementator, adică folosește un sistem AI în scop profesional. Din 2 februarie 2025 trebuie să ia măsuri pentru alfabetizarea AI a oamenilor care folosesc tool-urile și să evite practicile interzise, cum ar fi deducerea emoțiilor angajaților. Redactarea, rezumatele sau traducerile nu sunt utilizări cu risc ridicat. Pe larg, în ghidul nostru.
GDPR, AI Act și ChatGPT în firmăCe s-a schimbat odată cu AI Omnibus?
Regulamentul (UE) 2026/1744, în vigoare din 27 iulie 2026, a mutat regulile pentru sistemele cu risc ridicat din anexa III, cum ar fi AI folosit în recrutare sau pentru scoring de credit, la 2 decembrie 2027. Pentru AI integrat în produsele din anexa I, termenul e 2 august 2028. Am verificat datele pe 17 octombrie 2026, pe paginile oficiale ale Comisiei Europene.
Ce obligații de transparență se aplică din 2 august 2026?
Articolul 50 se aplică din 2 august 2026. Pentru o firmă care folosește AI contează mai ales trei situații: un chatbot pentru clienți trebuie făcut astfel încât omul să știe că vorbește cu un sistem AI; deepfake-urile publicate trebuie semnalate; textele generate cu AI și publicate ca să informeze publicul despre subiecte de interes public trebuie semnalate, dacă nu trec printr-o revizie editorială umană. Furnizorii de AI generativ au, separat, obligația de a marca tehnic conținutul generat; pentru sistemele puse pe piață înainte de 2 august 2026, termenul lor e 2 decembrie 2026.
Avem nevoie de un avocat sau de un DPO?
Pentru interpretarea legii și pentru răspunderea juridică, da: un jurist sau DPO-ul firmei, dacă ai unul. Noi nu dăm aviz juridic. Facem partea pe care juriștii o cer de obicei de la altcineva: inventarul, fluxurile de date, setările tehnice, politica scrisă pe limba echipei și instruirea.
Ce este AI Act Check?
O verificare cu scop fix, de cinci zile lucrătoare. La final ai inventarul tool-urilor AI folosite în firmă, încadrarea fiecărei utilizări pe riscuri după AI Act și GDPR și lista de acțiuni, în ordinea priorității. Costul și calendarul le stabilim într-o discuție scurtă, înainte să începem.
Pot interzice pur și simplu ChatGPT în firmă?
Poți, dar de obicei oamenii îl folosesc mai departe, de pe telefon și din conturi personale, iar firma pierde orice control asupra datelor. Mai sigur e să alegi tool-urile permise, pe planuri business cu acord de prelucrare, și să spui clar ce date nu intră în ele.
Un tool AI e conform GDPR?
Niciun tool nu e conform GDPR de unul singur; felul în care îl folosești este. Contează planul, de consumator sau business, acordul de prelucrare a datelor, dacă furnizorul antrenează modelele pe datele tale, unde sunt stocate și cât timp. Și regula internă care spune ce date nu intră deloc.
Planuri și contracte, în ghidul nostruCine verifică respectarea AI Act în România?
Un memorandum al Guvernului propune ANCOM ca autoritate de supraveghere a pieței și punct unic de contact, alături de autorități sectoriale precum ASF, BNR și ANSPDCP. ANCOM a anunțat pe 24 iulie 2026 că sancțiunile se pot aplica doar după intrarea în vigoare a legii naționale de aplicare, pe care nu am găsit-o adoptată la 17 octombrie 2026. Obligațiile se aplică oricum. GDPR rămâne în grija ANSPDCP.
Lectură suplimentară
Citește mai departe.
Spune-ne cum folosește echipa AI astăzi.
Câteva rânduri despre tool-uri, oameni și datele care ajung în ele sunt de ajuns. Îți spunem sincer dacă un AI Act Check e pasul potrivit sau dacă îți ajunge o regulă scurtă.