AI Act pentru firme mici: ce ai de făcut din august 2026

Confuzia cea mai des auzită: dacă OpenAI sau Anthropic respectă regulamentul, ești acoperit și tu. Nu merge așa. Avocații de la Buju Stanciu & Asociații spun că, din aproximativ 40 de companii cu care au discutat într-o lună, doar 15% își făcuseră inventarul funcțiilor AI din propriile produse. Marius Stanciu, partener fondator, spune de ce: „obligația de a informa clientul că vorbește cu o inteligență artificială este a ta, pentru că tu ai pus sistemul pe piață sub numele tău. Furnizorul modelului nu poate îndeplini această obligație în locul tău.”

Ce se aplică de la 2 august 2026 și ce a fost amânat?

Regulamentul se aplică pe etape din 1 august 2024. În vara lui 2026 calendarul s-a mișcat: Digital Omnibus, Regulamentul (UE) 2026/1744, a intrat în vigoare pe 27 iulie 2026 și a împins termenele pentru risc înalt. Transparența a rămas pe loc.

Multe articole românești din primăvară vorbesc încă despre „aplicare deplină la 2 august 2026”. Erau corecte când au fost scrise: data a rămas, conținutul ei s-a micșorat.

Amânarea până în 2027 nu e o relaxare generală. Transparența a rămas în afara ei, cu excepția unui răgaz îngust la marcare. E și partea cea mai ieftină de pus la punct: un rând de text și o etichetă.

Trebuie să scriu pe site că vorbesc cu un chatbot AI?

Da, dacă lucrul nu e evident de la sine. Articolul 50 cere ca persoana să fie informată că interacționează cu un sistem AI, în afara cazului în care asta sare în ochi unui om rezonabil de atent. Informarea trebuie făcută clar și distinct, cel târziu la prima interacțiune.

În practică, un rând în prima bulă a conversației, nu un paragraf îngropat în Termeni și condiții. „Îți răspunde un asistent AI. Dacă e complicat, te preia un om.” acoperă și obligația, și așteptarea clientului.

A doua parte e marcarea conținutului generat, în format citibil de mașină. Aici e singura amânare din zona de transparență: sistemele puse pe piață înainte de 2 august 2026 au răgaz până la 2 decembrie 2026.

Pentru imagini, sunete și clipuri care arată oameni sau situații reale, dar sunt generate ori modificate, dezvăluirea e obligatorie oricum.

Dacă folosesc doar ChatGPT sau Copilot în firmă, intru sub AI Act?

Intri, dar altfel decât te aștepți. Firma care folosește un instrument AI e utilizator profesional, „deployer” în limbajul regulamentului, și are două obligații proprii chiar dacă nu construiește niciun model.

Prima e alfabetizarea AI, în vigoare din 2 februarie 2025. Aici Omnibusul a schimbat o vorbă care contează. Articolul 4 cerea măsuri care să asigure, pe cât posibil, un nivel suficient de competență AI în rândul personalului; acum cere măsuri care să sprijine dezvoltarea acelei competențe. E o obligație mai moale, nu una dispărută, iar analizele scrise înainte de iulie 2026, inclusiv cea de pe juridice.ro despre firmele care folosesc ChatGPT, o descriu în forma veche. Pentru tine diferența e mică: tot ai nevoie de oameni care știu ce fac cu instrumentul, și tot îți e mai ușor dacă ai notat cine a fost instruit și pe ce.

A doua e că GDPR nu s-a mutat nicăieri: cele două regimuri se aplică simultan, iar respectarea unuia nu te scutește de celălalt.

Dacă folosești AI strict intern și niciun client nu vede rezultatul, articolul 50 nu îți cere să afișezi nimic. Articolul 4 ți se aplică oricum. Iar dacă legi modelul altcuiva într-un produs de-al tău, avocații BSA avertizează că în multe situații devii tu însuți furnizor de sistem AI, cu lista mai lungă care vine cu titlul.

Cine controlează în România și cât sunt amenzile?

ANCOM a fost desemnată autoritate de supraveghere a pieței și punct unic de contact printr-un memorandum din 12 martie 2026, peste termenul european. Legea de control și sancționare era încă în elaborare în august 2026, așa că autoritățile române nu aveau încă mijlocul prin care să verifice și să amendeze.

Nu citi asta ca pe o vacanță. Regulamentul se aplică direct, iar răspunderea civilă și clauzele din contractele tale rămân în picioare.

Amenzile din articolul 99:

• până la 35.000.000 EUR sau 7% din cifra de afaceri mondială anuală, care e mai mare, pentru practicile interzise;
• până la 15.000.000 EUR sau 3%, pentru majoritatea obligațiilor operatorilor, inclusiv transparența;
• până la 7.500.000 EUR sau 1%, pentru informații incorecte sau incomplete date autorităților.

La IMM-uri și start-up-uri se aplică valoarea mai mică dintre procent și sumă. La o firmă cu 3 milioane de euro cifră de afaceri, plafonul de 3% înseamnă 90.000 de euro. Tot doare, dar nu e cifra din titluri.

Ce ai de făcut concret, ca firmă mică?

Șase lucruri. Niciunul nu începe cu un avocat.

1. Fă inventarul. Ce instrumente AI intră în firmă, pe ce departament, cine le folosește, ce date primesc și ce produc. Inclusiv cele pe care nu le-ai cumpărat conștient: funcții apărute prin update în programe pe care le aveai deja, extensii de browser, chatul pus de cine ți-a făcut site-ul.

2. Informează unde clientul întâlnește AI-ul. Chatbot, asistent în aplicație, răspunsuri automate pe email. Un rând, la prima interacțiune.

3. Marchează ce generezi. Imagini, clipuri, voce sintetică și, în cazurile de la articolul 50, text.

4. Pune un om pe verificarea a ce contează. Oferte, contracte, facturi, răspunsuri către clienți. AI-ul face grosul, omul verifică și dă OK-ul. E bun-simț operațional înainte să fie conformitate.

5. Instruiește oamenii și păstrează dovada. Cine a fost instruit, când, pe ce instrumente, ce s-a acoperit. Un fișier cu cinci coloane e destul.

6. Ține procesele scrise. Două rânduri per flux: ce intră, ce face AI-ul, cine verifică, ce iese.

Punctele 1 și 6 sunt aceeași muncă. Cine notează cum trece o comandă prin departament are la final și harta de procese, și inventarul cerut de regulament, și vede unde trebuie pus un anunț.

Ce înseamnă asta pentru site-ul și aplicațiile tale?

Cât te ține subiectul depinde de cum au fost construite lucrurile de la început.

• Website-urile pe care le construim pleacă cu informarea în chat și cu marcarea imaginilor generate scrise în cod de la prima versiune.
• Aplicațiile pe procesele firmei au verificarea în flux: cine a aprobat, când, ce a schimbat față de ce propusese AI-ul.
• La automatizări și agenți, regula e cea de la punctul 4: agentul face munca, un om verifică și semnează. Agenții rulează pe conturile firmei tale.
• Trainingul AI pe departamente începe cu un telefon de 30 de minute și 1 până la 2 zile de documentare a proceselor, apoi 2 zile de training pe fluxurile voastre, 3 întâlniri de câte 2 ore la 30, 60 și 90 de zile și o comunitate gratuită. De la €8.000 pe departament. Nu e un curs de conformitate, dar documentarea proceselor și evidența instruirii sunt exact hârtiile pe care regulamentul ți le cere oricum.

Dacă vrei să știi ce instrumente AI ai deja în firmă, primele 30 de minute sunt gratuite: Diagnostic 30 min.

Întrebări frecvente

Firma mea are 12 oameni. Chiar mă atinge AI Act?

Da, dar nu partea grea. Alfabetizarea AI se aplică din februarie 2025, în forma mai blândă dată de Omnibus. Transparența vine din august 2026, dacă un client întâlnește AI-ul.

Dacă am doar un chatbot pe site, ce trebuie să afișez?

Un rând clar, la prima interacțiune, din care omul înțelege că îi răspunde un sistem AI. În prima bulă a conversației sau pe eticheta widgetului, nu în Termeni.

Am scris articolele de pe blog cu ajutorul AI. Trebuie să anunț asta?

La text publicat pe teme de interes public, regula cere dezvăluirea, cu o excepție: dacă a trecut printr-o revizuire editorială umană și cineva își asumă răspunderea, eticheta nu mai e obligatorie. Imaginile și clipurile generate se marchează oricum.

Dacă nu fac nimic până la 2 august 2026, ce se întâmplă?

Obligațiile se aplică oricum: un regulament european produce efecte fără lege națională. În august 2026 lipsea doar instrumentul de sancționare. E o întârziere, nu o scutire.

Folosesc un instrument AI care filtrează CV-uri. Ce fac acum?

Recrutarea e listată în anexa III ca risc înalt, iar termenul s-a mutat la 2 decembrie 2027. Până atunci rămân alfabetizarea AI, informarea candidaților, un om care ia decizia finală și GDPR.