Servicii juridice

Consultanță Juridică EU AI Act & DPIA

Conformitate juridică cu EU AI Act pentru firme din România

„AI fără riscuri juridice.”

Regulamentul UE 2024/1689 privind inteligența artificială se aplică etapizat, iar calendarul a fost ajustat prin Regulamentul (UE) 2026/1744 (Digital Omnibus on AI), în vigoare din 27 iulie 2026. Dacă firma ta folosește AI în recrutare, în relații cu clienții sau în luarea deciziilor, ai deja obligații, iar altele se apropie.

Calendarul AI Act s-a modificat

Digital Omnibus a mutat termenul pentru sistemele cu risc ridicat.

Obligațiile de transparență se aplică din 2 august 2026, iar cele pentru sistemele cu risc ridicat din Anexa III (recrutare, scoring) din 2 decembrie 2027.

  • Avocat specializat în drept digital și reglementare AI
  • Integrare GDPR + AI Act + NIS2 într-un singur cadru
  • Consultanță pentru IMM-uri și companii mari
  • Abordare practică, orientată spre business
DE CE CONTEAZĂ

EU AI Act nu este doar pentru companiile de tehnologie

Cel mai frecvent mit pe care îl întâlnesc este că EU AI Act ar fi o problemă exclusiv a companiilor care dezvoltă inteligență artificială. În realitate, orice firmă care utilizează un sistem AI devine, în ochii legii, un „deployer” cu obligații juridice precise.

Dacă folosești ChatGPT, Claude sau alte sisteme AI pentru a filtra CV-uri, un algoritm care evaluează performanța angajaților sau un chatbot care răspunde clienților, ești deja vizat de Regulamentul UE 2024/1689.

Sectoarele cel mai intens afectate sunt serviciile financiare, tehnologia, resursele umane, sănătatea și serviciile juridice. Obligațiile de transparență vizează însă anumite tipuri de sisteme (chatboți, generatoare de conținut, deepfake-uri), indiferent de domeniul firmei.

TERMENE

Calendarul actualizat al EU AI Act

Prin Regulamentul (UE) 2026/1744 (Digital Omnibus on AI), în vigoare din 27 iulie 2026, termenele pentru sistemele cu risc ridicat au fost mutate. Alte obligații se aplică însă în continuare conform calendarului inițial.

  • 2 august 2026 – Se aplică obligațiile de transparență din Art. 50, atât pentru furnizori, cât și pentru deployeri: informarea persoanelor că interacționează cu un sistem AI, marcarea conținutului generat de AI și dezvăluirea deepfake-urilor. Obligațiile concrete depind de rolul firmei (furnizor sau deployer) și de modul în care este folosit sistemul.
  • 2 decembrie 2026 – Intră în aplicare două interdicții noi (imagini intime nonconsensuale și materiale de abuz sexual asupra copiilor). Până la această dată, furnizorii de sisteme care generează conținut sintetic (audio, imagine, video, text), introduse pe piață înainte de 2 august 2026, trebuie să respecte obligația de marcare automată din Art. 50(2) (Art. 111(4)). Sistemele introduse pe piață după 2 august 2026 nu beneficiază de această perioadă, iar ea nu se aplică deployerilor.
  • 2 decembrie 2027 (termen mutat) – Se aplică obligațiile pentru sistemele cu risc ridicat din Anexa III: recrutare și managementul angajaților, scoring de credit, educație, infrastructură critică. Termenul inițial era 2 august 2026.
  • 2 august 2028 (termen mutat) – Se aplică obligațiile pentru sistemele cu risc ridicat integrate în produse reglementate (Anexa I): dispozitive medicale, utilaje, jucării. Termenul inițial era 2 august 2027.

Amânarea nu este o scutire. Documentația tehnică, managementul riscurilor și supravegherea umană necesită luni de implementare. Firmele care încep din timp evită aglomerarea din 2027, iar cele care folosesc deja AI au de respectat obligațiile de transparență încă din august 2026.

Regimul de sancțiuni EU AI Act

Practici interzise (sisteme AI cu risc inacceptabil) – 35M € sau 7%

Nerespectarea obligațiilor operatorilor (sisteme cu risc ridicat, transparență Art. 50) –  15M € sau 3%

Furnizarea de informații incorecte autorităților –  7,5M € sau 1%

Pentru IMM-uri și startup-uri se aplică suma mai mică –   prag redus

Regulamentul se aplică direct în România. Autoritatea de supraveghere a pieței (propusă: ANCOM) și regimul național de sancțiuni sunt în curs de stabilire prin lege.

Protejează-ți afacerea înainte ca riscurile să se transforme în sancțiuni.

Discută cu un avocat expert pentru a analiza obligațiile DPIA specifice companiei tale.

CE OFERIM

Servicii de consultanță juridică EU AI Act

Fiecare firmă are o relație diferită cu AI. Pornim de la situația ta concretă , nu de la un template generic și construim un cadru de conformitate care funcționează în practică.

Audit de conformitate EU AI Act

Analizăm toate sistemele și instrumentele AI pe care firma ta le utilizează, identificăm categoria de risc conform Regulamentului și stabilim ce obligații îți revin ca provider sau deployer.

Politici interne AI și guvernanță

Redactăm coduri de conduită interne, regulamente de utilizare a instrumentelor generative (ChatGPT, Copilot) de către angajați și politici de guvernanță corporativă adaptate cerințelor EU AI Act.

AI Act + GDPR - conformitate integrată

Cele două regulamente se suprapun semnificativ. Elaborăm un cadru integrat care acoperă simultan protecția datelor personale, drepturile individuale față de deciziile automate și obligațiile AI Act.

Training juridic AI Act pentru echipe

Sesiuni practice de informare pentru echipele de management, HR, IT și juridic: ce este AI Act, ce înseamnă concret pentru fiecare departament și cum se implementează obligațiile în activitatea zilnică.

Evaluare risc sisteme AI cu risc ridicat

Pentru sistemele clasificate ca „risc ridicat" (recrutare, scoring, acces la servicii, infrastructură critică), elaborăm documentația obligatorie: evaluarea de impact, managementul riscurilor, testarea. Obligațiile pentru Anexa III se aplică din 2 decembrie 2027.

Transparență și obligații de informare

Anumite sisteme AI (chatboți, generatoare de conținut sintetic, deepfake-uri, recunoaștere a emoțiilor) au obligații de transparență față de utilizatori. Pregătim notificările, disclaimerele și mecanismele de dezvăluire conform Art. 50 din Regulament, aplicabil din 2 august 2026.

DPIA - Evaluare de Impact asupra Protecției Datelor

Elaborarea completă a Data Protection Impact Assessment (DPIA) pentru sisteme AI care prelucrează date personale. DPIA este obligatorie legal ori de câte ori un sistem AI prezintă riscuri ridicate pentru drepturile persoanelor vizate și este primul document cerut de autorități în caz de investigație.

Obligatorie pentru: sisteme de recrutare AI · scoring · monitorizare angajați · profilare clienți · decizie automatizată

PENTRU CINE

Cui se adresează aceste servicii?

EU AI Act se aplică furnizorilor care introduc pe piața UE sau pun în funcțiune sisteme AI, deployerilor stabiliți în UE, precum și furnizorilor și deployerilor din afara UE al căror sistem produce rezultate utilizate în Uniune. Există excluderi (de exemplu uz militar, cercetare științifică, uz personal neprofesional).

Companii tech și startup-uri

Dacă dezvolți sau distribui produse AI pe piața europeană, ești „provider" și ai cele mai extinse obligații din Regulament.

Sănătate și farma

Sistemele AI utilizate în diagnostic, monitorizare pacienți sau recomandare terapeutică au cerințe stricte de documentare. Dispozitivele medicale care încorporează AI intră, de regulă, sub Anexa I (termen 2 august 2028).

Bănci și servicii financiare

Scoringul de credit și evaluarea riscului de client intră în categoria sistemelor AI cu risc ridicat. Detectarea fraudei necesită o analiză de la caz la caz.

Retail și e-commerce

Chatboți, recomandări personalizate și sisteme de pricing dinamic trebuie să respecte obligațiile de transparență.

Firme cu procese de recrutare AI

Instrumentele de filtrare CV-uri, evaluare candidați sau monitorizare angajați bazate pe AI sunt clasificate, ca regulă, drept risc ridicat (Anexa III), cu obligații aplicabile din 2 decembrie 2027.

Orice IMM care folosește AI

Chiar dacă folosești doar ChatGPT sau Copilot în activitate, ca „deployer" ai obligații proprii, de exemplu cele de dezvoltare a competențelor de AI ale personalului (Art. 4), în forma modificată prin Digital Omnibus.
CUM LUCRĂM?

Procesul de conformitate EU AI Act

Un proces structurat în patru etape, adaptat dimensiunii și complexității fiecărei organizații.

Cartografiere și inventar

Identificăm toate sistemele și instrumentele AI utilizate în firmă, persoanele implicate și fluxurile de date. Stabilim rolul juridic al firmei tale (provider / deployer / distribuitor).

Monitorizare continuă

EU AI Act este un cadru viu, ghidurile și cerințele tehnice continuă să fie publicate. Oferim monitorizare periodică și actualizarea documentației pe măsură ce regulamentul se concretizează.

Clasificare și analiză de risc

Aplicăm grila de risc din EU AI Act (inacceptabil / ridicat / limitat / minim) fiecărui sistem identificat și stabilim ce obligații specifice generează fiecare categorie, , cu termenul aplicabil.

Documentație și politici

Elaborăm documentele cerute de Regulament: politici interne, proceduri de supraveghere umană, registre, evaluări de impact, notificări pentru utilizatori și contracte cu furnizorii AI.

Monitorizare continuă

EU AI Act este un cadru viu, ghidurile și cerințele tehnice continuă să fie publicate. Oferim monitorizare periodică și actualizarea documentației pe măsură ce regulamentul se concretizează.
AVOCAT SPECIALIZAT DPIA

De ce este esențial un avocat Lawyeresse, specializat în realizarea DPIA?

O evaluare a impactului valabilă din punct de vedere juridic și acceptată de autorități necesită o abordare multidisciplinară (legală, tehnică și operațională) pe care un avocat specializat în protecția datelor o poate asigura:

💡 Interpretarea corectă a pragului de risc

Nu orice prelucrare necesită DPIA. Avocatul Lawyeresse analizează specificul activității tale economice (fie că activezi în IT, e-commerce, servicii medicale sau imobiliare) și stabilește cu precizie dacă operațiunile tale cad sub incidența obligației legale, scutindu-te de birocrație inutilă sau, dimpotrivă, prevenind omisiuni grave.

💡 Redactarea riguroasă a raportului juridic

Un DPIA nu este un simplu tabel cu bifări, ci un document justificativ amplu care conține:

  1. O descriere sistematică a operațiunilor de prelucrare și a scopurilor urmărite.

  2. O evaluare a necesității și proporționalității prelucrării în raport cu scopul.

  3. O analiză detaliată a riscurilor pentru drepturile și libertățile persoanelor vizate.

  4. Măsurile de securitate și garanțiile implementate pentru a contracara riscurile identificate (inclusiv politici interne, criptare, pseudonimizare).

💡 Consultarea prealabilă a autorității (ANSPDCP)

Dacă, în urma evaluării DPIA, rezultă că riscurile rămân ridicate în pofida măsurilor luate de companie, legea impune consultarea obligatorie a autorității de supraveghere înainte de demararea prelucrării. Asistența unui avocat în această etapă critică asigură reprezentarea corectă a intereselor companiei și argumentarea tehnică a măsurilor de protecție adoptate.

Ghidăm fondatori de startup-uri, directori de HR și manageri IT în tranziția către conformitatea europeană.

Hai să clarificăm situația firmei tale.

Programează o consultație de 30 de minute în care analizăm împreună ce sisteme AI utilizezi și care sunt prioritățile tale de conformitate.

Ce trebuie să știi despre EU AI Act?

Răspunsuri clare la cele mai frecvente întrebări primite de la firme și antreprenori din România.

Ce este EU AI Act și de când se aplică în România?
EU AI Act și GDPR sunt complementare și se suprapun semnificativ. GDPR reglementează prelucrarea datelor personale, inclusiv în contextul deciziilor automate (Art. 22 GDPR). AI Act adaugă un strat suplimentar: reglementează sistemele AI în sine, indiferent dacă prelucrează sau nu date personale. Cele mai importante puncte de intersecție sunt: evaluările de impact (DPIA sub GDPR și evaluarea de impact privind drepturile fundamentale sub AI Act), dreptul la informații despre logica deciziilor automatizate (Art. 15 GDPR), dreptul la explicație pentru sistemele cu risc ridicat (Art. 86 AI Act) și obligațiile de transparență. O abordare integrată GDPR + AI Act este mai eficientă și evită dublarea eforturilor.
Firma mea este obligată să respecte EU AI Act dacă nu dezvoltă AI?
Da. EU AI Act creează obligații nu doar pentru companiile care dezvoltă AI (numiți „providers"), ci și pentru cele care îl utilizează în activitatea lor (numiți „deployers"). Dacă folosești un chatbot pentru clienți, un software de recrutare cu AI, un instrument de evaluare a performanței angajaților sau orice altă soluție AI care afectează decizii cu impact asupra oamenilor, ești vizat de Regulament și ai obligații de transparență, documentare și supraveghere umană, în funcție de categoria de risc a sistemului.
Dacă folosesc doar ChatGPT gratuit la birou, intru sub incidența AI Act?
Da, compania ta intră sub incidența Regulamentului European privind Inteligența Artificială (AI Act), iar faptul că folosești versiunea gratuită nu te exonerează de reguli, deși rolul tău este diferit față de cel al dezvoltatorului (OpenAI).

Modul în care AI Act se aplică în cazul tău depinde de doi factori principali: rolul pe care îl ai și ce anume faci cu instrumentul la birou.
Ce sunt sistemele AI cu risc ridicat și ce obligații generează?
Sistemele AI cu risc ridicat sunt cele care pot afecta semnificativ sănătatea, siguranța sau drepturile fundamentale ale oamenilor. Anexa III din Regulament listează categoriile: sisteme folosite în recrutare și management HR, scoring de credit, evaluarea eligibilității pentru servicii publice, sisteme biometrice, sisteme în infrastructură critică, educație și formare profesională. Pentru aceste sisteme, Regulamentul impune: sistem de management al riscurilor, guvernanță a datelor de antrenament, documentație tehnică detaliată, păstrarea de jurnale, transparență față de utilizatori, supraveghere umană și înregistrare în baza de date EU AI Act. Aceste obligații se aplică de la 2 decembrie 2027 pentru sistemele din Anexa III și de la 2 august 2028 pentru cele din Anexa I.
Cum se raportează EU AI Act la GDPR?
EU AI Act și GDPR sunt complementare și se suprapun semnificativ. GDPR reglementează prelucrarea datelor personale, inclusiv în contextul deciziilor automate (Art. 22 GDPR). AI Act adaugă un strat suplimentar: reglementează sistemele AI în sine, indiferent dacă prelucrează sau nu date personale. Cele mai importante puncte de intersecție sunt: evaluările de impact (DPIA sub GDPR și evaluarea de impact privind drepturile fundamentale sub AI Act), dreptul la explicație al deciziilor automatizate și obligațiile de transparență. O abordare integrată GDPR + AI Act este mai eficientă și evită dublarea eforturilor.
Ce amenzi riscă firmele care nu respectă EU AI Act?
Sancțiunile EU AI Act sunt substanțiale și depășesc, în unele cazuri, amenzile GDPR. Pentru utilizarea practicilor interzise (sisteme AI cu risc inacceptabil), amenzile pot ajunge la 35 de milioane EUR sau 7% din cifra de afaceri globală anuală, suma mai mare aplicându-se. Pentru nerespectarea obligațiilor operatorilor (printre care cele privind sistemele cu risc ridicat și obligațiile de transparență din Art. 50), amenda maximă este de 15 milioane EUR sau 3% din cifra de afaceri. Pentru furnizarea de informații incorecte autorităților, limita este de 7,5 milioane EUR sau 1%. Pentru IMM-uri și startup-uri, se aplică suma mai mică dintre valoarea monetară și procentul din cifra de afaceri. În România, autoritățile naționale pot aplica aceste sancțiuni doar după adoptarea legii naționale de implementare, aflată în elaborare.
Ce este o DPIA și când este obligatorie pentru sistemele AI?
DPIA (Data Protection Impact Assessment) sau Evaluarea de Impact asupra Protecției Datelor este un document obligatoriu conform Art. 35 din GDPR ori de câte ori o operațiune de prelucrare a datelor personale este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. În contextul AI, DPIA este, de regulă, necesară pentru: sisteme de profilare sau scoring al persoanelor (inclusiv scoring de credit sau evaluare de performanță), sisteme de monitorizare sistematică a angajaților sau clienților, sisteme de decizie automatizată cu efecte juridice sau semnificative asupra persoanelor, sisteme care prelucrează date sensibile (date biometrice, date de sănătate). Prelucrarea la scară largă este un criteriu suplimentar, iar necesitatea DPIA se stabilește de la caz la caz. Pentru anumiți deployeri de sisteme cu risc ridicat (organisme publice, entități private care furnizează servicii publice și deployerii de sisteme de scoring de credit sau de evaluare a riscurilor și prețurilor în asigurările de viață și de sănătate), EU AI Act introduce în plus o „Evaluare de Impact privind Drepturile Fundamentale" (Art. 27), aplicabilă din 2 decembrie 2027, un document distinct, dar complementar DPIA. Elaborarea corectă a ambelor documente este esențială: pot fi solicitate de ANSPDCP sau de alte autorități de supraveghere în cazul unei investigații.
Cât durează procesul de conformitate cu EU AI Act?
Durata depinde de complexitatea organizației și de numărul de sisteme AI utilizate. Pentru un IMM cu un număr limitat de sisteme AI, procesul complet de la audit la documentație finală poate dura, orientativ, între 4 și 10 săptămâni. Pentru companii mari cu sisteme AI multiple și complexe, procesul poate dura, orientativ, 3-6 luni. Recomandarea este să începi din timp: obligațiile de transparență se aplică deja, iar cele pentru sistemele cu risc ridicat se apropie de 2 decembrie 2027. Autoritatea de supraveghere a pieței (propusă: ANCOM) și cadrul național de sancțiuni sunt în curs de stabilire, iar ANSPDCP are atribuții pentru anumite sisteme (biometrie, migrație, justiție).