Audit AI Act: Ghid 2026 pentru companii din România

# Audit AI Act în România: ghid pentru companii în 2026

Un audit AI Act nu mai este un exercițiu pe care companiile din România îl pot amâna până când regulamentul devine „mai clar”. După ce Comisia Europeană a confirmat, la 1 septembrie 2026, că a solicitat informații de la peste 30 de companii din domeniul inteligenței artificiale, mesajul pentru piață este limpede: etapa exclusiv teoretică s-a încheiat. Pentru firmele care dezvoltă, distribuie sau folosesc AI, întrebarea practică este dacă pot explica rapid ce sisteme au, de unde provin, ce date procesează și ce controale aplică.

Vestea nu înseamnă că fiecare companie va fi controlată sau sancționată. Înseamnă însă că dovezile contează. O politică internă bine scrisă nu ajută dacă organizația nu știe ce instrumente folosesc angajații, cine aprobă schimbarea unui model sau unde sunt păstrate rezultatele testelor. Ghidul de mai jos transformă cerințele de conformitate într-un plan aplicabil în 30 de zile, adaptat realității companiilor românești.

> Acest material are scop informativ și nu reprezintă consultanță juridică. Obligațiile aplicabile trebuie validate împreună cu specialiști juridici, tehnici, de securitate și protecția datelor, în funcție de rolul companiei și de fiecare sistem utilizat.

Ce s-a schimbat după primele acțiuni ale Comisiei Europene

Faptul confirmat este că executivul european a cerut informații de la peste 30 de companii AI, acordând atenție siguranței, securității și modelelor de uz general. O solicitare de informații este un instrument de supraveghere și clarificare. Nu echivalează automat cu o constatare a încălcării regulamentului și nici cu aplicarea unei sancțiuni.

Schimbarea importantă pentru management este una de perspectivă. Până acum, multe organizații au tratat AI Act ca pe un proiect juridic viitor. Acțiunile Comisiei arată că pregătirea trebuie să producă răspunsuri verificabile în prezent. Dacă o autoritate întreabă ce versiune de model rulează într-o aplicație, cine i-a aprobat folosirea și ce incidente au fost înregistrate, răspunsul trebuie susținut de documente, jurnale și responsabilități clare.

Pentru o firmă românească, implicația editorială și practică este simplă: nu aștepta solicitarea oficială pentru a descoperi că departamentul comercial folosește un asistent AI neaprobat, că furnizorul a schimbat modelul fără notificare sau că testele inițiale nu mai corespund versiunii aflate în producție. Un dosar pregătit din timp reduce presiunea unui control și, în același timp, scoate la iveală riscuri operaționale care pot afecta clienții.

Ce firme din România trebuie să fie atente

Expunerea nu depinde doar de mărimea companiei. Depinde de rolul pe care îl are aceasta în lanțul AI, de scopul sistemului și de nivelul său de risc. Aceeași tehnologie poate atrage responsabilități diferite pentru compania care o dezvoltă, firma care o distribuie și organizația care o implementează într-un proces intern.

Rolul companiei schimbă obligațiile

O organizație poate fi furnizor sau dezvoltator al unui sistem, distribuitor, importator ori implementator/utilizator. Uneori poate avea mai multe roluri. De exemplu, o companie de outsourcing din Cluj poate integra un model al unui furnizor global, dar poate deveni responsabilă pentru o aplicație proprie pe care o livrează clienților sub brandul său.

Pentru fiecare sistem trebuie documentate cel puțin: rolul companiei, furnizorul de bază, utilizatorii, persoanele afectate, datele procesate și deciziile pe care sistemul le influențează. Eticheta generică „instrument intern” nu este o clasificare suficientă.

Patru exemple din economia locală

Un fintech din București care folosește AI pentru scoring trebuie să privească atent impactul asupra accesului la servicii financiare și posibilitatea unei revizuiri umane. O clinică privată care introduce triaj automat trebuie să analizeze siguranța, datele sensibile și rolul personalului medical. O fabrică din Brașov care folosește inspecție vizuală are nevoie de criterii pentru erori, oprire și escaladare. Un magazin online care utilizează un agent de suport trebuie să știe când clientul interacționează cu AI, ce informații primește modelul și când conversația ajunge la un operator.

Niciun exemplu nu poate fi clasificat corect doar după denumirea tehnologiei. Contextul, scopul, datele și efectul rezultatului contează. De aceea, o evaluare de risc AI trebuie făcută pe caz concret, nu copiată din documentația furnizorului.

Checklist de audit AI Act în 8 pași

Un proces util începe cu sistemele cu impact mare și produce dovezi care pot fi verificate. Următorii opt pași oferă o bază de lucru pentru un IMM sau pentru o companie mare cu operațiuni în România.

1. Creează registrul complet al sistemelor AI

Inventariază aplicațiile dezvoltate intern, funcțiile AI din produsele existente și serviciile cumpărate de la terți. Include extensiile de browser, conturile individuale, instrumentele gratuite și funcțiile activate direct de departamente. Discuțiile scurte cu HR, marketing, vânzări, suport, IT și achiziții identifică adesea utilizări care nu apar în registrul oficial.

2. Stabilește rolul și proprietarul intern

Pentru fiecare sistem, numește o persoană care răspunde de utilizarea sa în business. Proprietarul nu trebuie să fie automat directorul IT. Poate fi managerul procesului care înțelege efectul rezultatului asupra clienților și angajaților. Pentru un cadru mai amplu de politici și responsabilități, consultă ghidul de guvernanță AI pentru companii.

3. Clasifică utilizarea și riscul

Notează dacă sistemul procesează date personale sau sensibile, influențează decizii cu impact, se conectează la infrastructură critică ori poate produce consecințe financiare, medicale sau profesionale. Documentează motivarea clasificării, inclusiv situațiile în care echipa concluzionează că un risc nu este aplicabil.

4. Centralizează documentația

Adună descrierea scopului, limitele cunoscute, instrucțiunile de utilizare, aprobările, evaluările, versiunile și schimbările majore. Documentația sistemelor AI trebuie să descrie realitatea din producție, nu intenția de la începutul proiectului.

5. Verifică furnizorii

Cere informații despre versiunea modelului, locația datelor, subcontractori, retenție, măsuri de securitate și procedura de notificare a schimbărilor. Verifică dacă acordul oferă acces la dovezile necesare și dacă există un drept de audit proporțional cu riscul.

6. Păstrează jurnale și rezultate relevante

Stabilește ce evenimente trebuie înregistrate: incidente, erori, reclamații, schimbări, rezultate ale testelor și intervenții umane. Evită colectarea nediferențiată. Jurnalele trebuie să aibă scop, acces controlat, perioadă de retenție și protecție adecvată.

7. Testează securitatea și comportamentul

Testează prompt injection, accesul neautorizat, permisiunile excesive, divulgarea de informații, ieșirile eronate și mecanismele de oprire. Repetă testele după actualizări semnificative. Pentru implementarea controalelor și monitorizare, poți analiza soluții AI pentru companii adaptate proceselor tale.

8. Pregătește răspunsul către autorități

Definește cine primește solicitarea, cine colectează dovezile, cine validează răspunsul și cine îl aprobă. Stabilește un termen intern mai scurt decât termenul oficial și păstrează o evidență a documentelor transmise. O simulare simplă arată rapid dacă informația este accesibilă sau fragmentată între juridic, IT și furnizori.

Dosarul minim de dovezi pentru fiecare sistem AI

Un dosar eficient nu trebuie să fie voluminos. Trebuie să fie actualizat, coerent și ușor de urmărit. Pentru fiecare sistem, include fișa scopului și utilizările interzise, evaluarea riscului, criteriile de acceptare, contractul și anexele tehnice, testele efectuate înainte de lansare și după actualizări, jurnalele relevante, incidentele, intervențiile umane, politica internă și dovada instruirii angajaților.

O matrice centrală ajută echipa să vadă imediat ce există și ce lipsește:

|---|---|---|---|---|

Matricea nu înlocuiește documentele. Ea funcționează ca index și tablou de remediere. Fiecare rând ar trebui să indice o sursă controlată, nu fișierul local al unui angajat. Accesul trebuie acordat pe roluri, iar schimbările importante trebuie să lase urme.

Cum auditezi furnizorii de modele și aplicații AI

Formulările precum „folosim AI responsabil” sau „respectăm standardele industriei” nu sunt dovezi suficiente. O evaluare serioasă cere răspunsuri concrete, documente și termene. Întrebările trebuie adaptate riscului: un instrument de transcriere internă nu necesită aceeași profunzime ca un sistem care recomandă aprobarea unui credit.

Întrebări care produc răspunsuri verificabile

Cere furnizorului să identifice modelul și versiunea, regiunile în care sunt procesate datele, perioada de retenție, lista subcontractorilor și modul în care datele clientului sunt sau nu folosite pentru antrenare. Solicită documentația limitelor, rezultatele testelor relevante și procesul pentru raportarea incidentelor.

Contractual, urmărește notificarea înaintea schimbărilor majore, un SLA pentru incidente, asistență la solicitările autorităților și posibilitatea de a exporta jurnalele necesare. Dacă modelul se actualizează automat, stabilește cine reevaluează efectul schimbării și în ce interval.

Cine păstrează dovezile

În cazul serviciilor globale folosite în România, contractul și procedura operațională trebuie să spună cine deține fiecare dovadă și cum o poate primi clientul local. O pagină publică a furnizorului poate dispărea sau se poate schimba; păstrează versiunile relevante ale documentației și data la care au fost consultate. Dacă un răspuns depinde de un tichet deschis în alt fus orar, include acest timp în procedura internă.

În final, nu transfera automat concluziile furnizorului în propria evaluare. Furnizorul descrie produsul; compania românească trebuie să descrie utilizarea concretă, configurația, integrările și efectele în procesul său.

Plan de pregătire în 30 de zile

Un plan scurt nu rezolvă toate lipsurile, dar poate crea vizibilitate, priorități și control. Obiectivul primei luni este să afli ce ai, ce risc prezintă și ce trebuie remediat mai întâi.

Zilele 1–7: inventar și proprietari

Identifică toate sistemele, furnizorii și utilizările neoficiale. Numește proprietarii interni și oprește temporar cazurile despre care nimeni nu poate explica ce date trimit sau ce acces au. Nu penaliza raportarea voluntară a instrumentelor neaprobate; altfel, utilizarea va rămâne ascunsă.

Zilele 8–15: clasificare și lipsuri

Grupează sistemele după rol, impact și risc. Compară documentele existente cu dosarul minim și notează lipsurile. Implică juridicul, DPO-ul, securitatea, achizițiile și proprietarul de business acolo unde este relevant.

Zilele 16–23: teste și remedieri

Testează mai întâi sistemele care influențează persoane, bani, sănătate, angajare sau acces la servicii. Restrânge permisiunile, corectează integrările fragile și actualizează contractele ori procedurile. Dacă o remediere durează, introdu un control compensatoriu și un termen asumat.

Zilele 24–30: simulare și aprobare

Trimite echipei o solicitare simulată cu întrebări despre trei sisteme prioritare. Măsoară timpul necesar pentru colectarea documentelor, identifică contradicțiile și cere managementului să aprobe riscurile rămase. Încheie luna cu un plan de îmbunătățire, responsabili și date clare.

Greșeli frecvente în companiile românești

Prima greșeală este presupunerea că furnizorul cloud preia toate obligațiile. Acesta poate oferi documentație și controale, dar nu cunoaște complet scopul local, integrările, utilizatorii și deciziile influențate.

A doua este lipsa unui registru central. În multe IMM-uri, AI ajunge în firmă prin carduri de companie, abonamente individuale sau funcții activate într-un software existent. Achizițiile și IT-ul văd doar o parte din peisaj.

A treia este documentarea exclusiv la lansare. Modelele, datele, prompturile, integrările și comportamentul se schimbă. O actualizare majoră trebuie să declanșeze o reevaluare proporțională și, unde este cazul, teste noi.

A patra este confundarea conformității AI Act cu GDPR sau securitatea cibernetică. Domeniile se intersectează, însă niciun audit nu le substituie complet pe celelalte. Un sistem poate avea acces bine securizat, dar să producă rezultate discriminatorii; poate respecta reguli de protecție a datelor, dar să nu aibă supraveghere umană adecvată.

A cincea este colectarea excesivă de jurnale „pentru orice eventualitate”. Mai multe date nu înseamnă automat mai mult control. Fără scop, acces limitat și retenție, jurnalele pot crea un risc suplimentar pentru companie și persoanele vizate.

Concluzie audit AI Act: începe cu sistemele cu impact mare

Pregătirea bună nu pornește cu sute de pagini de proceduri. Pornește cu un inventar real, proprietari numiți și trei până la cinci sisteme care pot produce cel mai mare impact. O evaluare inițială, proporțională cu rolul și riscul companiei, poate identifica rapid lipsurile de documentație, contractele fragile și controalele care trebuie aplicate înaintea unei solicitări oficiale.

Agenția de AI ajută companiile să își evalueze portofoliul, să implementeze controale și să construiască un plan realist de conformitate și remediere. Dacă vrei să afli unde sunt riscurile prioritare în organizația ta, solicită o evaluare AI.

Întrebări Frecvente

Ce este un audit AI Act?

Este o evaluare structurată a sistemelor AI, rolurilor, riscurilor, furnizorilor și dovezilor unei organizații pentru a identifica obligațiile aplicabile și lipsurile care trebuie remediate.

Este obligatoriu auditul AI Act pentru toate firmele din România?

Nu există aceeași obligație de audit pentru orice firmă. Cerințele depind de rolul companiei, tipul sistemului și nivelul de risc, dar inventarierea și verificarea documentelor sunt măsuri prudente pentru orice utilizare relevantă.

Ce documente trebuie pregătite pentru un control AI Act?

În funcție de rol și sistem, pot fi relevante documentația tehnică, evaluările de risc, contractele cu furnizorii, jurnalele, testele, incidentele, supravegherea umană și dovezile de instruire.

Cât durează pregătirea unui audit AI Act?

Un inventar inițial și analiza principalelor lipsuri pot fi realizate în aproximativ 30 de zile, însă remedierea completă depinde de numărul sistemelor, riscurile lor și cooperarea furnizorilor.

Vrei să discutăm despre proiectul tău?

Primul apel e gratuit.

HAI SĂ DISCUTĂM?

Audit AI Act în România: ghid pentru companii în 2026