GDPR și AI în 2026: ce ar putea schimba Digital Omnibus pentru firmele din România

# GDPR și AI în 2026: ce ar putea schimba Digital Omnibus pentru firmele din România

Poate o firmă să folosească date despre clienți, candidați sau angajați pentru a antrena ori opera un sistem de GDPR și AI? Întrebarea a devenit mai urgentă după ce Consiliul Uniunii Europene și-a susținut poziția privind Digital Omnibus. Totuși, această poziție nu este lege finală: textul urmează procesul de negociere cu Parlamentul European, iar companiile nu ar trebui să trateze propunerea ca pe o permisiune deja aplicabilă.

Pentru un antreprenor sau manager din România, concluzia imediată este simplă: nu schimba încă temeiul juridic, notificările de confidențialitate ori mecanismele de consimțământ doar pentru că există o nouă propunere europeană. În schimb, folosește momentul pentru a afla exact ce date intră în instrumentele AI ale companiei, cine le procesează și în ce condiții.

Acest ghid separă faptele confirmate de propunerile aflate în negociere și de măsurile practice pe care o companie le poate lua fără să aștepte forma finală a regulamentului.

Ce propune UE pentru datele personale folosite în AI

Poziția Consiliului UE include un articol 88bis propus, relevant pentru prelucrarea datelor personale în dezvoltarea și utilizarea sistemelor de inteligență artificială. În esență, textul ar putea recunoaște mai explicit interesul legitim drept posibil temei juridic în anumite situații.

„Posibil” este cuvântul important. Interesul legitim nu este o aprobare generală pentru colectarea oricăror date și nici o scutire de restul obligațiilor. Compania ar trebui în continuare să definească un scop precis, să arate de ce prelucrarea este necesară și să cântărească interesul său în raport cu drepturile și așteptările rezonabile ale persoanelor vizate.

Trebuie diferențiate și două activități care par similare, dar pot avea scopuri și riscuri diferite:

Un furnizor poate susține că folosește datele doar pentru livrarea serviciului, dar setările contului ori contractul pot permite și reutilizarea lor pentru antrenare. De aceea, analiza nu se oprește la interfața produsului.

Organizația noyb critică formularea propusă ca fiind prea largă și avertizează că aceasta ar putea diminua protecția persoanelor. Aceasta este poziția organizației, nu un consens juridic și nici rezultatul definitiv al negocierilor europene.

Ce NU se schimbă încă pentru companiile din România

Faptul confirmat este că GDPR continuă să se aplice în forma actuală până când un text final este adoptat și intră în vigoare. Poziția Consiliului este o etapă legislativă. Nu înseamnă că regulamentul a fost deja modificat și nu elimină automat nevoia consimțământului acolo unde acesta este temeiul adecvat.

În consecință, firmele ar trebui să evite trei reacții pripite:

Rămân valabile principiile de minimizare a datelor, transparență, limitare a scopului, exactitate, securitate și limitare a perioadei de păstrare. Persoanele își păstrează drepturile aplicabile, inclusiv accesul, rectificarea, ștergerea sau opoziția, în funcție de context și de temeiul folosit.

În paralel, AI Act și regulile sectoriale pot adăuga obligații distincte. Un sistem folosit în recrutare, de exemplu, poate ridica atât probleme de protecție a datelor, cât și obligații specifice legate de risc, supraveghere umană și documentare. Pentru această zonă, consultă ghidul despre standardul AI Act.

Unde apare riscul în firmele românești: patru exemple

Riscul nu apare doar când o companie construiește un model propriu. El poate începe în momentul în care un angajat copiază într-un chatbot un e-mail, un tabel sau o transcriere care identifică persoane.

Retail și e-commerce

Un magazin online trimite istoricul comenzilor și conversațiile din suport către un asistent care generează recomandări. Echipa trebuie să întrebe ce câmpuri sunt cu adevărat necesare, dacă identificatorii pot fi eliminați, unde sunt procesate datele și cât timp rămân disponibile. De asemenea, trebuie verificat dacă furnizorul le folosește pentru propriile modele și cum poate un client să își exercite drepturile.

Resurse umane

O echipă HR încarcă CV-uri, evaluări și note de interviu într-un instrument care rezumă candidații. Scopul inițial al colectării CV-ului nu justifică automat reutilizarea pentru îmbunătățirea unui model. Compania trebuie să stabilească rolurile părților, accesul intern, perioada de păstrare și dacă rezultatul poate influența semnificativ o persoană. Decizia finală nu ar trebui transferată orbește sistemului.

Servicii medicale

O clinică folosește un chatbot pentru programări, iar pacienții ajung să descrie simptome sau tratamente. Datele privind sănătatea au regim special. O clauză generică din termenii furnizorului nu rezolvă cerințele aplicabile. Sunt necesare limitarea strictă a datelor, controale tehnice și contractuale, acces restricționat și o evaluare atentă a temeiurilor relevante.

Marketing și vânzări B2B

O companie combină înregistrări de apeluri, e-mailuri și date din CRM pentru scoring și personalizare. Înainte de implementare, trebuie separate scopurile: rezumarea unei discuții, recomandarea următoarei acțiuni și antrenarea unui model intern nu sunt neapărat aceeași prelucrare. Pentru fiecare, firma trebuie să documenteze datele folosite, necesitatea, retenția, destinatarii și opțiunile persoanei vizate.

| Flux AI | Date personale | Risc principal | Control recomandat |

|---|---|---|---|

| Recomandări e-commerce | comenzi, conversații, identificatori | reutilizare peste scopul inițial | pseudonimizare și retenție limitată |

| Selecție candidați | CV-uri, evaluări, note | efect incorect sau discriminatoriu | verificare umană și DPIA, unde este necesară |

| Chatbot medical | simptome, programări, date de contact | expunerea datelor sensibile | mediu izolat și acces strict |

| Scoring B2B | apeluri, e-mailuri, activitate CRM | profilare netransparentă | informare clară și drept de opoziție, unde se aplică |

Testul practic GDPR și AI în 6 pași

Înainte de a introduce date personale într-un sistem, compania poate aplica un test operațional în șase pași. Rezultatul ar trebui păstrat, nu doar discutat într-o ședință.

1. Inventariază sistemul, scopul și datele

Notează numele instrumentului, proprietarul intern, utilizatorii, funcția de business și categoriile de date. Separă datele obișnuite de categoriile speciale și de informațiile confidențiale. Scrie scopul într-o propoziție verificabilă, nu în termeni vagi precum „eficiență”.

2. Identifică rolurile GDPR

Stabilește cine decide scopul și mijloacele prelucrării. Furnizorul poate fi persoană împuternicită, operator independent sau, în anumite configurații, parte a unei relații de operatori asociați. Eticheta din contract nu este suficientă dacă activitatea reală arată altceva.

3. Stabilește temeiul legal actual

Analizează fiecare scop separat. Nu presupune automat că interesul legitim este disponibil și nu folosi consimțământul ca soluție universală. În relațiile de muncă, dezechilibrul dintre părți poate afecta caracterul liber al consimțământului.

4. Documentează testul și riscul

Dacă te bazezi pe interes legitim, consemnează interesul urmărit, necesitatea și balanța cu drepturile persoanei. Realizează o evaluare de impact asupra protecției datelor — DPIA — când prelucrarea poate genera un risc ridicat. Implică DPO-ul sau juristul companiei înainte de lansare, nu după incident.

5. Verifică furnizorul și traseul datelor

Examinează acordul de prelucrare, locațiile de găzduire, transferurile internaționale, subprocessatorii, retenția, ștergerea, criptarea și răspunsul la incidente. Confirmă în scris dacă datele sunt folosite pentru antrenare și dacă această opțiune poate fi dezactivată. O implementare controlată poate combina aceste verificări cu soluții AI pentru companii configurate în jurul proceselor și limitelor reale ale organizației.

6. Actualizează controalele și transparența

Revizuiește informările de confidențialitate, drepturile de acces, procedura de răspuns la cereri și registrul activităților. Aplică principiul accesului minim, păstrează jurnale relevante și stabilește cine poate aproba un nou caz de utilizare. Înregistrează inclusiv decizia de a nu continua un proiect și motivele ei.

Checklist de pregătire pentru următoarele 30 de zile

Măsurile de mai jos sunt recomandări operaționale „fără regret”: reduc riscul acum și rămân utile indiferent de forma finală a Digital Omnibus.

La finalul lunii, conducerea ar trebui să poată răspunde la patru întrebări: ce instrumente folosim, ce date le oferim, cine a aprobat fiecare scop și cum oprim ori corectăm procesul dacă apare o problemă?

Cum devine conformitatea un avantaj competitiv

Documentarea nu trebuie privită exclusiv ca o frână. Un registru clar, criterii de aprobare și contracte verificate reduc timpul pierdut la fiecare achiziție. Echipele pot testa mai repede o idee deoarece limitele sunt cunoscute dinainte.

Transparența poate construi încredere într-o piață în care clienții și angajații sunt încă prudenți. O explicație simplă — ce date folosește sistemul, pentru ce rezultat și ce control are omul — valorează mai mult decât o promisiune vagă despre „AI responsabil”.

Cea mai sigură cale de început este un pilot limitat: un singur proces, un set minim de date, acces controlat și indicatori măsurabili. Pe lângă rezultat, urmărește rata erorilor, intervențiile umane, incidentele, cererile persoanelor și datele care ajung inutil în sistem. Extinde proiectul numai după ce controalele au fost verificate.

Concluzie: GDPR și AI cer procese pregătite din timp

Discuția despre GDPR și AI poate modifica în viitor cadrul european, dar nu oferă astăzi o scurtătură pentru folosirea datelor personale. O companie pregătită știe unde circulă datele, de ce sunt necesare, cine răspunde pentru ele și ce se întâmplă când un furnizor sau o regulă se schimbă.

Începe prin cartografierea fluxurilor și printr-un pilot cu date minimizate. Dacă vrei să evaluezi tehnic și operațional următorul proiect, discută cu un consultant AI despre serviciile Agenția de AI și controalele potrivite organizației tale.

Acest material are scop informativ și nu reprezintă consultanță juridică. Deciziile privind temeiurile GDPR și obligațiile aplicabile trebuie validate cu DPO-ul sau juristul companiei.

Întrebări Frecvente

Poate o companie din România să folosească interesul legitim pentru antrenarea unui model AI?

Nu automat. În prezent, compania trebuie să analizeze scopul, necesitatea, impactul asupra persoanelor și toate celelalte cerințe GDPR. Propunerea Digital Omnibus este încă în negociere și nu reprezintă o permisiune generală.

S-a modificat deja GDPR pentru inteligența artificială?

Nu. Poziția Consiliului UE este o etapă legislativă, nu textul final aplicabil. Companiile românești trebuie să respecte cadrul actual până la adoptarea și intrarea în vigoare a eventualelor modificări.

Este suficient acordul furnizorului AI pentru a respecta GDPR?

Nu. Contractul este doar o parte a conformității. Compania trebuie să verifice temeiul legal, scopul, minimizarea datelor, transparența, retenția, securitatea, transferurile și drepturile persoanelor.

Ce ar trebui să facă acum o firmă românească ce folosește AI cu date personale?

Să inventarieze instrumentele și fluxurile de date, să verifice furnizorii, să documenteze temeiurile și riscurile, să limiteze accesul și să instruiască angajații. Orice schimbare juridică trebuie făcută numai după confirmarea textului final.