# Standard AI Act: cum aplică firmele din România EN 18286
Pentru o companie românească ce dezvoltă sisteme AI cu risc ridicat, noul standard AI Act mută discuția de la principii generale la procese care pot fi documentate, testate și auditate. Referința EN 18286:2026 a fost publicată în Jurnalul Oficial al Uniunii Europene, iar furnizorii au acum un reper tehnic pentru sistemul de management al calității cerut de articolul 17. Important: standardul susține cerințele pe care le acoperă, dar nu garantează conformitatea cu întregul AI Act.
Această delimitare contează. O firmă poate avea politici solide de calitate și, în același timp, să mai aibă de rezolvat obligații privind clasificarea riscului, guvernanța datelor, documentația tehnică, transparența, supravegherea umană, securitatea sau monitorizarea după introducerea pe piață. EN 18286 oferă o rută practică, nu o scurtătură juridică.
Ce este standardul AI Act EN 18286:2026
Un standard armonizat este elaborat de o organizație europeană de standardizare în urma unei solicitări a Comisiei Europene. Atunci când referința lui este publicată în Jurnalul Oficial al UE, aplicarea prevederilor relevante poate conferi „prezumție de conformitate” cu cerințele legale pe care standardul le acoperă.
În cazul EN 18286:2026, miza este sistemul de management al calității pentru furnizorii de sisteme AI cu risc ridicat. În termeni practici, organizația trebuie să demonstreze că nu se bazează pe decizii improvizate. Are nevoie de responsabilități clare, procese controlate, criterii de acceptare, evidențe, mecanisme de escaladare și îmbunătățire continuă.
Prezumția de conformitate nu înseamnă imunitate și nici validarea automată a produsului. Ea funcționează în limita cerințelor acoperite și a versiunii standardului menționate oficial. Compania trebuie să verifice textul publicat, anexele aplicabile și eventualele limitări. Dacă alege altă metodă decât standardul armonizat, poate face acest lucru, dar va trebui să demonstreze prin dovezi adecvate că soluția alternativă satisface cerințele legale.
Pentru informația primară și forma actualizată a anunțului, consultă pagina Comisiei Europene despre primul standard armonizat pentru AI Act. Interpretarea pentru un produs concret trebuie validată împreună cu specialiști juridici și tehnici.
Ce companii din România sunt vizate
Standardul este relevant în primul rând pentru furnizorii care dezvoltă un sistem AI cu risc ridicat sau îl introduc pe piață ori îl pun în funcțiune în UE sub propriul nume sau marcă. Sediul în România nu limitează obligațiile la piața locală: contează rolul juridic, utilizarea prevăzută și circuitul produsului în Uniune.
Exemplele pot include:
un startup HR tech care furnizează un sistem folosit pentru selecția, evaluarea sau promovarea candidaților;
o companie MedTech al cărei modul AI intră într-un produs medical supus evaluării de conformitate;
un furnizor de tehnologie pentru infrastructură critică;
o platformă folosită în educație pentru admitere, evaluare sau orientarea accesului la programe;
un integrator care livrează instituțiilor publice un sistem ce influențează accesul persoanelor la servicii esențiale.
Nu orice instrument cu AI intră automat în categoria de risc ridicat. Clasificarea depinde de utilizarea prevăzută, funcția sistemului și încadrarea legală. Mai mult, aceeași organizație poate avea roluri diferite pentru produse diferite: furnizor pentru propria platformă, deployer pentru un instrument cumpărat, importator pentru o soluție din afara UE sau distribuitor pentru un produs al altui producător.
Aceste roluri nu sunt simple etichete. Ele determină obligațiile, documentele și controalele pe care firma trebuie să le gestioneze. De exemplu, personalizarea profundă, schimbarea utilizării prevăzute sau comercializarea sub marcă proprie poate modifica responsabilitatea organizației. De aceea, inventarul tehnic trebuie corelat cu o analiză juridică, nu completat izolat de echipa IT.
Ce trebuie să conțină sistemul de management al calității
Un sistem credibil de management al calității trebuie să unească politica organizației cu activitatea zilnică. Nu este suficient un dosar de proceduri redactat înaintea auditului. Auditorul sau evaluatorul trebuie să poată urmări legătura dintre o cerință, controlul ales, persoana responsabilă, execuția controlului și dovada rezultatului.
Guvernanță și responsabilități
Conducerea trebuie să stabilească cine aprobă lansarea, cine acceptă riscul rezidual, cine investighează incidentele și cine poate opri utilizarea sistemului. Matricea de responsabilități trebuie completată de reguli de segregare a atribuțiilor și de o cale clară de escaladare. Pentru modele, seturi de date, teste și versiuni de produs trebuie păstrat un control coerent al documentelor.
Un punct bun de plecare este ghidul de guvernanță AI pentru companii din România, care explică modul în care rolurile și politicile pot deveni mecanisme operaționale.
Risc, date și validare
Procesul trebuie să acopere riscurile pe tot ciclul de viață: proiectare, dezvoltare, testare, lansare, utilizare, actualizare și retragere. Echipa va documenta sursele datelor, relevanța și calitatea lor, limitările cunoscute, măsurile de reducere a erorilor și criteriile prin care o versiune este acceptată sau respinsă.
Testarea nu se reduce la acuratețea medie. În funcție de context, poate include robustețe, securitate, performanță pe grupuri relevante, scenarii-limită, comportament la schimbări de distribuție și eficiența supravegherii umane. Rezultatele trebuie să fie reproductibile și asociate versiunii exacte a modelului, codului, configurației și datelor.
Monitorizare, incidente și schimbări
După lansare, firma are nevoie de indicatori, praguri de alertă și un proces pentru feedback, reclamații și incidente. O modificare a modelului, a datelor, a interfeței sau a utilizării prevăzute trebuie evaluată înainte de producție. Nu toate schimbările au același impact, însă fiecare trebuie înregistrată și triată după criterii prestabilite.
Furnizorii externi intră în aceeași logică. Contractele, cerințele tehnice, nivelurile de serviciu și dreptul de a obține dovezi relevante trebuie gestionate proporțional cu riscul. Pentru automatizarea registrelor, fluxurilor de aprobare și controalelor recurente, companiile pot integra soluții AI pentru companii în arhitectura lor operațională, fără a transfera în afara organizației răspunderea pentru conformitate.
EN 18286 vs. ISO/IEC 42001 și ISO 9001
Cele trei standarde se pot completa, dar nu sunt interschimbabile. O certificare existentă oferă infrastructură și disciplină organizațională; nu demonstrează automat că toate cerințele AI Act relevante pentru un sistem concret sunt îndeplinite.
| Reper | Obiectiv principal | Utilitate pentru o firmă AI | Limită importantă |
|---|---|---|---|
| EN 18286:2026 | Sistemul de management al calității asociat cerințelor AI Act pentru furnizorii de sisteme cu risc ridicat | Aliniază procesele și dovezile cu cerințele armonizate acoperite | Nu acoperă întregul AI Act și nu elimină analiza pe produs |
| ISO/IEC 42001 | Sistem organizațional de management al inteligenței artificiale | Oferă guvernanță, obiective, management al riscului și îmbunătățire continuă pentru AI | Certificarea nu produce automat conformitate cu EN 18286 sau cu toate obligațiile legale |
| ISO 9001 | Sistem general de management al calității | Oferă procese mature pentru documente, neconformități, audit și îmbunătățire | Nu este construit special pentru riscurile, datele și ciclul de viață al AI |
O companie certificată ISO 9001 poate reutiliza controlul documentelor, auditurile interne și gestionarea acțiunilor corective. Dacă are ISO/IEC 42001, poate reutiliza guvernanța AI, registrul de riscuri și mecanismele de monitorizare. Apoi creează o matrice de corespondență cu EN 18286 și completează numai lacunele reale.
Această abordare reduce dublarea politicilor. Un singur proces de management al schimbărilor poate deservi mai multe cadre, cu anexe și criterii specifice produsului. Un singur registru de dovezi poate indexa documentele cerute de mai multe controale. Esențial este ca organizația să poată arăta exact ce cerință acoperă fiecare proces.
Plan standard AI Act în 6 pași pentru companiile românești
1. Inventariază sistemele și stabilește rolul juridic
Listează produsele proprii, modelele integrate, API-urile externe și instrumentele folosite intern. Pentru fiecare, notează proprietarul, utilizarea prevăzută, utilizatorii, piața și rolul companiei. Include soluțiile pilot și funcțiile AI adăugate produselor existente.
2. Clasifică riscul și păstrează raționamentul
Nu consemna doar concluzia. Documentează faptele, ipotezele, criteriile și persoanele care au aprobat încadrarea. Revizuiește clasificarea când se schimbă produsul, contextul de utilizare sau cadrul aplicabil.
3. Fă analiza diferențelor
Compară cerințele EN 18286 cu procesele existente din ISO 9001, ISO/IEC 42001, securitate, protecția datelor și dezvoltare software. Pentru fiecare diferență, stabilește riscul, măsura, responsabilul, termenul și dovada așteptată.
4. Numește responsabili și construiește registrul de dovezi
Leagă fiecare control de un proprietar și de o locație clară pentru dovezi. Registrul poate include aprobări, rapoarte de testare, versiuni, jurnale, procese-verbale, incidente, acțiuni corective și evaluări ale furnizorilor.
5. Testează prin audit intern
Selectează un produs și urmărește o versiune de la cerințe până la monitorizarea din producție. Verifică dacă documentele reflectă practica, intervievează responsabilii și eșantionează dovezile. Tratează constatările în funcție de impact, nu doar de ușurința remedierii.
6. Pregătește evaluarea și monitorizarea continuă
Stabilește traseul de evaluare a conformității aplicabil produsului și pregătește pachetul documentar. După lansare, urmărește performanța, incidentele, schimbările și validitatea ipotezelor inițiale. Conformitatea devine un ciclu, nu un proiect închis după audit.
Avantajul de business în România
Procesele auditabile nu sunt doar un cost de conformitate. Ele pot scurta răspunsurile la chestionarele de due diligence, pot reduce fricțiunea din achiziții și pot crește încrederea clienților din industrii reglementate. În licitații, proiecte europene sau parteneriate cu organizații mari, capacitatea de a furniza dovezi este mai valoroasă decât o promisiune generică despre „AI responsabil”.
Pentru un startup HR tech, trasabilitatea poate clarifica de ce o versiune a modelului a fost acceptată. Pentru un furnizor MedTech, procesele comune pot reduce dublarea dintre calitate, risc și dezvoltare. Pentru o companie care lucrează cu sectorul public, un registru coerent poate accelera răspunsul la cerințe contractuale și audituri.
Beneficiul apare însă numai dacă sistemul este proporțional și folosit. Un set masiv de proceduri, copiat dintr-un șablon și ignorat de echipe, produce cost și o falsă senzație de siguranță. O structură mai simplă, legată de deciziile reale ale produsului, oferă control mai bun și dovezi mai convingătoare.
Checklist de pornire pentru următoarele 30 de zile
Folosește lista de mai jos pentru o evaluare inițială:
[ ] Există un responsabil executiv pentru conformitatea AI.
[ ] Toate sistemele și componentele AI sunt incluse într-un inventar actualizat.
[ ] Rolul juridic și utilizarea prevăzută sunt documentate pentru fiecare sistem.
[ ] Clasificarea riscului are argumente, surse și aprobări identificabile.
[ ] Politicile sunt legate de procese, controale și dovezi concrete.
[ ] Datele, modelele, codul și configurațiile au versiuni trasabile.
[ ] Testele au criterii de acceptare și rezultate reproductibile.
[ ] Schimbările sunt evaluate înainte de lansare.
[ ] Furnizorii critici sunt evaluați și monitorizați.
[ ] Incidentele și reclamațiile au praguri și trasee de escaladare.
[ ] Este stabilit un calendar de audit intern și remediere.
[ ] Există buget pentru expertiză juridică, tehnică și de calitate.
La finalul celor 30 de zile, organizația ar trebui să aibă o hartă verificabilă a situației curente și un plan prioritizat. Nu este realist ca orice companie să închidă toate diferențele într-o lună. Este realist să știe ce lipsește, cine răspunde și în ce ordine va acționa.
Concluzie: de la obligație la proces verificabil
EN 18286 transformă articolul 17 într-un traseu mai clar pentru furnizorii de sisteme AI cu risc ridicat. Folosit corect, standardul AI Act poate organiza responsabilitățile, testarea, controlul schimbărilor și dovezile necesare evaluării. Nu înlocuiește însă clasificarea corectă, documentația tehnică și analiza completă a obligațiilor aplicabile.
Dacă vrei să afli unde se află compania ta și ce merită remediat mai întâi, poți discuta cu un consultant AI. Serviciile Agenția de AI te ajută să evaluezi sistemele, să automatizezi controalele și să construiești un plan de implementare adaptat activității din România.
Întrebări Frecvente
Ce este standardul EN 18286:2026?
EN 18286:2026 este primul standard armonizat publicat pentru susținerea AI Act și descrie un sistem de management al calității pentru furnizorii de sisteme AI cu risc ridicat.
EN 18286 este obligatoriu pentru companiile din România?
Aplicarea standardului este, în principiu, voluntară, dar poate oferi prezumție de conformitate cu cerințele acoperite din articolul 17. Compania trebuie să verifice rolul său și regimul aplicabil fiecărui sistem AI.
Certificarea ISO/IEC 42001 este suficientă pentru AI Act?
Nu automat. ISO/IEC 42001 oferă o bază utilă de management AI, însă firma trebuie să demonstreze separat că acoperă cerințele relevante din EN 18286 și AI Act.
Cum începe o firmă românească pregătirea pentru EN 18286?
Primii pași sunt inventarul sistemelor AI, clasificarea riscului, stabilirea rolului juridic și o analiză a diferențelor dintre procesele existente și cerințele standardului.
Vrei să discutăm despre proiectul tău?
Primul apel e gratuit.
HAI SĂ DISCUTĂM?
