AI Act pe înțelesul tuturor: ce trebuie să schimbi în firmă înainte să fie obligatoriu41. AI Act pe înțeles: ce trebuie să schimbi în companie înainte să fie obligatoriu

AI Act nu este doar o lege pentru marile companii de tehnologie, pentru dezvoltatorii de modele lingvistice sau pentru platformele care construiesc sisteme complexe de inteligență artificială. Este o reglementare europeană care va ajunge, direct sau indirect, în aproape orice firmă care folosește AI în recrutare, marketing, relații cu clienții, analiză de date, productivitate, scoring, monitorizare, securitate sau automatizarea deciziilor interne.

Pentru multe companii din România, tentația va fi să trateze AI Act ca pe încă o obligație birocratică venită de la Bruxelles. Ar fi o greșeală. Regulamentul nu se limitează la ideea de „ai voie” sau „nu ai voie” să folosești ChatGPT, Copilot, Gemini, Claude, Midjourney sau alte instrumente similare. Miza reală este felul în care introduci AI-ul în procesele companiei, cine răspunde pentru utilizare, ce date sunt folosite, ce decizii sunt influențate de algoritmi și cum poți demonstra că nu ai creat riscuri pentru angajați, clienți sau parteneri.

AI Act a intrat în vigoare la 1 august 2024 și se aplică progresiv, cu etape diferite pentru interdicții, alfabetizare AI, modele de uz general și sisteme cu risc ridicat. Comisia Europeană explică faptul că unele prevederi, inclusiv interdicțiile pentru practici considerate inacceptabile și cerințele de alfabetizare AI, se aplică din 2 februarie 2025, în timp ce mare parte din regulament devine aplicabilă începând cu 2 august 2026, cu anumite excepții.

Primul pas: află unde folosești deja AI, chiar dacă nu îi spui așa

Cea mai mare greșeală este să crezi că firma ta „nu folosește AI” doar pentru că nu dezvoltă propriul model sau nu are un departament de machine learning. În realitate, multe companii folosesc deja AI prin instrumente cumpărate de la furnizori: aplicații de HR care filtrează CV-uri, softuri CRM care prioritizează lead-uri, platforme de marketing care generează segmente de public, chatboți pentru clienți, sisteme de traducere, instrumente de analiză a apelurilor, aplicații de productivitate sau module integrate în suita de office.

De aceea, primul lucru pe care trebuie să îl faci înainte de orice politică internă este un inventar. Nu începe cu un document stufos, ci cu o hartă simplă: ce instrumente AI sunt folosite, de cine, în ce departament, cu ce date și pentru ce rezultat. Include și aplicațiile gratuite sau conturile personale folosite de angajați, pentru că exact acolo apar adesea riscurile cele mai mari. Dacă oamenii copiază date despre clienți, contracte, rapoarte financiare sau informații interne într-un chatbot public, firma are deja o problemă de guvernanță, chiar dacă nu a aprobat oficial folosirea AI-ului.

Inventarul trebuie să facă diferența între AI folosit pentru productivitate și AI folosit pentru decizii cu impact. Una este să folosești un instrument pentru a redacta un draft de e-mail, a rezuma un document sau a genera idei de campanie. Alta este să folosești un sistem care influențează angajarea, evaluarea performanței, accesul la servicii, creditarea, prețurile, eligibilitatea unui client sau monitorizarea angajaților. Cu cât AI-ul se apropie mai mult de drepturile, veniturile sau oportunitățile unei persoane, cu atât trebuie tratat mai atent.

Acest inventar ar trebui actualizat periodic, nu făcut o singură dată și uitat într-un folder. AI-ul intră în firmă pe multe uși: prin IT, marketing, vânzări, HR, contabilitate, juridic sau chiar prin inițiative individuale. Fără o evidență clară, conducerea ajunge să răspundă pentru instrumente pe care nici nu știe că angajații le folosesc.

Vezi și:

Cum pot firmele din România să-și evalueze angajații cu ajutorul AI. Instrumente utile și limite legale pentru angajatori

Companiile au vrut AI ieftin, dar au primit haos scump. Lecția dură din scandalul Mercor

Al doilea pas: stabilește reguli interne clare pentru angajați

AI Act introduce explicit ideea de alfabetizare AI. Articolul 4 cere furnizorilor și utilizatorilor de sisteme AI să ia măsuri pentru ca personalul și persoanele care operează sau folosesc astfel de sisteme în numele lor să aibă un nivel suficient de cunoștințe, ținând cont de experiența lor, de contextul folosirii și de persoanele asupra cărora sistemele pot avea impact.

Pentru o firmă obișnuită, asta înseamnă că nu este suficient să trimiți un e-mail intern cu „folosiți AI responsabil”. Ai nevoie de reguli concrete. Angajații trebuie să știe ce tipuri de informații nu pot introduce în instrumente AI externe, când trebuie verificat rezultatul, cine aprobă folosirea unui sistem nou și ce se întâmplă dacă AI-ul este folosit pentru materiale publice, decizii comerciale sau interacțiuni cu clienții.

O politică internă bună nu trebuie să fie scrisă ca un regulament imposibil de citit. Trebuie să răspundă la întrebări simple. Poți introduce date personale într-un chatbot? Poți încărca un contract confidențial pentru rezumare? Poți genera imagini cu persoane reale? Poți folosi AI pentru evaluarea unui candidat? Poți publica un text generat automat fără verificare umană? Poți folosi conturi personale pentru sarcini de serviciu?

Regula de bază ar trebui să fie simplă: AI-ul poate ajuta, dar nu trebuie să devină o cutie neagră care ia decizii importante fără control uman. Angajații trebuie învățați că rezultatele AI pot fi greșite, incomplete, părtinitoare sau inventate. În special în domenii precum juridic, financiar, medical, HR, securitate, conformitate sau comunicare publică, verificarea umană nu este un moft, ci o protecție esențială.

Trainingul trebuie adaptat pe roluri. Un om din marketing are nevoie de reguli despre drepturi de autor, imagine, date de campanii și conținut generat. Cineva din HR are nevoie de reguli despre nediscriminare, recrutare și evaluare. Cineva din IT are nevoie de reguli despre securitate, API-uri, loguri și integrare. Un director are nevoie să înțeleagă riscurile de guvernanță și responsabilitate. „Alfabetizarea AI” nu înseamnă ca toți angajații să devină programatori, ci să înțeleagă suficient de bine instrumentele pe care le folosesc.

Al treilea pas: clasifică riscurile înainte să cumperi sau să implementezi un sistem

AI Act funcționează pe o logică a riscului. Unele practici sunt interzise, altele sunt considerate cu risc ridicat, altele au obligații de transparență, iar multe utilizări cu risc minim vor rămâne relativ libere. Pentru companii, această structură înseamnă că nu toate instrumentele AI trebuie tratate la fel. Un generator de idei pentru social media nu are același nivel de risc cu un sistem care filtrează candidați la angajare.

Înainte să cumperi sau să implementezi un instrument AI, introdu o evaluare internă simplă. Ce problemă rezolvă? Ce date folosește? Afectează persoane fizice? Poate produce discriminare? Poate influența o decizie importantă? Există control uman? Poți explica rezultatul? Furnizorul oferă documentație? Datele sunt stocate în Uniunea Europeană sau transferate în afara ei? Poți opri sistemul dacă apar erori?

Această analiză este importantă mai ales în HR. AI-ul folosit pentru recrutare, selecție, evaluarea performanței sau monitorizarea angajaților poate intra într-o zonă sensibilă, pentru că afectează accesul la locuri de muncă și condiții profesionale. Chiar dacă furnizorul promite eficiență, firma care folosește sistemul trebuie să înțeleagă cum funcționează suficient de bine pentru a preveni decizii nedrepte.

La fel de sensibilă este zona relației cu clienții. Un chatbot care oferă informații generale are un risc mai mic decât un sistem care recomandă produse financiare, stabilește eligibilitatea, prioritizează reclamații sau decide accesul la un serviciu. Dacă AI-ul poate influența semnificativ ce primește un client, cum este tratat sau ce oportunitate pierde, ai nevoie de reguli mai stricte, loguri, audit și posibilitate de contestare.

Firmele trebuie să fie atente și la sistemele integrate în produse. Dacă vinzi software, dispozitive, aplicații sau servicii care includ funcții AI, rolul tău poate fi diferit: nu mai ești doar utilizator, ci posibil furnizor sau integrator. Asta poate aduce obligații suplimentare, mai ales dacă sistemul ajunge la clienți și influențează decizii sau comportamente.

Al patrulea pas: pregătește documentația, nu doar tehnologia

Multe companii vor descoperi că partea grea nu este neapărat folosirea AI-ului, ci demonstrarea faptului că îl folosesc responsabil. În practică, conformitatea înseamnă documentație: decizii scrise, evaluări de risc, politici interne, instrucțiuni pentru angajați, contracte cu furnizorii, evidențe ale sistemelor, proceduri de incident și explicații despre controlul uman.

Începe cu un registru intern al sistemelor AI. Pentru fiecare instrument, notează furnizorul, scopul, departamentul care îl folosește, tipurile de date procesate, riscurile identificate, măsurile de control și persoana responsabilă. Nu trebuie să fie un sistem complicat la început. Poate fi un tabel bine întreținut, dar trebuie să fie real, actualizat și util.

Apoi verifică relația cu furnizorii. Contractele pentru soluții AI trebuie să includă întrebări despre date, securitate, localizare, confidențialitate, drepturi de utilizare, audit, suport, actualizări și responsabilități. Dacă un furnizor spune doar „AI-ul nostru este sigur”, nu este suficient. Ai nevoie de documentație, descrierea funcțiilor, limitări, instrucțiuni de utilizare și claritate asupra modului în care sunt tratate datele.

Pentru conținut generat cu AI, stabilește reguli de transparență. Nu orice text intern trebuie etichetat, dar acolo unde utilizatorii interacționează cu un chatbot, cu un asistent automat sau cu un sistem care poate fi confundat cu un om, transparența devine importantă. Clientul ar trebui să știe când vorbește cu o mașină, mai ales dacă discuția poate influența o decizie, o achiziție sau o reclamație.

Documentația trebuie să includă și incidentele. Ce faci dacă un chatbot oferă informații greșite? Cine răspunde dacă un sistem AI trimite un mesaj nepotrivit unui client? Cum oprești temporar un instrument? Cum investighezi un rezultat discriminatoriu? Cine anunță conducerea, juridicul, IT-ul sau protecția datelor? Fără o procedură, fiecare incident se va transforma într-o improvizație.

Al cincilea pas: leagă AI Act de GDPR, securitate și strategie

AI Act nu trebuie tratat separat de GDPR, securitate cibernetică, compliance, HR și strategie comercială. În multe situații, aceleași date care ridică probleme de protecție a datelor personale ridică și probleme de AI. Dacă folosești date despre angajați, clienți sau candidați pentru a alimenta un sistem automatizat, trebuie să te întrebi simultan dacă ai bază legală, dacă datele sunt necesare, dacă sistemul este corect și dacă decizia poate fi explicată.

În companiile mici și medii, această abordare integrată este chiar mai importantă. Nu ai nevoie neapărat de un departament AI separat, dar ai nevoie de responsabilitate clară. Cine aprobă un instrument AI nou? Cine verifică riscurile? Cine discută cu furnizorul? Cine instruiește angajații? Cine decide dacă un caz este sensibil? Dacă răspunsul este „nimeni” sau „IT-ul, probabil”, firma nu este pregătită.

Securitatea este un punct critic. Angajații pot introduce din greșeală informații confidențiale în instrumente externe, pot instala extensii nesigure, pot folosi aplicații AI necunoscute sau pot primi fișiere generate automat care conțin cod, linkuri sau instrucțiuni riscante. AI-ul nu trebuie privit doar ca instrument de eficiență, ci și ca nouă suprafață de atac.

În același timp, AI Act poate fi folosit ca oportunitate. O firmă care își face ordine în procese, își instruiește oamenii, își verifică furnizorii și stabilește reguli clare va putea folosi AI-ul mai curajos decât una care interzice tot din frică sau permite tot din entuziasm. Conformitatea nu trebuie să omoare inovația. Ar trebui să o facă mai sigură.

Pentru o companie din România, cel mai bun moment să înceapă este înainte ca obligațiile să devină presante. Fă inventarul, scrie politica internă, instruiește oamenii, clasifică riscurile, verifică furnizorii și documentează deciziile. Când AI Act va deveni complet aplicabil pentru majoritatea situațiilor, diferența nu va fi între firme care folosesc AI și firme care nu folosesc AI. Diferența va fi între firme care pot demonstra că îl folosesc responsabil și firme care abia atunci descoperă că l-au folosit haotic.

AI-ul nu mai este doar un experiment. Este deja în e-mailuri, prezentări, recrutare, suport, vânzări, analiză și decizii operaționale. AI Act nu îți cere să renunți la el, ci să îl scoți din zona improvizației. Înainte să fie obligatoriu, schimbarea cea mai importantă este una de disciplină internă: să știi ce folosești, de ce folosești, cine verifică și ce faci când sistemul greșește.

Frâne care trag într-o parte: etrier, furtun sau diferență de aderență, pași simpli de verificare