AI Act pentru firmele din România care folosesc ChatGPT: ce obligații ai, pe situații

Răspunsul scurt: obligația depinde de cine vede rezultatul

Agentul de vânzări scrie oferte cu ChatGPT. Marketingul face imagini pentru Facebook. HR-ul a primit 80 de CV-uri pe eJobs și s-a gândit să le dea și pe ele la citit. Toate trei înseamnă „folosim ChatGPT în firmă”, dar AI Act, adică Regulamentul european privind inteligența artificială, le tratează complet diferit: prima aduce o obligație mică, a treia poate aduce cele mai grele obligații din regulament.

Firma care folosește ChatGPT în activitatea profesională e implementator (art. 3 pct. 4 din Regulamentul 2024/1689), termenul din versiunea română pentru ce textele englezești numesc deployer. Q&A-ul Comisiei pentru art. 50 scoate din definiție doar folosirea personală, neprofesională. De aici, orice folosire cade într-una din patru situații.

1. Doar angajatul vede rezultatul (e-mailuri, oferte, traduceri, rezumate): art. 4, adică instruirea, plus GDPR dacă intră date personale.
2. Rezultatul e publicat: art. 50 alin. (4), dar numai pentru deepfake și pentru textul de interes public publicat fără revizie de fond.
3. Clientul vorbește cu AI-ul (chatbot, WhatsApp, telefon): art. 50 alin. (1), un mesaj de informare, din 2 august 2026.
4. Se decide ceva despre o persoană (CV, evaluare, promovare, credit): sistem cu grad ridicat de risc din Anexa III, de la 2 decembrie 2027.

Pe lângă cele patru situații, o interdicție se aplică deja. Art. 5 alin. (1) lit. f) din AI Act interzice, din 2 februarie 2025, deducerea emoțiilor oamenilor la locul de muncă, de exemplu după tonul vocii într-un call center. Excepția sunt doar motivele medicale sau de siguranță. Aceeași firmă se află de obicei în mai multe situații deodată, așa că schema de mai jos se parcurge pentru fiecare folosire, nu o singură dată pentru toată firma.

Redactare internă: o instruire documentată, fără certificat

Cele mai multe IMM-uri sunt doar aici: oameni care scriu e-mailuri, oferte, traduceri sau descrieri cu ChatGPT, Copilot sau Gemini, iar rezultatul îl citește tot un coleg. FAQ-ul Comisiei despre alfabetizarea AI dă chiar exemplul firmei ai cărei angajați folosesc ChatGPT pentru reclame sau traduceri. Firma intră sub art. 4, iar oamenii trebuie să știe de riscuri precum halucinațiile, adică răspunsurile inventate și spuse cu siguranță.

După Omnibus, art. 4 s-a relaxat. Regulamentul (UE) 2026/1744 cere acum ca firma să ia măsuri pentru a sprijini alfabetizarea AI a personalului, fără să mai garanteze un anumit nivel pentru fiecare om. După Comisie, instruirea acoperă patru teme:

• ce e AI și ce unelte AI folosește firma;
• rolul firmei: implementator sau, dacă pune un sistem în funcțiune sub nume propriu, furnizor;
• riscurile uneltelor folosite, de la halucinații la datele personale lipite în prompt;
• reguli pe roluri: ce face vânzarea, ce face contabilitatea, ce nu face HR-ul.

Formularea Comisiei e scurtă: „Nu e nevoie de certificat. Organizațiile pot păstra o evidență internă a instruirilor…” (FAQ-ul despre alfabetizarea AI, în traducerea noastră). Comisia mai spune că art. 4 nu impune o anumită structură de guvernanță. Merită spus deschis, pentru că o parte din paginile care apar în căutări vând cursuri „de conformitate”, cu diplomă. Un curs bun poate fi util. Obligatoriu nu e.

Cât costă, pe o firmă ilustrativă în care 45 de oameni folosesc unelte AI: o sesiune internă de 90 de minute plus 30 de minute pentru citirea politicii înseamnă 2 ore de persoană, deci 45 × 2 = 90 de ore de om. La un cost total ipotetic de 60 lei pe oră pentru angajator, ies 90 × 60 = 5.400 lei, o singură dată. Se adaugă 6–8 ore ale unui manager pentru politica de o pagină și pentru lista uneltelor, ținută într-un Excel.

Supravegherea art. 4 trece la autoritățile naționale din 2 august 2026. După Comisie, sancțiunile sunt proporționale și devin mai probabile atunci când un incident se produce din lipsă de instruire. Gândește-te la un angajat care trimite unui client o clauză inventată de ChatGPT: lista de prezență semnată la instruire e exact documentul pe care îl arăți atunci.

Conținut publicat: ce etichetezi din marketing și ce nu

Circulă ideea că orice text de marketing făcut cu AI trebuie etichetat. Nu e așa. Textul generat se etichetează doar dacă e publicat, informează publicul pe o temă de interes public și n-a trecut printr-o revizie de fond. Q&A-ul Comisiei cere ca revizia să fie făcută de cineva care cunoaște subiectul, inclusiv cu verificarea faptelor, iar o persoană să poarte responsabilitatea editorială pentru publicare. Descrierea unui produs pe eMAG sau postarea de Facebook despre o promoție nu sunt, de regulă, teme de interes public.

Atenție la ce înseamnă revizie: Comisia spune explicit că verificările formale, cum ar fi corectura ortografică sau gramaticală, nu contează. Imaginile, vocile și clipurile realiste care pot trece drept reale (deepfake) se semnalează aproape întotdeauna, inclusiv când persoana arătată doar ar putea exista plauzibil. Pentru operele evident artistice, satirice sau de ficțiune, art. 50 alin. (4) cere o informare redusă, care să nu strice opera. Conținutul generat înainte de 2 august 2026 nu trebuie etichetat retroactiv.

Chatbot pe site, pe WhatsApp sau la telefon: tu răspunzi, nu OpenAI

Aici obligația nu mai privește ce știu angajații, ci ce știe clientul. După Q&A-ul Comisiei pentru art. 50, cine dezvoltă sau comandă un sistem și îl pune în funcțiune sub nume propriu e furnizor. Dacă sistemul vorbește direct cu oamenii, furnizorul trebuie să-i informeze că vorbesc cu AI. Regula se aplică din 2 august 2026.

Magazinul online care a pus pe site un chatbot construit peste API-ul OpenAI e, prin urmare, furnizorul acelui chatbot. Faptul că OpenAI, Anthropic sau Google sunt conforme nu se transferă firmei. Avocații BSA au formulat-o direct, într-un comunicat preluat de Piața Financiară: „Furnizorul modelului nu poate îndeplini această obligație în locul tău”.

Regulamentul are o excepție pentru cazurile în care e evident din context că vorbești cu o mașină, dar Comisia spune că ea se interpretează restrictiv. Nu te baza pe ea pentru un chatbot cu nume de om și poză zâmbitoare. Practic, ajunge o propoziție la început. La agentul vocal care răspunde la telefonul firmei, prima frază spune că apelantul vorbește cu un asistent automat, iar pe WhatsApp primul mesaj spune același lucru. Detaliile sunt în ghidul pentru art. 50, publicat de Comisie pe 20 iulie 2026.

Plafonul pentru încălcarea art. 50 e de 15 milioane de euro sau 3% din cifra de afaceri. La un IMM contează procentul; calculul în lei e mai jos.

CV-uri și evaluarea angajaților: capcana care te face furnizor

Aceasta e singura situație în care un IMM poate ajunge la obligațiile cele mai grele din regulament fără să-și dea seama. Anexa III pct. 4 din AI Act încadrează recrutarea și selecția, adică filtrarea candidaturilor și evaluarea candidaților, printre sistemele cu grad ridicat de risc (în textele englezești, high-risk). Pe aceeași listă stau deciziile de promovare și concediere și monitorizarea sau evaluarea performanței.

Capcana stă în art. 25 alin. (1) lit. c): cine schimbă destinația unui sistem AI, inclusiv a unuia de uz general, astfel încât acesta devine cu grad ridicat de risc, e considerat furnizor al unui sistem cu risc ridicat. ChatGPT e un sistem AI de uz general, construit pe modelele GPT. Promptul „alege-mi cei mai buni 5 candidați din aceste 80 de CV-uri” seamănă foarte mult cu o asemenea schimbare de destinație. Spunem „seamănă” intenționat: nu există încă un ghid oficial pe exact acest caz, iar interpretarea merită verificată cu un jurist.

Chiar și ca simplu implementator al unui sistem cu risc ridicat, art. 26 cere lucruri concrete: folosire după instrucțiunile furnizorului, supraveghere umană prin oameni instruiți, jurnale păstrate cel puțin 6 luni și informarea salariaților și a reprezentanților lor înainte de folosire. Omnibusul a mutat termenul la 2 decembrie 2027. Unele texte românești, ca cel de pe Digi24, încă dau august 2026, pentru că au fost scrise înainte de Omnibus. Amânarea nu e un motiv de liniște: dacă HR-ul a ajuns să depindă de o unealtă de triere, schimbarea procesului cere luni, nu zile.

Ce rămâne în regulă, cu prudență: ChatGPT poate rescrie anunțul de angajare sau poate propune întrebări de interviu. Decizia despre persoană o ia un om, pe criterii scrise înainte să deschidă CV-urile.

Separat, art. 5 alin. (1) lit. f) interzice din 2 februarie 2025 deducerea emoțiilor angajaților: tonul vocii în call center, expresia feței în fața camerei de pe birou. Singurele excepții sunt motivele medicale sau de siguranță. Plafonul de amendă pentru practicile interzise e cel mai înalt din regulament.

Amenda reală pentru un IMM, calculată în lei

Aproape toate articolele românești pe subiect pornesc de la 35 sau 15 milioane de euro. Pentru un IMM, aceste cifre aproape niciodată nu sunt plafonul real. Art. 99 alin. (6) din AI Act spune că, pentru IMM-uri și start-up-uri, amenda maximă e suma mai mică dintre procentul din cifra de afaceri și suma fixă. Comunicatul BSA preluat de Piața Financiară spune invers, „în funcție de care sumă este mai mare”, ceea ce e corect pentru firmele mari, dar greșit pentru IMM-uri.

De ce câștigă procentul: după Recomandarea 2003/361/CE, IMM înseamnă sub 250 de angajați și fie cifră de afaceri de cel mult 50 de milioane de euro, fie total al bilanțului de cel mult 43 de milioane. La 50 de milioane cifră de afaceri, 3% înseamnă 1,5 milioane de euro, mult sub 15 milioane. Procentul ar ajunge la suma fixă abia la 500 de milioane de euro cifră de afaceri. O precizare: la praguri se adună și datele întreprinderilor partenere și legate, deci o firmă mică dintr-un grup mare poate să nu fie IMM și să nu beneficieze de regula sumei mai mici. Să luăm o firmă ilustrativă de distribuție, independentă, cu 60 de angajați și 25.000.000 lei cifră de afaceri în exercițiul anterior.

Avertismentele și măsurile nemonetare existau deja printre sancțiuni în art. 99 alin. (1) din textul inițial al regulamentului. Omnibusul a rescris alineatul și a adăugat explicit amenzile administrative. A extins grija pentru viabilitatea economică și la firmele care au depășit puțin pragul de IMM (în regulament, small mid-caps), iar regula sumei mai mici se aplică acum și lor, pentru alin. (4) și (5).

Ultimul rând din tabel e cel care contează. Art. 83 din GDPR are două niveluri: până la 10 mil. € sau 2%, de exemplu pentru securitatea prelucrării (art. 32) sau contractele cu împuterniciții (art. 28), și până la 20 mil. € sau 4%, de exemplu pentru principiile și temeiul prelucrării. Se aplică valoarea mai mare, fără vreo regulă pentru IMM-uri. Cum cursul BNR e peste 4,9 lei/€, plafonul nivelului mic trece de 49 de milioane de lei, adică de cel puțin 28 de ori peste cel mai mare plafon din AI Act pentru aceeași firmă (1.750.000 lei).

Plafoanele nu sunt amenzi reale. Amenzile date efectiv de ANSPDCP firmelor românești, publicate în comunicatele autorității, sunt de alt ordin de mărime decât aceste maxime. Comparația nu e făcută ca să te sperie, ci ca să-ți ordonezi prioritățile: GDPR are deja o autoritate care controlează, AI Act încă nu are.

Calendarul după Omnibus și ce poate face ANCOM azi

Stadiul de mai jos e verificat pe sursele disponibile la redactare, ultima fiind din 6 octombrie 2026; legea națională se reverifică la data publicării. Regulamentul (UE) 2026/1744, numit Omnibusul AI, e în vigoare din 27 iulie 2026. A amânat obligațiile pentru sistemele cu risc ridicat și a relaxat art. 4. Calendarul complet, pe zile:

Pe 2 decembrie 2026 intră două interdicții noi și termenul de marcaj automat pentru sistemele generative puse pe piață înainte de 2 august 2026. Ambele privesc în principal furnizorii. Cum notează ActuIA, nicio obligație nouă n-a început să se aplice în septembrie sau pe 6 octombrie.

În România, Guvernul a adoptat pe 12 martie 2026 un memorandum pentru desemnarea autorităților naționale competente și a punctului unic de contact. Potrivit money.ro, ANCOM e propusă ca autoritate de supraveghere a pieței și punct unic de contact, cu atribuții sectoriale pentru BNR, ASF și ANSPDCP. La începutul lui august nu exista actul normativ cu procedurile de control și sancțiunile, notează Bursa, deci ANCOM nu putea amenda.

Greșeala ar fi să tragi de aici concluzia „aștept”. Obligațiile europene se aplică direct, golul se poate închide oricând printr-o lege, iar ANSPDCP poate sancționa azi sub GDPR. De aici vine ordinea priorităților.

Datele de clienți în conturi personale: riscul pe care îl ai deja

Situațiile sunt cunoscute. Agentul lipește lista de clienți în ChatGPT ca să scrie oferte personalizate, contabilul pune facturi cu CUI-uri și sume ca să le „rezume”, iar totul se întâmplă pe conturi gratuite sau personale, fără ca firma să știe. Nimic din toate acestea nu e o problemă de AI Act. E o problemă de GDPR, unde plafonul e mai mare și autoritatea poate deja sancționa.

Primul pas nu costă nimic: regula „fără date de clienți sau de angajați în conturi personale”, scrisă în politica internă, și lista uneltelor permise. Varianta cu control e un asistent AI intern care rulează pe serverul firmei: răspunde din documentele voastre, respectă permisiunile fiecărui angajat, iar datele nu pleacă din firmă. Pentru echipele care apelează deja API-uri publice din propriile programe, se poate pune un endpoint local compatibil OpenAI; dezvoltatorii schimbă doar adresa și cheia.

Ce nu rezolvă AI-ul local trebuie spus la fel de clar: nu te scutește de AI Act. Art. 4 rămâne, iar dacă firma pune asistentul în funcțiune sub nume propriu, poate avea și obligații de furnizor din art. 50. Cum se aplică exact art. 50 unui asistent folosit doar intern e încă neclar, iar noi preferăm să verificăm ghidul complet al Comisiei înainte să promitem ceva.

Ce faci săptămâna aceasta: pachetul minim de conformare

Pachetul de mai jos se face în câteva zile, fără consultant. Fiecare punct e verificabil: există un fișier, o semnătură sau un mesaj afișat. Ordinea contează mai mult decât pare.

Dacă folosești deja ChatGPT la CV-uri, pasul tău e altul: oprești folosirea sau o limitezi la redactare și planifici conformarea înainte de 2 decembrie 2027. Dacă ai un chatbot sau un agent vocal cumpărat de la un furnizor, pune-i întrebările de mai jos înainte de reînnoirea contractului.

Articolul descrie regulamentul, nu e consultanță juridică; încadrarea pe art. 25 și orice caz la limită se verifică cu un jurist. Dacă vrei să afli dacă un asistent AI pe serverul firmei are sens la voi, pornește de la evaluarea gratuită, cu preț fix în scris. Primești concluzia și, dacă merită, prețul și etapele, fixe.