# AI Act și ChatGPT: ce obligații are firma ta în 2026 | e-data

> Patru feluri în care un IMM folosește ChatGPT și ce cere AI Act pentru fiecare: instruire, chatbot, CV-uri, amenda reală în lei și termenele după Omnibus.

Adresa: https://www.e-data.ro/blog/ai-act-obligatii-firme-chatgpt

[Blog](https://www.e-data.ro/blog) AI în firmă

# AI Act pentru firmele din România care folosesc ChatGPT: ce obligații ai, pe situații

Aceeași unealtă, patru regimuri diferite. Află ce cere AI Act când angajații redactează cu ChatGPT, când pui un chatbot pentru clienți și când HR-ul triază CV-uri. Găsești și amenda reală a unui IMM, calculată în lei.

[Robert Seghedi](https://www.e-data.ro/despre#robert-seghedi) și [Ștefan Binișor](https://www.e-data.ro/despre#stefan-binisor)

2 noiembrie 202617 minute de citit

Pentru cele mai multe IMM-uri, conformarea cu AI Act începe pe hârtie: lista uneltelor folosite și o politică internă de o pagină. [Foto: SHVETS production / Pexels](https://www.pexels.com/photo/person-holding-white-printed-papers-9052597/)

## Pe scurt

Dacă angajații doar redactează cu ChatGPT, AI Act îți cere doar art. 4: instruire și o evidență internă, fără certificat. Un chatbot pentru clienți trebuie să spună că e AI din 2 august 2026, iar trierea CV-urilor intră la risc ridicat din 2 decembrie 2027\. Riscul pe care îl ai deja e GDPR: datele de clienți lipite în conturi personale.

### Idei-cheie

1. Redactarea internă cu ChatGPT cere doar art. 4: o instruire pe roluri și o evidență internă. Comisia spune că nu e nevoie de certificat.
2. Un chatbot pe site, WhatsApp sau telefon trebuie să spună că e AI din 2 august 2026\. Conformarea OpenAI nu te acoperă.
3. Trierea CV-urilor cu ChatGPT intră la risc ridicat din 2 decembrie 2027 și te poate face furnizor (art. 25).
4. La un IMM, amenda maximă din AI Act e procentul: la 25 mil. lei cifră de afaceri, cel mult 750.000 lei pentru un chatbot fără informare.
5. Riscul de azi e GDPR: datele de clienți lipite în conturi personale, cu plafoane de 10 sau 20 mil. €, după prevederea încălcată.

În articol

1. [Răspunsul scurt: obligația depinde de cine vede rezultatul](#raspunsul-scurt-obligatia-depinde-de-cine-vede-rezultatul)
2. [Redactare internă: o instruire documentată, fără certificat](#redactare-interna-o-instruire-documentata-fara-certificat)
3. [Conținut publicat: ce etichetezi din marketing și ce nu](#continut-publicat-ce-etichetezi-din-marketing-si-ce-nu)
4. [Chatbot pe site, pe WhatsApp sau la telefon: tu răspunzi, nu OpenAI](#chatbot-pe-site-pe-whatsapp-sau-la-telefon-tu-raspunzi-nu-openai)
5. [CV-uri și evaluarea angajaților: capcana care te face furnizor](#cv-uri-si-evaluarea-angajatilor-capcana-care-te-face-furnizor)
6. [Amenda reală pentru un IMM, calculată în lei](#amenda-reala-pentru-un-imm-calculata-in-lei)
7. [Calendarul după Omnibus și ce poate face ANCOM azi](#calendarul-dupa-omnibus-si-ce-poate-face-ancom-azi)
8. [Datele de clienți în conturi personale: riscul pe care îl ai deja](#datele-de-clienti-in-conturi-personale-riscul-pe-care-il-ai-deja)
9. [Ce faci săptămâna aceasta: pachetul minim de conformare](#ce-faci-saptamana-aceasta-pachetul-minim-de-conformare)
10. [Întrebări frecvente](#intrebari)
11. [Surse](#surse)

## Răspunsul scurt: obligația depinde de cine vede rezultatul

Agentul de vânzări scrie oferte cu ChatGPT. Marketingul face imagini pentru Facebook. HR-ul a primit 80 de CV-uri pe eJobs și s-a gândit să le dea și pe ele la citit. Toate trei înseamnă „folosim ChatGPT în firmă”, dar AI Act, adică Regulamentul european privind inteligența artificială, le tratează complet diferit: prima aduce o obligație mică, a treia poate aduce cele mai grele obligații din regulament.

Firma care folosește ChatGPT în activitatea profesională e _implementator_ ([art. 3 pct. 4 din Regulamentul 2024/1689](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) ), termenul din versiunea română pentru ce textele englezești numesc _deployer_ . [Q&A-ul Comisiei pentru art. 50](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) scoate din definiție doar folosirea personală, neprofesională. De aici, orice folosire cade într-una din patru situații.

1. **Doar angajatul vede rezultatul** (e-mailuri, oferte, traduceri, rezumate): art. 4, adică instruirea, plus GDPR dacă intră date personale.
2. **Rezultatul e publicat** : art. 50 alin. (4), dar numai pentru deepfake și pentru textul de interes public publicat fără revizie de fond.
3. **Clientul vorbește cu AI-ul** (chatbot, WhatsApp, telefon): art. 50 alin. (1), un mesaj de informare, [din 2 august 2026](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) .
4. **Se decide ceva despre o persoană** (CV, evaluare, promovare, credit): sistem cu grad ridicat de risc din Anexa III, [de la 2 decembrie 2027](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL%5F202601744) .

Pe lângă cele patru situații, o interdicție se aplică deja. [Art. 5 alin. (1) lit. f) din AI Act](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) interzice, din 2 februarie 2025, deducerea emoțiilor oamenilor la locul de muncă, de exemplu după tonul vocii într-un call center. Excepția sunt doar motivele medicale sau de siguranță. Aceeași firmă se află de obicei în mai multe situații deodată, așa că schema de mai jos se parcurge pentru fiecare folosire, nu o singură dată pentru toată firma.

Diagramă de flux

Ce obligație ai pentru o folosire a ChatGPT

1. Un angajat folosește ChatGPT: O singură sarcină, de exemplu o ofertă sau un rezumat
2. Decide ceva despre o persoană? CV, evaluare, promovare, credit. Decizie
Da: Risc ridicat din 02.12.2027; poți deveni furnizor (art. 25). Oprește sau amână
3. Un client vorbește direct cu AI-ul? Chatbot pe site, WhatsApp, telefon. Decizie
Da: Mesaj de informare la începutul conversației (art. 50 alin. (1))
4. Publici conținut sintetic sau text de interes public fără revizie de fond? Imagini, voci, articole. Decizie
Da: Etichetă: conținut generat cu AI (art. 50 alin. (4))
5. Instruire documentată: Art. 4: sesiune pe roluri și evidență internă. Om
6. Verifică GDPR: Dacă intră date personale, regulile sunt separate de AI Act

Schema se parcurge pentru fiecare folosire a ChatGPT în firmă, nu o dată pentru toată firma.

## Redactare internă: o instruire documentată, fără certificat

Cele mai multe IMM-uri sunt doar aici: oameni care scriu e-mailuri, oferte, traduceri sau descrieri cu ChatGPT, Copilot sau Gemini, iar rezultatul îl citește tot un coleg. [FAQ-ul Comisiei despre alfabetizarea AI](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) dă chiar exemplul firmei ai cărei angajați folosesc ChatGPT pentru reclame sau traduceri. Firma intră sub art. 4, iar oamenii trebuie să știe de riscuri precum halucinațiile, adică răspunsurile inventate și spuse cu siguranță.

După Omnibus, art. 4 s-a relaxat. [Regulamentul (UE) 2026/1744](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL%5F202601744) cere acum ca firma să ia măsuri pentru a sprijini alfabetizarea AI a personalului, fără să mai garanteze un anumit nivel pentru fiecare om. După Comisie, instruirea acoperă patru teme:

- ce e AI și ce unelte AI folosește firma;
- rolul firmei: implementator sau, dacă pune un sistem în funcțiune sub nume propriu, furnizor;
- riscurile uneltelor folosite, de la halucinații la datele personale lipite în prompt;
- reguli pe roluri: ce face vânzarea, ce face contabilitatea, ce nu face HR-ul.

Formularea Comisiei e scurtă: „Nu e nevoie de certificat. Organizațiile pot păstra o evidență internă a instruirilor…” (FAQ-ul despre alfabetizarea AI, în traducerea noastră). Comisia mai spune că art. 4 nu impune o anumită structură de guvernanță. Merită spus deschis, pentru că o parte din paginile care apar în căutări vând cursuri „de conformitate”, cu diplomă. Un curs bun poate fi util. Obligatoriu nu e.

Cât costă, pe o firmă ilustrativă în care 45 de oameni folosesc unelte AI: o sesiune internă de 90 de minute plus 30 de minute pentru citirea politicii înseamnă 2 ore de persoană, deci 45 × 2 = 90 de ore de om. La un cost total ipotetic de 60 lei pe oră pentru angajator, ies 90 × 60 = **5.400 lei, o singură dată** . Se adaugă 6–8 ore ale unui manager pentru politica de o pagină și pentru lista uneltelor, ținută într-un Excel.

Art. 4 pe o firmă ilustrativă cu 45 de utilizatori

- **ore de om, o singură dată (45 de oameni × 2 ore):** 90 h Sursa: Calcul e-data, ipoteze ilustrative
- **la un cost ipotetic de 60 lei pe oră:** 5.400 lei Sursa: Calcul e-data, ipoteze ilustrative
- **certificate cerute pentru art. 4:** 0 Sursa: Comisia Europeană, AI literacy Q&A

Supravegherea art. 4 trece la autoritățile naționale din 2 august 2026\. După Comisie, sancțiunile sunt proporționale și devin mai probabile atunci când un incident se produce din lipsă de instruire. Gândește-te la un angajat care trimite unui client o clauză inventată de ChatGPT: lista de prezență semnată la instruire e exact documentul pe care îl arăți atunci.

Pentru art. 4 ajunge o instruire internă cu temă scrisă și listă de prezență semnată; AI Act nu cere certificat. [Foto: Anna Shvets / Pexels](https://www.pexels.com/photo/thoughtful-colleagues-listening-presentation-of-speaker-in-workspace-5324985/)

## Conținut publicat: ce etichetezi din marketing și ce nu

Circulă ideea că orice text de marketing făcut cu AI trebuie etichetat. Nu e așa. Textul generat se etichetează doar dacă e publicat, informează publicul pe o temă de interes public și n-a trecut printr-o revizie de fond. [Q&A-ul Comisiei](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) cere ca revizia să fie făcută de cineva care cunoaște subiectul, inclusiv cu verificarea faptelor, iar o persoană să poarte responsabilitatea editorială pentru publicare. Descrierea unui produs pe eMAG sau postarea de Facebook despre o promoție nu sunt, de regulă, teme de interes public.

Atenție la ce înseamnă revizie: Comisia spune explicit că verificările formale, cum ar fi corectura ortografică sau gramaticală, nu contează. Imaginile, vocile și clipurile realiste care pot trece drept reale (deepfake) se semnalează aproape întotdeauna, inclusiv când persoana arătată doar ar putea exista plauzibil. Pentru operele evident artistice, satirice sau de ficțiune, art. 50 alin. (4) cere o informare redusă, care să nu strice opera. Conținutul generat înainte de 2 august 2026 nu trebuie etichetat retroactiv.

__Art. 50 alin. (4) aplicat pe exemple de marketing, după Q&A-ul Comisiei actualizat pe 24 iulie 2026.__
| Ce publici | Etichetă AI? | De ce |
| -------------------------------------------------------------------------------------------- | ------------ | ---------------------------------------------- |
| Descriere de produs pe eMAG, revizuită de un om | Nu | Nu e temă de interes public |
| Articol despre o lege nouă, publicat direct din ChatGPT | Da | Interes public, fără revizie |
| Același articol, verificat pe fond de cineva care cunoaște subiectul și își asumă publicarea | Nu | Revizie de fond și responsabilitate editorială |
| Același articol, doar editat stilistic sau trecut prin corectură | Da | Verificările formale nu contează ca revizie |
| Poză realistă cu un „client” care nu există | Da | Deepfake: persoana poate exista plauzibil |
| Ilustrație evident desenată | De regulă nu | Nu poate fi confundată cu realitatea |

## Chatbot pe site, pe WhatsApp sau la telefon: tu răspunzi, nu OpenAI

Aici obligația nu mai privește ce știu angajații, ci ce știe clientul. După [Q&A-ul Comisiei pentru art. 50](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) , cine dezvoltă sau comandă un sistem și îl pune în funcțiune sub nume propriu e furnizor. Dacă sistemul vorbește direct cu oamenii, furnizorul trebuie să-i informeze că vorbesc cu AI. Regula se aplică din 2 august 2026.

Magazinul online care a pus pe site un chatbot construit peste API-ul OpenAI e, prin urmare, furnizorul acelui chatbot. Faptul că OpenAI, Anthropic sau Google sunt conforme nu se transferă firmei. Avocații BSA au formulat-o direct, într-un comunicat preluat de [Piața Financiară](https://www.piatafinanciara.ro/avocatii-bsa-companiile-din-romania-inca-nu-stiu-ca-daca-folosesc-un-chatbot-bazat-pe-chatgpt-sau-claude-trebuie-sa-informeze-clientii-ca-vorbesc-cu-ai-amenzile-ajung-la-15-milioane-de-euro/) : „Furnizorul modelului nu poate îndeplini această obligație în locul tău”.

Regulamentul are o excepție pentru cazurile în care e evident din context că vorbești cu o mașină, dar Comisia spune că ea se interpretează restrictiv. Nu te baza pe ea pentru un chatbot cu nume de om și poză zâmbitoare. Practic, ajunge o propoziție la început. La [agentul vocal care răspunde la telefonul firmei](https://www.e-data.ro/servicii/agenti-telefonici-ai) , prima frază spune că apelantul vorbește cu un asistent automat, iar pe WhatsApp primul mesaj spune același lucru. Detaliile sunt în [ghidul pentru art. 50](https://digital-strategy.ec.europa.eu/en/news/commission-publishes-guidelines-transparency-obligations-providers-and-deployers-certain-ai-systems) , publicat de Comisie pe 20 iulie 2026.

Sfat

Două formulări de pornire

Pentru chat: „Bună, sunt asistentul automat al Firmei X. Pot greși, iar dacă vrei, te pun în legătură cu un coleg.” Pentru telefon: „Vorbiți cu asistentul vocal automat al Firmei X. Spuneți «operator» oricând, ca să vorbiți cu un om.” Adaptează tonul, dar păstrează cuvântul „automat” și pune mesajul înaintea oricărei întrebări.

Plafonul pentru încălcarea art. 50 e de 15 milioane de euro sau 3% din cifra de afaceri. La un IMM contează procentul; calculul în lei e mai jos.

Clientul care scrie pe chat trebuie să afle din primul mesaj că îi răspunde un sistem automat, nu un om (art. 50 din AI Act). [Foto: cottonbro studio / Pexels](https://www.pexels.com/photo/person-using-smartphone-7343000/)

## CV-uri și evaluarea angajaților: capcana care te face furnizor

Aceasta e singura situație în care un IMM poate ajunge la obligațiile cele mai grele din regulament fără să-și dea seama. [Anexa III pct. 4 din AI Act](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) încadrează recrutarea și selecția, adică filtrarea candidaturilor și evaluarea candidaților, printre sistemele cu grad ridicat de risc (în textele englezești, _high-risk_ ). Pe aceeași listă stau deciziile de promovare și concediere și monitorizarea sau evaluarea performanței.

Capcana stă în [art. 25 alin. (1) lit. c)](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25) : cine schimbă destinația unui sistem AI, inclusiv a unuia de uz general, astfel încât acesta devine cu grad ridicat de risc, e considerat **furnizor al unui sistem cu risc ridicat** . ChatGPT e un sistem AI de uz general, construit pe modelele GPT. Promptul „alege-mi cei mai buni 5 candidați din aceste 80 de CV-uri” seamănă foarte mult cu o asemenea schimbare de destinație. Spunem „seamănă” intenționat: nu există încă un ghid oficial pe exact acest caz, iar interpretarea merită verificată cu un jurist.

Chiar și ca simplu implementator al unui sistem cu risc ridicat, art. 26 cere lucruri concrete: folosire după instrucțiunile furnizorului, supraveghere umană prin oameni instruiți, jurnale păstrate cel puțin 6 luni și informarea salariaților și a reprezentanților lor înainte de folosire. Omnibusul a mutat termenul la [2 decembrie 2027](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL%5F202601744) . Unele texte românești, ca [cel de pe Digi24](https://www.digi24.ro/stiri/economie/din-august-2026-ai-act-devine-pe-deplin-aplicabil-in-ue-ce-trebuie-sa-stie-firmele-din-romania-si-ce-amenzi-risca-3714541) , încă dau august 2026, pentru că au fost scrise înainte de Omnibus. Amânarea nu e un motiv de liniște: dacă HR-ul a ajuns să depindă de o unealtă de triere, schimbarea procesului cere luni, nu zile.

Ce rămâne în regulă, cu prudență: ChatGPT poate rescrie anunțul de angajare sau poate propune întrebări de interviu. Decizia despre persoană o ia un om, pe criterii scrise înainte să deschidă CV-urile.

Atenție

Trierea CV-urilor cu ChatGPT

Dacă cineva din HR îi cere ChatGPT să ordoneze sau să elimine candidați, firma poate deveni furnizor al unui sistem cu risc ridicat de la 2 decembrie 2027, cu obligațiile cele mai grele din regulament. Până atunci, decizia rămâne la un om, iar regula „ChatGPT nu triază, nu ordonează și nu elimină candidați” se scrie în politica internă.

Separat, [art. 5 alin. (1) lit. f)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) interzice din 2 februarie 2025 deducerea emoțiilor angajaților: tonul vocii în call center, expresia feței în fața camerei de pe birou. Singurele excepții sunt motivele medicale sau de siguranță. Plafonul de amendă pentru practicile interzise e cel mai înalt din regulament.

Folosirea ChatGPT la trierea CV-urilor intră la risc ridicat în AI Act de la 2 decembrie 2027. [Foto: Tima Miroshnichenko / Pexels](https://www.pexels.com/photo/man-reading-a-contract-5439449/)

## Amenda reală pentru un IMM, calculată în lei

Aproape toate articolele românești pe subiect pornesc de la 35 sau 15 milioane de euro. Pentru un IMM, aceste cifre aproape niciodată nu sunt plafonul real. [Art. 99 alin. (6) din AI Act](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) spune că, pentru IMM-uri și start-up-uri, amenda maximă e **suma mai mică** dintre procentul din cifra de afaceri și suma fixă. Comunicatul BSA preluat de Piața Financiară spune invers, „în funcție de care sumă este mai mare”, ceea ce e corect pentru firmele mari, dar greșit pentru IMM-uri.

De ce câștigă procentul: după [Recomandarea 2003/361/CE](https://eur-lex.europa.eu/eli/reco/2003/361/oj) , IMM înseamnă sub 250 de angajați și fie cifră de afaceri de cel mult 50 de milioane de euro, fie total al bilanțului de cel mult 43 de milioane. La 50 de milioane cifră de afaceri, 3% înseamnă 1,5 milioane de euro, mult sub 15 milioane. Procentul ar ajunge la suma fixă abia la 500 de milioane de euro cifră de afaceri. O precizare: la praguri se adună și datele întreprinderilor partenere și legate, deci o firmă mică dintr-un grup mare poate să nu fie IMM și să nu beneficieze de regula sumei mai mici. Să luăm o firmă ilustrativă de distribuție, independentă, cu 60 de angajați și 25.000.000 lei cifră de afaceri în exercițiul anterior.

__Plafoane maxime, nu tarife. Conversia GDPR folosește pragul minim de 4,9 lei/€, sub cursul BNR.__
| Încălcare | Plafon general | Calcul pentru 25 mil. lei | Plafon real |
| ------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------- | ---------------------------------------------------------- | ---------------------------------------------- |
| Chatbot fără informare (art. 50); obligațiile de implementator cu risc ridicat (art. 26), aplicabile din 02.12.2027 | 15 mil. € sau 3% | 3% × 25.000.000 lei | 750.000 lei |
| Practică interzisă (art. 5), de exemplu analiza emoțiilor angajaților | 35 mil. € sau 7% | 7% × 25.000.000 lei | 1.750.000 lei |
| Informații incorecte date autorității | 7,5 mil. € sau 1% | 1% × 25.000.000 lei | 250.000 lei |
| GDPR, date personale (art. 83 alin. (4) sau (5)) | 10 mil. € sau 2%, respectiv 20 mil. € sau 4%, valoarea mai mare | 2% = 500.000 lei; 4% = 1.000.000 lei, ambele sub suma fixă | peste 49 mil. lei, respectiv peste 98 mil. lei |

Avertismentele și măsurile nemonetare existau deja printre sancțiuni în [art. 99 alin. (1) din textul inițial al regulamentului](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) . [Omnibusul](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL%5F202601744) a rescris alineatul și a adăugat explicit amenzile administrative. A extins grija pentru viabilitatea economică și la firmele care au depășit puțin pragul de IMM (în regulament, _small mid-caps_ ), iar regula sumei mai mici se aplică acum și lor, pentru alin. (4) și (5).

Ultimul rând din tabel e cel care contează. [Art. 83 din GDPR](https://eur-lex.europa.eu/eli/reg/2016/679/oj) are două niveluri: până la 10 mil. € sau 2%, de exemplu pentru securitatea prelucrării (art. 32) sau contractele cu împuterniciții (art. 28), și până la 20 mil. € sau 4%, de exemplu pentru principiile și temeiul prelucrării. Se aplică valoarea mai mare, fără vreo regulă pentru IMM-uri. Cum cursul BNR e peste 4,9 lei/€, plafonul nivelului mic trece de 49 de milioane de lei, adică de cel puțin 28 de ori peste cel mai mare plafon din AI Act pentru aceeași firmă (1.750.000 lei).

Plafoanele nu sunt amenzi reale. Amenzile date efectiv de ANSPDCP firmelor românești, publicate în comunicatele autorității, sunt de alt ordin de mărime decât aceste maxime. Comparația nu e făcută ca să te sperie, ci ca să-ți ordonezi prioritățile: GDPR are deja o autoritate care controlează, AI Act încă nu are.

## Calendarul după Omnibus și ce poate face ANCOM azi

Stadiul de mai jos e verificat pe sursele disponibile la redactare, ultima fiind din 6 octombrie 2026; legea națională se reverifică la data publicării. [Regulamentul (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng) , numit Omnibusul AI, e în vigoare din 27 iulie 2026\. A amânat obligațiile pentru sistemele cu risc ridicat și a relaxat art. 4\. Calendarul complet, pe zile:

__Termenele după Regulamentul (UE) 2026/1744, verificate cu tabelul ActuIA din 6 octombrie 2026.__
| Data | Ce se aplică | Ce înseamnă pentru un IMM cu ChatGPT |
| ---------- | --------------------------------------------------------- | ------------------------------------------------------------- |
| 01.08.2024 | Intră în vigoare Regulamentul 2024/1689 | Nimic direct |
| 02.02.2025 | Art. 4 și art. 5 | Instruire documentată; fără analiza emoțiilor angajaților |
| 02.08.2025 | Regulile pentru modelele de uz general | Obligații pentru OpenAI, nu pentru tine |
| 27.07.2026 | Intră în vigoare Omnibusul (2026/1744) | Risc ridicat amânat, art. 4 relaxat |
| 02.08.2026 | Art. 50 și supravegherea națională | Informare în chatbot și agent vocal; etichetă pentru deepfake |
| 02.12.2026 | Interdicții noi; marcaj pentru sistemele generative vechi | În principal pentru furnizori |
| 02.12.2027 | Risc ridicat din Anexa III | CV-uri, evaluări, credit: conformare completă |
| 02.08.2028 | Risc ridicat din Anexa I | Produse reglementate |

Pe 2 decembrie 2026 intră două interdicții noi și termenul de marcaj automat pentru sistemele generative puse pe piață înainte de 2 august 2026\. Ambele privesc în principal furnizorii. Cum notează [ActuIA](https://www.actuia.com/en/news/ai-act-obligations-in-force-and-delays-under-omnibus-2026-1744/) , nicio obligație nouă n-a început să se aplice în septembrie sau pe 6 octombrie.

În România, [Guvernul a adoptat pe 12 martie 2026 un memorandum](https://gov.ro/ro/guvernul/sedinte-guvern/informatie-de-presa-privind-actele-normative-adoptate-in-edinta-guvernului-romaniei-din-12-martie-2026) pentru desemnarea autorităților naționale competente și a punctului unic de contact. Potrivit [money.ro](https://www.money.ro/stiri/romania-pregateste-legea-pentru-inteligenta-artificiala-ancom-va-supraveghea-pia-ms2xace6) , ANCOM e propusă ca autoritate de supraveghere a pieței și punct unic de contact, cu atribuții sectoriale pentru BNR, ASF și ANSPDCP. La începutul lui august nu exista actul normativ cu procedurile de control și sancțiunile, [notează Bursa](https://www.bursa.ro/ai-act-lege-europeana-fara-8222dinti8221-in-romania-autoritatile-nu-pot-aplica-sanctiuni-inca-06767950) , deci ANCOM nu putea amenda.

Greșeala ar fi să tragi de aici concluzia „aștept”. Obligațiile europene se aplică direct, golul se poate închide oricând printr-o lege, iar ANSPDCP poate sancționa azi sub GDPR. De aici vine ordinea priorităților.

## Datele de clienți în conturi personale: riscul pe care îl ai deja

Situațiile sunt cunoscute. Agentul lipește lista de clienți în ChatGPT ca să scrie oferte personalizate, contabilul pune facturi cu CUI-uri și sume ca să le „rezume”, iar totul se întâmplă pe conturi gratuite sau personale, fără ca firma să știe. Nimic din toate acestea nu e o problemă de AI Act. E o problemă de GDPR, unde plafonul e mai mare și autoritatea poate deja sancționa.

Primul pas nu costă nimic: regula „fără date de clienți sau de angajați în conturi personale”, scrisă în politica internă, și lista uneltelor permise. Varianta cu control e [un asistent AI intern care rulează pe serverul firmei](https://www.e-data.ro/servicii/asistenti-interni) : răspunde din documentele voastre, respectă permisiunile fiecărui angajat, iar datele nu pleacă din firmă. Pentru echipele care apelează deja API-uri publice din propriile programe, se poate pune [un endpoint local compatibil OpenAI](https://www.e-data.ro/servicii/api-inferenta) ; dezvoltatorii schimbă doar adresa și cheia.

Ce nu rezolvă AI-ul local trebuie spus la fel de clar: nu te scutește de AI Act. Art. 4 rămâne, iar dacă firma pune asistentul în funcțiune sub nume propriu, poate avea și obligații de furnizor din art. 50\. Cum se aplică exact art. 50 unui asistent folosit doar intern e încă neclar, iar noi preferăm să verificăm ghidul complet al Comisiei înainte să promitem ceva.

[Robert Seghedi](https://www.e-data.ro/despre#robert-seghedi) Nota autorului

Nota autorului

Unde rulează modelul schimbă riscul de GDPR, nu lista de obligații din AI Act. De aceea, la o firmă mică, eu aș alege întâi unealta după unde ajung datele și abia apoi după cât de frumos scrie modelul. Un asistent mai modest, care nu trimite lista de clienți nicăieri, e o alegere mai bună decât unul strălucit folosit pe un cont personal.

Un asistent pe serverul firmei ține datele în casă, dar obligațiile din AI Act depind tot de cine vede rezultatul. [Foto: panumas nikhomkhai / Pexels](https://www.pexels.com/photo/boxes-of-computers-17489152/)

## Ce faci săptămâna aceasta: pachetul minim de conformare

Pachetul de mai jos se face în câteva zile, fără consultant. Fiecare punct e verificabil: există un fișier, o semnătură sau un mesaj afișat. Ordinea contează mai mult decât pare.

[Ștefan Binișor](https://www.e-data.ro/despre#stefan-binisor) Nota autorului

Nota autorului

Eu aș începe cu lista uneltelor AI pe care le folosesc oamenii, nu cu politica. Nu poți instrui pe ceva ce nu știi că există, iar lista iese de obicei mai lungă decât crede patronul. După ce o ai, politica de o pagină se scrie aproape singură.

Listă de verificare

Pachetul minim de conformare cu AI Act

- Lista uneltelor AI folosite în firmă (ChatGPT gratuit sau Plus, Copilot, Gemini, chatbotul de pe site), cu cine le folosește și pentru ce, într-un Excel.
- Politica AI de o pagină: ce e permis, ce e interzis, cine aprobă unelte noi.
- Regula scrisă: fără date de clienți sau de angajați în conturi personale.
- O sesiune de instruire de 90 de minute, pe roluri, cu listă de prezență semnată, păstrată ca evidență.
- Mesajul „vorbești cu un asistent automat” la începutul chatbotului sau al agentului vocal.
- Interdicție scrisă: ChatGPT nu triază, nu ordonează și nu evaluează candidați sau angajați.
- Nicio unealtă de analiză a emoțiilor angajaților.
- Revizie de fond, cu verificarea faptelor și un responsabil numit, pentru textele publicate pe teme de interes public.
- Un memento în calendar pentru 2 decembrie 2027 și o verificare trimestrială a stadiului legii naționale.

Dacă folosești deja ChatGPT la CV-uri, pasul tău e altul: oprești folosirea sau o limitezi la redactare și planifici conformarea înainte de 2 decembrie 2027\. Dacă ai un chatbot sau un agent vocal cumpărat de la un furnizor, pune-i întrebările de mai jos înainte de reînnoirea contractului.

[Ștefan Binișor](https://www.e-data.ro/despre#stefan-binisor) Nota autorului

Nota autorului

Înainte să semnez cu un furnizor de chatbot sau de agent vocal, eu aș cere în scris unde sunt stocate conversațiile, cine apare ca furnizor al sistemului față de clienții mei și dacă mesajul de informare e configurat din prima zi. Dacă furnizorul nu știe să răspundă, la un control răspunzi tu.

Articolul descrie regulamentul, nu e consultanță juridică; încadrarea pe art. 25 și orice caz la limită se verifică cu un jurist. Dacă vrei să afli dacă un asistent AI pe serverul firmei are sens la voi, pornește de la [evaluarea gratuită, cu preț fix în scris](https://www.e-data.ro/cum-lucram) . Primești concluzia și, dacă merită, prețul și etapele, fixe.

## Întrebări frecvente

Angajații mei folosesc ChatGPT doar pentru e-mailuri și oferte. Trebuie să fac ceva din cauza AI Act?

Da, dar puțin. Art. 4 din AI Act îți cere să iei măsuri de alfabetizare AI: o instruire pe roluri despre riscuri precum halucinațiile și datele personale, plus o evidență internă a ei. Comisia Europeană spune că nu e nevoie de certificat. Separat, dacă angajații introduc date de clienți, se aplică GDPR.

Am nevoie de un curs acreditat sau de un responsabil AI?

Nu de un curs acreditat. FAQ-ul Comisiei Europene despre alfabetizarea AI spune că nu e nevoie de certificat și că o evidență internă a instruirilor e suficientă. Comisia mai spune că art. 4 nu impune o anumită structură de guvernanță, iar textul articolului nu numește un responsabil AI.

Am un chatbot pe site făcut pe ChatGPT. Cine răspunde, eu sau OpenAI?

Tu, dacă îl pui în funcțiune sub numele firmei, pentru că atunci ești furnizorul chatbotului. Din 2 august 2026, art. 50 alin. (1) cere ca oamenii să fie informați că vorbesc cu AI, iar conformarea OpenAI nu se transferă firmei. Excepția pentru situațiile evidente din context se interpretează restrictiv, așa că un mesaj la începutul conversației e varianta sigură.

Pot folosi ChatGPT ca să triez CV-urile?

Trierea și evaluarea candidaților sunt sisteme cu grad ridicat de risc după Anexa III din AI Act, cu obligații aplicabile de la 2 decembrie 2027\. Dacă folosești ChatGPT în acest scop, firma poate deveni furnizor al unui astfel de sistem, după art. 25 alin. (1) lit. c), o interpretare de verificat cu un jurist. Folosește ChatGPT doar la redactarea anunțului sau a întrebărilor, iar decizia o ia un om.

Cât e amenda din AI Act pentru o firmă mică? Chiar 35 de milioane de euro?

Nu. Pentru IMM-uri, art. 99 alin. (6) din AI Act spune că se aplică suma mai mică dintre procent și suma fixă, deci în practică procentul din cifra de afaceri. La o cifră de afaceri de 25 mil. lei, plafonul pentru un chatbot fără informare e 3%, adică 750.000 lei. Sunt plafoane maxime, nu tarife.

Pot primi amendă din AI Act acum, în România?

La începutul lui august 2026, după Bursa, nu era adoptat actul normativ care dă ANCOM procedurile de control și stabilește sancțiunile. Verifică stadiul legii la data la care citești. Obligațiile europene se aplică totuși direct, iar ANSPDCP poate sancționa deja sub GDPR pentru datele personale introduse în ChatGPT.

## Surse

1. [Regulation (EU) 2026/1744 (Digital Omnibus on AI)](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng)
EUR-Lex · eur-lex.europa.eu
Omnibusul AI, în vigoare din 27 iulie 2026.
2. [Regulation (EU) 2026/1744, Jurnalul Oficial L, 24.07.2026 (PDF)](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL%5F202601744)
EUR-Lex · eur-lex.europa.eu
Noua formă a art. 4; termenele pentru riscul ridicat (02.12.2027 Anexa III, 02.08.2028 Anexa I); interdicțiile și marcajul din 02.12.2026; noua formă a art. 99 alin. (1) și extinderea regulii sumei mai mici la small mid-caps.
3. [Regulamentul (UE) 2024/1689 (AI Act), textul inițial](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)
EUR-Lex · eur-lex.europa.eu
Art. 3 pct. 4 (implementator), art. 5 alin. (1) lit. f) (emoțiile la locul de muncă), art. 26, Anexa III pct. 4, art. 99 alin. (1) în forma din 2024, plafoanele din alin. (3)–(5) și regula IMM din alin. (6).
4. [Article 25: Responsibilities along the AI value chain](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25)
Comisia Europeană, AI Act Service Desk · ai-act-service-desk.ec.europa.eu
Cine schimbă destinația unui sistem AI astfel încât devine cu risc ridicat devine furnizor (art. 25 alin. (1) lit. c)).
5. [Recomandarea 2003/361/CE privind definirea microîntreprinderilor și a întreprinderilor mici și mijlocii](https://eur-lex.europa.eu/eli/reco/2003/361/oj)
EUR-Lex · eur-lex.europa.eu
Pragurile IMM și includerea întreprinderilor partenere și legate.
6. [Regulamentul (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
EUR-Lex · eur-lex.europa.eu
Art. 83 alin. (4): 10 mil. € sau 2%; alin. (5): 20 mil. € sau 4%, valoarea mai mare.
7. [AI literacy – Questions & Answers](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)
Comisia Europeană · digital-strategy.ec.europa.eu
Fără certificat, evidență internă; exemplul ChatGPT; fără structură de guvernanță impusă; conținutul instruirii; supraveghere națională din 2 august 2026.
8. [Transparency obligations under Article 50 of the AI Act – Q&A](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act)
Comisia Europeană · digital-strategy.ec.europa.eu
Excluderea folosirii personale; art. 50 din 2 august 2026; cine e furnizor; excepția restrictivă; revizia de fond; deepfake; fără etichetare retroactivă; plafon 15 mil. € sau 3%.
9. [Commission publishes guidelines on transparency obligations for providers and deployers of certain AI systems](https://digital-strategy.ec.europa.eu/en/news/commission-publishes-guidelines-transparency-obligations-providers-and-deployers-certain-ai-systems)
Comisia Europeană · digital-strategy.ec.europa.eu
Ghidul pentru art. 50, publicat pe 20 iulie 2026.
10. [AI Act: obligations in force and delays under omnibus 2026/1744](https://www.actuia.com/en/news/ai-act-obligations-in-force-and-delays-under-omnibus-2026-1744/)
ActuIA · actuia.com
Tabelul termenelor după Omnibus; nicio obligație nouă în septembrie sau pe 6 octombrie.
11. [Informație de presă privind actele normative adoptate în ședința Guvernului României din 12 martie 2026](https://gov.ro/ro/guvernul/sedinte-guvern/informatie-de-presa-privind-actele-normative-adoptate-in-edinta-guvernului-romaniei-din-12-martie-2026)
Guvernul României · gov.ro
Memorandumul pentru desemnarea autorităților naționale și a punctului unic de contact.
12. [România pregătește Legea pentru Inteligența Artificială. ANCOM va supraveghea piața AI](https://www.money.ro/stiri/romania-pregateste-legea-pentru-inteligenta-artificiala-ancom-va-supraveghea-pia-ms2xace6)
money.ro · money.ro
ANCOM propusă ca autoritate de supraveghere și punct unic de contact; BNR, ASF și ANSPDCP cu atribuții sectoriale.
13. [AI Act, lege europeană fără „dinți” în România](https://www.bursa.ro/ai-act-lege-europeana-fara-8222dinti8221-in-romania-autoritatile-nu-pot-aplica-sanctiuni-inca-06767950)
Bursa · bursa.ro
La începutul lui august 2026 nu era adoptat actul normativ cu procedurile de control și sancțiunile.
14. [Avocații BSA: Companiile din România încă nu știu că, dacă folosesc un chatbot bazat pe ChatGPT sau Claude, trebuie să informeze clienții](https://www.piatafinanciara.ro/avocatii-bsa-companiile-din-romania-inca-nu-stiu-ca-daca-folosesc-un-chatbot-bazat-pe-chatgpt-sau-claude-trebuie-sa-informeze-clientii-ca-vorbesc-cu-ai-amenzile-ajung-la-15-milioane-de-euro/)
Piața Financiară · piatafinanciara.ro
Conformarea furnizorului de model nu se transferă firmei; formularea despre suma mai mare, greșită pentru IMM-uri.
15. [Din august 2026, AI Act devine pe deplin aplicabil în UE](https://www.digi24.ro/stiri/economie/din-august-2026-ai-act-devine-pe-deplin-aplicabil-in-ue-ce-trebuie-sa-stie-firmele-din-romania-si-ce-amenzi-risca-3714541)
Digi24 · digi24.ro
Exemplu de text scris înainte de Omnibus, care dă încă august 2026 pentru riscul ridicat.

Ți-a fost util? Trimite-l cuiva care se lovește de aceeași problemă.

Copiază linkul

[LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.e-data.ro%2Fblog%2Fai-act-obligatii-firme-chatgpt) [X](https://x.com/intent/post?url=https%3A%2F%2Fwww.e-data.ro%2Fblog%2Fai-act-obligatii-firme-chatgpt&text=AI%20Act%20pentru%20firmele%20din%20Rom%C3%A2nia%20care%20folosesc%20ChatGPT%3A%20ce%20obliga%C8%9Bii%20ai%2C%20pe%20situa%C8%9Bii)

## Despre autori

[Robert Seghedi](https://www.e-data.ro/despre#robert-seghedi)

Cofondator. Software și design

Lucrează cu arhitectură software de la 12 ani. Construiește partea de produs a e-data, de la interfețe la sistemele care rulează la clienți. Este cofondator al OpenLaw, platforma juridică asistată de AI despre care au scris Playtech, Libertatea și Adevărul.

- [Site personal](https://robert.seghedi.com)
- [LinkedIn](https://linkedin.com/in/robertseghedi)
- [X](https://x.com/robertseghedi)
- [GitHub](https://github.com/robertseghedi)

[Ștefan Binișor](https://www.e-data.ro/despre#stefan-binisor)

Cofondator. Backend și relații B2B

Dezvoltator full-stack, cu accent pe backend. Se ocupă de relațiile cu firmele și instituțiile publice și de proiectele enterprise. Este cofondator al OpenLaw, alături de Robert.

- [LinkedIn](https://www.linkedin.com/in/stefan-binisor-901b99212/)
- [X](https://x.com/binisorstefan)
- [GitHub](https://github.com/stefanbinisor)

Asistenți AI interni

Vrei asta în firma ta?

Un asistent AI care știe procedurile firmei. Evaluarea e gratuită și primești un preț fix, în scris.

[Vezi serviciul](https://www.e-data.ro/servicii/asistenti-interni)

## Mai citește

- [AI în firmă2 noiembrie 2026 **Agent telefonic AI în română: ce poate prelua realist dintr-un call center mic** Furnizorii promit procente mari din telefoane, fără nicio metodă. Aici ai testul pe 100 de apeluri, calculul de ore care arată de ce agentul nu înlocuiește un operator la un IMM, costul pe apel rezolvat și primele secunde ale apelului scrise după AI Act și GDPR.Robert Seghedi17 min](https://www.e-data.ro/blog/agent-telefonic-ai-romana-call-center-mic)
- [Automatizări2 noiembrie 2026 **Integrare SmartBill cu ERP și magazinul online (și Oblio, FGO): cine ține stocul** Factura circulă bine între magazin și SmartBill, Oblio sau FGO. Catalogul, stocul și prețul, nu. Vezi ce poate citi și scrie fiecare API, după documentația oficială, unde trebuie să stea stocul când ai ERP, ce se rupe fără să afli și cât costă la 1.500 de comenzi pe lună.Ștefan Binișor19 min](https://www.e-data.ro/blog/integrare-smartbill-oblio-fgo-erp-magazin)
- [Automatizări20 octombrie 2026 **SAF-T (D406) pentru firme mici: datele de bază care îl fac să pice** Fișierul D406 se construiește din clienții, furnizorii și produsele din programul tău. Vezi șapte teste de câteva minute, un calcul în ore și lei pe o firmă de distribuție și ce poate curăța un program automat, față de ce rămâne la contabil.Robert Seghedi12 min](https://www.e-data.ro/blog/saf-t-d406-firme-mici-date-curate)

---

Sursa: e-data (E-DATA S.R.L.), https://www.e-data.ro/blog/ai-act-obligatii-firme-chatgpt. Contact: contact@e-data.ro, 0750 214 446.