Conformitate EU AI Act
Pregătește-ți sistemele AI pentru EU AI Act, cu dovezi tehnice în spatele fiecărui răspuns.
Inventarul sistemelor AI, clasificarea riscului, documentație tehnică, logare, supraveghere umană — partea de inginerie a Regulamentului (UE) 2024/1689, făcută împreună cu consilierul tău juridic.
EU AI ACT, ÎN PRACTICĂ
Regulamentul e scris de juriști. Cea mai mare parte a muncii ajunge la ingineri.
Să știi ce AI rulezi, ce rol ai și ce dovezi îți trebuie.
Regulamentul (UE) 2024/1689, EU AI Act, se aplică firmelor care introduc sisteme AI pe piața UE și firmelor care le folosesc în activitatea lor. Obligațiile se aplică în etape, între 2025 și 2027, iar ce ai de făcut depinde de două întrebări: cât de riscant este cazul de utilizare și dacă ești furnizorul sistemului sau implementatorul lui. Ca să răspunzi corect, trebuie să știi exact ce modele, API-uri și decizii automate există în produsele și uneltele tale interne, iar asta e adesea prima surpriză. AI-ul intră de obicei printr-o funcție a unui furnizor, un experiment al unui developer sau un macro dintr-un spreadsheet, cu mult înainte ca cineva să scrie o politică pentru el.
Suntem o firmă de inginerie software, nu o casă de avocatură, și nu oferim consultanță juridică. Lucrăm alături de avocatul sau responsabilul tău de conformitate: ei interpretează regulamentul pentru situația ta, noi facem munca tehnică pe care o presupune. Echipa noastră construiește software în producție din 2013, iar astăzi construim și operăm și sisteme AI, așa că știm unde stau de fapt logurile, prompturile, datele de antrenare și traseele de decizie.
Inventarul sistemelor AI
Cartografiem fiecare sistem AI pe care îl construiești, îl cumperi sau îl integrezi: ce face, ce model sau furnizor are în spate, ce date atinge, cine se bazează pe rezultatele lui și cine răspunde de el. Rezultatul e un registru pe care îl pot citi atât echipa juridică, cât și cea tehnică.
Clasificarea riscului și rolurile
Pentru fiecare sistem pregătim faptele tehnice necesare încadrării într-o categorie de risc (interzis, risc ridicat, risc limitat sau minim) și stabilirii rolului tău, de furnizor sau de implementator. Consilierul juridic confirmă clasificarea; noi documentăm raționamentul.
Dovezi construite în sistem
Documentație, logare, controale de supraveghere umană, guvernanța datelor și notificări de transparență implementate în software, nu doar descrise într-o politică. Dovezile produse de sistem rămân actuale pe măsură ce sistemul se schimbă.- Registru al sistemelor AI cu responsabili, furnizori, modele și fluxuri de date
- Fișe de clasificare a riscului, pentru revizuire de către consilierul juridic
- Obligațiile de furnizor și de implementator, mapate pe fiecare sistem
- Analiză a decalajelor cu plan de remediere prioritizat
- Documentație tehnică redactată pe baza arhitecturii reale
- Logare automată a evenimentelor, cu retenție și acces definite
- Supraveghere umană: cozi de revizuire, corecții manuale și oprire
- Guvernanța datelor de antrenare, de evaluare și de intrare
- Notificări de transparență pentru chatboți și conținut generat cu AI
- Sesiuni de alfabetizare AI pentru echipele care construiesc și folosesc AI
CE CERE REGULAMENTUL
Patru niveluri de risc, două roluri principale și GDPR-ul pe care îl cunoști deja
Regulamentul împarte utilizările AI după risc. Un set restrâns de practici este interzis complet, de exemplu anumite forme de manipulare, scoring-ul social și unele utilizări ale identificării biometrice. Sistemele cu risc ridicat includ AI folosit drept componentă de siguranță în produse reglementate și AI folosit în domeniile enumerate de regulament, precum recrutarea și gestionarea angajaților, accesul la educație, evaluarea bonității și accesul la servicii esențiale; acestea au cele mai multe obligații. Sistemele cu risc limitat, cum sunt chatboții sau uneltele care generează imagini, audio, video sau text, au în principal obligații de transparență: oamenii trebuie să știe când vorbesc cu un AI sau când văd conținut generat cu AI. Majoritatea celorlalte sisteme AI, precum filtrele de spam sau căutarea internă, au risc minim, fără obligații noi specifice în afară de alfabetizarea AI. Modelele AI de uz general au propriile reguli, care vizează în principal firmele care le dezvoltă.
Furnizorii, adică firmele care dezvoltă un sistem AI sau îl introduc pe piață sub propriul nume, au majoritatea obligațiilor pentru risc ridicat: un sistem de management al riscului, guvernanța datelor, documentație tehnică, logare automată, instrucțiuni de utilizare, supraveghere umană prin design, acuratețe, robustețe și securitate cibernetică, un sistem de management al calității și o evaluare a conformității înainte de lansare. Implementatorii, adică firmele care folosesc un sistem sub propria autoritate, trebuie să îl folosească conform instrucțiunilor, să desemneze oameni competenți care să îl supravegheze, să monitorizeze cum se comportă, să păstreze logurile aflate sub controlul lor și, în unele cazuri, să informeze persoanele afectate sau să realizeze o evaluare a impactului asupra drepturilor fundamentale. Rolurile se pot schimba: dacă pui marca ta pe un sistem cu risc ridicat sau îl modifici substanțial, poți deveni din implementator furnizor.
Nimic din toate acestea nu înlocuiește GDPR. Când un sistem AI prelucrează date personale, temeiul legal, minimizarea datelor, evaluarea impactului asupra protecției datelor și regulile privind deciziile automate se aplică în continuare, iar o mare parte din dovezi se suprapun. Construim un singur set de controale și documentație care le acoperă pe amândouă, ca echipele tale să nu întrețină două trasee paralele de documente. Când datele nu trebuie să iasă deloc din controlul tău, putem rula modelele și pe infrastructură dedicată în România — vezi Private AI.
CUM LUCRĂM
De la AI folosit haotic la sisteme documentate și controlate
Consilierul tău juridic se ocupă de interpretarea legală. Noi ne ocupăm de partea tehnică.
Pornim cu consilierul juridic
Stabilim împreună scopul, rolurile și modul în care se iau deciziile, plus ce sisteme, produse și departamente intră în prima etapă.
Inventar
Interviuri, analiza codului și a infrastructurii, contracte cu furnizori și utilizarea API-urilor: găsim AI-ul care rulează cu adevărat, inclusiv ce nu a declarat nimeni. Dacă încă decizi unde își are locul AI-ul, o evaluare de pregătire AI produce același inventar.
Clasificare și roluri
Pentru fiecare sistem pregătim o fișă cu cazul de utilizare, persoanele afectate și faptele tehnice, pe care o revizuim cu consilierul juridic până când clasificarea și rolul sunt agreate.
Analiza decalajelor
Comparăm ce cer obligațiile cu ce există astăzi și îți dăm un plan prioritizat: ce reparăm, ce documentăm, ce schimbăm în proces și ce scoatem din uz.
Implementăm controalele
Logare, interfețe de supraveghere, guvernanța datelor, notificări de transparență și documentație, construite în sistemele tale. Afirmațiile despre acuratețe și robustețe sunt susținute de testarea și evaluarea AI și de testarea de securitate AI (red teaming).
Menținem totul la zi
Apar mereu modele, furnizori și cazuri de utilizare noi. Ținem la zi registrul, documentația și monitorizarea și revedem planul când se schimbă ghidurile oficiale sau standardele.ÎNTREBĂRI FRECVENTE
Întrebări frecvente despre EU AI Act
Sunteți o casă de avocatură? Oferiți consultanță juridică privind AI Act?
Nu. Suntem o firmă de inginerie software și nu oferim consultanță juridică. Lucrăm alături de avocatul sau responsabilul tău de conformitate: ei interpretează regulamentul pentru situația ta și confirmă decizii precum clasificarea riscului, iar noi livrăm analiza tehnică, documentația și implementarea pe care le presupun aceste decizii.
Folosim doar unelte AI de la terți. Ni se aplică AI Act?
De multe ori da, de obicei ca implementator. Chiar și așa ai obligații, precum alfabetizarea în domeniul AI a personalului și, în funcție de caz, transparență față de persoanele afectate sau supravegherea și monitorizarea unui sistem cu risc ridicat. Dacă pui propriul nume pe un sistem cu risc ridicat sau îl modifici substanțial, poți prelua obligații de furnizor. Consilierul juridic confirmă rolul; noi documentăm faptele tehnice din spatele lui.
Când se aplică obligațiile?
Regulamentul a intrat în vigoare în 2024, iar obligațiile se aplică în etape, între 2025 și 2027. Unele dintre primele, inclusiv practicile interzise și alfabetizarea în domeniul AI, sunt deja în vigoare. UE a discutat ajustarea unor părți ale calendarului, așa că planificăm după textul oficial și ghidurile în vigoare și revizuim planul cu consilierul tău juridic când se schimbă ceva.
Cum se leagă de GDPR?
AI Act nu înlocuiește GDPR. Când un sistem AI prelucrează date personale, temeiul legal, minimizarea datelor, evaluarea impactului asupra protecției datelor și regulile privind deciziile automate se aplică în continuare. O mare parte din dovezi se suprapun, așa că construim un singur set de controale și documentație care le acoperă pe amândouă.
Trebuie să găzduim noi modelele AI ca să fim conformi?
Nu. AI Act nu cere găzduire proprie. API-urile găzduite pot fi folosite conform când contractele, fluxurile de date, logarea și supravegherea sunt în ordine. Unele firme aleg totuși infrastructură privată pentru controlul datelor sau confidențialitate, iar noi putem rula modele open-weight pe cloud-ul nostru din România când asta e varianta potrivită.
Nu știi unde se încadrează AI-ul tău? Vorbește cu un inginer.
Spune-ne ce sisteme AI construiești sau folosești, iar noi îți propunem un prim inventar și un plan pe care îl poți revizui cu consilierul tău juridic.