Regulamentul AI Act european este lege. Aplicabil progresiv din 2024, în 2026 principalele obligații devin efective pentru companiile europene. Multe IMM-uri italiene adoptă deja instrumente AI fără să știe că pot intra în sfera de aplicare a reglementării. Acest articol nu este scris pentru avocați — este scris pentru cel care trebuie să decidă ce face luni dimineață.
Ce este AI Act și de ce privește și companiile mici
AI Act (Regulamentul UE 2024/1689) este primul cadru normativ global care reglementează utilizarea inteligenței artificiale în mod sistematic. Nu este o lege privind confidențialitatea datelor — aceea este GDPR. Se ocupă specific de sistemele AI și de riscurile pe care le pot genera.
Greșeala cea mai frecventă este să crezi că privește doar marile companii tech. Reglementarea AI pentru companii europene se aplică oricărei organizații care utilizează, importă sau distribuie sisteme AI pe piața europeană, indiferent de dimensiuni. Dacă ai integrat un chatbot pentru serviciul clienți, folosești un software de scoring de credit sau te bazezi pe un sistem AI pentru filtrarea candidaților la joburi, s-ar putea să intri deja în sfera de aplicare.
Clasificarea sistemelor AI în funcție de nivelul de risc
Inima AI Act este o piramidă de risc cu patru niveluri:
| Nivel | Exemple | Obligații |
|---|---|---|
| Risc inacceptabil | social scoring, manipulare subliminală | Interzise |
| Risc ridicat | filtrare CV, credit scoring, dispozitive medicale, infrastructuri critice | Obligații extinse |
| Risc limitat | chatboți, deepfake-uri generative | Transparență obligatorie |
| Risc minim | filtre spam, recomandări playlist | Nicio obligație specifică |
Majoritatea instrumentelor AI folosite de IMM-uri se încadrează în categoriile „risc limitat" sau „risc minim". Însă oricine utilizează AI în HR, scoring financiar sau securitate operațională trebuie să acorde atenție categoriei „risc ridicat".
Sistemele cu „risc inacceptabil" de evitat
Interzise din 2 februarie 2025, acestea sunt sisteme AI pe care reglementarea le consideră incompatibile cu drepturile fundamentale: identificare biometrică în timp real în spații publice (cu excepții restrânse), sisteme de social scoring, manipulare psihologică subliminală. Pentru IMM-urile italiene, acest nivel este aproape întotdeauna irelevant. Granița critică reală este între „risc limitat" și „risc ridicat".
Ce obligații concrete apar pentru IMM-uri în 2026
Reglementarea AI pentru companii europene face distincție între organizațiile care dezvoltă sisteme AI (furnizori) și cele care le utilizează în context profesional (utilizatori finali). IMM-urile sunt aproape întotdeauna utilizatori finali — cumpără sau integrează sisteme construite de terți. Acest lucru nu le scutește de obligații; le reduce, dar nu le elimină.
Transparență și documentare
Dacă folosești un sistem AI cu risc limitat — un chatbot care interacționează cu clienții tăi — obligația principală este transparența: utilizatorul trebuie să știe că interacționează cu un sistem automatizat. Un disclaimer ascuns în termenii și condițiile nu este suficient; trebuie să fie clar și imediat la primul contact.
Pentru sistemele cu risc ridicat, obligațiile sunt mai extinse: registrul activităților sistemului, documentație tehnică actualizată, evaluarea impactului asupra drepturilor fundamentale. Acestea nu sunt formalități — necesită suport tehnic și juridic dedicat.
Supravegherea umană: ce înseamnă în practică
„Supravegherea umană" este unul dintre pilonii AI Act pentru IMM-uri. În practică înseamnă că orice sistem cu risc ridicat trebuie să includă mecanisme care permit unui om să intervină, corecteze sau oprească deciziile sistemului în timp real.
Pentru un IMM, aceasta se traduce într-o întrebare concretă: cine în compania ta are controlul efectiv asupra deciziilor pe care le ia sistemul tău AI? Dacă răspunsul este „nimeni — sistemul decide autonom", acesta poate fi o problemă de conformitate. Nu ai nevoie de o echipă de ingineri: ai nevoie de o procedură documentată și un responsabil desemnat.
Sunt pregătite IMM-urile italiene? 3 arii de risc de monitorizat
Răspunsul sincer este: multe nu. Unul dintre motive este că obligațiile AI Act 2026 pentru IMM au fost comunicate preponderent în limbaj tehnico-juridic, departe de realitatea operațională a companiilor mici. Trei arii merită atenție imediată.
1. Recrutarea personalului. Dacă folosești un sistem AI pentru a filtra CV-uri sau pentru scoring-ul candidaților, intri aproape sigur în categoria „risc ridicat". Nu contează dacă instrumentul este un SaaS de la terți: ca utilizator final, ai propriile obligații. Exemplu concret: un software care clasifică automat CV-urile fără supraveghere umană documentată nu este deja conform.
2. Acordarea de credit sau evaluarea riscului financiar. Instrumentele care atribuie scoruri de bonitate clienților sau care automatizează decizii de credit se încadrează în riscul ridicat. Multe IMM-uri B2B folosesc aceste instrumente fără să fie conștiente — sunt integrate ca funcționalitate secundară în CRM sau ERP.
3. Serviciu clienți automatizat fără supraveghere umană. Dacă chatbot-ul tău gestionează reclamații, rambursări sau solicitări sensibile complet autonom, verifică dacă există o cale de escaladare către un agent uman. Acesta este o cerință de transparență și supraveghere. Poți afla mai multe despre cum să structurezi automatizarea serviciului clienți cu AI care respectă deja aceste criterii.
Cum te pregătești: planul de acțiune în 4 pași
Nu trebuie să devii expert în drept european. Trebuie să știi unde te afli și ce ai de făcut. Acesta este metoda în 4 pași pe care optibox.io o folosește în auditurile sale de conformitate AI.
Pasul 1 — Inventariază sistemele tale AI. Listează fiecare instrument care ia decizii automat sau semi-automat în compania ta: de la ERP-ul cu funcții predictive la chatbot-ul de pe site. IMM-urile descoperă adesea că au mai mult „AI" decât credeau.
Pasul 2 — Clasifică nivelul de risc. Pentru fiecare sistem, verifică dacă se încadrează într-una din categoriile regulamentului. Furnizorul software-ului trebuie să te ajute în această clasificare — dacă nu știe să răspundă, este un semnal de alarmă.
Pasul 3 — Verifică contractul cu furnizorul tău. Furnizorul sistemului AI are propriile obligații de conformitate. Contractul tău trebuie să prevadă că furnizorul îți pune la dispoziție documentația tehnică necesară pentru a-ți îndeplini obligațiile ca utilizator final. Dacă contractul este tăcut în această privință, solicită în scris.
Pasul 4 — Documentează și atribuie responsabilitatea internă. Cine în compania ta este responsabil de conformitatea AI? Un DPO AI dedicat nu este necesar pentru IMM-urile mici, dar cineva trebuie să poată răspunde la această întrebare. Numește un referent intern, chiar și part-time. Pentru a înțelege cât de mult afectează pregătirea de conformitate bugetul total al proiectului AI, citește ghidul nostru despre cât costă integrarea AI în companie.
Regulamentul AI nu este încă pe deplin operațional — aplicarea completă pentru sistemele cu risc ridicat în sectoarele reglementate vine în 2027 — dar fereastra de pregătire este acum. IMM-urile care vin pregătite vor avea un avantaj competitiv real: risc juridic mai mic, contracte mai solide cu furnizorii și încrederea clienților pe o piață din ce în ce mai atentă la utilizarea etică a AI.
Ai sisteme AI în companie care ar putea intra sub incidența AI Act? Rezervă un audit gratuit cu optibox.io. În 60 de minute îți cartografiem instrumentele AI, identificăm riscurile de conformitate și îți oferim un plan de acțiune concret — fără jargon juridic. Solicită un audit AI gratuit.