Dacă firma ta folosește un chatbot, un instrument de recrutare cu AI, un sistem de scoring sau o aplicație care automatizează decizii, AI Act te poate atinge chiar dacă nu dezvolți tu modelul. Termenul-cheie este „deployer”. În practică, acesta nu înseamnă producătorul tehnologiei, ci organizația care o folosește sub propria autoritate.
Definiția din AI Act este importantă tocmai pentru că multe companii pornesc de la o presupunere greșită: „noi doar cumpărăm licența, deci furnizorul răspunde pentru tot”. Nu este așa. Conform definiției din articolul 3, un deployer este persoana fizică sau juridică, autoritatea publică ori altă entitate care folosește un sistem AI sub autoritatea sa, cu excepția utilizării strict personale, neprofesionale. Cu alte cuvinte, dacă AI-ul este folosit în activitatea firmei, compania intră, în principiu, în această categorie.
Asta nu înseamnă însă că orice utilizare de AI atrage automat cele mai dure obligații din regulament. Aici este diferența practică pe care multe firme trebuie să o înțeleagă în 2026: unele obligații se aplică mai larg, iar altele vizează în mod special deployerii de sisteme AI cu risc ridicat.
Prima obligație transversală este legată de alfabetizarea în AI. Comisia Europeană arată că obligațiile privind AI literacy se aplică din 2 februarie 2025. Articolul 4 cere furnizorilor și deployerilor să ia măsuri pentru ca angajații și alte persoane care operează sisteme AI în numele lor să aibă un nivel suficient de cunoștințe, raportat la contextul de utilizare, experiență și riscuri. În limbaj de business, asta înseamnă că nu este suficient să „dați acces” la un tool. Trebuie să existe minimă instruire: ce face sistemul, ce nu face, cum se verifică rezultatele, când nu trebuie folosit și ce riscuri există pentru persoane, date sau decizii.
Al doilea nivel este cel care contează cel mai mult pentru firmele ce folosesc AI în zone sensibile. Potrivit paginii oficiale a Comisiei Europene despre AI Act, regulile generale ale regulamentului au devenit aplicabile din 2 august 2026, iar cazurile high-risk din domenii sensibile includ, între altele, ocuparea forței de muncă, educația, anumite servicii private și publice esențiale, aplicarea legii, migrația și justiția. Pentru o companie obișnuită, zona cea mai relevantă este adesea cea de HR sau acces la servicii: de exemplu, instrumente de sortare a CV-urilor, evaluare automată a candidaților, scoring pentru credit sau alte sisteme care pot influența în mod semnificativ drepturile și oportunitățile unei persoane.
În aceste situații, articolul 26 pune obligații concrete pe deployerii sistemelor high-risk. Pe scurt, firma trebuie să folosească sistemul conform instrucțiunilor de utilizare, să aloce supraveghere umană unor persoane competente, să se asigure – în măsura în care controlează datele de intrare – că acestea sunt relevante și suficient de reprezentative pentru scopul urmărit, să monitorizeze funcționarea sistemului și să păstreze logurile generate automat aflate sub controlul său pentru o perioadă adecvată, de cel puțin șase luni, dacă altă lege nu cere altceva.
Mai există și o obligație esențială de reacție. Dacă deployerul are motive să creadă că utilizarea sistemului conform instrucțiunilor poate genera un risc, trebuie să informeze fără întârziere furnizorul sau distribuitorul și autoritatea relevantă de supraveghere a pieței și să suspende utilizarea. Pentru incidente grave, notificarea trebuie făcută imediat, în ordinea prevăzută de regulament.
Pentru unele utilizări high-risk din Anexa III, AI Act cere și o evaluare a impactului asupra drepturilor fundamentale înainte de prima utilizare. Articolul 27 indică elemente precum procesul în care va fi folosit sistemul, categoriile de persoane afectate, riscurile probabile și măsurile de control sau plângere. Aici se vede foarte clar că obligația deployerului nu este doar tehnică, ci și organizațională.
Ce ar trebui să facă acum o firmă care folosește AI, dar nu îl dezvoltă? În primul rând, să inventarieze unde folosește AI în procese reale, nu doar în licențe cumpărate. În al doilea rând, să separe utilizările cu risc redus – de exemplu, asistență la redactare sau sumarizare internă – de cele care influențează oameni, eligibilitate, acces la servicii ori evaluări. În al treilea rând, să ceară documentația furnizorului: instrucțiuni de utilizare, limite, rolul uman, loguri, canale de raportare a incidentelor și clasificarea sistemului. Abia după această mapare se poate spune realist dacă firma este doar un utilizator obișnuit de tool-uri AI sau un deployer cu obligații mai stricte pentru un sistem high-risk.
Pentru companiile din România, mesajul util este acesta: „deployer” nu este un termen abstract din Bruxelles, ci eticheta juridică pentru organizația care pune AI-ul la lucru în propriile procese. Iar din 2026, întrebarea corectă nu mai este dacă folosiți AI, ci unde îl folosiți, asupra cui produce efecte și ce controale aveți în jurul lui. Acest articol are scop informativ și nu înlocuiește analiza juridică aplicată unui caz concret.
