Din vara lui 2026, discuția despre AI în firme nu mai este doar despre productivitate, ci și despre reguli interne, responsabilitate și control. Potrivit Comisiei Europene, AI Act a intrat în vigoare la 1 august 2024 și a devenit aplicabil din 2 august 2026, cu excepții. Tot Comisia arată că interdicțiile privind anumite practici AI și obligațiile de AI literacy se aplică din 2 februarie 2025, iar regulile de guvernanță și obligațiile pentru modelele GPAI se aplică din 2 august 2025. Pentru o companie din România care folosește AI în activitatea de zi cu zi, mesajul simplu este acesta: dacă oamenii folosesc deja chatboturi, generatoare de text, unelte de analiză sau asistenți integrați în aplicații, firma are nevoie de reguli clare.
AI Act nu spune, în mod textual, că fiecare companie trebuie să aibă o „politică internă AI” cu acest nume. Dar, în practică, o astfel de politică este unul dintre cei mai buni primi pași de guvernanță internă. Motivul este simplu: ajută firma să transforme obligațiile generale în reguli concrete pentru angajați. Mai ales pe partea de AI literacy, roluri, utilizare permisă, verificare umană și control al riscurilor.
Articolul 4 din AI Act cere furnizorilor și deployerilor de sisteme AI să ia măsuri pentru a asigura, în cea mai bună măsură, un nivel suficient de AI literacy pentru personal și pentru alte persoane care folosesc AI în numele lor. Textul legal spune clar că trebuie luate în calcul cunoștințele, experiența, educația, trainingul și contextul de utilizare. Cu alte cuvinte, nu este suficient ca angajații să „se descurce” singuri cu un chatbot.
De aici apare utilitatea unei politici interne AI. Nu ca formalitate, ci ca document de lucru. Într-o firmă mică sau medie, aceasta ar trebui să răspundă clar la câteva întrebări de bază.
În primul rând, ce unelte sunt permise și ce unelte sunt interzise. Dacă angajații folosesc aplicații AI aprobate de companie, acest lucru trebuie spus explicit. La fel și cazul invers: servicii publice neaprobate, extensii de browser necunoscute sau conturi personale folosite pentru activitate de firmă pot crea riscuri reale de confidențialitate și conformare.
În al doilea rând, ce date nu se introduc în sisteme AI. Aici multe companii au nevoie urgentă de claritate. O regulă internă minimă ar trebui să interzică introducerea în chatboturi sau alte instrumente AI a datelor confidențiale, secretelor comerciale, datelor personale sensibile, contractelor nepublice, informațiilor despre clienți, credențialelor, codului sursă intern sau documentelor care nu au fost aprobate pentru astfel de prelucrări.
În al treilea rând, cine aprobă utilizările noi. Dacă un departament vrea să folosească un nou instrument AI pentru HR, suport clienți, marketing sau analiză de documente, cine ia decizia? Fără un responsabil clar, apar improvizațiile. O politică internă utilă trebuie să spună cine evaluează utilizarea, cine face verificarea de risc și cine dă undă verde.
Mai departe, firma are nevoie de o regulă clară de verificare umană. Conținutul generat de AI nu ar trebui publicat, trimis clienților, folosit în documente importante sau introdus în procese critice fără revizuire umană. Asta contează pentru acuratețe, dar și pentru reputație, erori operaționale și eventuale probleme juridice.
Politica ar trebui să includă și reguli pentru conținutul generat: cum este etichetat intern, cine răspunde pentru varianta finală, cum se verifică sursele și ce se face când sistemul produce informații greșite sau neconfirmate. La fel de importantă este partea de proprietate intelectuală: angajații trebuie să știe că textul, imaginile, prezentările sau fragmentele de cod generate cu AI pot ridica întrebări legate de licențe, drepturi de autor sau reutilizare.
Nu ar trebui să lipsească secțiunile despre raportarea incidentelor și trainingul minim. Dacă un angajat observă o ieșire eronată, un posibil bias, o scurgere de date sau o utilizare suspectă, trebuie să știe unde raportează și în cât timp. Iar trainingul nu trebuie gândit abstract. Pentru unii angajați poate însemna o sesiune scurtă despre utilizare sigură și confidențialitate. Pentru alții, mai ales cei care operează sisteme AI în procese sensibile, nivelul trebuie să fie mai avansat.
Din 2 august 2026, Comisia Europeană arată că AI Office și autoritățile statelor membre sunt responsabile pentru implementare, supraveghere și aplicare. Asta nu înseamnă că fiecare firmă din România intră automat în aceeași categorie de risc, dar înseamnă că perioada „folosim AI și vedem noi după” s-a încheiat. O politică internă AI bine scrisă nu rezolvă tot, dar pune ordine rapid: stabilește limite, responsabilități și pași minimi de control. Pentru multe companii, acesta este primul pas realist spre conformare și folosire mai sigură a AI.
Acest articol are scop informativ, nu reprezintă consultanță juridică și nu înlocuiește analiza aplicată pe situația concretă a unei companii. Pentru decizii de conformare, trebuie verificate sursele oficiale și, când este necesar, trebuie cerută opinie juridică specializată.
