Impactul AI Act asupra companiilor: riscuri, controale și dovezi de conformitate

Un angajat introduce într-un chatbot public un extras de contract, un analist folosește un asistent AI pentru a prioritiza clienți, iar echipa HR testează un instrument de filtrare a CV-urilor.

Acestea nu sunt experimente IT izolate.

Sunt cazuri de utilizare care pot procesa date personale, pot influența decizii și pot transfera informații către furnizori externi.

Impactul AI Act începe exact aici: organizația trebuie să știe unde folosește AI, ce risc produce fiecare utilizare și ce dovezi poate prezenta că riscul este controlat.

Pentru management, AI Act nu este doar o temă juridică.

Este o cerință de guvernanță care intersectează securitatea, protecția datelor, achizițiile, continuitatea, arhitectura IT și controlul furnizorilor.

O politică generală de utilizare responsabilă a inteligenței artificiale nu este suficientă.

Tehnologia permisă nu înseamnă automat control. Controlul trebuie să fie atribuit, testat și susținut de evidențe.

01. Impactul AI Act: de la conformitate la risc operațional

AI Act aplică o abordare bazată pe risc.

Nu toate instrumentele AI au aceleași obligații, iar răspunsul corect depinde de rolul companiei și de contextul utilizării.

O organizație poate acționa ca:

• Deployer — utilizează un sistem AI sub propria autoritate.
• Provider — dezvoltă sau pune pe piață un sistem AI sub propriul nume.
• Importer — introduce pe piața UE anumite sisteme AI din afara Uniunii.
• Distributor — pune la dispoziție sisteme AI în lanțul de distribuție.

În anumite situații, modificarea substanțială a unui sistem sau schimbarea scopului său poate modifica responsabilitățile organizației.

Nu toate sistemele AI au același profil juridic

Regulamentul interzice anumite practici considerate inacceptabile și stabilește cerințe extinse pentru sistemele AI cu risc ridicat.

Există și obligații de transparență pentru anumite interacțiuni cu persoane fizice sau pentru conținut generat ori manipulat artificial.

Pentru modelele AI de uz general, regulamentul stabilește obligații specifice furnizorilor acestora, distincte de obligațiile aplicabile anumitor sisteme construite pe baza lor.

Calendarul AI Act contează

În octombrie 2026, AI Act nu mai poate fi tratat ca un proiect îndepărtat.

Interdicțiile privind anumite practici AI și obligațiile de alfabetizare AI au început să se aplice din 2 februarie 2025.

Obligațiile pentru furnizorii de modele AI de uz general au început să se aplice etapizat din 2 august 2025.

Data generală de aplicare a regulamentului este 2 august 2026, dar anumite dispoziții, categorii de sisteme și regimuri tranzitorii au calendare distincte.

Pentru fiecare caz de utilizare trebuie verificat calendarul juridic efectiv aplicabil, inclusiv eventualele modificări legislative și măsuri tranzitorii.

Calendarul nu trebuie însă să devină o justificare pentru lipsa inventarului, a responsabililor sau a controalelor de securitate.

Consecințele depășesc riscul de sancțiune

O decizie automatizată neexplicabilă poate genera litigii sau pierderea unui client.

Datele transmise într-un instrument neaprobat pot crea expunere GDPR și risc privind proprietatea intelectuală.

Un model folosit fără monitorizare poate produce rezultate discriminatorii, eronate sau manipulabile.

În sectoarele reglementate, problema se extinde către controlul intern, continuitatea serviciilor și responsabilitatea managementului.

02. Primul control AI Governance: inventarul real al utilizărilor AI

Multe organizații pornesc prin redactarea unei politici sau blocarea unui singur chatbot public .

Dar AI există deja în aplicații SaaS, Microsoft 365, platforme CRM, soluții de securitate, recrutare, marketing și analiză de date.

Shadow AI apare atunci când angajații caută productivitate, iar procesul intern de aprobare este lent sau neclar.

Ce trebuie să conțină inventarul AI

Inventarul trebuie să depășească întrebarea: „Ce instrumente AI avem?”

Pentru fiecare caz de utilizare, organizația ar trebui să documenteze:

• denumirea sistemului sau funcției AI;
• scopul și procesul de business;
• responsabilul utilizării;
• furnizorul și serviciile externe implicate;
• categoriile de date prelucrate;
• utilizatorii și drepturile de acces;
• rezultatele produse de sistem;
• deciziile influențate;
• clasificarea riscului;
• controalele și aprobările existente.

Trebuie stabilit dacă rezultatul AI este doar informativ sau poate influența direct o persoană, un client, un angajat ori o operațiune critică.

Același instrument nu înseamnă același risc

Un copilot folosit pentru redactarea documentelor interne nu are același profil de risc ca un sistem care recomandă aprobarea unui credit, selectează candidați sau prioritizează pacienți.

În primul caz, controalele se pot concentra pe clasificarea datelor, acces, configurarea platformei și instruirea utilizatorilor.

În al doilea caz, pot deveni esențiale trasabilitatea deciziei, supravegherea umană, calitatea datelor, documentarea scopului și mecanismele de intervenție sau contestare.

03. Clasificarea riscului AI Act trebuie să conducă la măsuri

După inventariere, fiecare utilizare trebuie evaluată metodic.

Întrebările relevante sunt:

• Este implicată o practică AI interzisă?
• Poate sistemul fi încadrat la risc ridicat?
• Există obligații specifice de transparență?
• Sunt prelucrate date personale sau sensibile?
• Este influențată o decizie privind o persoană?
• Poate fi afectată siguranța unei operațiuni?
• Ce rol juridic are organizația?

Răspunsurile trebuie validate în raport cu funcționalitatea și scopul real al sistemului.

Riscul juridic și riscul operațional nu sunt identice

Un sistem care nu este încadrat formal ca sistem AI cu risc ridicat poate avea totuși un impact material asupra companiei.

Un asistent de cod conectat la repository-uri, un agent AI cu acces la e-mail sau un model care extrage informații din documente financiare poate introduce riscuri de:

• acces excesiv;
• scurgere de date;
• erori de proces;
• manipulare a rezultatelor;
• dependență de furnizor;
• indisponibilitate operațională.

Compliance și IT trebuie să evalueze împreună

Una dintre erorile frecvente este separarea evaluării juridice de evaluarea tehnică.

Echipa de compliance verifică obligațiile, iar IT tratează sistemul ca pe o simplă integrare.

Cele două perspective trebuie reunite.

Clasificarea juridică fără verificarea accesului, logging-ului și fluxurilor de date poate produce documente fără control operațional.

Configurarea tehnică fără justificarea scopului și aprobarea riscului produce tehnologie fără guvernanță.

04. Controale AI Governance care rezistă unei verificări

Un program util de AI governance poate urma patru etape:

Assess → Prioritize → Implement → Evidence.

Assessment-ul stabilește expunerile reale. Prioritizarea separă riscurile materiale de experimentele cu impact limitat.

Implementarea atribuie măsurile, iar dovezile confirmă funcționarea lor.

Aprobarea utilizărilor AI

Organizația trebuie să definească:

• cine poate achiziționa sau activa funcții AI;
• ce date pot fi introduse în sistem;
• ce configurări de securitate sunt obligatorii;
• când este necesară evaluarea juridică;
• când trebuie implicat DPO;
• cine aprobă riscul rezidual;
• ce activități și decizii trebuie înregistrate.

Supravegherea umană trebuie să funcționeze

Pentru sistemele cu impact semnificativ, supravegherea umană nu poate rămâne doar o formulare într-o politică.

Persoana responsabilă trebuie să poată, în funcție de sistem și obligațiile aplicabile, interpreta rezultatele, identifica limitările, interveni, opri utilizarea rezultatului și escalada o abatere.

Identitate, acces și logging

Controalele tehnice trebuie să includă revizuirea identităților, privilegiilor, conturilor de service și accesurilor furnizorilor.

Conectarea sistemelor AI la surse de date trebuie aprobată pe principiul minimului privilegiu.

Logging-ul trebuie să permită investigarea accesului, modificărilor de configurație, integrărilor și activităților relevante.

Retenția trebuie stabilită în raport cu cerințele legale, investigațiile, auditul și principiile de minimizare a datelor.

Microsoft 365 și riscul de expunere a datelor

În mediile Microsoft 365, funcțiile AI pot amplifica problemele existente de acces și guvernanță a datelor.

Dacă permisiunile SharePoint sunt excesive, etichetele de sensibilitate lipsesc, accesul extern este necontrolat sau MFA este configurat incomplet , introducerea AI poate crește impactul acestor expuneri.

AI Act nu înlocuiește igiena de securitate.

Dimpotrivă, arată de ce identitatea, clasificarea datelor și configurațiile verificate trebuie tratate ca măsuri de control al riscului de business.

05. Furnizorii AI nu transferă automat răspunderea

Contractul cu un furnizor AI trebuie analizat dincolo de promisiunile comerciale.

Organizația trebuie să înțeleagă:

• unde sunt prelucrate datele;
• dacă datele sunt folosite pentru antrenare;
• ce subprocesatori sunt implicați;
• ce opțiuni de retenție și ștergere există;
• ce notificări de incident sunt asumate;
• ce documentație este disponibilă pentru audit;
• ce limitări tehnice și operaționale există.

Dependența de furnizor este și risc de continuitate

Pentru aplicațiile critice, evaluarea trebuie să acopere disponibilitatea, dependența de model, mecanismele de fallback și impactul modificărilor de versiune.

Un furnizor poate modifica funcționalități, politici de utilizare sau comportamentul unui model.

Organizația trebuie să înțeleagă ce efect pot avea aceste schimbări asupra proceselor de business.

Evaluarea furnizorului trebuie legată de risc

Supplier assessment nu este doar o formalitate de procurement.

Trebuie corelat cu:

• registrul de risc;
• controlul accesului;
• DPIA, atunci când este necesară;
• cerințele contractuale;
• continuitatea serviciilor;
• procedurile de incident response.

Dacă furnizorul nu oferă suficiente informații despre securitate, funcționare sau limitări, organizația trebuie să decidă dacă poate accepta riscul, restrânge utilizarea sau selecta o alternativă.

06. Dovezile AI Governance fac diferența între intenție și control

La o verificare internă, contractuală sau de reglementare, întrebarea nu va fi doar dacă există o politică AI.

Organizația trebuie să poată demonstra:

• ce sisteme AI sunt utilizate;
• cine le-a aprobat;
• ce date pot prelucra;
• ce evaluări au fost efectuate;
• ce instruire au primit utilizatorii;
• ce controale sunt implementate;
• cum sunt detectate și tratate abaterile.

Ce evidențe trebuie păstrate

În funcție de riscuri și obligațiile aplicabile, pachetul de dovezi poate include:

• registrul actualizat al utilizărilor AI;
• deciziile de clasificare a sistemelor;
• evaluările de risc și DPIA relevante;
• evaluările furnizorilor;
• aprobările de acces;
• rapoartele de configurare;
• rezultatele testelor;
• evidențele instruirii;
• logurile și rapoartele de monitorizare;
• constatările și acțiunile corective.

Vezi și: cum construiești evidențe verificabile pentru audit .

Dovezile trebuie să aibă responsabili, termene de revizuire și legături cu riscurile și controalele evaluate.

Un document stocat într-un folder, fără ciclu de actualizare, nu demonstrează singur eficacitatea unui control.

Un singur sistem de control pentru mai multe obligații

Pentru organizațiile care gestionează NIS2, ISO/IEC 27001, GDPR și AI Act, abordarea eficientă nu este construirea a patru programe paralele.

Rizea Networks tratează alinierea acestor cerințe printr-un model comun:

Risc → Responsabilitate → Control → Verificare → Dovadă.

Aceeași disciplină care cere MFA verificat, backup testat și obiective RTO/RPO realiste trebuie aplicată și utilizărilor AI.

AI Governance începe cu riscul pe care organizația îl poate demonstra

AI poate accelera procesele, dar poate accelera și propagarea unei erori, a unei expuneri de date sau a unei decizii nejustificate.

Punctul de plecare nu este întrebarea: „Ce instrument AI cumpărăm?”

Întrebările relevante sunt:

• Ce proces influențează sistemul AI?
• Ce date și decizii sunt implicate?
• Ce obligații și riscuri se aplică?
• Cine răspunde de utilizare?
• Ce controale reduc expunerea?
• Ce dovezi confirmă funcționarea lor?

Dacă răspunsurile nu pot fi demonstrate, următorul pas nu este încă o politică.

Este o evaluare disciplinată a utilizărilor AI, a riscurilor și a controalelor existente.