Regulamentul IA pentru instituțiile publice: ce pregătiți până în decembrie 2027

01Unde ne aflăm în toamna anului 2026

Regulamentul privind inteligența artificială (se deschide un site extern), Regulamentul (UE) 2024/1689, a intrat în vigoare la 1 august 2024 și se aplică în etape. În iulie 2026, UE a adoptat pachetul Digital Omnibus privind IA, Regulamentul (UE) 2026/1744 (se deschide un site extern), care a amânat regulile pentru sistemele cu grad ridicat de risc și a modificat și alte dispoziții. Acesta a intrat în vigoare la 27 iulie 2026, cu câteva zile înainte de data inițială pentru sistemele cu grad ridicat de risc.

Rezultatul este un calendar în care unele obligații se aplică deja, altele vin la sfârșitul acestui an, iar cele mai grele pentru instituțiile publice care folosesc IA urmează în decembrie 2027.

Pachetul Omnibus a rescris și articolul 4 privind alfabetizarea în domeniul IA. Furnizorii și implementatorii trebuie acum să ia măsuri pentru a sprijini alfabetizarea personalului lor, în loc să asigure un nivel suficient al acesteia. Obligația rămâne; s-a schimbat ce trebuie să demonstrați. O formare adaptată fiecărui rol, documentată, rămâne răspunsul rezonabil.

02Sunteți furnizor sau implementator?

Cele mai multe autorități și instituții publice sunt implementatori: folosesc un sistem de IA sub propria autoritate. Sunteți furnizor atunci când dezvoltați un sistem de IA, sau puneți pe altcineva să îl dezvolte, și îl puneți în funcțiune sub propriul nume. Aici intră și sistemele construite intern sau de un contractant după specificațiile dumneavoastră.

Rolurile se pot și schimba. Potrivit articolului 25, un implementator care modifică substanțial un sistem cu grad ridicat de risc sau îi schimbă scopul preconizat astfel încât acesta devine un sistem cu grad ridicat de risc preia obligațiile furnizorului. Scrieți rolurile vizate în documentația de atribuire și în contracte, ca nimeni să nu le descopere abia în timpul unui audit.

03Care dintre cazurile dumneavoastră de utilizare au grad ridicat de risc?

Anexa III enumeră domeniile în care sistemele de IA sunt considerate cu grad ridicat de risc. Pentru instituțiile publice, cele mai relevante sunt:

• Accesul la servicii publice esențiale și la prestații sociale: evaluarea eligibilității și acordarea, reducerea, revocarea sau recuperarea prestațiilor și serviciilor.
• Migrația, azilul și controlul la frontiere, asigurarea respectării legii și administrarea justiției.
• Educația și formarea profesională: admiterea, evaluarea rezultatelor învățării, monitorizarea în timpul testelor.
• Ocuparea forței de muncă: recrutarea, promovarea, repartizarea sarcinilor și monitorizarea personalului. Și instituțiile publice sunt angajatori.
• Infrastructura critică: componente de siguranță în gestionarea infrastructurii digitale, a traficului rutier și a utilităților.

Faptul că un sistem se află într-un domeniu din anexa III nu încheie analiza. Potrivit articolului 6 alineatul (3), un astfel de sistem nu are grad ridicat de risc dacă nu prezintă un risc semnificativ de prejudiciu, de exemplu pentru că îndeplinește o sarcină procedurală restrânsă, îmbunătățește rezultatul unei activități deja finalizate de o persoană, detectează tipare fără să înlocuiască evaluarea umană sau îndeplinește o sarcină pregătitoare. Un sistem care creează profiluri ale persoanelor are întotdeauna grad ridicat de risc. Dacă vă bazați pe această excepție, documentați raționamentul.

Multe instrumente utile nu au deloc grad ridicat de risc: sprijin la redactare, căutare în cunoștințele interne, traducere, rezumare. Obligațiile de transparență și RGPD se aplică în continuare, dar regimul pentru sistemele cu grad ridicat de risc nu.

04Ce trebuie să facă implementatorii sistemelor cu grad ridicat de risc

De la 2 decembrie 2027, o instituție publică ce folosește un sistem cu grad ridicat de risc din anexa III are obligații în temeiul articolului 26 (se deschide un site extern). Cele principale:

• Folosiți sistemul conform instrucțiunilor de utilizare ale furnizorului, cu măsuri tehnice și organizatorice adecvate.
• Încredințați supravegherea umană unor persoane cu competența, pregătirea și autoritatea necesare și oferiți-le sprijin.
• Asigurați-vă că datele de intrare aflate sub controlul dumneavoastră sunt relevante și suficient de reprezentative pentru scopul preconizat.
• Monitorizați funcționarea și informați fără întârzieri nejustificate furnizorul și autoritățile despre riscuri și incidente grave.
• Păstrați jurnalele generate automat cel puțin șase luni, dacă alte norme ale Uniunii sau naționale nu prevăd altfel.
• Informați reprezentanții lucrătorilor și lucrătorii afectați înainte de a folosi la locul de muncă un sistem cu grad ridicat de risc.
• Ca autoritate publică, înregistrați utilizarea sistemului în baza de date a UE înainte de a-l pune în funcțiune (articolul 26 alineatul (8) și articolul 49). Un sistem neînregistrat nu poate fi folosit.
• Informați persoanele atunci când un sistem cu grad ridicat de risc este folosit pentru a lua sau a sprijini decizii care le privesc (articolul 26 alineatul (11)). Persoanele au și dreptul la explicarea deciziilor individuale (articolul 86).

Evaluarea impactului asupra drepturilor fundamentale

Potrivit articolului 27 (se deschide un site extern), organismele de drept public și organizațiile private care furnizează servicii publice efectuează o evaluare a impactului asupra drepturilor fundamentale înainte de prima utilizare a celor mai multe sisteme din anexa III. Sistemele pentru infrastructura critică sunt exceptate. Evaluarea descrie:

1. 01procesele în care va fi folosit sistemul, în conformitate cu scopul său preconizat;
2. 02perioada și frecvența utilizării;
3. 03categoriile de persoane și grupuri care pot fi afectate;
4. 04riscurile specifice de prejudiciu pentru aceste persoane;
5. 05modul în care este pusă în practică supravegherea umană;
6. 06ce se întâmplă dacă riscurile se materializează, inclusiv guvernanța internă și mecanismele de soluționare a plângerilor.

Rezultatele se notifică autorității de supraveghere a pieței. Evaluarea completează, și se poate sprijini pe, o evaluare a impactului asupra protecției datelor potrivit articolului 35 din RGPD, așa că le puteți realiza împreună. Articolul 27 alineatul (5) cere Oficiului pentru IA să pună la dispoziție un model de chestionar; verificați stadiul acestuia înainte să vă proiectați propriul model. Unele state membre au deja metode proprii, cum ar fi Impact Assessment Mensenrechten en Algoritmes (IAMA) al guvernului din Țările de Jos.

05Obligații de transparență care se aplică deja

Din 2 august 2026 se aplică articolul 50. Furnizorii trebuie să proiecteze sistemele care interacționează cu oamenii astfel încât aceștia să fie informați că au de-a face cu un sistem de IA, cu excepția cazului în care acest lucru este evident, și trebuie să marcheze conținutul sintetic într-un format care poate fi citit automat. Implementatorii trebuie să dezvăluie deepfake-urile, precum și textele generate sau manipulate de IA publicate pentru a informa publicul cu privire la chestiuni de interes public, cu excepția cazului în care o persoană le-a verificat și cineva își asumă responsabilitatea editorială.

Pentru o instituție publică, cel mai frecvent caz este un asistent conversațional pe site sau într-un canal de relații cu publicul. Spuneți clar că este un sistem de IA, explicați la ce poate ajuta și la ce nu și oferiți o cale către o persoană, de exemplu în programul cu publicul.

06Un plan de pregătire pentru 2026 și 2027

1. 01Inventarul, acum. Enumerați fiecare sistem de IA folosit sau aflat în achiziție, inclusiv funcțiile de IA din platformele pentru care aveți deja licențe. Notați responsabilul, scopul, furnizorul, datele folosite și persoanele afectate.
2. 02Clasificarea, până la începutul lui 2027. Interzis, cu grad ridicat de risc (cu raționamentul de la articolul 6 alineatul (3) documentat), doar obligații de transparență sau risc minim. Notați pentru fiecare sistem rolul dumneavoastră de furnizor sau implementator.
3. 03Contractele, în cursul lui 2027. Cereți furnizorilor instrucțiunile de utilizare, documentația de conformitate și accesul la jurnale. Includeți în contract, sau în caietul de sarcini al viitoarelor proceduri, sprijinul pentru evaluarea de impact și pentru raportarea incidentelor.
4. 04Proiectați supravegherea. Numiți rolurile, instruiți persoanele, dați-le autoritatea de a contrazice sistemul și o cale de escaladare. Proiectați împotriva prejudecăților legate de automatizare; articolul nostru despre unde au nevoie agenții IA de aprobare umană arată cum.
5. 05Organizați jurnalizarea și monitorizarea. Păstrați jurnalele cel puțin șase luni, definiți ce înseamnă un incident grav și cine îl raportează.
6. 06Înainte de prima utilizare. Realizați evaluarea impactului asupra drepturilor fundamentale împreună cu evaluarea impactului asupra protecției datelor, înregistrați sistemul în baza de date a UE și informați personalul și persoanele afectate.
7. 07Mențineți alfabetizarea. Formare pe roluri pentru utilizatori, verificatori și decidenți, reluată când sistemele se schimbă, cu evidența celor instruiți.

07Sancțiuni și control

Statele membre stabilesc regimul sancțiunilor. Articolul 99 alineatul (8) permite fiecărui stat membru să decidă dacă și în ce măsură pot fi aplicate amenzi administrative autorităților și organismelor publice stabilite pe teritoriul său. În România, această alegere ține de cadrul național de punere în aplicare. Nu este un motiv de așteptare. Autoritățile de supraveghere a pieței pot cere în continuare măsuri corective, iar legitimitatea unei decizii publice depinde de faptul că poate fi explicată și contestată.

08Ce merită urmărit în lunile următoare

• Ghidurile Comisiei privind clasificarea sistemelor cu grad ridicat de risc (articolul 6 alineatul (5)) și ghidurile existente privind practicile interzise (se deschide un site extern).
• Standardele armonizate pentru cerințele aplicabile sistemelor cu grad ridicat de risc, pe care furnizorii le vor folosi pentru a demonstra conformitatea.
• Adoptarea definitivă a desemnării autorităților de supraveghere a pieței din România și primele lor ghiduri pentru instituțiile publice care folosesc IA.
• Modelul Oficiului pentru IA pentru evaluarea impactului asupra drepturilor fundamentale.

AI Act Service Desk (se deschide un site extern), serviciul de asistență al Comisiei Europene pentru Regulamentul IA, ține la zi calendarul oficial și explicațiile pe articole (în limba engleză). Salvați-l printre favorite și datați fiecare notă internă pe care o scrieți despre regulament: este un text care încă se mișcă.