Construit pentru răspundere publică.

Reguli bazate pe risc pentru sistemele IA. IA folosită pentru decizii privind accesul la servicii publice esențiale și la beneficii sociale, migrația, azilul și controlul la frontieră, justiția și aplicarea legii este clasificată ca având risc ridicat.

Instituțiile publice care utilizează sisteme cu risc ridicat trebuie să realizeze o evaluare a impactului asupra drepturilor fundamentale (articolul 27), să asigure supravegherea umană și să păstreze jurnale. Conform regulamentului modificat în 2026, aceste obligații se aplică de la 2 decembrie 2027. În România, un memorandum al Guvernului a propus ANCOM ca autoritate de supraveghere a pieței și punct unic de contact; desemnarea națională nu este încă adoptată definitiv (stadiul în toamna anului 2026).

Administrațiile publice centrale intră în domeniul de aplicare, iar statele membre pot include și administrațiile regionale și locale. Obligațiile acoperă gestionarea riscurilor, securitatea lanțului de aprovizionare și raportarea incidentelor în etape, începând cu o avertizare timpurie în 24 de ore. În România, directiva este transpusă prin OUG nr. 155/2024, în vigoare din 31 decembrie 2024, iar Directoratul Național de Securitate Cibernetică (DNSC) este autoritatea competentă, punctul unic de contact și CSIRT-ul național.

Fiecare stat membru trebuie să ofere cel puțin un portofel european pentru identitatea digitală până la 24 decembrie 2026. Serviciile publice care cer identificare electronică trebuie să îl accepte, alături de schemele naționale, în România ROeID.

Se aplică din 12 iulie 2024. Din 12 ianuarie 2025, instituțiile publice trebuie să realizeze o evaluare a interoperabilității înainte de a decide asupra unor servicii publice digitale transeuropene noi sau modificate substanțial și sunt încurajate să partajeze și să reutilizeze soluții, inclusiv open source. La nivel național, Legea nr. 242/2022 reglementează schimbul de date între sisteme informatice și Platforma națională de interoperabilitate.

Din 12 decembrie 2023, utilizatorii procedurilor transfrontaliere esențiale pot cere ca dovezile să fie schimbate direct între autorități prin sistemul tehnic „doar o singură dată”, în loc să le încarce singuri.

Site-urile web și aplicațiile mobile ale organismelor din sectorul public trebuie să respecte standardul armonizat EN 301 549, construit pe WCAG, și să publice o declarație de accesibilitate cu un mecanism de feedback. În România, directiva este transpusă prin OUG nr. 112/2018, aprobată prin Legea nr. 90/2019, iar Autoritatea pentru Digitalizarea României (ADR) este autoritatea de reglementare și supraveghere în acest domeniu.

Se aplică din 28 iunie 2025 unor produse și servicii esențiale, precum serviciile bancare, comerțul electronic, cărțile electronice și serviciile de transport; în România prin Legea nr. 232/2022. Se adresează operatorilor economici, nu direct instituțiilor publice, dar achizițiile publice folosesc cerințele sale de accesibilitate, iar serviciile operate împreună cu parteneri privați pot intra în domeniul de aplicare.

Se aplică din 12 septembrie 2025. Instituțiile publice pot solicita date deținute de companii în situații de necesitate excepțională, iar serviciile de prelucrare a datelor trebuie să permită schimbarea furnizorului, cu eliminarea treptată a taxelor de schimbare până în ianuarie 2027.