Cadrul legal pentru inteligența artificială (AI) în România

Ce spune legea

Regulamentul european privind inteligența artificială clasifică sistemele AI după risc și impune obligații pe măsură. Pentru cele mai multe firme, partea relevantă este obligația de transparență: oamenii trebuie să știe când interacționează cu un sistem AI, iar conținutul generat de AI trebuie marcat ca atare. Practicile considerate inacceptabile (manipulare, scoring social) sunt interzise complet.

Ce înseamnă pentru tine

• Dacă folosești un chatbot sau un agent vocal care vorbește cu clienții, AI Act-ul cere să anunți clar că este un sistem AI, nu un om. Anunțul poate fi simplu, la începutul conversației, și nu trebuie să lași clientul să creadă că discută cu un angajat.

  Exemplu: Un magazin online care pune un chatbot pe site afișează din prima: „Sunt asistentul AI al firmei, te pot ajuta cu produsele și comenzile.” Atât e suficient pentru partea de transparență.

• Conținutul generat de AI (texte, imagini, voce) care ar putea fi confundat cu unul real trebuie marcat ca atare. Regula țintește mai ales materialele care pot induce publicul în eroare, de pildă imagini sau voci sintetice prezentate ca reale.

  Exemplu: Dacă folosești o voce sintetică într-o reclamă audio sau o imagine generată cu AI a unui „client mulțumit”, marchezi că este generată cu AI, ca să nu pari că prezinți o persoană reală.

• Sistemele AI cu risc ridicat (de exemplu cele de recrutare, vezi pilonul Muncă) au obligații mult mai stricte: documentație tehnică, controlul calității datelor, jurnalizare și supraveghere umană reală. Cele mai multe unelte de productivitate (redactare, rezumare, chat de suport) nu intră aici.

  Exemplu: Un AI care doar redactează descrieri de produs e cu risc minim; un AI care filtrează automat candidații la angajare e cu risc ridicat și cere supraveghere umană documentată.

• Răspunderea pentru ce spune sau face sistemul tău rămâne la firma ta, nu la furnizorul de AI. Practicile interzise, precum manipularea comportamentului sau scoringul social, nu sunt permise în niciun caz.

  Exemplu: Dacă botul promite din greșeală o reducere inexistentă, firma răspunde față de client; de aceea limitezi din start ce poate promite botul.

Ce spune legea

GDPR guvernează orice prelucrare de date cu caracter personal. Ai nevoie de un temei legal (de exemplu consimțământ sau interes legitim), trebuie să informezi persoanele, să le respecți drepturile și să ții datele în siguranță. Pentru prelucrările cu risc ridicat este necesară o evaluare de impact (DPIA).

Ce înseamnă pentru tine

• Orice dată personală pe care o atinge AI-ul, de la numere de telefon și emailuri până la conversații de chat și înregistrări vocale, intră sub GDPR. Ai nevoie de un temei legal ca să o prelucrezi și trebuie să informezi persoanele despre ce faci cu datele lor.

  Exemplu: Dacă un agent AI răspunde pe WhatsApp și salvează istoricul conversațiilor, acele conversații sunt date personale: îți trebuie temei legal și o informare clară în politica de confidențialitate.

• Pentru mesajele de marketing și de follow-up ai nevoie de consimțământ sau de un alt temei valabil, iar oamenii trebuie să se poată dezabona oricând, simplu. Consimțământul trebuie să fie liber și dovedibil.

  Exemplu: Înainte ca AI-ul să trimită mesaje de promovare pe WhatsApp, clientul trebuie să fi acceptat asta, iar fiecare mesaj oferă o cale clară de tip „STOP, nu mai vreau mesaje”.

• Trebuie să știi unde sunt găzduite datele la furnizorul de AI și să închei cu el un contract de prelucrare (DPA). De preferat, datele stau în UE sau în România; transferurile în afara UE au reguli suplimentare.

  Exemplu: Înainte să conectezi CRM-ul la un serviciu AI, verifici unde rulează (server în UE) și semnezi DPA-ul; fără el, externalizezi date personale fără bază legală.

• Pentru prelucrările cu risc ridicat (volume mari de date, profilare, monitorizare) e nevoie de o evaluare de impact (DPIA) înainte de a porni. Documentezi riscurile și măsurile de protecție.

  Exemplu: Dacă vrei să scorezi automat mii de clienți după comportamentul lor, faci întâi un DPIA care arată ce date folosești și cum protejezi persoanele.

Ce spune legea

De la 1 ianuarie 2025, facturarea electronică prin sistemul RO e-Factura este obligatorie, inclusiv în relația cu consumatorii (B2C). Facturile se transmit în SPV-ul ANAF într-un termen limită, iar netransmiterea atrage sancțiuni.

Ce înseamnă pentru tine

• AI-ul poate pregăti factura din date curate, dar transmiterea în SPV-ul ANAF rămâne un pas validat de un om. Automatizezi pregătirea și verificarea, nu scapi de responsabilitatea finală.

  Exemplu: AI-ul completează factura din comanda clientului și o pune în ciornă; un om verifică datele și apasă „transmite în SPV”.

• Termenul de transmitere în SPV este de 5 zile lucrătoare de la emitere (de la 1 ianuarie 2026, prin OUG nr. 89/2025; weekendurile și sărbătorile legale nu se numără), iar depășirea lui atrage amenzi. Fluxul tău trebuie să prindă termenul automat.

  Exemplu: Sistemul îți semnalează „mai ai 2 zile lucrătoare să transmiți factura X în SPV”, ca să nu treacă termenul în aglomerație.

• Pentru vânzările către persoane fizice (B2C), dacă clientul nu vrea să dea CNP-ul, factura se emite cu codul format din 13 zerouri. E o opțiune permisă, ca să nu blochezi vânzarea.

  Exemplu: Un client care cumpără și nu vrea să dea CNP-ul primește o factură validă cu 13 zerouri în loc de CNP; vânzarea merge mai departe, conform.

• Lămurește din start dacă vânzarea e B2B sau B2C, fiindcă schimbă modul de facturare și de raportare. AI-ul poate clasifica clientul corect din datele strânse în discuție.

  Exemplu: Dacă o firmă cumpără pe CUI, factura merge B2B; dacă e persoană fizică, B2C. AI-ul întreabă din timp, ca să nu refaci factura.

Ce spune legea

Informațiile false sau înșelătoare către clienți sunt practici comerciale incorecte, indiferent dacă vin de la un om sau de la un AI. Ești răspunzător pentru ce comunică sistemul tău și pentru cum arată materialele tale de promovare.

Ce înseamnă pentru tine

• Un chatbot care promite un preț, o reducere, o disponibilitate sau o caracteristică pe care nu o poți onora devine o practică comercială înșelătoare. Răspunderea e a firmei, nu a botului.

  Exemplu: Dacă botul spune „mai avem 3 bucăți la reducere” când nu mai e stoc, clientul are temei de reclamație la ANPC; de aceea botul răspunde doar din date reale, verificate.

• Editarea cu AI a fotografiilor e permisă cosmetic (lumină, fundal), dar nu trebuie să ascundă defecte reale sau să prezinte ceva ce produsul nu are. Altfel devine inducere în eroare.

  Exemplu: Poți pune o mașină pe un fundal curat, dar nu poți șterge o lovitură reală din portieră; cumpărătorul care vine și o găsește are motiv de reclamație.

• Nu poți scăpa de răspundere spunând că „a greșit botul”. Instanțele au confirmat deja că firma răspunde pentru ce spune asistentul ei automat.

  Exemplu: În cazul Air Canada (Canada), compania a fost obligată să respecte o informație greșită dată de propriul chatbot; același principiu de răspundere se aplică și la noi.

Ce spune legea

AI Act încadrează sistemele AI folosite în recrutare și în gestionarea angajaților drept cu risc ridicat: cer documentare, guvernanța datelor, transparență și supraveghere umană reală. Candidații și angajații trebuie informați că un astfel de sistem este folosit.

Ce înseamnă pentru tine

• AI-ul folosit la selecția candidaților sau la evaluarea angajaților este sistem cu risc ridicat sub AI Act (Anexa III). Asta înseamnă obligații de documentare, calitate a datelor și, obligatoriu, supraveghere umană.

  Exemplu: Dacă un AI presortează CV-urile, un om trebuie să poată vedea și schimba decizia; nu poți respinge automat candidați doar pe baza scorului dat de AI.

• Candidații și angajații trebuie informați că un sistem AI este folosit în proces. Transparența nu e opțională, iar deciziile nu trebuie să fie discriminatorii.

  Exemplu: În anunțul de angajare sau la începutul procesului spui clar: „folosim un instrument AI pentru o primă triere a aplicațiilor”.

• Datele candidaților se prelucrează sub GDPR: ai nevoie de temei legal, de o perioadă clară de păstrare și trebuie să respecți drepturile persoanei (acces, ștergere).

  Exemplu: CV-urile respinse nu le ții la nesfârșit; stabilești un termen de păstrare și informezi candidatul cât timp le păstrezi.

Ce spune legea

Pe lângă regulile generale de mai sus, fiecare domeniu are cerințe proprii care se aplică și atunci când introduci AI. Verifică-le pentru sectorul tău înainte de implementare.

Ce înseamnă pentru tine

• Auto: kilometrajul și istoricul mașinii se verifică prin RAR (registrul de kilometraj introdus prin Legea 142/2023), iar facturarea trece prin e-Factura. Un anunț cu kilometraj sau istoric fals e inducere în eroare.

  Exemplu: Înainte să publici „45.000 km reali”, verifici în registrul RAR; dacă datele nu se potrivesc, nu publici cifra ca fiind sigură.

• Finanțe și creditare: produsele de finanțare au reguli proprii de informare corectă. AI-ul poate explica și pregăti, dar nu promite aprobări automate și nu dă sfaturi pe care nu are voie să le dea.

  Exemplu: AI-ul poate face o simulare orientativă de rată, dar nu spune „ești aprobat”; aprobarea o dă partenerul financiar, după verificări.

• Sănătate: datele medicale sunt categorii speciale sub GDPR, cu protecție sporită. Prelucrarea lor cere temei legal strict și măsuri de securitate mai dure.

  Exemplu: O clinică ce folosește AI pentru programări nu lasă botul să discute diagnostice și ține datele medicale separat, cu acces restricționat.