Cadrul legal pentru inteligența artificială (AI) în România

Ce spune legea

Din 2 februarie 2025, Regulamentul european privind AI cere firmelor care folosesc AI să ia măsuri ca să sprijine dezvoltarea cunoștințelor despre AI ale angajaților (articolul 4). Regulamentul clasifică sistemele AI după risc și impune obligații pe măsură. Practicile inacceptabile, precum manipularea care produce prejudicii sau scoringul social, sunt interzise din aceeași dată (articolul 5). Din 2 decembrie 2026 sunt interzise și sistemele AI care generează imagini intime ale unei persoane fără acordul ei. Din 2 august 2026 se aplică regulile de transparență (articolul 50). Cine vorbește cu un chatbot trebuie să afle că discută cu un sistem AI. Deepfake-urile publicate trebuie semnalate ca fiind generate sau modificate cu AI. Regulile pentru sistemele cu risc ridicat din Anexa III, de exemplu cele de recrutare, se aplică din 2 decembrie 2027.

Ce înseamnă pentru tine

• Regulamentul (UE) 2024/1689 privind inteligența artificială, la articolul 4, în forma modificată prin Regulamentul (UE) 2026/1744, cere firmelor care folosesc sisteme AI să ia măsuri ca să sprijine dezvoltarea cunoștințelor despre AI ale angajaților care le folosesc. Măsurile țin cont de ce știu deja angajații, de contextul în care e folosit sistemul și de persoanele față de care e folosit. Același lucru e valabil pentru colaboratorii care lucrează cu aceste sisteme în numele firmei. Regulamentul nu obligă firma să garanteze un anumit nivel de cunoștințe al cuiva. Comisia Europeană precizează că nu e nevoie de certificat și nici de un anumit tip de curs. Obligația se aplică din 2 februarie 2025, iar noua formulare din 27 iulie 2026. Din practica noastră, cele mai simple măsuri sunt două. Prima este o politică AI scrisă, scurtă: ce date pot intra într-un instrument AI, ce instrumente sunt aprobate și cine răspunde. A doua este un training pentru angajații care folosesc aceste instrumente.

  Exemplu: O firmă de distribuție cu 40 de angajați scrie pe o pagină ce date nu intră în instrumentele AI (date de salarizare, prețuri de achiziție, datele personale ale clienților), aprobă un singur instrument al firmei și numește directorul comercial responsabil. Apoi ține o sesiune de două ore cu agenții de vânzări și păstrează lista participanților, cu data și tema.

  De ce politica AI a firmei vine înaintea primului proiect AI

• Dacă pui un chatbot sau un agent vocal să vorbească cu clienții, aceștia trebuie să afle că discută cu un sistem AI, nu cu un angajat. Regula se aplică din 2 august 2026 (articolul 50 alineatul 1). Obligația o are furnizorul sistemului. Dacă asistentul e construit pentru tine și îl pui în funcțiune sub numele firmei, furnizorul poți fi chiar tu. Cel mai simplu e un anunț clar la începutul conversației.

  Exemplu: Un magazin online care pune un chatbot pe site afișează din prima: „Sunt asistentul AI al firmei, te pot ajuta cu produsele și comenzile.” Clientul află din primul mesaj, cum cere articolul 50 alineatul 5.

• Marcarea tehnică a conținutului generat cu AI (texte, imagini, audio, video) este obligația furnizorului instrumentului (articolul 50 alineatul 2). Pentru sistemele puse pe piață înainte de 2 august 2026, furnizorii au termen până la 2 decembrie 2026. Firma ta are o obligație separată, ca implementator. Dacă publici o imagine, un audio sau un video generat cu AI care seamănă cu persoane, locuri sau evenimente reale și pare autentic, spui că e generat sau modificat cu AI (articolul 50 alineatul 4).

  Exemplu: Dacă publici o fotografie generată cu AI care arată ca un showroom real, scrii lângă ea că e generată cu AI. O imagine a unui „client mulțumit” care nu există nu o folosești deloc: o mărturie inventată poate fi practică comercială înșelătoare (Legea 363/2007).

• Sistemele AI cu risc ridicat, de exemplu cele folosite la recrutare (vezi pilonul Muncă), au obligații stricte din 2 decembrie 2027, după modificarea adusă de Regulamentul (UE) 2026/1744. Furnizorul răspunde de documentația tehnică, de calitatea datelor și de jurnalizare. Firma care folosește sistemul îl folosește după instrucțiuni, numește persoane instruite să-l supravegheze, păstrează jurnalele și își informează angajații înainte să-l introducă la locul de muncă (articolul 26). Cele mai multe unelte de productivitate (redactare, rezumare, chat de suport) nu intră aici.

  Exemplu: Un AI care doar redactează descrieri de produs e cu risc minim; un AI care filtrează automat candidații la angajare e cu risc ridicat și cere supraveghere umană documentată.

• Față de clienții tăi, firma răspunde pentru ce spune sau face asistentul ei, după regulile de protecție a consumatorului și după Codul civil. AI Act-ul nu mută această răspundere la furnizorul de AI. Practicile interzise, precum manipularea care produce prejudicii sau scoringul social, nu sunt permise în niciun caz.

  Exemplu: Dacă botul promite din greșeală o reducere inexistentă, firma răspunde față de client; de aceea limitezi din start ce poate promite botul.

Ce spune legea

GDPR guvernează orice prelucrare de date cu caracter personal. Ai nevoie de un temei legal (de exemplu consimțământ sau interes legitim), trebuie să informezi persoanele, să le respecți drepturile și să ții datele în siguranță. Pentru prelucrările cu risc ridicat este necesară o evaluare de impact (DPIA).

Ce înseamnă pentru tine

• Orice dată personală pe care o atinge AI-ul, de la numere de telefon și emailuri până la conversații de chat și înregistrări vocale, intră sub GDPR. Ai nevoie de un temei legal ca să o prelucrezi și trebuie să informezi persoanele despre ce faci cu datele lor.

  Exemplu: Dacă un agent AI răspunde pe WhatsApp și salvează istoricul conversațiilor, acele conversații sunt date personale: îți trebuie temei legal și o informare clară în politica de confidențialitate.

• Pentru mesajele de marketing trimise pe email, SMS sau WhatsApp ai nevoie de consimțământul prealabil și expres al destinatarului (Legea 506/2004, articolul 12). Regula se aplică și când destinatarul este o firmă. Excepția: clienților tăi le poți scrie despre produse similare, dacă le-ai luat adresa de email la o vânzare și le-ai oferit clar dreptul de a refuza. Dezabonarea trebuie să fie simplă, oricând.

  Exemplu: Înainte ca AI-ul să trimită mesaje de promovare pe WhatsApp, clientul trebuie să fi acceptat asta, iar fiecare mesaj oferă o cale clară de tip „STOP, nu mai vreau mesaje”.

• Trebuie să știi unde sunt găzduite datele la furnizorul de AI și să închei cu el un contract de prelucrare (DPA). De preferat, datele stau în UE sau în România; transferurile în afara UE au reguli suplimentare.

  Exemplu: Înainte să conectezi CRM-ul la un serviciu AI, verifici unde rulează (server în UE) și semnezi DPA-ul; fără el, încalci articolul 28 din GDPR, care cere un contract scris cu furnizorul care prelucrează datele pentru tine.

• Pentru prelucrările cu risc ridicat (volume mari de date, profilare, monitorizare) e nevoie de o evaluare de impact (DPIA) înainte de a porni. Documentezi riscurile și măsurile de protecție.

  Exemplu: Dacă vrei să scorezi automat mii de clienți după comportamentul lor, faci întâi un DPIA care arată ce date folosești și cum protejezi persoanele.

Ce spune legea

Facturile între firme (B2B) trec prin RO e-Factura din 2024. Din 1 ianuarie 2025, obligația de transmitere acoperă și facturile către persoane fizice (B2C). Facturile se transmit în SPV-ul ANAF într-un termen limită, iar netransmiterea atrage sancțiuni.

Ce înseamnă pentru tine

• AI-ul poate pregăti factura din date curate. Legea nu cere ca transmiterea să fie aprobată manual, dar răspunderea pentru factură rămâne a firmei. De aceea recomandăm ca transmiterea în SPV să rămână un pas aprobat de cineva din firmă.

  Exemplu: AI-ul completează factura din comanda clientului și o pune ca draft. Contabilul verifică datele și apasă „transmite în SPV”.

• Termenul de transmitere în SPV este de 5 zile lucrătoare de la emitere (de la 1 ianuarie 2026, prin OUG nr. 89/2025; weekendurile și sărbătorile legale nu se numără), iar depășirea lui atrage amenzi. Fluxul tău trebuie să prindă termenul automat.

  Exemplu: Sistemul îți semnalează „mai ai 2 zile lucrătoare să transmiți factura X în SPV”, ca să nu treacă termenul în aglomerație.

• Pentru vânzările către persoane fizice (B2C), dacă clientul nu vrea să dea CNP-ul, factura se emite cu codul format din 13 zerouri. E o opțiune permisă, ca să nu blochezi vânzarea.

  Exemplu: Un client care cumpără și nu vrea să dea CNP-ul primește o factură validă cu 13 zerouri în loc de CNP; vânzarea merge mai departe, conform.

• Lămurește din start dacă vânzarea e B2B sau B2C, fiindcă schimbă modul de facturare și de raportare. AI-ul poate clasifica clientul corect din datele strânse în discuție.

  Exemplu: Dacă o firmă cumpără pe CUI, factura merge B2B; dacă e persoană fizică, B2C. AI-ul întreabă din timp, ca să nu refaci factura.

Ce spune legea

Informațiile false sau înșelătoare către clienți sunt practici comerciale incorecte, indiferent dacă vin de la un angajat sau de la un AI. Ești răspunzător pentru ce comunică sistemul tău și pentru cum arată materialele tale de promovare.

Ce înseamnă pentru tine

• Un chatbot care promite un preț, o reducere, o disponibilitate sau o caracteristică pe care nu o poți onora devine o practică comercială înșelătoare. Răspunderea e a firmei, nu a botului.

  Exemplu: Dacă botul spune „mai avem 3 bucăți la reducere” când nu mai e stoc, clientul are temei de reclamație la ANPC; de aceea botul răspunde doar din date reale, verificate.

• Editarea cu AI a fotografiilor e permisă cosmetic (lumină, fundal), dar nu trebuie să ascundă defecte reale sau să prezinte ceva ce produsul nu are. Altfel devine inducere în eroare.

  Exemplu: Poți pune o mașină pe un fundal curat, dar nu poți șterge o lovitură reală din portieră; cumpărătorul care vine și o găsește are motiv de reclamație.

• Nu poți scăpa de răspundere spunând că „a greșit botul”. În Canada, un tribunal a obligat Air Canada să respecte o informație greșită dată de propriul chatbot (2024). Hotărârea nu se aplică în România, dar regula e aceeași la noi: firma răspunde pentru informațiile pe care le dă clienților, inclusiv prin asistentul automat (Legea 363/2007).

Ce spune legea

AI Act încadrează sistemele AI folosite în recrutare și în gestionarea angajaților drept cu risc ridicat (Anexa III punctul 4). Obligațiile pentru aceste sisteme se aplică din 2 decembrie 2027. De atunci, firma trebuie să le folosească după instrucțiuni, cu supraveghere umană reală, și să-și informeze angajații și candidații. Până atunci, GDPR cere deja informarea persoanelor (articolele 13 și 14). Tot GDPR dă dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată (articolul 22).

Ce înseamnă pentru tine

• AI-ul folosit la selecția candidaților sau la evaluarea angajaților este sistem cu risc ridicat sub AI Act (Anexa III). Asta înseamnă obligații de documentare, calitate a datelor și, obligatoriu, supraveghere umană. Obligațiile se aplică din 2 decembrie 2027.

  Exemplu: Dacă un AI presortează CV-urile, un recrutor trebuie să poată vedea și schimba decizia. O respingere bazată doar pe scorul dat de AI intră, deja azi, sub articolul 22 din GDPR.

• Candidații și angajații trebuie informați că un sistem AI este folosit în proces. Transparența nu e opțională, iar deciziile nu trebuie să fie discriminatorii.

  Exemplu: În anunțul de angajare sau la începutul procesului spui clar: „folosim un instrument AI pentru o primă triere a aplicațiilor”.

• Datele candidaților se prelucrează sub GDPR: ai nevoie de temei legal, de o perioadă clară de păstrare și trebuie să respecți drepturile persoanei (acces, ștergere).

  Exemplu: CV-urile respinse nu le ții la nesfârșit; stabilești un termen de păstrare și informezi candidatul cât timp le păstrezi.

Ce spune legea

Pe lângă regulile generale de mai sus, fiecare domeniu are cerințe proprii care se aplică și atunci când introduci AI. Verifică-le pentru sectorul tău înainte de implementare.

Ce înseamnă pentru tine

• Auto: kilometrajul și istoricul mașinii se verifică prin RAR (registrul de kilometraj introdus prin Legea 142/2023), iar facturarea trece prin e-Factura. Un anunț cu kilometraj sau istoric fals e inducere în eroare.

  Exemplu: Înainte să publici „45.000 km reali”, verifici în registrul RAR; dacă datele nu se potrivesc, nu publici cifra ca fiind sigură.

• Finanțe și creditare: produsele de finanțare au reguli proprii de informare corectă. AI-ul poate explica și pregăti, dar nu promite aprobări automate și nu dă sfaturi pe care nu are voie să le dea.

  Exemplu: AI-ul poate face o simulare orientativă de rată, dar nu spune „ești aprobat”; aprobarea o dă partenerul financiar, după verificări.

• Sănătate: datele medicale sunt categorii speciale sub GDPR, cu protecție sporită. Prelucrarea lor cere temei legal strict și măsuri de securitate mai dure.

  Exemplu: O clinică ce folosește AI pentru programări nu lasă botul să discute diagnostice și ține datele medicale separat, cu acces restricționat.