Articolul 99 — Sancțiuni (Regulamentul UE privind IA)

Articolul 99 din Regulamentul (UE) 2024/1689 — Sancțiuni. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul Textului Oficial

Articolul 99 din Regulamentul (UE) 2024/1689 stabilește cadrul de sancțiuni administrative pentru încălcările Regulamentului UE privind IA. Acesta prevede o structură pe trei niveluri a amenzilor, calibrată în funcție de gravitatea încălcării.

Cele mai grave încălcări — violările practicilor de IA interzise enumerate în Article 5 — atrag amenzi de până la 35 de milioane de euro sau 7% din cifra de afaceri anuală totală la nivel mondial, oricare dintre acestea este mai mare. Încălcările altor obligații impuse furnizorilor, implementatorilor, importatorilor și distribuitorilor — inclusiv cele referitoare la sistemele de IA cu risc ridicat, obligațiile de transparență și modelele GPAI — sunt supuse unor amenzi de până la 15 milioane de euro sau 3% din cifra de afaceri anuală mondială. Furnizarea de informații incorecte, incomplete sau înșelătoare organismelor notificate sau autorităților naționale competente se sancționează cu până la 7,5 milioane de euro sau 1% din cifra de afaceri anuală mondială.

Pentru furnizorii de modele GPAI, Articolul 99(3) face trimitere la pragurile amenzilor aplicabile obligațiilor din Capitolul V (Articles 53–56), inclusiv obligațiile privind riscul sistemic pentru furnizorii de modele GPAI cu risc sistemic. Atunci când partea infractoare este un IMM sau un startup, plafonul procentual din cifra de afaceri se aplică atunci când produce o cifră absolută mai mică decât plafonul sumei fixe. Autoritățile naționale competente sunt responsabile pentru impunerea și executarea amenzilor în cadrul jurisdicției lor, în timp ce Biroul pentru IA deține competența de executare asupra furnizorilor de modele GPAI la nivelul Uniunii.

Ce Înseamnă Aceasta în Practică

Articolul 99 reprezintă coloana vertebrală a executării Regulamentului UE privind IA. Structura sa pe niveluri determină direct modul în care organizațiile ar trebui să prioritizeze programele lor de conformitate.

Pentru furnizorii de sisteme de IA cu risc ridicat, nivelul de 3%/15 milioane de euro se aplică în cazul unor deficiențe precum evaluările inadecvate ale conformității, documentația tehnică lipsă, sistemele de management al calității neconforme sau neînregistrarea sistemelor în baza de date a UE în temeiul Article 71. Un producător de dispozitive medicale care implementează un instrument de diagnostic asistat de IA fără a finaliza evaluarea de conformitate necesară în temeiul Annex VI este expus răspunderii în acest nivel.

Pentru orice operator care implementează aplicații de IA interzise — precum identificarea biometrică în timp real în spații publice în afara excepțiilor limitate, scorificarea socială de către autoritățile publice sau tehnicile de manipulare subliminală — se aplică nivelul de 7%/35 de milioane de euro. Acestea sunt interdicțiile absolute ale Regulamentului, iar nivelul sancțiunii semnalează că nicio justificare de afaceri nu poate compensa o încălcare.

Pentru dezvoltatorii și implementatorii de modele GPAI, amenzile la nivelul de 3% se aplică pentru deficiențe legate de documentația tehnică, transparența drepturilor de autor și — pentru modelele cu risc sistemic — obligațiile de raportare a incidentelor și de testare adversarială.

Pentru toți operatorii, dezinformarea autorităților de reglementare în cadrul investigațiilor de supraveghere a pieței activează nivelul de 1%. Aceasta este semnificativă din punct de vedere operațional: înseamnă că gestionarea internă a documentelor, pistele de audit și protocoalele de cooperare cu autoritățile trebuie să fie robuste înainte ca autoritățile de reglementare să apară.

Factorii de proporționalitate — inclusiv durata încălcării, gradul de cooperare și încălcările anterioare — ghidează autoritățile în stabilirea amenzii efective în cadrul plafonului aplicabil.

Obligații Esențiale

• Evitarea practicilor interzise (Article 5): Orice implementare sau plasare pe piață a sistemelor de IA care aplică practicile enumerate în Article 5 — inclusiv identificarea biometrică la distanță în timp real în spații accesibile publicului (în afara excepțiilor enumerate), scorificarea socială, manipularea subliminală și exploatarea vulnerabilităților — expune operatorul la cel mai ridicat nivel de sancțiune.
• Îndeplinirea obligațiilor furnizorului pentru sistemele de IA cu risc ridicat: Furnizorii trebuie să mențină evaluările de conformitate, documentația tehnică, sistemele de management al calității și monitorizarea post-comercializare. Deficiențele în oricare dintre aceste domenii sunt supuse amenzii de nivel mediu.
• Respectarea obligațiilor privind modelele GPAI (Chapter V): Furnizorii de modele de IA de uz general trebuie să respecte obligațiile de transparență, documentare și politica drepturilor de autor; furnizorii de modele GPAI cu risc sistemic se confruntă cu cerințe suplimentare privind raportarea incidentelor, evaluările modelelor și măsurile de securitate cibernetică.
• Furnizarea de informații exacte autorităților: Toți operatorii trebuie să coopereze cu autoritățile naționale de supraveghere a pieței și cu Biroul pentru IA și nu trebuie să furnizeze informații incorecte sau înșelătoare în cursul investigațiilor sau procedurilor de conformitate.
• Asigurarea conformității proporționale pentru IMM-uri: Deși IMM-urile beneficiază de considerarea proporționalității la stabilirea amenzilor, ele nu sunt scutite de obligațiile de fond — trebuie totuși să respecte cerințele aplicabile și sunt supuse executării.
• Menținerea pistelor de audit interne: Ținând seama că amenzile pot fi modulate de gradul de cooperare și de acțiunile corective întreprinse, organizațiile ar trebui să mențină dovezi ale etapelor de conformitate, procedurilor de răspuns la incidente și implicării de bună-credință cu autoritățile de reglementare.

Relația cu Alte Articole

Articolul 99 nu poate fi citit în izolare — este expresia executării obligațiilor definite în întregul Regulament.

Cele mai directe legături sunt cu Article 5 (practici interzise, care declanșează cel mai ridicat nivel de sancțiune) și Articles 8–15 (cerințele sistemelor de IA cu risc ridicat, sursa principală a încălcărilor de nivel mediu). Article 53–56 (obligații GPAI) alimentează structura sancțiunilor pentru furnizorii de modele de bază. Article 71 (baza de date a UE pentru sistemele de IA cu risc ridicat) este o obligație de înregistrare a cărei încălcare este captată de nivelul mediu.

Article 100 este dispoziția soră pentru instituțiile și organele Uniunii, aplicând un regim paralel de sancțiuni administrat de Autoritatea Europeană pentru Protecția Datelor, mai degrabă decât de autoritățile naționale.

Article 98 (sancțiuni pentru neconformitatea organismelor notificate) și Article 101 (delegarea de competențe privind amenzile pentru furnizorii GPAI) se află imediat alăturate în capitolul privind sancțiunile și ar trebui citite împreună cu Articolul 99 pentru o imagine completă a arhitecturii de executare a Regulamentului. Articles 74–79 (supravegherea pieței și executarea) definesc cadrul procedural în care sunt impuse amenzile din Articolul 99.

Calendarul de Conformitate

Regulamentul UE privind IA a intrat în vigoare la 2 august 2024 (douăzeci de zile după publicarea în Jurnalul Oficial). Articolul 99 însuși a devenit aplicabil la 2 august 2025, după perioada de tranziție de douăsprezece luni în temeiul Articolului 113(2).

Calendarul de aplicare etapizată reprezintă un context critic pentru înțelegerea momentului în care expunerea la sancțiuni se atașează diferitelor obligații:

• 2 februarie 2025 — Dispozițiile de interdicție (Article 5) au devenit aplicabile, ceea ce înseamnă că încălcările practicilor de IA interzise au fost supuse nivelului de amenzi de 7%/35 de milioane de euro de la această dată.
• 2 august 2025 — Data generală de aplicabilitate pentru cea mai mare parte a Regulamentului, inclusiv Articolul 99 însuși, obligațiile privind modelele GPAI (Chapter V) și cadrul de guvernanță. Nivelurile de amenzi de 3%/15 milioane de euro și 1%/7,5 milioane de euro au devenit operaționale de la această dată.
• 2 decembrie 2026 — Sistemele de IA cu risc ridicat reglementate de Annex I (legislația de armonizare a Uniunii existentă) trebuie să respecte cerințele complete privind riscul ridicat, făcând obligațiile furnizorilor în temeiul Articles 8–15 executorii cu expunere la amenzi.
• 2 august 2027 — Sistemele de IA cu risc ridicat enumerate în Annex III care se aflau deja pe piață înainte de 2 august 2024 trebuie să respecte cerințele, finalizând introducerea graduală pentru implementările legacy cu risc ridicat.

Organizațiile ar trebui să-și cartografieze portofoliul de IA în raport cu aceste date pentru a determina expunerea actuală și de perspectivă la sancțiuni în temeiul Articolului 99.