Listă de verificare a conformității cu Regulamentul UE privind IA: ghid FAQ pas cu pas

O listă de verificare a conformității cu Regulamentul UE privind IA sub formă de întrebări și răspunsuri: domeniu de aplicare, termene rămase, clasificarea riscului, practici interzise, GPAI, conformitatea sistemelor cu risc ridicat și repartizarea între furnizor și operator.

Acest ghid răspunde întrebărilor de conformitate în ordinea în care ele apar cu adevărat: mă atinge regulamentul, ce mă obligă deja astăzi, care dintre sistemele mele sunt cu risc ridicat, ce trebuie să produc și cât costă o greșeală. Fiecare răspuns este ancorat într-un temei juridic citabil într-o notă internă.

Cine trebuie să parcurgă această listă?

Orice organizație care dezvoltă, utilizează, importă sau distribuie un sistem de IA folosit în UE — indiferent unde este stabilită. Art. 2 vizează furnizorii și operatorii din țări terțe de îndată ce rezultatul produs de sistem este utilizat în Uniune: un furnizor SaaS american cu clienți europeni intră în domeniul de aplicare la fel ca o bancă din București.

Patru întrebări determină setul dumneavoastră de obligații, și sunt necesare toate patru pentru ca lista să aibă sens:

Ultimul rând este cel care scapă majorității inventarelor. Obligațiile de transparență ating sisteme care nu sunt deloc cu risc ridicat: un chatbot de relații cu clienții poartă astăzi o obligație fără să poarte nimic din sarcina de conformitate căreia îi este dedicat restul acestei liste.

Ce vă obligă deja și ce urmează?

Cinci date de aplicare au trecut; grosul muncii de conformitate cade în decembrie 2027. Datele de mai jos urmează setul de date privind termenele publicat de acest site, care reflectă amânările din Regulamentul (UE) 2026/1744.

Omnibusul digital a mutat patru dintre aceste date și a rescris art. 4; registrul complet înainte/după este publicat la /changes/. Nu a eliminat nicio obligație și nu a creat scutiri: un program construit pe datele inițiale rămâne programul corect, doar cu mai mult timp de pregătire.

Pasul 1 — Este inventarul dumneavoastră complet?

Fără un inventar complet, nimic din ce urmează nu este de susținut. Creați un registru al tuturor sistemelor de IA de care se atinge organizația:

• Sisteme pe care le dezvoltați și le vindeți sau licențiați (sunteți furnizor)
• Sisteme pe care le achiziționați sau licențiați și le folosiți intern (sunteți operator)
• Sisteme încorporate în produse pe care le fabricați sau le importați
• Sisteme accesate prin API de la terți (IA în cloud, API-uri de modele de bază)

Pentru fiecare: denumire, funcție, date de intrare și de ieșire, context de utilizare, impact decizional, populație afectată. Marcați sistemele a căror clasificare este incertă — ele cer o analiză juridică, nu un răspuns tehnic.

Două categorii sunt subnumărate sistematic: funcțiile de IA livrate în instrumente SaaS pe care compania le plătește deja și modelele construite de echipe în afara procesului de achiziții. Cereți listei financiare lista furnizorilor și inginerilor registrul de modele; reuniunea celor două este mai aproape de adevăr decât fiecare separat.

Pasul 2 — Rulați deja ceva ilegal?

Treceți art. 5 înaintea oricărei clasificări a riscului, pentru că un sistem interzis nu poate fi adus la conformitate. Confruntați fiecare sistem cu lista:

• Tehnici subliminale, manipulatoare sau înșelătoare care denaturează substanțial comportamentul
• Exploatarea vulnerabilităților ținând de vârstă, dizabilitate sau situație socială ori economică
• Scor social care conduce la tratament defavorabil în contexte fără legătură
• Extragerea nețintită a imaginilor faciale pentru constituirea de baze de recunoaștere
• Deducerea emoțiilor la locul de muncă sau în învățământ
• Categorizare biometrică pentru deducerea unor caracteristici sensibile
• Identificare biometrică la distanță în timp real în spații publice de către autoritățile de aplicare a legii

→ Retrageți sau reproiectați din temelii. Aceste interdicții se aplică din 2 februarie 2025 și se află în pragul sancționator de 35 de milioane EUR / 7 %. Ghidul practicilor interzise tratează excepțiile înguste ale fiecăreia.

De la 2 decembrie 2026 se adaugă o interdicție privind sistemele care generează materiale cu abuzuri sexuale asupra copiilor sau imagini intime neconsimțite.

Pasul 3 — Sunteți furnizor al unui model de uz general?

Dacă organizația dezvoltă și publică un model de bază, obligațiile capitolului V se aplică din 2 august 2025. Trei teste:

• Modelul este antrenat prin autosupervizare la scară semnificativă?
• Poate îndeplini competent o gamă largă de sarcini distincte?
• Este pus la dispoziția terților în loc să fie folosit doar intern?

Dacă da: documentația modelului pentru Oficiul pentru IA și pentru furnizorii din aval, politica privind drepturile de autor și un rezumat public suficient de detaliat al conținutului de antrenare. Peste 10²⁵ FLOPs de calcul de antrenare se prezumă riscul sistemic, ceea ce adaugă evaluarea modelului, testarea contradictorie, raportarea incidentelor și securitatea cibernetică. A se vedea ghidul obligațiilor GPAI.

Din 2 august 2026, Comisia — nu autoritățile naționale — aplică direct acest capitol, cu amenzi de până la 15 milioane EUR sau 3 %.

Pasul 4 — Care dintre sistemele dumneavoastră sunt cu risc ridicat?

Clasificați prin raportare la anexa III și la anexa I, aplicați filtrul art. 6 alin. (3) și consemnați rezultatul. Anexa III enumeră opt categorii autonome: biometrie, infrastructuri critice, educație și formare profesională, ocuparea forței de muncă și gestionarea lucrătorilor, accesul la servicii esențiale private și publice, aplicarea legii, migrație și controlul frontierelor și administrarea justiției. Anexa I vizează IA care funcționează ca o componentă de siguranță a unui produs deja reglementat de dreptul UE privind siguranța produselor.

Excepția de la art. 6 alin. (3) eliberează sistemul care, deși intră într-o categorie din anexa III, nu prezintă un risc semnificativ: sarcină procedurală restrânsă, îmbunătățirea rezultatului unei activități umane deja încheiate, detectarea unor tipare decizionale fără a înlocui aprecierea umană sau muncă pur pregătitoare. Nu operează niciodată în cazul creării de profiluri ale persoanelor fizice. Evaluarea trebuie documentată înainte de introducerea pe piață, iar înregistrarea rămâne datorată.

Deciziile de clasificare sunt artefactul cel mai auditat din această listă. Consemnați categoria examinată, raționamentul, probele, data și persoana responsabilă.

Pasul 5 — Sunteți furnizor sau operator?

Rolul determină aproximativ 80 % din efort și nu este fixat de contractul de achiziție. Art. 25 vă face furnizorul unui sistem cu risc ridicat pe care nu l-ați construit dacă vă puneți numele sau marca, îl modificați substanțial ori îl reorientați astfel încât să devină cu risc ridicat. Ajustarea fină a modelului unui producător pe date proprii și livrarea sub marcă proprie este calea obișnuită de a moșteni obligații de furnizor nebugetate.

Ghidul furnizor vs. operator tratează cazurile-limită, inclusiv importatorii și distribuitorii, care poartă obligații de verificare, nu de conformitate.

Pașii 6–10 — Ce produce programul pentru risc ridicat?

Șase artefacte, în ordinea dependențelor. Fiecare este intrarea pentru următorul, motiv pentru care un program care începe cu documentația și se întoarce spre guvernanță se împotmolește.

1. Sistemul de management al calității (art. 17) — politici, responsabilități, controlul modificărilor, gestionarea datelor, monitorizarea ulterioară introducerii pe piață și procedurile de incident. Este primul lucru pe care îl cere o autoritate de supraveghere a pieței.
2. Evidențele de gestionare a riscurilor (art. 9) — ciclul iterativ de identificare, estimare și atenuare, purtat pe tot ciclul de viață, nu semnat o singură dată.
3. Dovezile de guvernanță a datelor (art. 10) — proveniență, reprezentativitate, examinarea și atenuarea prejudecăților pentru seturile de antrenare, validare și testare.
4. Dosarul tehnic din anexa IV — corpul descris în ghidul documentației tehnice, inclusiv testele față de cerințele de acuratețe, robustețe și securitate cibernetică de la art. 15.
5. Evaluarea conformității și declarația — autoevaluare potrivit anexei VI sau organism notificat acolo unde biometria ori legislația de produs din anexa I o impun. A se vedea ghidul evaluării conformității.
6. Înregistrare, marcaj CE și monitorizare — înscrierea în baza de date a UE înainte de introducerea pe piață, marcajul CE pe documentație, apoi planul de monitorizare ulterioară introducerii pe piață și raportarea incidentelor grave în temeiul art. 73.

Țintiți 2 decembrie 2027 pentru sistemele autonome din anexa III și 2 august 2028 pentru sistemele încorporate din anexa I. Un program realist pentru un singur sistem cu risc ridicat durează 12–24 de luni: pornirea la finalul lui 2026 se încadrează în fereastră fără rezervă, iar capacitatea organismelor notificate se va strânge pe măsură ce data se apropie.

Dacă folosiți doar IA altora?

Sunteți operator, iar lista dumneavoastră este scurtă, dar nu goală. Aici se află majoritatea organizațiilor: niciun model construit, o duzină de funcții de IA consumate prin SaaS și API.

• Alfabetizarea (art. 4) se aplică acum, oricărui operator, la orice nivel de risc.
• Transparența (art. 50) se aplică acum la ceea ce văd utilizatorii dumneavoastră: informarea privind chatbotul, etichetarea deepfake-urilor, marcarea textelor generate publicate pentru informarea publicului.
• Obligațiile operatorului (art. 26) se vor aplica de la 2 decembrie 2027 oriunde scenariul de utilizare intră într-o categorie din anexa III — selecția candidaților, deciziile de credit, gestionarea lucrătorilor.
• Art. 25 este capcana: în clipa în care reetichetați sau modificați substanțial, moșteniți setul furnizorului.

Controlul practic este diligența privind furnizorul: obținerea declarației de conformitate, a instrucțiunilor de utilizare și a informațiilor pe care art. 13 îl obligă pe furnizor să le transmită. Ghidul IA terțe precizează ce trebuie cerut contractual.

Ce se schimbă în funcție de sector?

Obligațiile sunt identice; rezultatele clasificării și regimurile suprapuse, nu.

• Servicii financiare — scoringul de credit și tarifarea asigurărilor intră în anexa III, iar acolo operatorul datorează o evaluare a impactului asupra drepturilor fundamentale în temeiul art. 27. Gestionarea riscului TIC din DORA acoperă parțial articolul privind gestionarea riscurilor, dar nu acoperă guvernanța datelor specifică IA și nici supravegherea umană. Proiectați un flux unic de raportare care satisface simultan art. 19 din DORA și art. 73 din AI Act. A se vedea ghidul sectorului financiar și ghidul de convergență DORA / NIS2.
• Sănătate și dispozitive medicale — IA drept componentă de siguranță a unui dispozitiv MDR/IVDR intră în anexa I, aplicabilă de la 2 august 2028. Dosarul tehnic existent și sistemul calității ISO 13485 sunt baza și trebuie extinse la cerințele capitolului III; organismul dumneavoastră notificat are nevoie de o desemnare distinctă în temeiul AI Act.
• Resurse umane și recrutare — categoria ocupare din anexa III. Examinarea prejudecăților în temeiul art. 10 este expunerea principală, transparența față de candidați este o obligație a operatorului, iar nicio decizie definitivă de angajare nu poate sta pe sistem fără un om capabil să o infirme.
• Sector public — evaluarea impactului asupra drepturilor fundamentale este obligatorie, iar operatorii își înregistrează utilizarea sistemelor din anexa III în baza de date a UE.

Ghidurile sectoriale tratează nouă industrii în aceeași structură.

Cât costă neconformitatea?

Trei praguri, iar pentru o întreprindere obișnuită contează mai ales cel din mijloc. Art. 99 fixează 35 de milioane EUR sau 7 % din cifra de afaceri mondială pentru interdicțiile de la art. 5, 15 milioane sau 3 % pentru majoritatea celorlalte obligații — inclusiv transparența de la art. 50 și întregul bloc de risc ridicat — și 7,5 milioane sau 1 % pentru informații înșelătoare furnizate autorităților. IMM-urile sunt plafonate la suma mai mică.

Al treilea prag merită o atenție disproporționată față de cuantumul său: sancționează un răspuns prost dat autorității, independent de orice încălcare de fond. Documentația este cea care transformă o poziție susținabilă într-una demonstrabilă. Ghidul sancțiunilor dezvoltă calculul expunerii.

Ce de făcut în următoarele 90 de zile

1. Închideți lacuna de inventar — lista de furnizori a departamentului financiar ∪ registrul de modele al ingineriei.
2. Treceți întregul parc prin filtrul art. 5. Este singurul pas cu un prag de 7 % deja în vigoare.
3. Livrați mențiunile art. 50 pe tot ce este orientat spre utilizator; obligația este în vigoare, nu urmează.
4. Dovediți alfabetizarea de la art. 4: cine a fost format, în ce, când. Ghidul alfabetizării în domeniul IA precizează ce cere articolul rescris.
5. Clasificați candidații din anexa III și consemnați raționamentul, inclusiv deciziile luate în temeiul art. 6 alin. (3).
6. Pentru fiecare sistem cu risc ridicat confirmat, porniți sistemul de management al calității. Decembrie 2027 este constrângerea, iar coada la organismele notificate este în fața dumneavoastră, nu în urmă.

Șabloanele de lucru pentru inventar, registrul de riscuri, dosarul tehnic și diligența privind furnizorii se află în kiturile de conformitate; Academia AI Act acoperă același teren sub formă de formare structurată cu certificare.