EU AI Act: De la reglementare la dovezi tehnice

Ce este EU AI Act?

EU AI Act, numit oficial Regulamentul (UE) 2024/1689, este cadrul legal bazat pe risc al Uniunii Europene pentru inteligența artificială. A intrat în vigoare la 1 august 2024 și, în loc să reglementeze „IA” ca pe un singur lucru, adoptă o abordare bazată pe risc, cu obligații diferite aplicabile în funcție de sistemul de IA, scopul său declarat, rolul organizației și prevederile aplicabile.

Este un cadru legal orizontal al UE care stabilește norme bazate pe risc pentru inteligența artificială. Actul se aplică în mai multe situații, inclusiv anumitor furnizori și implementatori din UE și anumitor furnizori din țări terțe al căror rezultat al unui sistem de IA este utilizat în Uniune, sub rezerva condițiilor specifice stabilite în Regulament, nu ca pe o regulă universală care acoperă orice organizație care are vreo legătură cu IA. Obligațiile sunt introduse treptat, pe parcursul mai multor ani, nu toate deodată, iar această eșalonare a fost ea însăși ajustată de la adoptarea inițială a actului, motiv pentru care această pagină poartă o dată de revizuire, în loc să trateze orice rezumat ca fiind permanent.

Cui i se aplică EU AI Act?

Aplicabilitatea nu este uniformă, iar una dintre cele mai frecvente greșeli pe care le văd este ca o organizație să presupună fie că actul i se aplică integral, fie că nu i se aplică deloc. În practică, depinde de mai mulți factori care acționează împreună.

Rolul în lanțul valoric al AI. Un furnizor dezvoltă un sistem sau un model de IA și îl introduce pe piață sau îl pune în funcțiune. Un implementator utilizează un sistem de IA sub propria autoritate. Cele două roluri poartă obligații diferite, iar o organizație poate fi ambele pentru sisteme diferite.

Scopul declarat și clasificarea de risc. Același model de bază se poate încadra în niveluri de risc diferite, în funcție de utilizarea sa. Un model de limbaj cu scop general folosit pentru redactare internă poartă un set de obligații foarte diferit față de același model integrat într-un instrument de selecție a CV-urilor.

Dacă sistemul este un model de IA cu scop general. Modelele GPAI poartă propriul traseu de obligații, tratat separat mai jos, suprapus peste orice rol și clasificare de risc care s-ar aplica altfel.

Nimic din toate acestea nu înlocuiește o evaluare juridică punctuală a unui sistem specific. Este cadrul de care o echipă de inginerie sau de arhitectură are nevoie înainte ca acea evaluare să poată fi măcar delimitată corect.

Care sunt categoriile de risc din EU AI Act?

Actul adoptă o abordare bazată pe risc, în loc să reglementeze fiecare sistem de IA în același mod. Patru categorii generale sunt folosite în mod obișnuit pentru a explica această abordare în termeni practici; acestea reprezintă un cadru explicativ de orientare, nu un test universal de autoclasificare juridică, iar granițele de mai jos nu ar trebui tratate ca un substitut pentru o evaluare juridică punctuală.

Ce este un sistem de IA cu risc ridicat?

Statutul de risc ridicat se atribuie în două moduri. Anexa III enumeră domenii specifice de utilizare: infrastructura critică, educația și formarea profesională, ocuparea forței de muncă și gestionarea lucrătorilor, accesul la servicii private și publice esențiale (inclusiv scorul de credit și asigurările), aplicarea legii, migrația și controlul frontierelor, administrarea justiției și a proceselor democratice, precum și anumite utilizări de identificare și categorisire biometrică. Anexa I acoperă IA utilizată ca o componentă de siguranță în produse deja reglementate de legislația UE privind siguranța produselor, cum ar fi utilajele, dispozitivele medicale și jucăriile. Încadrarea într-unul dintre aceste domenii nu reprezintă, prin ea însăși, un test complet de clasificare: dacă un anumit sistem este, de fapt, cu risc ridicat depinde de criteriile legale aplicabile acelui domeniu, nu doar de sector, iar nu orice sistem de IA utilizat în sănătate, ocuparea forței de muncă, educație, servicii financiare sau servicii publice este automat cu risc ridicat.

Furnizorii de sisteme cu risc ridicat poartă cel mai extins set de obligații: un sistem de management al riscului menținut pe parcursul întregului ciclu de viață al sistemului, guvernanța datelor de antrenare, validare și testare, documentație tehnică, capacități de jurnalizare automată, instrucțiuni clare care permit supravegherea umană și demonstrarea acurateței, robusteții și securității cibernetice. Implementatorii de sisteme cu risc ridicat poartă un set mai restrâns de obligații, centrat pe utilizarea sistemului conform instrucțiunilor sale, asigurarea supravegherii umane în practică și monitorizarea funcționării acestuia, cu obligații suplimentare precum o evaluare a impactului asupra drepturilor fundamentale pentru anumiți implementatori (inclusiv organisme publice și anumite utilizări în serviciile financiare).

Care sunt obligațiile pentru modelele GPAI?

Actul definește un model de IA cu scop general (GPAI) la articolul 3; sfera exactă a acelei definiții legale ar trebui verificată în raport cu textul Regulamentului însuși sau cu ghidările oficiale ale Comisiei, nu cu acest rezumat. În termeni practici, și doar ca o descriere explicativă, nu ca o reformulare a acelui text legal, aceasta acoperă, în general, modele cu capabilități largi, care pot îndeplini o gamă variată de sarcini și pot fi integrate în sisteme de IA din aval. Modelele GPAI au un set distinct de obligații pentru furnizorii lor în temeiul actului, iar cerințe suplimentare se pot aplica în funcție de modul în care un model GPAI este încorporat sau utilizat într-un sistem de IA din aval, astfel încât obligațiile unui furnizor de GPAI și obligațiile unui sistem din aval nu sunt automat aceleași.

Fiecare furnizor de GPAI trebuie să mențină documentație tehnică, să pună anumite informații la dispoziția furnizorilor care integrează modelul în aval și să publice un rezumat suficient de detaliat al conținutului utilizat pentru antrenare, pentru a sprijini obligațiile legate de drepturile de autor.

Un model GPAI este prezumat, în temeiul articolului 51, ca purtând risc sistemic atunci când puterea de calcul cumulată utilizată pentru antrenarea sa depășește un prag definit (exprimat în operații în virgulă mobilă), iar Comisia poate, de asemenea, să desemneze un model ca purtând risc sistemic din alte motive. Furnizorii unor astfel de modele se confruntă cu obligații suplimentare: evaluarea modelului, inclusiv testare adversarială, evaluarea și atenuarea riscului sistemic, urmărirea și raportarea incidentelor grave și asigurarea unui nivel adecvat de protecție cibernetică. Oficiul European pentru IA, înființat în cadrul Comisiei Europene, deține autoritatea principală de supraveghere asupra modelelor GPAI și menține un Cod de conduită voluntar pentru furnizorii de GPAI, care acoperă transparența, drepturile de autor și siguranța și securitatea; este un instrument voluntar menit să îi ajute pe furnizori să demonstreze conformitatea, nu el însuși o determinare că un anumit furnizor este conform.

Cronologie: ce se aplică și când

Obligațiile actului sunt introduse treptat, iar această eșalonare a fost deja ajustată o dată de la adoptare. La data ultimei revizuiri a acestei pagini, calendarul de aplicare este următorul:

În 2026, „Digital Omnibus on AI” al Comisiei Europene (în vigoare din 27 iulie 2026) a modificat actul pentru a extinde calendarul de conformitate pentru risc ridicat și pentru a simplifica anumite obligații administrative, păstrând în același timp structura de bază, bazată pe risc, și garanțiile actului. Tratați orice calendar al EU AI Act, inclusiv pe cel de aici, ca fiind supus unor ghidări ulterioare și unor posibile modificări, și verificați datele curente pe pagina oficială a Comisiei Europene înainte de a considera o anumită dată ca fiind definitivă pentru un anumit sistem.

Ce se întâmplă dacă o organizație nu respectă reglementarea?

Articolul 99 stabilește trei niveluri de sancțiuni, aplicabile începând cu 2 august 2025: până la €35 de milioane sau 7% din cifra de afaceri anuală totală la nivel mondial, pentru încălcarea practicilor interzise; până la €15 milioane sau 3%, pentru nerespectarea obligațiilor privind risc ridicat sau a obligațiilor de transparență de la articolul 50; și până la €7,5 milioane sau 1%, pentru furnizarea de informații incorecte, incomplete sau înșelătoare autorităților. Pentru organizațiile mari, se aplică valoarea mai mare dintre cele două; acestea sunt maxime legale, nu sume automate sau fixe, iar amenda efectivă într-un anumit caz depinde de faptele specifice și de evaluarea autorității competente. Articolul 99 însuși prevede un tratament mai favorabil pentru IMM-uri, inclusiv startup-uri, cărora li se aplică valoarea mai mică dintre cele două, iar Digital Omnibus din 2026 a extins un tratament comparabil companiilor mici cu capitalizare medie (small mid-cap) pentru cele două niveluri de sancțiuni inferioare.

De ce contează EU AI Act pentru liderii din tehnologie

Lăsați deoparte, pentru o clipă, cifrele sancțiunilor, pentru că nu acestea sunt, de fapt, cel mai util motiv pentru a acorda atenție acestei reglementări.

Multe dintre cerințele actului se suprapun cu practicile de inginerie și guvernanță deja folosite în AI pregătit pentru producție: o evaluare documentată a riscurilor, o trasabilitate clară a originii datelor, o jurnalizare suficientă pentru a reconstitui ce a făcut un sistem și de ce, o supraveghere umană care poate fi efectiv exercitată, nu doar formală, monitorizare, securitate și transparență. Organizațiile care rulează deja sistemele de IA în acest fel au un avans care nu are nicio legătură cu strategia juridică. Organizațiile care nu o fac descoperă, adesea în cel mai nepotrivit moment, că „o să documentăm mai târziu” nu rezistă odată ce un sistem gestionează decizii care afectează oameni reali.

Asta nu înseamnă că fiecare companie sau fiecare sistem de IA poartă aceleași obligații, și merită să rezistăm ambelor extreme aici: a trata actul ca fiind irelevant pentru că „nu suntem într-o industrie reglementată” și a-l trata ca pe o amenințare existențială care impune un program de conformitate de urgență, indiferent de ce face organizația, de fapt, cu AI. Răspunsul corect este proporțional cu rolul real al sistemului și cu clasificarea sa de risc, motiv pentru care întrebarea privind aplicabilitatea, discutată mai sus, vine înaintea oricărui altceva.

Conformitatea AI înseamnă mai mult decât o listă de verificare

Aici greșesc majoritatea discuțiilor despre conformitate. Un document de politică pe care nimeni nu îl poate lega de un control real, funcțional, nu este dovadă a nimic, iar un control care nu a fost niciodată testat nu este, în mod semnificativ, diferit de lipsa oricărui control.

Acest lanț este, de asemenea, nu întâmplător, discuția de arhitectură pe care o am cu echipele de inginerie indiferent de reglementare: un AI pregătit pentru producție necesită comportament măsurabil, controale de securitate, observabilitate și dovezi de guvernanță, nu doar un document de politică uitat într-un drive partajat. Nu voi pretinde că știu exact ce va accepta un anumit reglementator drept dovadă suficientă în fiecare caz, pentru că acea decizie îi aparține reglementatorului și depinde de faptele specifice. Ce pot spune este că o organizație fără comportament măsurabil și fără o pistă de dovezi nu are nimic de oferit în acea discuție, atunci când aceasta are loc.

Ce este AI assurance? Evaluare tehnică pentru sistemele de IA

AI assurance este practica tehnică de a evalua ce face, de fapt, un sistem de IA, prin opoziție cu ceea ce spune o politică că ar trebui să facă. Este stratul de inginerie care produce dovezile de care depinde lanțul de guvernanță descris mai sus, și merită spus explicit că evaluarea tehnică nu reprezintă, prin ea însăși, o determinare a conformității legale. Este o contribuție la o astfel de determinare.

Interpretabilitatea mecanistă ca sursă de dovezi

Interpretabilitatea mecanistă este un domeniu de cercetare activ, care încearcă să înțeleagă ce se întâmplă în interiorul unui model, nu doar ce produce acesta ca rezultat, folosind tehnici precum analiza activărilor, atribuirea de trăsături (feature attribution), activation patching, autoencodere sparse și intervenții cauzale, pentru a identifica circuite candidate care par să determine un anumit comportament.

Merită spus clar ce oferă și ce nu oferă, în prezent, acest domeniu. Aceste metode pot scoate la suprafață reprezentări interne măsurabile și pot construi dovezi pentru o ipoteză despre ce influențează rezultatul unui model. Ele nu oferă, în prezent, cunoașterea exactă a „gândurilor” unui model, o reconstituire completă a raționamentului său, o explicație cauzală garantată sau identificarea, cu certitudine, a unui singur neuron responsabil pentru un rezultat. Terminologia proprie a domeniului reflectă acest lucru: constatările sunt descrise drept atribuire, influență cauzală candidată și dovezi care susțin o ipoteză, nu drept probă.

Privită corect, interpretabilitatea este o posibilă sursă de dovezi tehnice printre mai multe altele, utilă alături de evaluarea comportamentală și monitorizare, nu un înlocuitor al acestora și nu un mecanism de conformitate de sine stătător.

Construirea unui motor de conformitate și dovezi pentru EU AI Act

Ideea de bază: să conectez evaluarea AI, dovezile tehnice și evaluarea riscurilor la maparea controalelor de reglementare, astfel încât comportamentul real, testat, al sistemului unei organizații, nu doar un document de politică, să fie ceea ce se mapează față de cerințele EU AI Act.

La nivel general, fluxul arată astfel:

Capacitățile planificate includ înregistrarea modelelor, testare comportamentală și de securitate automatizată, indicatori de risc bazați pe interpretabilitate, colectarea dovezilor, maparea comportamentului testat la controale specifice din EU AI Act, o pistă de audit, raportare și cadre de guvernanță configurabile, astfel încât același flux de dovezi să poată fi mapat, în timp, la mai mult de un standard de reglementare sau intern.

Un lucru pe care acest motor nu îl va face, prin design: să determine conformitatea legală în numele unei organizații. Rezultatul său este o evaluare tehnică și o hartă a dovezilor, materia primă de care are nevoie o funcție de conformitate sau juridică, nu un substitut pentru raționamentul acelei funcții.

Ce înseamnă asta pentru liderii din domeniul AI

Cui se adresează acest conținut

Acest conținut este scris, în primul rând, pentru organizațiile și rolurile care construiesc, implementează sau guvernează activ sisteme de IA cu expunere în UE:

Nu fiecare organizație din aceste categorii este obligată legal sub fiecare prevedere a actului. Ce obligații se aplică efectiv depinde de factorii specifici discutați mai sus.

Întrebări frecvente

Lecturi conexe

Acest subiect se leagă direct de AI Security, Securitatea AI agentică și Production AI, precum și de întrebările de economie și arhitectură abordate în Economia AI autonome și Problema Agent Card.

Surse și lecturi suplimentare

Regulamentul (UE) 2024/1689 (Legea privind inteligența artificială), text oficial, EUR-Lex.
Cadrul de reglementare al AI Act, Comisia Europeană, Strategia digitală.
Oficiul European pentru IA, Comisia Europeană.
Omnibus-ul privind AI intră în vigoare, Comisia Europeană, iulie 2026.

Acest conținut oferă îndrumare tehnică și educațională și nu constituie consultanță juridică, certificare de reglementare sau o garanție a conformității. Nu stabilește că autorul este un evaluator certificat de UE, un avocat sau un organism oficial al UE ori un partener al acestuia. Aplicabilitatea EU AI Act pentru o anumită organizație sau un anumit sistem ar trebui evaluată împreună cu consultanță juridică calificată.