Inteligența artificială nu mai este o tehnologie rezervată companiilor de IT. Angajații folosesc deja instrumente AI pentru redactarea e-mailurilor, traducerea documentelor, analiza informațiilor, marketing, recrutare, generarea de imagini, programare sau automatizarea unor activități repetitive.
Problema juridică nu este că o companie folosește inteligența artificială. Problema apare atunci când nimeni din companie nu știe exact ce instrumente sunt folosite, ce date sunt introduse în ele, ce decizii sunt luate pe baza rezultatelor generate și cine răspunde dacă ceva merge greșit.
De aici apare necesitatea unei Politici interne privind utilizarea inteligenței artificiale – AI Policy.
O AI Policy compatibilă cu Regulamentul (UE) 2024/1689 privind inteligența artificială – EU AI Act – are rolul de a stabili reguli clare pentru management, angajați și colaboratori privind utilizarea, achiziționarea, aprobarea și, după caz, dezvoltarea sistemelor AI în cadrul organizației.
Regulamentul impune obligații concrete privind utilizarea anumitor sisteme, alfabetizarea AI, transparența, sistemele cu grad ridicat de risc și practicile interzise. O politică internă reprezintă, în practică, unul dintre cele mai eficiente instrumente prin care compania poate transpune aceste obligații în reguli aplicabile efectiv de angajați.
AI Act funcționează pe baza unei logici esențiale: cu cât utilizarea AI prezintă un risc mai mare pentru persoane, cu atât obligațiile juridice sunt mai stricte. Regulamentul stabilește practici AI interzise, reglementează sistemele cu grad ridicat de risc și impune obligații speciale de transparență pentru anumite sisteme. Pentru utilizările cu risc redus sau minim, sarcina de conformare este mult mai redusă.
Prin urmare, o AI Policy serioasă nu ar trebui să spună pur și simplu „angajații pot folosi AI”. Ar trebui să răspundă la întrebarea mult mai importantă:
Ce ar trebui să conțină o Politică AI?
Pentru o companie medie sau mare, politica ar trebui să acopere cel puțin zece domenii esențiale:
1. Scopul și domeniul de aplicare
Primul pas este stabilirea persoanelor și instrumentelor cărora li se aplică politica, care să vizeze nu doar sistemele cumpărate oficial de companie, ci și instrumentele AI pe care angajații le accesează individual în interes profesional: aplicații generative, chatboți, extensii de browser, platforme SaaS, instrumente de analiză, sisteme de recrutare sau alte aplicații care integrează funcții AI.
Una dintre cele mai frecvente probleme este așa-numitul „shadow AI”: managementul consideră că societatea utilizează două instrumente aprobate, în timp ce angajații folosesc individual alte zece aplicații, în care introduc inclusiv informații profesionale.
Politica trebuie, așadar, să stabilească o regulă clară: ce instrumente pot fi utilizate fără aprobare și ce instrumente trebuie evaluate înainte de folosire.
2. Principiile generale: AI trebuie să ajute omul, nu să elimine responsabilitatea
Utilizarea AI nu transferă automat responsabilitatea de la angajat sau de la companie către furnizorul tehnologiei. Dacă un sistem AI generează un contract greșit, o informație falsă sau o analiză eronată, argumentul „așa a spus AI-ul” nu este suficient.
Astfel, o AI Policy ar trebui să impună cel puțin trei principii.
Primul este verificarea umană. Pentru rezultatele care pot avea efecte juridice, financiare sau profesionale importante trebuie să existe o persoană care verifică și validează informația.
Al doilea este responsabilitatea utilizatorului. Un output AI trebuie tratat ca instrument de lucru, nu ca adevăr garantat.
Al treilea este proporționalitatea. Cu cât sistemul influențează mai mult o persoană sau o decizie importantă, cu atât controlul juridic și uman trebuie să fie mai riguros.
3. Clasificarea utilizărilor AI în funcție de risc
AI Policy ar trebui să preia logica AI Act și să clasifice intern utilizările în funcție de risc.
A. Practici AI interzise
Există situații în care răspunsul companiei nu trebuie să fie „avem nevoie de aprobare”, ci pur și simplu „nu putem folosi sistemul în acest scop”. Articolul 5 din AI Act interzice, în condițiile prevăzute de regulament, anumite practici precum unele forme de manipulare, exploatarea vulnerabilităților persoanelor, anumite sisteme de social scoring sau utilizarea recunoașterii emoțiilor la locul de muncă, cu excepțiile strict prevăzute pentru scopuri medicale ori de siguranță.
Aceste interdicții se aplică deja. Însă politica internă trebuie să le transforme într-o regulă ușor de înțeles de angajat: dacă utilizarea intră într-o categorie interzisă de AI Act, aceasta nu poate fi aprobată intern.
B. Sisteme AI cu grad ridicat de risc
Aici trebuie să existe cel mai riguros proces de verificare înainte de achiziție și implementare.
În această categorie pot intra, în condițiile AI Act, sisteme AI utilizate în domenii sensibile, inclusiv anumite sisteme privind recrutarea, selecția persoanelor, gestionarea raporturilor de muncă, repartizarea sarcinilor sau monitorizarea și evaluarea performanței angajaților.
Acesta este motivul pentru care compania trebuie să adopte o atitudine responsabilă înainte de achiziționarea unui sistem AI.
Să presupunem că o societate cumpără o aplicație de HR care promite evaluarea automată a CV-urilor; identificarea „celui mai bun candidat”; scoruri privind performanța angajaților; predicții privind probabilitatea ca un angajat să plece, sau recomandări privind promovarea sau repartizarea unor sarcini.
Din punct de vedere comercial, instrumentul poate părea extrem de atractiv. Dar înainte de semnarea contractului trebuie verificat juridic ce face în realitate sistemul. Face profilare? Evaluează persoane? Ia sau influențează decizii privind angajații? Pe baza căror date? Există o intervenție umană reală?
Altfel, compania riscă să cumpere un sistem și abia ulterior să constate că anumite funcționalități pentru care a plătit nu pot fi utilizate în forma dorită fără obligații suplimentare sau chiar nu pot fi utilizate deloc pentru acel scop.
Tocmai de aceea, auditul juridic ar trebui realizat înainte de achiziție, nu după implementare. Regimul complet aplicabil sistemelor high-risk din Anexa III a AI Act este, potrivit calendarului legislativ actual, amânat până la 2 decembrie 2027. Această amânare nu elimină însă obligațiile care rezultă deja din GDPR, dreptul muncii sau din alte norme aplicabile și nici nu justifică achiziționarea unor sisteme fără o analiză prealabilă.
C. Sisteme supuse obligațiilor de transparență
O altă categorie relevantă este cea a sistemelor pentru care AI Act instituie obligații specifice de transparență. Articolul 50, aplicabil din 2 august 2026, prevede, în funcție de tipul sistemului și de calitatea companiei de furnizor sau utilizator, reguli privind informarea persoanelor care interacționează direct cu un sistem AI, marcarea anumitor conținuturi generate artificial, sistemele de recunoaștere a emoțiilor sau de categorizare biometrică și conținuturile de tip deepfake.
Asta nu înseamnă că fiecare e-mail la redactarea căruia a fost folosit un instrument AI trebuie automat etichetat „generat de AI”. Politica internă trebuie să stabilească în ce situații există efectiv o obligație legală de transparență și în ce situații compania dorește, ca regulă proprie, un standard mai ridicat de transparență.
D. Utilizări cu risc redus sau minim
Filtrele spam, funcțiile inteligente de căutare, unele corectoare de text sau alte instrumente cu impact redus pot fi supuse unui regim intern mai simplu. Scopul unei AI Policy nu este să creeze birocrație pentru orice funcție automată. Controlul trebuie să fie proporțional cu riscul.
4. Ce poate și ce nu poate introduce angajatul într-un instrument AI?
Aceasta este probabil regula pe care angajații trebuie să o înțeleagă cel mai bine. Un angajat poate deschide un instrument AI și, în câteva secunde, să îi încarce: un contract, un CV, o bază de date cu clienți, un raport financiar, un e-mail confidențial sau un document intern.
Din perspectiva companiei, întrebarea nu este doar „ne ajută AI-ul să lucrăm mai repede?”, ci: „Ce se întâmplă cu informațiile după ce le introducem?”
Politica trebuie să stabilească foarte clar că instrumentele AI neaprobate nu pot fi utilizate pentru introducerea unor informații precum: date personale ale angajaților sau clienților, CNP-uri, date financiare sau date bancare, secrete comerciale, contracte și corespondență confidențială, strategii comerciale, ori alte informații asupra cărora compania are obligații de confidențialitate.
Nu orice utilizare a datelor personale într-un sistem AI este automat interzisă. Dar ea trebuie analizată prin raportare la GDPR și trebuie să existe o justificare legală, transparență, securitate și, după caz, evaluarea furnizorului și a riscului. AI Policy și politica GDPR trebuie, prin urmare, să funcționeze împreună, nu ca două documente independente.
5. Profilarea și deciziile automatizate: zona în care riscul crește rapid
O atenție specială trebuie acordată sistemelor care nu se limitează la generarea unui text, ci analizează o persoană.
De exemplu, un sistem poate analiza comportamentul, productivitatea, istoricul profesional sau alte caracteristici și poate atribui un scor. În momentul în care acel scor începe să influențeze recrutarea, promovarea, bonusurile, repartizarea activităților sau alte decizii importante, apar riscuri juridice suplimentare. Articolul 22 GDPR reglementează deja deciziile bazate exclusiv pe prelucrare automată, inclusiv profilarea, atunci când acestea produc efecte juridice asupra persoanei sau o afectează în mod similar într-o măsură semnificativă. De aceea, o AI Policy ar trebui să prevadă expres că niciun sistem AI care realizează profilarea sau evaluarea persoanelor nu este achiziționat și utilizat fără o evaluare juridică prealabilă.
6. Verificarea furnizorului: „este GDPR compliant” nu este suficient
Companiile mari de tehnologie au propriile condiții contractuale, standarde de securitate și proceduri de conformare. Dar utilizarea unui produs furnizat de o companie globală nu transferă automat către furnizor întreaga răspundere a clientului. Dimpotrivă, contractele tehnologice delimitează de regulă foarte atent responsabilitățile.
Furnizorul răspunde pentru anumite componente ale serviciului și pentru propriile obligații, iar companiei-client îi pot reveni responsabilități privind modul în care utilizează produsul, datele introduse, drepturile de acces, configurarea măsurilor de securitate, temeiul legal pentru prelucrare etc.
Din acest motiv, înainte de contractarea unui sistem AI ar trebui verificate cel puțin condițiile privind protecția datelor, securitatea, subcontractanții, transferurile de date, utilizarea datelor pentru dezvoltarea modelelor, proprietatea intelectuală, incidentele și răspunderea contractuală.
7. AI Literacy: instruirea nu mai este doar o recomandare
Unul dintre cele mai importante elemente ale AI Act este alfabetizarea în domeniul inteligenței artificiale – AI literacy.
Articolul 4 se aplică din 2 februarie 2025 și obligă furnizorii și utilizatorii profesionali ai sistemelor AI să adopte măsuri pentru dezvoltarea alfabetizării AI a personalului și a altor persoane care operează sau utilizează sistemele în numele lor. Nivelul și forma măsurilor trebuie raportate la cunoștințele persoanelor, experiența acestora, contextul în care este folosit AI și persoanele asupra cărora sistemele sunt utilizate.
Asta înseamnă că simpla transmitere pe e-mail a unei politici de 20 de pagini nu rezolvă problema. Angajații trebuie să înțeleagă practic: ce pot introduce într-un AI, ce nu pot introduce, de ce AI poate greși, când trebuie verificat rezultatul, când trebuie cerută aprobarea și când utilizarea sistemului poate afecta drepturile unei persoane.
8. Drepturile de autor și conținutul generat de AI
Faptul că un instrument a generat o imagine sau un text nu înseamnă automat că societatea poate presupune că beneficiază de toate drepturile asupra materialului sau că rezultatul nu interferează cu drepturile unor terți. Protecția prin drept de autor poate depinde inclusiv de nivelul contribuției creative umane, iar termenii furnizorului trebuie verificați separat.
9. Ce riscă o companie care ignoră AI Act?
Nivelul sancțiunilor arată foarte clar că AI Act nu trebuie tratat ca o simplă recomandare de bune practici.
Pentru încălcarea interdicțiilor prevăzute la art. 5, amenda administrativă poate ajunge până la 35 de milioane EUR sau, în cazul unei întreprinderi, până la 7% din cifra de afaceri anuală mondială totală din exercițiul financiar precedent, fiind aplicabil criteriul prevăzut de regulament.
Pentru încălcarea anumitor alte obligații privind operatorii AI, sancțiunile pot ajunge până la 15 milioane EUR sau 3% din cifra de afaceri anuală mondială. AI Act prevede și sancțiuni pentru furnizarea de informații incorecte, incomplete sau înșelătoare autorităților. Regulamentul cere ca sancțiunile să fie efective, proporționale și disuasive, fiind luată în calcul și situația IMM-urilor.
În plus, dacă utilizarea AI presupune și o încălcare a GDPR, compania poate intra simultan și sub incidența regimului sancționator privind protecția datelor.
Riscul nu este însă doar amenda. O utilizare necontrolată a AI poate însemna și: pierderea confidențialității, divulgarea secretelor comerciale, litigii cu angajații, probleme de proprietate intelectuală, contracte încheiate cu furnizori nepotriviți, imposibilitatea utilizării unei funcționalități deja achiziționate sau prejudicii reputaționale.
10. Specificul companiilor din România
Pentru societățile din România, AI Policy trebuie corelată cu cel puțin trei zone juridice.
Prima este AI Act, inclusiv obligația privind AI literacy, practicile interzise și, după caz, transparența și regimul sistemelor cu grad ridicat de risc.
A doua este GDPR și legislația română privind protecția datelor. Atunci când AI prelucrează date ale angajaților, clienților sau altor persoane, utilizarea tehnologiei nu înlătură obligațiile deja existente privind temeiul prelucrării, informarea, minimizarea datelor, securitatea sau efectuarea unei DPIA atunci când sunt îndeplinite condițiile legale.
A treia este legislația muncii. Utilizarea unor sisteme care monitorizează, profilează sau evaluează angajații poate necesita informarea și, în anumite situații, consultarea acestora ori a reprezentanților lor, în funcție de sistem și de cadrul juridic aplicabil.
Cu alte cuvinte, AI Policy nu trebuie redactată izolat, ci trebuie integrată cu regulamentul intern, politica GDPR, politica de securitate și procedurile HR deja existente în companie.
Înainte de următoarea achiziție, întrebarea corectă nu este doar:
„Ce poate face acest AI pentru compania noastră?” ci „Îl putem folosi legal în modul în care intenționăm?”
O evaluare juridică a instrumentelor AI existente, urmată de un registru al sistemelor utilizate, o procedură de aprobare și o AI Policy adaptată activității companiei poate preveni situația în care organizația descoperă riscul juridic abia după achiziție, după un incident sau după intervenția unei autorități.
Vă stăm la dispoziție pentru mai multe informații. Contactați-ne la numărul de telefon 0720291919 sau prin e-mai la adresa [email protected].