AI Act a fost adoptat: ce trebuie să știe o firmă

Pe 21 mai, Consiliul UE a dat votul final și Europa are oficial prima lege din lume dedicată inteligenței artificiale: AI Act. Acum aproape un an scriam despre ce pregătește Europa în reglementarea AI. Între timp, textul a trecut prin negocieri lungi, iar ce era un proiect a devenit regulament.

De când am fondat AI Expo Europe, întrebarea pe care o aud cel mai des de la antreprenori nu mai e „ce poate face AI?”, ci „ce am voie să fac cu AI?”. Așa că am încercat să pun pe hârtie, cât mai practic, ce înseamnă legea pentru o firmă obișnuită. O precizare importantă: sunt antreprenor, nu avocat. Ce urmează e o hartă de orientare, nu consultanță juridică. Pentru cazul tău concret, vorbește cu un jurist care cunoaște regulamentul.

Ce s-a adoptat, pe scurt

Parlamentul European a votat AI Act pe 13 martie 2024, iar pe 21 mai Consiliul UE l-a aprobat definitiv. Urmează publicarea în Jurnalul Oficial în săptămânile următoare, iar legea intră în vigoare la 20 de zile după publicare. Fiind regulament, nu directivă, se aplică direct în toate statele membre, inclusiv în România, fără să aștepte o lege națională.

Ideea de bază e simplă: nu se reglementează tehnologia în sine, ci felul în care e folosită. Cu cât riscul pentru oameni e mai mare, cu atât obligațiile sunt mai multe.

Categoriile de risc

Risc inacceptabil (interzis). Scorul social, tehnicile manipulative care exploatează vulnerabilitățile oamenilor, colectarea nețintită de imagini faciale de pe internet sau din camere pentru a construi baze de date, recunoașterea emoțiilor la locul de muncă și în școli (cu câteva excepții) și, în mare parte, identificarea biometrică la distanță, în timp real, în spații publice, de către poliție (cu excepții înguste).
Risc ridicat. Sisteme folosite în zone sensibile: recrutare și managementul angajaților, scoring de credit, educație și evaluarea elevilor, acces la servicii esențiale, infrastructură critică și altele. Aici sunt cerințe serioase: gestiunea riscurilor, calitatea datelor, documentație, supraveghere umană.
Risc limitat. În principal obligații de transparență: oamenii trebuie să știe că vorbesc cu o mașină sau că un conținut e generat artificial.
Risc minim. Majoritatea aplicațiilor: filtre de spam, recomandări de produse, unelte de scris. Practic, fără obligații noi.

Separat, există reguli pentru modelele de AI de uz general, adică modelele mari pe care sunt construite instrumente ca ChatGPT. Acestea sunt supravegheate de un AI Office înființat în cadrul Comisiei Europene.

Furnizor sau utilizator? Probabil ești al doilea

Legea face o distincție care contează enorm. Furnizorul (provider) e cel care dezvoltă un sistem de AI și îl pune pe piață. Utilizatorul (deployer) e firma care folosește sistemul în activitatea ei. Dacă ai un magazin online care folosește un chatbot cumpărat de la altcineva, ești deployer. Dacă îți construiești propriul produs cu AI și îl vinzi, devii furnizor, iar obligațiile cresc.

Vestea bună pentru majoritatea IMM-urilor: cele mai grele obligații cad pe furnizori. Vestea mai puțin bună: și utilizatorii au responsabilități, mai ales dacă folosesc sisteme cu risc ridicat. Iar dacă modifici substanțial un sistem sau îl pui pe piață sub numele tău, poți ajunge să fii tratat ca furnizor.

Checklist practic pentru firma ta

Fă inventarul. Notează toate instrumentele cu AI pe care le folosește firma: chatbot pe site, unelte de scris texte, generatoare de imagini, filtre de CV-uri, sisteme de scoring, analize automate. Include și ce folosesc angajații „pe cont propriu”.
Clasifică-le pe risc. Pentru fiecare, întreabă-te: în ce categorie intră? Cele mai multe vor fi risc minim sau limitat.
Verifică zonele sensibile. Folosești AI ca să triezi candidați, să evaluezi angajați, să decizi cine primește credit sau să notezi elevi? Acolo ești, foarte probabil, în zona de risc ridicat. Și asigură-te că nimic din ce faci nu atinge practicile interzise.
Respectă transparența. Spune clar clienților când vorbesc cu un chatbot. Marchează imaginile, video-urile și vocile generate sau modificate cu AI, mai ales cele care par reale. Am scris despre riscul acestora în articolul despre deepfake-uri și alegeri.
Instruiește echipa. Legea cere un nivel suficient de „AI literacy” pentru oamenii care lucrează cu aceste sisteme. Nu trebuie să fie toți ingineri, dar trebuie să știe ce pot și ce nu pot face uneltele, unde greșesc și ce date nu au voie să introducă.
Documentează. Ține o evidență simplă: ce sistem folosești, în ce scop, cine răspunde de el, ce verificări faci. Dacă te întreabă cineva, e mult mai bine să ai un document decât o explicație improvizată.
Revizuiește contractele cu furnizorii. Întreabă-i dacă produsul lor e pregătit pentru AI Act, în ce categorie de risc se încadrează și ce documentație îți pot oferi. Pune asta în scris.
Nu uita de GDPR. AI Act nu înlocuiește protecția datelor. Dacă AI-ul tău procesează date personale, toate regulile GDPR rămân valabile. Dacă ai trecut prin pregătirea pentru GDPR în 2018, o parte din muncă e deja făcută.

Calendarul: nu totul se aplică de mâine

Obligațiile intră în vigoare treptat, calculat de la data intrării în vigoare a regulamentului:

după 6 luni: interdicțiile pentru practicile cu risc inacceptabil;
după 12 luni: regulile pentru modelele de AI de uz general;
după 24 de luni: majoritatea obligațiilor;
după 36 de luni: anumite obligații pentru sistemele cu risc ridicat.

Pare mult timp, dar experiența GDPR ne-a arătat că firmele care lasă totul pe ultima sută de metri ajung să plătească consultanți în panică. Iar amenzile nu sunt simbolice: pentru practicile interzise pot ajunge la 35 de milioane de euro sau 7% din cifra de afaceri globală anuală, oricare e mai mare.

Părerea mea: un cadru rezonabil, cu un risc real

Cred că logica pe niveluri de risc e corectă. Nu vreau să trăiesc într-o societate cu scor social sau în care camerele de pe stradă mă recunosc și mă urmăresc fără motiv. Și cred că un client are dreptul să știe dacă vorbește cu un om sau cu un program. Din punctul ăsta de vedere, Europa a ales bine.

Riscul e altul: birocrația. O corporație își angajează o echipă de conformitate. Un startup de cinci oameni nu are cum. Dacă interpretările vor fi stufoase și fiecare autoritate națională va cere altceva, firmele mici vor fi descurajate exact în zona în care ar putea inova cel mai mult. Regulamentul prevede sandbox-uri de reglementare, medii în care startup-urile pot testa produse sub supravegherea autorităților. Contează enorm cum vor fi implementate: dacă sunt reale și accesibile, pot face diferența.

Și încă ceva. Europa e foarte bună la reguli, dar AI-ul nu se câștigă doar cu reguli. Avem nevoie de investiții în cercetare, în capacitate de calcul, în startup-uri și în oameni. Altfel riscăm să avem cea mai bine reglementată piață de AI din lume, plină de produse construite în altă parte.

Ce poți face săptămâna asta

Nu intra în panică și nu ignora subiectul. Fă inventarul, pune o etichetă de risc lângă fiecare instrument și discută cu juristul tău doar zonele care ies în evidență. Pentru majoritatea firmelor mici, concluzia va fi liniștitoare: poți folosi în continuare AI-ul pentru automatizările de zi cu zi, cu puțină transparență și mult bun-simț.

Voi ce instrumente de AI folosiți în firmă și ați verificat deja în ce categorie intră?