Concluzii principale

• Actul definește patru clase de risc: inacceptabil (interzis), ridicat (reglementat), limitat (obligații de transparență) și minim (voluntar).
• Regulile pentru sistemele AI cu risc ridicat devin pe deplin aplicabile la 2 august 2026, cu obligații majore pentru furnizori, inclusiv gestionarea riscului, guvernanța datelor și evaluarea conformității.
• Modelele General-Purpose AI (GPAI) au reguli dedicate. Modelele peste un prag de calcul de aproximativ 10^25 FLOPs sunt presupuse a prezenta risc sistemic și au obligații mai stricte.
• Amenzi maxime: 35 de milioane EUR sau 7% din cifra de afaceri anuală globală pentru practicile interzise; 15 milioane EUR sau 3% pentru neconformitatea la risc ridicat.
• Infrastructura AI suverană on-premise răspunde simultan la AI Act, GDPR Capitolul V și NIS2 — o alternativă conformă structural la LLM-urile cloud din SUA.

Cui i se adresează

• CISO și CIO care evaluează opțiunile de implementare AI în noul cadru de reglementare.
• DPO și responsabili de conformitate care mapează cazurile de utilizare AI pe cele patru clase de risc.
• Responsabili de guvernanță AI care proiectează procesele de inventariere, clasificare și documentare.
• Echipe de achiziții care negociază contracte cu furnizorii AI și evaluează expunerea la riscul sistemic.

EU AI Act este prima reglementare orizontală majoră privind inteligența artificială din lume. Se aplică sistemelor AI introduse pe piață, puse în funcțiune sau utilizate în cadrul Uniunii Europene, indiferent de locul în care este stabilit furnizorul. La fel ca GDPR, are o aplicabilitate extrateritorială explicită.

Regulamentul adoptă o abordare bazată pe risc: în loc să reglementeze AI în mod uniform, clasifică sistemele în patru niveluri și impune cerințe proporționale la fiecare nivel. Cea mai mare parte a utilizării AI în companii se încadrează în categoriile limitat sau minim, cu doar obligații de transparență, dar un subset semnificativ — orice este folosit în ocupare, credit, educație, aplicarea legii, identificare biometrică și alte câteva domenii sensibile — declanșează regimul complet de risc ridicat.

Dincolo de nivelurile de risc, Actul introduce un capitol separat dedicat modelelor AI de uz general, recunoscând că modelele de tip foundation prezintă riscuri care nu sunt legate de un caz de utilizare specific, ci de capacitățile modelului în sine. Furnizorii de modele GPAI peste un prag de calcul au obligații suplimentare de evaluare a modelului, testare adversarială și raportare a incidentelor.

Caracteristica definitorie a Actului este arhitectura sa bazată pe risc. Fiecare sistem AI din domeniul de aplicare trebuie clasificat într-unul dintre cele patru niveluri, iar obligațiile cresc în consecință. Cifrele de mai jos sunt ordine de mărime ilustrative — distribuția reală variază în funcție de sector, dar riscul minim domină.

Articolul 5 din AI Act enumeră categoriile de sisteme AI interzise complet în întreaga Uniune Europeană. Interdicțiile au intrat în vigoare la 2 februarie 2025 și se aplică indiferent de orice beneficiu comercial sau operațional. Acestea nu sunt sisteme cu risc ridicat însoțite de obligații — sunt pur și simplu interzise.

• Tehnici subliminale dincolo de conștiință sau tehnici intenționat manipulatoare care distorsionează semnificativ comportamentul și provoacă daune.
• Exploatarea vulnerabilităților unor grupuri specifice (vârstă, dizabilitate, situație socio-economică) pentru a distorsiona semnificativ comportamentul.
• Scoring social realizat de autoritățile publice sau în numele acestora, care duce la tratament defavorabil în contexte nelegate.
• Poliție predictivă bazată exclusiv pe profilare sau pe evaluarea trăsăturilor de personalitate.
• Colectarea nețintită a imaginilor faciale de pe internet sau din CCTV pentru a construi baze de date de recunoaștere facială.
• Recunoașterea emoțiilor la locul de muncă și în instituțiile de învățământ, cu excepția motivelor medicale sau de siguranță.
• Sisteme de categorizare biometrică care deduc rasa, opiniile politice, apartenența sindicală, convingerile religioase sau filozofice, viața sexuală sau orientarea sexuală.
• Identificarea biometrică la distanță în timp real în spații accesibile publicului pentru aplicarea legii, cu excepții restrânse și strict controlate.

Sistemele AI cu risc ridicat sunt enumerate în Anexa III a Actului. Acestea acoperă opt sectoare în care utilizarea AI implică riscuri semnificative pentru sănătate, siguranță sau drepturile fundamentale. De la 2 august 2026, furnizorii de sisteme cu risc ridicat trebuie să respecte în întregime obligațiile din Articolele 8-15 înainte de a le introduce pe piața UE.

Furnizorii de sisteme cu risc ridicat au opt categorii de obligații de fond. Nu sunt opționale. Trebuie să fie implementate înainte ca sistemul să fie introdus pe piață sau pus în funcțiune și trebuie menținute continuu pe tot parcursul ciclului de viață al sistemului. Evaluarea conformității conform Articolului 43 verifică dacă obligațiile sunt îndeplinite.

AI Act creează un regim paralel pentru modelele General-Purpose AI (GPAI) — modele de tip foundation antrenate pe seturi mari de date, cu capacități extinse care nu sunt legate de un caz de utilizare specific. Regulile se aplică furnizorilor modelelor în sine, indiferent de modul în care le folosesc deployerii din aval. Există două niveluri.

AI Act stabilește o structură de sancțiuni pe trei niveluri. Autoritățile statelor membre aplică amenzi conform legislației lor naționale, dar maximele sunt stabilite la nivelul UE. Cele mai mari amenzi vizează practicile interzise; structura reflectă GDPR, dar plafoanele sunt mai ridicate.

Pentru organizațiile care operează în Europa, AI Act nu există izolat. Se suprapune cu GDPR (protecția datelor), NIS2 (securitatea cibernetică) și viitorul Cyber Resilience Act. Atunci când un sistem AI prelucrează date cu caracter personal printr-un furnizor de cloud din afara UE, entitatea trebuie să satisfacă simultan toate cele patru regimuri. AI suverană on-premise este singura arhitectură care le satisface pe toate patru prin construcție.

Majoritatea companiilor sunt încă la început în parcursul lor legat de AI Act. Fazele de mai jos descriu ce ar trebui să fie implementat astăzi, ce ar trebui să fie operațional până în august 2026 și cum arată practica continuă dincolo de acest moment.

Metis este o platformă de AI generativă suverană, on-premise, construită în jurul triunghiului european de conformitate: AI Act, GDPR și NIS2. Acolo unde LLM-urile cloud din SUA necesită controale contractuale și tehnice continue pentru a rămâne conforme, Metis este conformă prin arhitectură.

Pașii următori

1. Programează o evaluare a gradului de pregătire pentru AI Act cu echipa noastră de conformitate.
2. Solicită un demo al appliance-ului Metis on-premise și al funcțiilor sale de raportare a conformității.
3. Obține o copie a pachetului nostru de documentație de securitate și conformitate Metis.