Regulamentul IA în România: ce înseamnă pentru firmele de outsourcing IT și BPO

Un coleg de la departamentul de recrutare al unei firme din Cluj-Napoca instalează, săptămâna trecută, un modul de "screening automat al CV-urilor" oferit de furnizorul de HR-tech pe care compania îl folosea deja. E gratuit, e integrat, e rapid. Câteva zile mai târziu, un client francez al firmei de outsourcing pentru care lucrează trimite un e-mail cu întrebări despre "conformitatea cu Regulamentul privind IA". Nimeni din echipă nu știe exact ce înseamnă asta pentru un furnizor de servicii BPO din România care nu construiește el însuși sisteme de inteligență artificială, ci doar le folosește.

Scenariul de mai sus nu este ipotetic pentru sectorul de outsourcing IT și BPO din România. Bucureștiul și Cluj-Napoca sunt printre cele mai mari hub-uri din Europa Centrală și de Est pentru servicii de suport pentru clienți, procesare de date, testare software și dezvoltare externalizată, iar clienții acestor firme sunt în mare parte companii occidentale care se pregătesc deja pentru Regulamentul (UE) 2024/1689 privind inteligența artificială ("Regulamentul IA"). Practic, orice IMM românesc care folosește un instrument cu componentă de IA în livrarea serviciilor sale — un chatbot pentru suport, un sistem de scoring al candidaților, un motor de traducere automată integrat în fluxul de lucru — intră sub o formă de aplicabilitate a regulamentului, indiferent dacă îl construiește sau doar îl utilizează.

Ce este de fapt Regulamentul IA și când se aplică

Regulamentul (UE) 2024/1689 este un regulament, nu o directivă — se aplică direct în toate statele membre, inclusiv în România, fără să fie nevoie de o lege națională de transpunere pentru partea sa substanțială. Asta îl diferențiază de RGPD, pe care firmele românești l-au implementat deja: nu se așteaptă o "lege română a IA" care să repete regulile de bază, ci companiile trebuie să aplice direct textul european.

Regulamentul se aplică în etape, nu dintr-o dată. Pentru majoritatea IMM-urilor din outsourcing și BPO, rolul relevant este cel de "utilizator" (deployer) al unui sistem de IA cumpărat de la un furnizor, nu de "furnizor" (provider) care îl construiește. Distincția reduce, dar nu elimină, obligațiile — un deployer trebuie, printre altele, să folosească sistemul conform instrucțiunilor furnizorului, să asigure supraveghere umană și, pentru anumite categorii, să informeze persoanele afectate.

• 2 februarie 2025 — sunt deja interzise practicile de IA considerate inacceptabile (de exemplu scorurile sociale sau anumite tehnici de manipulare comportamentală).
• 2 august 2025 — se aplică obligațiile pentru modelele de IA cu scop general.
• 2 august 2026 — aceasta a fost data inițială pentru intrarea în vigoare a majorității obligațiilor privind sistemele de IA cu risc ridicat, dar pachetul numit Digital Omnibus, intrat în vigoare la 27 iulie 2026, a amânat acest termen la 2 decembrie 2027.
• August 2028 — noul termen extins pentru unele obligații privind sisteme de IA integrate în produse deja reglementate (jucării, dispozitive medicale, utilaje).

Cine controlează aplicarea în România

Pentru RGPD, autoritatea de referință este deja cunoscută: ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal). Pentru Regulamentul IA, articolul 70 obligă fiecare stat membru să desemneze cel puțin o autoritate de notificare și cel puțin o autoritate de supraveghere a pieței, termenul fiind 2 august 2025. La momentul redactării acestui articol, nu este clar public dacă România a finalizat această desemnare — ca și alte state membre, este posibil ca legislația națională de implementare să fie încă în lucru. ANSPDCP este un candidat plauzibil pentru un rol relevant în acest cadru, dat fiind rolul său existent pe partea de date, dar nu tratăm acest aspect ca fiind deja stabilit definitiv; vom detalia situația exactă într-un articol dedicat din această serie.

Cât costă să greșești: sancțiunile din articolul 99

• Până la 35 de milioane EUR sau 7% din cifra de afaceri globală anuală (se aplică valoarea mai mare) — pentru practicile interzise.
• Până la 15 milioane EUR sau 3% din cifra de afaceri globală — pentru majoritatea celorlalte obligații, inclusiv cele ale furnizorilor și utilizatorilor de sisteme cu risc ridicat.
• Până la 7,5 milioane EUR sau 1% din cifra de afaceri globală — pentru furnizarea de informații incorecte sau înșelătoare către autorități.

Nu suma maximă este cea care contează practic pentru majoritatea firmelor de BPO românești, ci faptul că clienții occidentali — mai atenți la lanțul de subcontractare — cer deja dovezi de conformitate în contracte și în auditurile de furnizori, uneori înainte ca autoritățile să aplice prima sancțiune.

Ce înseamnă risc ridicat pentru firma dumneavoastră

Regulamentul clasifică sistemele de IA în patru categorii de risc: interzise (precum scorul social generalizat sau manipularea subliminală), risc ridicat (sisteme din Anexa III, printre care recrutare și selecție de personal, evaluarea angajaților, evaluarea solvabilității și accesul la servicii publice esențiale — multe instrumente folosite în HR-tech și în procesarea de credite, frecvente în BPO, intră aici), risc limitat (obligații de transparență, de exemplu informarea utilizatorilor că interacționează cu un chatbot sau că un conținut este generat de IA) și risc minim (majoritatea instrumentelor de zi cu zi, precum corectoarele gramaticale sau filtrele anti-spam, fără obligații noi semnificative).

Ce ar trebui să verificați în practică, chiar de acum

• Faceți o listă cu toate instrumentele care folosesc IA în firmă, inclusiv cele "ascunse" în software-ul deja folosit (CRM, HR-tech, unelte de suport clienți).
• Pentru fiecare, stabiliți dacă sunteți furnizor sau doar utilizator (deployer) al sistemului.
• Verificați dacă vreunul intră în categoriile din Anexa III (recrutare, evaluare angajați, credit, servicii esențiale).
• Verificați ce informații primiți deja de la furnizorul instrumentului despre conformitatea lui cu Regulamentul IA.
• Notați unde folosiți date cu caracter personal împreună cu IA — aici se intersectează Regulamentul IA cu RGPD, un subiect tratat separat.

Informațiile de mai sus au caracter general și nu constituie consultanță juridică; situația fiecărei firme depinde de sistemele concrete folosite și de contractele cu furnizorii și clienții. Komplya distinge clar, în platformă, între conținutul verificat de specialiști și materialele aflate încă în lucru (draft), astfel încât să știți mereu pe ce vă puteți baza cu certitudine și ce este încă în curs de validare.

Următorul pas: o imagine clară a ceea ce folosiți deja

Cel mai simplu punct de start nu este un audit complet, ci o listă onestă a instrumentelor pe care le folosiți deja. Completați chestionarul nostru scurt despre utilizarea IA în firma dumneavoastră — durează câteva minute și vă arată, pe baza răspunsurilor, care dintre instrumentele folosite ar putea intra sub obligațiile Regulamentului IA și ce ar merita verificat mai întâi.