RGPD-ul sau Regulamentul privind IA se aplică firmei mele americane?

O companie americană de SaaS care vinde licențe unui client din Berlin, un magazin Shopify care livrează în Franța, un furnizor de HR-tech al cărui model de scoring este folosit de un angajator olandez — niciuna dintre acestea nu are sediu în UE, cont bancar european sau entitate înregistrată în UE. Toate trei pot totuși intra clar sub RGPD, sub Regulamentul privind IA, sau sub ambele. Ce declanșează aplicarea nu este locul unde este înregistrată firma dumneavoastră. Este locul unde se află clienții dumneavoastră, direcția către care este orientat marketingul dumneavoastră și locul unde ajunge să fie folosit rezultatul sistemului dumneavoastră de IA. Este o întrebare diferită de cea pe care și-o pun de fapt majoritatea companiilor americane, de obicei o variantă de "suntem o companie americană, de ce ni s-ar aplica dreptul UE".

Testul RGPD: vă adresați unor persoane din UE, sau monitorizați comportamentul acestora

Domeniul de aplicare teritorial al RGPD, articolul 3(2) din Regulamentul (UE) 2016/679, nu ține cont de locul înregistrării. Se aplică unei companii din afara UE de fiecare dată când oferă bunuri sau servicii persoanelor din UE — chiar și gratuit — sau le monitorizează comportamentul. Autoritățile urmăresc intenția de a viza acea piață, nu simpla accesibilitate: site-ul dumneavoastră afișează prețuri în euro, oferă versiuni lingvistice pentru piețele din UE, rulează reclame direcționate geografic către publicuri europene, menționează clienți sau testimoniale europene, livrează fizic la adrese din UE, sau folosește un domeniu de țară precum .ro sau .fr? O companie americană al cărei site este pur și simplu accesibil din Bruxelles pentru că internetul este global nu intră automat în domeniul de aplicare. O companie americană cu plată în euro, pagini în franceză și germană și reclame direcționate geografic către Paris și Berlin este un caz diferit, indiferent unde se află serverele sau sediul. "Monitorizarea comportamentului" vizează un grup complet diferit: cookie-uri, instrumente de analiză și pixeli publicitari care urmăresc vizitatorii din UE, chiar și pe un site care nu a vizat niciodată explicit vânzările europene.

Testul Regulamentului privind IA: nu contează unde este firma dumneavoastră, ci unde ajunge rezultatul

Regulamentul privind IA, Regulamentul (UE) 2024/1689, întinde o plasă și mai largă pentru furnizorii americani de IA. Articolul 2(1)(c) se aplică furnizorilor și implementatorilor situați într-o țară terță de fiecare dată când rezultatul produs de sistemul lor de IA este utilizat în UE. Este un test bazat pe rezultat, nu pe stabilire, și nu presupune deloc o vânzare în UE. O companie americană de HR-tech al cărei instrument de scoring al candidaților este folosit de un singur angajator olandez intră în domeniul de aplicare, chiar dacă compania americană nu are niciun client, contract sau marketing în UE. La 2 august 2026 au intrat în vigoare obligațiile pentru sistemele cu risc ridicat din anexa III și obligațiile de transparență de la articolul 50 pentru orice furnizor și implementator al cărui rezultat ajunge în UE, inclusiv furnizorii din țări terțe — un termen care este acum real, nu teoretic.

Obligația pe care aproape toate companiile americane o ratează: numirea unui reprezentant în UE

Dacă RGPD vi se aplică în baza articolului 3(2), articolul 27 vă impune să desemnați un reprezentant stabilit într-un stat membru al UE — un punct de contact formal pentru autoritățile de supraveghere și persoanele vizate, distinct de orice avocat pe care l-ați angajat deja. A rata acest lucru nu este o scăpare administrativă ignorată de autorități: articolul 83 fixează amenda pentru neînregistrarea unui reprezentant la până la 10 milioane de euro sau 2% din cifra de afaceri globală, în plus față de orice amendă aplicabilă prelucrării subiacente. Regulamentul privind IA impune o obligație paralelă furnizorilor din afara UE de sisteme cu risc ridicat, care trebuie să își numească propriul reprezentant autorizat stabilit în UE înainte de a introduce acel sistem pe piața europeană. Ambele obligații există exact pentru că UE se așteaptă să trateze cu companii din țări terțe fără sediu în UE, și ambele sunt de obicei primul lucru ratat de o revizuire de conformitate a unei companii americane — "avem nevoie de un avocat american" și "avem nevoie de un reprezentant în UE" nu par aceeași întrebare până când nu observă cineva că nu sunt alternative interschimbabile.

Cine poate impune efectiv acest lucru unei companii fără active în UE

Aici lucrurile devin mult mai neclare de îndată ce ieșiți din textul legii și priviți ce se întâmplă în realitate. Cel mai clar caz de test este Clearview AI: autoritățile de protecție a datelor din Țările de Jos, Franța, Italia și Grecia au amendat colectiv compania americană de recunoaștere facială cu aproximativ 100 de milioane de euro pentru violări ale RGPD. Clearview nu are sediu în UE, nu are reprezentant în UE, nu are active în UE, și a declarat că nu face deloc afaceri în UE. Nu există niciun mecanism de tratat care să oblige instanțele americane să execute amenda unui regulator european, iar, potrivit majorității informațiilor publice disponibile, autoritățile nu au încasat practic nimic din ea.

Asta nu înseamnă că expunerea este teoretică pentru o companie americană care nu este Clearview. Trei lucruri mușcă și fără o amendă încasabilă. Întâi, clienții de afaceri europeni desfășoară tot mai mult o verificare prealabilă de achiziție care impune un acord de prelucrare a datelor semnat, clauze contractuale standard, sau dovada unei evaluări de risc finalizate înainte de a semna vreun contract — pentru o companie americană de SaaS care urmărește venituri enterprise europene, pierderea contractului costă mai rapid și mai mult decât pierderea unei lupte pe care un regulator nu o poate încasa. Apoi, autoritățile de supraveghere a pieței din Regulamentul privind IA au puterea de a ordona retragerea directă a unui produs de pe piața europeană, ceea ce nu necesită încasarea a nimic, pur și simplu pune capăt vânzărilor în UE. În al treilea rând, a fi cunoscut public ca firma care a ignorat regulatorii europeni, așa cum este acum cazul Clearview, este o referință pe care un pipeline de vânzări serios orientat către UE nu o supraviețuiește.

Complicația care se adaugă chiar acum la toate acestea: Cadrul de confidențialitate a datelor UE-SUA

Dacă firma dumneavoastră transferă date personale ale clienților europeni către servere americane, acel transfer are nevoie de propriul temei juridic, separat de întrebarea dacă RGPD se aplică deloc prelucrării dumneavoastră. Majoritatea companiilor americane se bazează pe Cadrul de confidențialitate a datelor UE-SUA, decizia de adecvare adoptată de Comisia Europeană în iulie 2023. Acel temei este sub o presiune reală la momentul scrierii acestui articol: hotărârea din iunie 2026 a Curții Supreme a SUA în cazul Trump împotriva Slaughter a eliminat independența statutară a comisarilor FTC, iar Comitetul European pentru Protecția Datelor a solicitat formal Comisiei să reexamineze dacă decizia de adecvare a DPF mai rezistă, întrucât acea decizie a citat independența FTC ca pe unul dintre pilonii raționamentului său. O contestație separată este deja pendinte la Curtea de Justiție a UE. Nimeni nu știe încă cum se va rezolva niciuna dintre cele două proceduri, dar modelul va fi familiar oricui a urmărit prăbușirea Privacy Shield în 2020: o companie americană care nu a pregătit clauze contractuale standard ca variantă de rezervă poartă un al doilea risc, independent, peste expunerea sa RGPD deja existentă.

Ce să verificați în propria afacere

• Marketingul, prețurile sau procesul de plată vizează specific clienți din UE — prețuri în euro, pagini în limbi din UE, reclame direcționate geografic — sau sunt pur și simplu accesibile din UE?
• Vreo funcție de IA pe care o construiți sau o folosiți produce un scor, o decizie sau o recomandare folosită de o persoană stabilită în UE, indiferent dacă aveți vreun client european?
• Ați numit un reprezentant în UE conform articolului 27 din RGPD, sau conform obligației echivalente din Regulamentul privind IA pentru furnizorii de sisteme cu risc ridicat, sau presupuneți că o politică de confidențialitate americană acoperă deja acest lucru?
• Dacă transferați date personale europene către servere americane, vă bazați exclusiv pe Cadrul de confidențialitate a datelor, și aveți clauze contractuale standard pregătite dacă acea decizie de adecvare nu supraviețuiește contestațiilor sale juridice actuale?
• Ați putea prezenta astăzi o evaluare de risc RGPD sau o clasificare de risc conform Regulamentului privind IA dacă echipa de achiziții a unui client enterprise european v-ar cere-o mâine?
• Ați verificat dacă produsul dumneavoastră se încadrează într-o categorie cu risc ridicat din anexa III a Regulamentului privind IA pentru vreun utilizator din UE al rezultatului său, separat de modul în care este clasificat pentru clienții dumneavoastră americani?

Informație generală, nu consultanță juridică: dacă RGPD sau Regulamentul privind IA vă vizează afacerea specifică depinde de fapte legate de marketingul, clienții și sistemele dumneavoastră de IA pe care acest articol nu le poate rezolva pentru dumneavoastră. Acolo unde Komplya publică îndrumări precum aceasta, precizăm clar care straturi au fost revizuite juridic și care rămân material în lucru, astfel încât să le puteți evalua în consecință.

Poate un instrument de conformitate construit pentru IMM-uri europene să ajute cu adevărat o companie americană? Logica de aplicabilitate este exact același test în ambele cazuri: criteriile de direcționare și monitorizare de la articolul 3(2) din RGPD, și domeniul bazat pe rezultat de la articolul 2(1)(c) din Regulamentul privind IA, nu se schimbă în funcție de locul unde este înregistrată firma dumneavoastră. Răspundeți la un chestionar scurt despre marketingul, clienții și funcțiile de IA orientate către UE, iar Komplya vă indică exact ce obligații se aplică și generează o Politică de confidențialitate, o Politică de utilizare a IA sau o evaluare de impact redactate cu ajutorul IA și fundamentate pe aceste obligații concrete — documentație care se întâmplă să fie exact ce va cere probabil echipa de achiziții a unui client enterprise european. Ce nu face Komplya este să acționeze ca reprezentantul dumneavoastră conform articolului 27; acea numire juridică distinctă rămâne să fie organizată separat.

În loc să ghiciți, de la mii de kilometri distanță, dacă dreptul UE vă vizează afacerea, calea mai rapidă este să treceți direct clienții, marketingul și sistemele de IA orientate către UE prin ambele teste.