Dacă firma ta folosește instrumente AI, două seturi de reguli contează: GDPR, care se aplică de fiecare dată când date personale ajung într-un instrument AI, și EU AI Act, regulamentul european care împarte sistemele AI pe niveluri de risc și impune obligații în funcție de acestea. Pentru majoritatea firmelor mici, primul pas nu e un audit complicat, ci câteva întrebări simple: ce date trimiți, unde ajung, cine are acces și dacă oamenii știu că interacționează cu un AI. Mai jos găsești explicațiile de bază și o listă practică de verificare.
Important: acest articol oferă informații generale, nu consultanță juridică. Pentru situația concretă a firmei tale, discută cu un avocat sau un consultant specializat în protecția datelor.
GDPR se aplică și atunci când folosești AI
Regulamentul General privind Protecția Datelor (GDPR) nu face excepție pentru AI. Dacă introduci într-un chatbot, într-un instrument de rezumare sau într-o aplicație cu AI date care identifică o persoană (nume, e-mail, telefon, conversații cu clienți, date despre copii, angajați sau pacienți), prelucrezi date personale. Regulile obișnuite rămân valabile.
Temeiul legal
Fiecare prelucrare de date personale are nevoie de un temei legal: consimțământ, executarea unui contract, obligație legală, interes legitim și altele prevăzute de regulament. Faptul că un instrument AI e util nu este, în sine, un temei legal. Întreabă-te: clienții mei s-ar aștepta ca datele lor să fie folosite așa?
Minimizarea datelor
Trimite doar ce e necesar. Dacă vrei un rezumat al reclamațiilor primite, poți elimina numele și datele de contact înainte. Dacă testezi o idee, folosește date fictive. Minimizarea este cea mai simplă și mai ieftină măsură de protecție.
Contractul cu furnizorul (persoana împuternicită)
Când un furnizor de AI prelucrează date personale în numele tău, el devine, de regulă, persoană împuternicită, iar GDPR cere un acord de prelucrare a datelor (DPA). Verifică dacă planul pe care îl folosești include un astfel de acord. Versiunile gratuite sau pentru consumatori au adesea alte condiții decât cele pentru firme, inclusiv în privința folosirii datelor pentru antrenarea modelelor.
Locația datelor
Datele transferate în afara Spațiului Economic European au nevoie de garanții suplimentare. Află unde sunt stocate și prelucrate datele și ce mecanism de transfer folosește furnizorul.
Păstrarea datelor
Cât timp păstrează furnizorul conversațiile și fișierele încărcate? Se pot șterge? Stabilește și tu, intern, cât timp păstrezi rezultatele generate care conțin date personale.
Ce este EU AI Act
EU AI Act este un regulament al Uniunii Europene, deci se aplică direct în toate statele membre, inclusiv în România. Abordarea lui este bazată pe risc: cu cât un sistem AI poate afecta mai mult drepturile sau siguranța oamenilor, cu atât obligațiile sunt mai stricte. Obligațiile intră în vigoare etapizat, nu toate deodată, așa că merită să urmărești calendarul oficial pe pagina Comisiei Europene despre cadrul de reglementare pentru AI.
Simplificat, regulamentul distinge între:
| Categorie | Ce înseamnă, pe scurt |
|---|---|
| Practici interzise | Utilizări considerate inacceptabile, de exemplu anumite forme de manipulare sau de „scor social". |
| Risc ridicat | Sisteme folosite în domenii sensibile (de pildă recrutare, educație, acces la servicii esențiale), cu cerințe stricte de documentare, supraveghere umană și gestionare a riscurilor. |
| Obligații de transparență | Anumite utilizări în care oamenii trebuie informați, de exemplu că vorbesc cu un AI sau că un conținut a fost generat ori modificat artificial. |
| Risc minim | Majoritatea aplicațiilor obișnuite, fără obligații specifice suplimentare. |
Regulamentul face și diferența între cei care dezvoltă sisteme AI (furnizori) și cei care le folosesc în activitatea lor profesională (implementatori). O firmă mică ce folosește un chatbot pe site este, de regulă, în a doua categorie, cu obligații mai reduse, dar nu inexistente.
Ce înseamnă concret pentru o firmă mică
Pentru cele mai multe IMM-uri, utilizările tipice sunt: un chatbot cu AI pe site, texte de marketing generate cu ajutorul AI-ului, rezumate de documente sau automatizări interne. Câteva consecințe practice:
- Transparență în conversații. Dacă ai un asistent virtual, spune clar că utilizatorul vorbește cu un sistem AI, nu cu un om.
- Conținut generat. În anumite cazuri, conținutul generat sau modificat artificial (de exemplu imagini sau clipuri realiste) trebuie marcat ca atare. Chiar și acolo unde nu e obligatoriu, transparența construiește încredere.
- Decizii despre oameni. Dacă vrei să folosești AI pentru selecția candidaților, evaluarea elevilor sau decizii de creditare, intri probabil într-o zonă cu reguli stricte. Aici consultanța de specialitate e obligatorie, nu opțională.
- Supraveghere umană. Un om ar trebui să verifice rezultatele care contează. Modelele pot greși cu toată încrederea.
Dacă te gândești la agenți AI care automatizează procese, aceste principii devin și mai importante, pentru că agenții acționează, nu doar răspund.
Listă de verificare pentru un IMM
Folosește lista de mai jos ca punct de plecare:
- Inventariază instrumentele AI folosite în firmă, inclusiv cele folosite „pe cont propriu" de angajați.
- Notează ce date ajung în fiecare și dacă printre ele sunt date personale sau confidențiale.
- Verifică planul și contractul fiecărui furnizor: există acord de prelucrare a datelor? Se folosesc datele pentru antrenare? Unde sunt stocate?
- Stabilește reguli interne simple: ce date nu se trimit niciodată (de exemplu date despre sănătate, date despre copii, parole, date bancare).
- Anonimizează sau pseudonimizează acolo unde se poate.
- Actualizează politica de confidențialitate a site-ului dacă folosești AI în relația cu clienții.
- Informează utilizatorii atunci când interacționează cu un AI.
- Păstrează un om în buclă pentru deciziile care afectează clienți, angajați sau bani.
- Identifică utilizările cu risc ridicat și cere sfat juridic înainte de a le implementa.
- Revizuiește periodic, pentru că atât instrumentele, cât și obligațiile se schimbă.
Surse oficiale utile
- Textul GDPR pe EUR-Lex
- Textul EU AI Act pe EUR-Lex
- Cadrul de reglementare pentru AI, Comisia Europeană
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
Pentru o imagine mai largă despre unde are sens AI-ul într-o afacere, citește și AI pentru afaceri mici: unde ajută concret și unde nu.
Întrebări frecvente
Pot introduce datele clienților în ChatGPT sau în alt instrument AI?
Doar dacă ai un temei legal, trimiți strictul necesar și folosești un plan cu condiții potrivite pentru firme, inclusiv un acord de prelucrare a datelor. Cel mai sigur este să elimini datele de identificare înainte.
EU AI Act se aplică și firmelor mici care doar folosesc AI?
Da, regulamentul are obligații și pentru cei care folosesc sisteme AI în activitatea profesională, nu doar pentru cei care le dezvoltă. Pentru utilizările obișnuite obligațiile sunt reduse, dar transparența față de utilizatori contează.
Trebuie să spun pe site că folosesc un chatbot cu AI?
În general, oamenii trebuie informați atunci când interacționează cu un sistem AI, iar politica de confidențialitate ar trebui să descrie prelucrarea datelor. Pentru detalii aplicate firmei tale, cere sfatul unui specialist.
Plănuiești un site sau o aplicație care folosește AI și vrei ca protecția datelor să fie gândită din start, nu adăugată la final? Contactează-ne și discutăm cum poate arăta soluția potrivită pentru site-ul sau aplicația ta mobilă.
