GDPR și Inteligența Artificială în 2026: Ghid complet pentru companii. Tot ce trebuie să știi despre AI Act, protecția datelor și conformitate

GDPR și Inteligența Artificială: noua provocare pentru companii

Inteligența Artificială (Artificial Intelligence – AI) nu mai este o tehnologie rezervată marilor companii din domeniul IT. În prezent, aproape orice organizație utilizează, într-o formă sau alta, instrumente bazate pe AI. Chatboții răspund automat clienților, programele generează documente, algoritmii analizează volume mari de date, iar sistemele inteligente ajută la recrutare, marketing și luarea deciziilor.

Această evoluție aduce numeroase beneficii:

• reducerea costurilor;
• creșterea productivității;
• automatizarea activităților repetitive;
• analiză rapidă a datelor;
• îmbunătățirea experienței clienților.

Însă, odată cu aceste avantaje apar și obligații legale importante. Dacă AI procesează date cu caracter personal, organizația trebuie să respecte atât Regulamentul General privind Protecția Datelor (GDPR), cât și Regulamentul european privind Inteligența Artificială (AI Act).Consulta-l Aici AI Act

Cele două acte normative nu se exclud. Din contră, ele funcționează împreună:

• GDPR protejează persoanele și datele lor personale.
• AI Act stabilește reguli privind dezvoltarea, implementarea și utilizarea sistemelor AI în funcție de nivelul de risc.

În acest articol vei descoperi ce obligații au companiile, ce riscuri există și cum poate fi utilizată Inteligența Artificială într-un mod legal și responsabil.

Ce este Inteligența Artificială?

Inteligența Artificială reprezintă ansamblul tehnologiilor capabile să execute sarcini care necesită în mod normal inteligență umană.

Printre acestea se numără:

• redactarea documentelor;
• traducerea automată;
• analiza imaginilor;
• recunoașterea vocală;
• clasificarea documentelor;
• detectarea fraudelor;
• recomandarea produselor;
• evaluarea riscurilor;
• generarea de conținut.

Astăzi, AI este folosită în aproape toate domeniile economice:

• sănătate;
• educație;
• administrație publică;
• sector financiar;
• comerț;
• producție;
• logistică;
• HR;
• servicii juridice.

Ce înseamnă date cu caracter personal?

GDPR definește datele personale ca fiind orice informație care poate identifica direct sau indirect o persoană.

Exemple:

• nume și prenume;
• adresă de e-mail;
• număr de telefon;
• CNP;
• adresă IP;
• locație GPS;
• fotografie;
• imagine video;
• voce;
• date biometrice;
• informații medicale;
• salariu;
• cont bancar.

Dacă aceste informații sunt introduse într-un sistem AI, ele sunt considerate prelucrate și intră sub incidența GDPR.

Se aplică GDPR dacă folosesc ChatGPT, Copilot sau Gemini?

Da.

Indiferent dacă utilizați un chatbot conversațional, un generator de imagini sau un instrument AI pentru analiză de documente, trebuie analizat dacă sunt introduse date personale.

Exemple de risc:

• copierea unui contract care conține numele clientului;
• încărcarea unui CV complet;
• analiza fișelor medicale;
• introducerea listelor de clienți;
• încărcarea bazelor de date.

În toate aceste situații există o prelucrare de date personale.

Principiile GDPR rămân valabile

Utilizarea AI nu modifică obligațiile GDPR.

Companiile trebuie să respecte în continuare principiile fundamentale:

1. Legalitate

Prelucrarea trebuie să aibă un temei juridic.

2. Transparență

Persoanele trebuie informate că datele sunt prelucrate inclusiv prin sisteme AI atunci când acest lucru este relevant.

3. Limitarea scopului

Datele nu pot fi folosite pentru alte scopuri incompatibile.

4. Minimizarea datelor

Introduceți doar informațiile strict necesare.

5. Exactitatea

Datele trebuie actualizate.

6. Limitarea stocării

Datele nu trebuie păstrate mai mult decât este necesar.

7. Integritate și confidențialitate

Trebuie implementate măsuri tehnice și organizatorice adecvate.

8. Responsabilitate

Compania trebuie să demonstreze că respectă GDPR.

AI Act – prima lege europeană dedicată Inteligenței Artificiale

Uniunea Europeană a adoptat AI Act pentru a crea un cadru comun privind utilizarea Inteligenței Artificiale. Regulamentul introduce o abordare bazată pe risc și stabilește obligații diferite pentru dezvoltatori, furnizori, importatori, distribuitori și organizațiile care utilizează sisteme AI.

Cele patru niveluri de risc

1. Risc inacceptabil – sisteme interzise, precum anumite forme de manipulare subliminală, exploatarea vulnerabilităților persoanelor sau unele tipuri de evaluare socială (social scoring).

2. Risc ridicat – sisteme utilizate în domenii sensibile, cum ar fi:

• recrutarea și selecția personalului;
• educația;
• infrastructura critică;
• dispozitive medicale;
• aplicarea legii;
• accesul la servicii financiare.

Aceste sisteme sunt supuse unor obligații stricte privind documentația, managementul riscurilor, calitatea datelor și supravegherea umană.

3. Risc limitat – de exemplu, chatboți sau sisteme care interacționează cu utilizatorii. În general, utilizatorii trebuie informați că interacționează cu un sistem AI.

4. Risc minim – aplicații precum filtrele anti-spam sau unele sisteme de recomandare, care au obligații reduse.

Ce obligații are o companie care utilizează AI?

Utilizarea responsabilă a AI presupune mai mult decât instalarea unei aplicații.

Organizațiile trebuie să:

• inventarieze sistemele AI utilizate;
• stabilească scopul fiecărui sistem;
• identifice datele personale prelucrate;
• stabilească temeiul juridic;
• analizeze riscurile;
• actualizeze documentația GDPR;
• instruiască personalul;
• monitorizeze permanent utilizarea AI.

Evaluarea impactului asupra protecției datelor (DPIA)

GDPR impune realizarea unei Evaluări de Impact asupra Protecției Datelor (DPIA) atunci când o activitate de prelucrare este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor.

În contextul AI, o DPIA poate fi necesară atunci când există:

• profilare extinsă;
• monitorizare sistematică;
• utilizarea datelor sensibile;
• decizii automatizate cu efecte juridice;
• utilizarea tehnologiilor noi pe scară largă.

O DPIA trebuie să descrie prelucrarea, să evalueze necesitatea și proporționalitatea acesteia, să identifice riscurile și să stabilească măsuri de reducere a lor.

Exemple practice din România

Exemplul 1 – Cabinet medical

Un cabinet folosește AI pentru redactarea scrisorilor medicale.

Greșit: medicul introduce fișa completă a pacientului într-un serviciu AI public fără măsuri suplimentare.

Corect: datele sunt anonimizate, iar soluția AI este evaluată din perspectiva securității și a obligațiilor contractuale.

Exemplul 2 – Agenție de recrutare

Compania utilizează AI pentru analizarea CV-urilor.

Obligații:

• informarea candidaților;
• verificarea existenței unei decizii exclusiv automate;
• posibilitatea intervenției umane;
• evitarea discriminării algoritmice.

Exemplul 3 – Magazin online

Magazinul utilizează AI pentru recomandarea produselor.

Este recomandat:

• actualizarea politicii de confidențialitate;
• explicarea utilizării profilării, dacă este cazul;
• respectarea regulilor privind modulele cookie și tehnologiile similare;
• limitarea colectării datelor la ceea ce este necesar.

Exemplul 4 – Primărie

Primăria implementează un chatbot AI pentru relația cu cetățenii.

Trebuie:

• să informeze utilizatorii că discută cu un chatbot;
• să protejeze datele transmise;
• să permită contactarea unui operator uman atunci când este necesar.

Cele mai frecvente greșeli

În practică, organizațiile fac adesea următoarele erori:

• introduc date personale în aplicații AI fără o analiză prealabilă;
• utilizează conturi personale pentru activități de serviciu;
• nu actualizează politica de confidențialitate;
• nu încheie acorduri privind prelucrarea datelor cu furnizorii atunci când este necesar;
• nu instruiesc angajații;
• folosesc AI pentru decizii importante fără verificare umană;
• presupun că furnizorul AI este singurul responsabil pentru conformitate.

Cum se pregătește o companie pentru AI Act?

Un plan de conformitate poate include:

1. Inventarierea tuturor sistemelor AI utilizate.
2. Clasificarea acestora în funcție de nivelul de risc.
3. Actualizarea registrului activităților de prelucrare.
4. Revizuirea politicilor interne.
5. Actualizarea informărilor privind protecția datelor.
6. Revizuirea contractelor cu furnizorii.
7. Stabilirea unei politici interne privind utilizarea AI.
8. Organizarea de sesiuni periodice de instruire.
9. Realizarea DPIA atunci când este necesară.
10. Audituri periodice privind utilizarea AI și securitatea informațiilor.

Întrebări frecvente (FAQ)

Pot introduce contracte într-un chatbot AI?

Doar după ce analizați dacă acestea conțin date personale sau informații confidențiale și dacă utilizarea instrumentului este compatibilă cu politicile interne și obligațiile legale.

Este AI interzisă de GDPR?

Nu. GDPR reglementează modul în care sunt prelucrate datele personale, indiferent dacă prelucrarea este realizată de oameni sau de sisteme AI.

Sunt obligat să informez clienții că folosesc AI?

În multe situații, da. Atât GDPR, cât și AI Act promovează transparența, iar utilizatorii trebuie informați atunci când acest lucru este relevant pentru prelucrarea datelor sau pentru interacțiunea cu un sistem AI.

Cine răspunde dacă AI produce o eroare?

Responsabilitatea juridică nu este transferată automat către furnizorul tehnologiei. Organizația care utilizează sistemul AI are obligația de a evalua riscurile, de a implementa controale și de a verifica rezultatele atunci când acestea influențează drepturile persoanelor.

Concluzie

Inteligența Artificială reprezintă una dintre cele mai importante transformări tehnologice ale ultimilor ani. Beneficiile sunt evidente: eficiență, automatizare, reducerea costurilor și noi oportunități de inovare. Totuși, aceste avantaje trebuie însoțite de o abordare responsabilă privind protecția datelor și respectarea drepturilor fundamentale.

În contextul actual, conformitatea nu mai înseamnă doar respectarea GDPR. Organizațiile trebuie să țină cont și de obligațiile introduse prin AI Act, să evalueze riscurile asociate fiecărui sistem AI și să implementeze politici interne clare privind utilizarea acestora.

Companiile care investesc în guvernanța AI, instruirea angajaților și protecția datelor vor fi mai bine pregătite pentru cerințele legale, vor reduce riscul de sancțiuni și vor consolida încrederea clienților și partenerilor de afaceri.

Checklist de conformitate

• ✔️ Ai identificat toate sistemele AI utilizate în organizație?
• ✔️ Știi ce date personale sunt prelucrate?
• ✔️ Există un temei legal pentru fiecare prelucrare?
• ✔️ Ai actualizat politica de confidențialitate?
• ✔️ Angajații au fost instruiți privind utilizarea AI?
• ✔️ Ai verificat contractele cu furnizorii AI?
• ✔️ Ai evaluat necesitatea unei DPIA?
• ✔️ Există supraveghere umană pentru deciziile importante?
• ✔️ Sunt implementate măsuri tehnice și organizatorice adecvate?
• ✔️ Revizuiești periodic utilizarea AI și documentația de conformitate?