AI Act pe înțelesul tuturor: ce se aplică și când
Regulamentul european privind inteligența artificială clasifică sistemele pe niveluri de risc și impune obligații proporționale cu riscul, nu cu tehnologia folosită.
Patru categorii: risc inacceptabil (practici interzise), risc ridicat (obligații stricte), risc limitat (obligații de transparență) și risc minim (fără obligații suplimentare).
Obligațiile cad, în principal, pe furnizori — cei care dezvoltă și pun pe piață sistemul — și, într-o măsură mai redusă, pe implementatori, adică pe cei care îl folosesc profesional.
Conținutul generat sau manipulat artificial trebuie divulgat ca atare, în condițiile și cu excepțiile prevăzute.
Aplicarea se face etapizat, pe un calendar prevăzut în chiar textul regulamentului, cu date diferite pentru practicile interzise, pentru modelele de uz general și pentru sistemele cu risc ridicat.
Regulamentul se aplică în paralel cu regulile de protecție a datelor, nu în locul lor.
Ce reglementează regulamentul european privind inteligența artificială? — Utilizarea sistemelor de inteligență artificială, clasificate pe niveluri de risc — inacceptabil, ridicat, limitat și minim — cu obligații proporționale cu riscul creat pentru drepturile persoanelor.
Ce practici sunt interzise? — Cele enumerate de regulament, între care tehnicile manipulatoare care produc prejudicii semnificative, exploatarea vulnerabilităților, scorul social, anumite utilizări ale identificării biometrice la distanță în timp real și recunoașterea emoțiilor la locul de muncă și în școli, cu excepțiile prevăzute.
Cine are obligații — cel care face sistemul sau cel care îl folosește? — În principal furnizorul, cel care dezvoltă și pune pe piață. Implementatorul, cel care îl folosește profesional, are obligații proprii — utilizarea conform instrucțiunilor, supravegherea umană, monitorizarea, informarea persoanelor afectate.
Trebuie marcat conținutul generat de inteligența artificială? — Da, în condițiile prevăzute. Conținutul generat sau manipulat artificial trebuie marcat într-un format care poate fi citit automat, iar deepfake-urile trebuie divulgate ca atare, cu excepții pentru utilizările artistice, satirice sau de ficțiune.
Se aplică deja? — Aplicarea este etapizată, cu date diferite pentru practicile interzise, pentru modelele de uz general și pentru sistemele cu risc ridicat. Calendarul este prevăzut în textul regulamentului — verifică-l pentru categoria care te privește.
Mă afectează dacă folosesc astfel de unelte personal? — Utilizarea personală, neprofesională, nu atrage obligațiile prevăzute pentru furnizori și implementatori. Beneficiezi însă de obligațiile de transparență impuse celorlalți.
Ce fac dacă o decizie automată mă afectează? — Regulamentul impune cerințe de supraveghere umană și de transparență pentru sistemele cu risc ridicat. În paralel, regulamentul de protecție a datelor îți recunoaște dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, în condițiile prevăzute.
Înlocuiește regulile de protecție a datelor? — Nu. Se aplică în paralel. Un sistem poate fi conform cu regulamentul privind inteligența artificială și, în același timp, să încalce regulile privind protecția datelor.
Regulamentul european privind inteligența artificială este primul cadru juridic cuprinzător dedicat acestei tehnologii. Fiind regulament, se aplică direct în statele membre, fără transpunere printr-o lege națională.
Logica lui nu este de a reglementa tehnologia în sine, ci utilizarea ei: același model poate fi liber într-un context și strict reglementat în altul, în funcție de riscul pe care îl creează pentru drepturile persoanelor.
Articolul de față explică cele patru niveluri de risc, cine are obligații, ce se schimbă pentru utilizatori și cum se aplică în timp.
Cele patru niveluri de risc
Risc inacceptabil — practici interzise
Regulamentul interzice anumite practici, considerate incompatibile cu drepturile fundamentale. Între ele, în condițiile și cu excepțiile prevăzute de text:
- tehnicile subliminale sau manipulatoare care denaturează comportamentul și pot cauza prejudicii semnificative;
- exploatarea vulnerabilităților unei persoane sau ale unui grup, ținând de vârstă, dizabilitate ori situație socială sau economică;
- scorul social — evaluarea sau clasificarea persoanelor pe baza comportamentului social ori a caracteristicilor personale, cu tratament defavorabil nejustificat;
- anumite utilizări ale identificării biometrice la distanță în timp real în spații accesibile publicului, în scopul aplicării legii, cu excepțiile strict delimitate;
- recunoașterea emoțiilor la locul de muncă și în instituțiile de învățământ, cu excepțiile prevăzute;
- extragerea nețintită de imagini faciale pentru crearea de baze de date de recunoaștere facială, în condițiile textului.
Risc ridicat
Sistemele folosite în domenii sensibile, enumerate de regulament — între care: infrastructuri critice, educație și formare profesională, ocuparea forței de muncă și gestionarea lucrătorilor, accesul la servicii esențiale publice și private, aplicarea legii, migrație și controlul frontierelor, administrarea justiției și procesele democratice.
Pentru acestea, regulamentul impune obligații consistente: sistem de management al riscului, guvernanța datelor, documentație tehnică, înregistrarea evenimentelor, transparență față de implementatori, supraveghere umană, acuratețe, robustețe și securitate cibernetică, precum și evaluarea conformității înainte de punerea pe piață.
Risc limitat — transparență
Obligații de informare, astfel încât persoana să știe cu ce interacționează:
- sistemele destinate să interacționeze direct cu persoane trebuie să fie proiectate astfel încât persoana să fie informată că interacționează cu un sistem de inteligență artificială, în afara cazurilor evidente;
- conținutul generat sau manipulat artificial trebuie marcat ca atare, într-un format care poate fi citit automat;
- deepfake-urile — conținutul care seamănă în mod evident cu persoane, obiecte sau evenimente reale și ar părea autentic — trebuie divulgate ca fiind generate sau manipulate artificial, cu excepții pentru utilizările artistice, satirice sau de ficțiune, în condițiile prevăzute;
- sistemele de recunoaștere a emoțiilor sau de categorizare biometrică impun informarea persoanelor expuse.
Detalii despre implicațiile juridice ale conținutului manipulat sunt în ghidul despre deepfake și legea română.
Risc minim
Restul — filtre de spam, sisteme de recomandare obișnuite, jocuri. Fără obligații suplimentare în temeiul regulamentului.
Ai o firmă care folosește astfel de sisteme și nu știi ce obligații ai? Descrie situația în aplicația Lexeto și primești gratuit informații despre cadrul aplicabil.
Cine are obligații
Regulamentul distinge mai multe categorii de operatori economici, cu obligații diferite.
Furnizorul — cel care dezvoltă un sistem sau un model și îl pune pe piață ori în funcțiune sub propriul nume sau marcă. Suportă cele mai multe obligații.
Implementatorul — cel care utilizează un sistem sub autoritatea sa, în cadrul unei activități profesionale. Are obligații proprii, între care utilizarea conform instrucțiunilor, asigurarea supravegherii umane, monitorizarea funcționării și informarea persoanelor afectate, în condițiile prevăzute.
Importatorul și distribuitorul — obligații de verificare a conformității.
Regulamentul prevede și situațiile în care un implementator devine furnizor — de exemplu, dacă își pune numele pe un sistem cu risc ridicat sau îi modifică substanțial destinația.
Utilizarea personală, neprofesională, nu atrage aceste obligații.
Modelele de uz general
Regulamentul reglementează distinct modelele de inteligență artificială de uz general — cele antrenate pe volume mari de date, cu aplicabilitate largă.
Furnizorii au obligații privind documentația tehnică, informarea celor care integrează modelul, politica de respectare a legislației privind dreptul de autor și publicarea unui rezumat suficient de detaliat al conținutului utilizat la antrenare.
Pentru modelele cu risc sistemic, identificate potrivit criteriilor din regulament, se adaugă obligații suplimentare — evaluarea modelelor, atenuarea riscurilor, raportarea incidentelor grave, securitate cibernetică.
Aspectul privind dreptul de autor este relevant pentru creatori — vezi ghidul despre drepturile de autor.
Aplicarea în timp
Regulamentul prevede o aplicare etapizată, cu date diferite pentru diferite categorii de obligații: mai întâi dispozițiile generale și practicile interzise, apoi obligațiile privind modelele de uz general și guvernanța, ulterior cele privind sistemele cu risc ridicat, cu termene extinse pentru anumite categorii.
Calendarul concret este prevăzut în textul regulamentului. Verifică-l pentru situația ta, pentru că datele diferă semnificativ între categorii.
Pune-o gratuit în aplicația Lexeto: vezi avocați verificați și primești informații.
Ce se schimbă pentru o persoană obișnuită
Vei ști mai des că vorbești cu un sistem automat, nu cu un om.
Conținutul generat artificial va fi marcat ca atare, în condițiile prevăzute.
Deciziile automate importante — la angajare, la acordarea unui credit, la accesul la servicii esențiale — vor fi supuse unor cerințe de supraveghere umană și de transparență.
Vei putea depune plângere la autoritatea națională competentă cu privire la nerespectarea regulamentului, în condițiile prevăzute.
Drepturile din regulamentul de protecție a datelor rămân aplicabile în paralel — inclusiv cel privind deciziile automate. Vezi ghidul despre drepturile asupra datelor tale.
Ce se schimbă pentru firme
Dacă folosești sisteme de inteligență artificială în activitate, întrebările practice sunt:
- În ce categorie de risc intră utilizarea ta? Domeniul contează mai mult decât tehnologia.
- Ești furnizor sau implementator? Determină ce obligații ai.
- Ai sisteme în domenii sensibile — recrutare, evaluarea angajaților, acordarea de credite, servicii esențiale?
- Generezi conținut care necesită marcare?
- Ai asigurată supravegherea umană acolo unde e cerută?
- Ai documentația privind sistemele folosite și instrucțiunile furnizorului?
Pentru utilizarea în relația de muncă — monitorizare, evaluare, recrutare — se adaugă obligațiile din Codul muncii și din regulamentul de protecție a datelor. Vezi ghidul despre discriminarea la angajare, pentru riscul de discriminare algoritmică.
Sancțiunile
Regulamentul prevede amenzi administrative, stabilite pe paliere în funcție de gravitatea încălcării, cu praguri exprimate ca sume fixe sau ca procent din cifra de afaceri mondială totală anuală, aplicându-se valoarea cea mai mare.
Cele mai severe vizează practicile interzise. Statele membre desemnează autoritățile competente și stabilesc regimul sancțiunilor la nivel național, în condițiile regulamentului.
Temei legal
- Regulamentul (UE) privind inteligența artificială — domeniul de aplicare, clasificarea pe niveluri de risc, practicile interzise, cerințele pentru sistemele cu risc ridicat, obligațiile furnizorilor și implementatorilor, obligațiile de transparență, modelele de uz general și cele cu risc sistemic, guvernanța, sancțiunile, calendarul de aplicare
- Regulamentul (UE) 2016/679 — protecția datelor cu caracter personal, aplicabil în paralel, inclusiv art. 22 privind deciziile automate
- Codul muncii (Legea nr. 53/2003) — condițiile monitorizării la locul de muncă
- OG nr. 137/2000 privind prevenirea și sancționarea tuturor formelor de discriminare — riscul de discriminare algoritmică
- Legea nr. 8/1996 privind dreptul de autor — relevantă pentru antrenarea modelelor
Calendarul de aplicare și obligațiile concrete se verifică în textul regulamentului.
Acest articol are caracter informativ și nu constituie consultanță juridică.
Informează-te și vezi avocați gratuit. Descarcă aplicația Lexeto.
