Utilizarea zilnică a asistenților precum ChatGPT, Claude sau Gemini de către angajați, fără proceduri scrise și fără un cadru tehnic securizat, expune companiile din România la o dublă vulnerabilitate juridică: încălcarea obligațiilor de alfabetizare și transparență din Regulamentul European AI Act (Regulamentul UE 2024/1689) și breșe directe de confidențialitate sancționabile conform GDPR. O analiză publicată pe 8 noiembrie 2026 readuce în prim-plan realitatea din birourile locale: deși prevederile Articolului 4 privind alfabetizarea AI sunt active încă din februarie 2025, iar pachetul legislativ „Digital Omnibus” (Regulamentul UE 2026/1744) din vara anului 2026 cere măsuri demonstrabile de instruire, majoritatea firmelor operează încă în regim de „Shadow AI”.
Pentru tine, ca antreprenor sau manager, problema nu este tehnologia în sine, ci modul invizibil în care aceasta este folosită în departamentele de vânzări, marketing, HR sau suport. Când un angajat copiază un contract comercial, o bază de date cu clienți sau un CV într-un cont personal și gratuit de ChatGPT pentru a rezuma textul, firma ta devine oficial „deployer” (utilizator instituțional) în fața legii, dar fără niciun control asupra fluxului de date.
Anatomia riscului: De ce conturile personale de ChatGPT încalcă AI Act și GDPR
În arhitectura conturilor gratuite destinate consumatorilor (B2C), datele introduse în fereastra de chat sunt stocate pe servere externe și sunt utilizate implicit pentru antrenarea viitoarelor modele lingvistice (LLM). Din momentul în care informațiile comerciale sau datele cu caracter personal părăsesc infrastructura ta fără un acord de prelucrare a datelor (DPA) și fără un temei legal, compania ta înregistrează o încălcare GDPR.
În paralel, AI Act impune obligații stricte în funcție de nivelul de risc al activității. Dacă echipa de HR folosește neoficial un model AI pentru a tria CV-uri sau pentru a evalua performanța personalului, acea practică intră în categoria sistemelor cu „risc ridicat” (High-Risk). Mai mult, conform Articolului 50 aplicabil din august 2026, orice interacțiune automatizată cu clienții sau conținut generat sintetic trebuie marcat transparent. În plus, după cum arată și datele privind cele 14 erori ale agenților AI și costul lor ascuns, lăsarea deciziilor operaționale pe seama unor modele neverificate duce la halucinații informaționale pentru care răspunderea juridică rămâne exclusiv a firmei tale.
| Vector de Conformitate | Conturi Personale (Shadow AI) | Integrare Oficială prin API / Enterprise |
|---|
| Antrenarea modelelor publice | Activă implicit pe datele introduse de angajați | Dezactivată contractual (Zero Data Retention) |
| Conformitate GDPR & Secrete Comerciale | Risc major de exfiltrare neautorizată | Controlată prin chei API și permisiuni pe roluri |
| Acoperire Art. 4 & Art. 50 (AI Act) | Imposibil de auditat de către management | Trasabilitate completă, loguri și politici aplicate |
Cinci măsuri interne și tranziția către un ecosistem AI controlat
Interzicerea totală a inteligenței artificiale în birou este o eroare strategică: îți va încetini echipa și îi va împinge pe angajați să folosească aceleași aplicații de pe telefoanele personale. Conform recomandărilor specialiștilor în reglementare, în contextul în care ANCOM se pregătește să preia rolul de autoritate națională de supraveghere, echipa ta de management și IT trebuie să aplice imediat cinci pași de bază:
- Auditarea utilizării curente: Identifică exact ce instrumente folosesc colegii tăi și pentru ce sarcini (redactare, analiză financiară, suport, recrutare).
- Redactarea unei politici interne (AI Policy): Stabilește în scris, în două pagini clare, ce date sunt strict interzise în interfețele publice (CNP-uri, oferte financiare, cod sursă, contracte).
- Instruirea practică pe roluri (Articolul 4): Organizează sesiuni scurte în care angajații să învețe cum să verifice halucinațiile modelelor și cum să păstreze controlul uman („human-in-the-loop”) asupra oricărui document trimis clienților.
- Separarea proceselor cu risc ridicat: Interzice evaluarea automată a candidaților sau a angajaților prin scripturi sau prompturi improvizate.
- Păstrarea dovezilor de conformitate: Arhivează prezența la instruiri și regulamentul intern semnat pentru eventuale controale.
Dincolo de regulile pe hârtie, eliminarea definitivă a fenomenului de „Shadow AI” se face oferindu-le angajaților instrumente oficiale, rapide și sigure. În cadrul proiectelor noastre de consultanță în inteligență artificială în București și la nivel național, ajutăm companiile să înlocuiască improvizația cu asistenți virtuali și instrumente AI practice, conectate securizat prin API, care nu folosesc datele firmei pentru antrenarea modelelor publice.
De exemplu, dacă echipa ta de marketing folosește haotic ChatGPT pentru texte, poți centraliza totul într-un mediu controlat. La WebReady, am integrat nativ asistența AI direct în platforma de administrare a site-ului: colegii tăi pot utiliza modulul de blog pentru a structura, corecta și îmbunătăți articolele existente, sau modulul dedicat de social media pentru a genera idei de postări, imagini și story-uri cu monitorizare de trafic în dashboard, fără a expune datele interne în conturi terțe nesupravegheate. Iar pentru operațiunile repetitive dintre departamente, dezvoltăm softuri mici și automatizări de procese personalizate, care prelucrează documentele în baze de date proprii, respectând rigorile de guvernanță din 2026.
Întrebări Frecvente
1. Riscă firma mea amenzi dacă doar utilizează ChatGPT, fără să dezvolte tehnologie AI proprie?
Da. Regulamentul AI Act vizează direct și „utilizatorii instituționali” (deployers), nu doar dezvoltatorii. Începând cu februarie 2025, orice companie ai cărei angajați folosesc sisteme AI în interes de serviciu are obligația legală de a asigura alfabetizarea personalului (Articolul 4) și de a preveni scurgerile de date personale sau comerciale.
2. Avem nevoie de cursuri acreditate extern pentru a respecta Articolul 4 din AI Act?
Nu. Conform ajustărilor aduse prin Regulamentul (UE) 2026/1744, legea nu impune certificări standardizate sau un număr fix de ore. Compania ta trebuie însă să poată demonstra concret că a adoptat o politică internă de utilizare și că a instruit angajații cu privire la limitele tehnologiei și protecția datelor, adaptat la specificul muncii lor.
3. Care este diferența tehnică dintre contul gratuit de ChatGPT și o integrare AI prin API?
Contul gratuit stochează conversațiile și le poate folosi la antrenarea globală a modelului AI, creând un risc major de confidențialitate. O integrare oficială prin API sau un asistent virtual dedicat transmite datele criptat, garantează contractual că informațiile firmei nu sunt folosite la antrenarea modelelor publice și îți permite să controlezi exact cine are acces la instrument.